ما هو مطبَّق فعلاً، لا ما هو منوي.

الجلسة رمز موقَّع بمفتاح لا يوجد في المستودع. إن تعذّر التحقّق من التوقيع لا يُعتبر أحد مسجّلاً — النظام يفشل مغلقاً لا مفتوحاً. كلمات المرور مخزَّنة بـbcrypt ولا تُقارن نصاً، ومحاولة الدخول بعنوان غير مسجّل تستغرق الزمن نفسه الذي تستغرقه بعنوان مسجّل، فلا يصلح النموذج أداةً لمعرفة من يملك حساباً عندنا.

التسجيل بعنوان مسجَّل سابقاً والتسجيل بعنوان جديد يعيدان الاستجابة نفسها بايتاً ببايت. واستعادة كلمة المرور تجيب الجواب نفسه للعنوان المعروف والمجهول. الفرق كله في الرسالة التي تصل صاحب العنوان وحده. لشركة عملاؤها جزء من عملها، هذا إفصاح قبل أن يكون مسألة أمنية.

استعادة كلمة المرور: أربع محاولات كل ربع ساعة. التسجيل: خمس. نماذج التواصل والدعم والنشرة: اثنتا عشرة في الدقيقة. الأرقام مكتوبة في الشيفرة لا في سياسة.

‏HSTS لسنتين مع النطاقات الفرعية وطلب الإدراج المسبق. المنع الكامل للتأطير داخل موقع آخر. منع تخمين نوع المحتوى. سياسة محتوى لا تسمّي أي مضيف سكربت خارجي — لأنه لا يوجد واحد: لا أداة تحليلات ولا سكربت طرف ثالث على أي صفحة. وسياسة صلاحيات تُغلق الكاميرا والميكروفون والموقع والدفع.

ستّة أدوار مرتّبة، والفحص يقع على المسار في الخادم لا على القائمة في الواجهة — إخفاء رابط لا يمنع كتابة عنوانه. والقسم الممنوع يردّ كالقسم المعدوم تماماً، فلا يُخبر من ليس له حقّ بوجود ما ليس له.

لا توثيق ثنائي العامل حتى الآن. لا اختبار اختراق مستقلّ. لا شهادة SOC 2 ولا ISO 27001 — ولا ندّعي أياً منها. نذكرها هنا لأن قائمة أمان بلا نواقص هي قائمة لم تُكتب بصدق.