الأمان
يتعامل Parla مع الميكروفون، لذا بُني ليكون إساءة استخدامه صعبة. لا يغادر صوتك جهازك أبدًا، وتطلب الإضافة أقل ما يمكن من الأذونات، وكل جزء من الشيفرة التي ننشرها مثبَّت الإصدار ومفحوص ومختبَر قبل أن يصل إليك.
أثناء استخدامك Parla
- يُنقّى صوتك على جهازك، داخل المتصفح. ليس لدى Parla خادم يستقبل الصوت، ولا حسابات أو كلمات مرور يمكن سرقتها.
- المحرك شيفرتنا الخاصة، مكتوب بلغة Rust دون مكتبات من أطراف ثالثة، ويعمل بصيغة WebAssembly داخل بيئة المتصفح المعزولة. نماذج الذكاء الاصطناعي بيانات (أرقام) وليست برامج: لا تعمل على حاسوبك أي شيفرة من مؤلفي النماذج.
- لا تطلب الإضافة إلا ما تحتاجه تنقية الميكروفون: حفظ إعداداتها والعمل في الصفحات التي تستخدم فيها الميكروفون. صفحاتها الخاصة لا تشغّل إلا نصوصها البرمجية الخاصة (سياسة أمان محتوى صارمة، Content Security Policy).
- لا تصل صفحات الويب إلى الإضافة إلا عبر قناة ضيقة: تحصل على ملفات المحرك ولا شيء غيرها، وكل ما ترسله يُفحص ويُقيَّد حجمه.
- التقارير متوقفة حتى تشغّلها بنفسك. وهي مجهولة الهوية، وكل حقل فيها مذكور في توثيقنا.
من شيفرتنا إلى متصفحك
- كل ما يستخدمه البناء مثبَّت على إصدار محدد ومتحقَّق منه ببصمته: إجراءات GitHub بالـ commit، وصور الحاويات بالـ digest، والتنزيلات بـ SHA-256، وحزم npm وPython بملف القفل (lockfile).
- لا يدخل أي إصدار عمره أقل من 3 أيام. فمعظم إصدارات الحزم الخبيثة تُكتشف وتُزال خلال أيام، لذا نترك فرصة لاكتشافها أولًا. وتنتظر التحديثات التلقائية أسبوعًا، ويُبنى كلٌّ منها ويُختبر قبل قبوله.
- لا يُسمح للحزم أبدًا بتشغيل نصوص التثبيت، ويُتحقَّق من تواقيع سجل npm في كل عملية بناء.
- لا يبني الإصدارات إلا خط الإنتاج الآلي الخاص بنا، من الفرع الرئيسي. وتُحفظ بيانات اعتماد المتاجر وnpm في بيئة محمية لا تستخدمها إلا خطوة الإصدار، ولا يحتفظ البناء برمز الوصول إلى المستودع.
يُفحص مع كل تغيير
- تحليل ثابت: يقرأ CodeQL شيفرة TypeScript ومحرك Rust وسير عمل البناء؛ ويدقّق zizmor سير العمل.
- فحص ديناميكي للموقع (OWASP ZAP) مع كل تغيير وكل أسبوع.
- يُمنع أي تغيير يضيف حزمة فيها ثغرة معروفة، وتراقب تنبيهات Dependabot كل ملف قفل.
- فحص الأسرار مع حماية الدفع: يرفض GitHub أي commit يحتوي على كلمة مرور أو مفتاح.
- شيفرة صارمة الأنواع (TypeScript وPython) واختبارات آلية في Chrome وFirefox قبل كل إصدار.
وجدت مشكلة؟
يُرجى إبلاغنا بشكل خاص: أبلغ عن ثغرة على GitHub. بهذا يمكن إصلاحها قبل أن تُنشر علنًا.
كل ما في هذه الصفحة يمكن التحقق منه: الشيفرة وخط البناء وفحوص الأمان كلها مفتوحة المصدر. كيف تُبنى الإصدارات وتُفحص