امنیت در راهیانا

• کوکی نشست: httpOnly، sameSite=strict، secure در محیط تولید.
• استراتژی نشست: JWT با کال‌بک‌های امن.
• CSRF برای درخواست‌های session-auth: بررسی Origin/Referer هم‌ریشه.

• رمزگذاری کلیدها و اسرار با AES-256-GCM و الگوی Envelope Encryption.
• کلیدهای پوشش‌دهنده (KEK) از فایل‌های امن (Docker secrets) یا متغیرهای محیطی بارگذاری می‌شوند.
• هش کلیدهای API با SHA-256 ذخیره می‌شود؛ مقدار خام رمزگذاری‌شده و جداگانه نگهداری می‌گردد.

• Content-Security-Policy با nonce per-request برای اسکریپت‌ها و استایل‌ها.
• Strict-Transport-Security با preload، X-Frame-Options=DENY، X-Content-Type-Options=nosniff.
• Referrer-Policy=strict-origin-when-cross-origin و Permissions-Policy حداقلی.

• کلیدهای API با پیشوند قابل‌مشاهده و هش‌شده ذخیره می‌شوند؛ مقدار خام فقط یک‌بار نمایش داده می‌شود.
• در لاگ‌ها مقادیر حساس به‌صورت SHA-256 hash یا mask می‌شوند.
• در صورت سرریز نرخ، پاسخ 429 و هدرهای X-RateLimit-* بازگردانده می‌شود.

• فعال‌سازی 2FA و مدیریت نشست‌ها در تنظیمات حساب.
• استفاده از متغیرهای محیطی برای اسرار و عدم قراردادن در کد.
• استفاده از backoff و circuit breaker در کلاینت‌ها.

اگر مسئله امنیتی یافتید، لطفاً به‌صورت محرمانه از طریق فرم تماس اطلاع دهید. پاسخ‌گویی سریع و شفافیت در اولویت ما است.