كل ما يحتاجه مراجع الأمان لديك

1. الملخص

2. تدفق البيانات

1. يبدأ المستخدم الالتقاط برمز شريط الأدوات أو باختصار لوحة المفاتيح أو بقائمة النقر بزر الماوس الأيمن. عندها يمنح Chrome وصولًا مؤقتًا إلى علامة التبويب تلك وحدها (activeTab).
2. يعرض Chrome المنطقة الظاهرة. للصفحة الكاملة، تمرّر الإضافة علامة التبويب، وتدمج الأجزاء في الذاكرة وتعيد الصفحة إلى حالتها.
3. تُفتح الصورة في صفحة مضمّنة داخل الإضافة (chrome-extension://‎). لا تحمّل أي شيفرة أو خطوط أو تحليلات عن بُعد.
4. يموّه المستخدم الصورة ويقتصّها ويضيف التوضيحات. يُكتب التمويه في وحدات البكسل.
5. ينسخ المستخدم الصورة إلى الحافظة أو ينزّل ملف PNG. إغلاق علامة التبويب يتجاهلها. لم يغادر شيء الجهاز.

للتحقق: افتح chrome://extensions، وفعّل وضع المطوّر، وافحص service worker الخاص بـ Screshot وراقب علامة التبويب Network أثناء الالتقاط. لا تغادر أي طلبات المتصفح.

المشاركة عبر رابط (اختيارية، مشفّرة من طرف إلى طرف)

1. اختيارية. ينقر المستخدم على Share ويسجّل الدخول باستخدام Google (chrome.identity)، في المرة الأولى فقط.
2. تُعدّ المشاركة الأولى مفاتيح التشفير للمستخدم في المتصفح: زوج مفاتيح ECDH P-256 يُغلَّف مفتاحه الخاص بمفتاح مرور (WebAuthn PRF) أو برمز استرداد.
3. ينشئ المتصفح مفتاح AES-256-GCM عشوائيًا للقطة الشاشة هذه ويشفّر به الصورة المعدّلة وصورة مصغّرة.
4. لا تُرفع إلا الملفات المشفّرة إلى Cloudflare R2. يُخزَّن المفتاح مغلّفًا للمفتاح العام للمالك، ولا يُخزَّن أبدًا بشكله الصريح.
5. يحصل الأشخاص المدعوون على المفتاح مغلّفًا للمفتاح العام الخاص بكل منهم. في مشاركة أي شخص لديه الرابط، يوضع المفتاح بعد العلامة # في الرابط، وهو جزء لا ترسله المتصفحات إلى الخوادم.
6. تجلب متصفحات المشاهدين الملف المشفّر عبر عنوان موقّع تنتهي صلاحيته خلال دقائق، وتفك تشفيره محليًا.

للتحقق: شارك لقطة شاشة وافحص الرفع. المحتوى ملف من البايتات المشفّرة يبدأ بـ SCE1، وليس صورة، ولا يحمل أي طلب المفتاح.

3. الأذونات

لا أذونات مضيف ولا وصول إلى السجل أو ملفات تعريف الارتباط أو التنزيلات.

4. جرد البيانات

5. المعالجون الفرعيون

لا يستخدم الالتقاط والتعديل أي معالجين فرعيين. يستخدم الموقع والمشاركة الاختيارية هذه الخدمات:

6. إجابات الاستبيان

هل يخزّن المنتج بيانات العملاء أو يعالجها أو ينقلها؟

ليس للالتقاط والتعديل: تبقى لقطات الشاشة على جهاز المستخدم. إذا اختار المستخدم مشاركة لقطة شاشة، تخزّنها Screshot مشفّرة من طرف إلى طرف، مع البيانات الوصفية للحساب والمشاركة المذكورة أعلاه. لا تستطيع Screshot فك تشفير الصورة.

ما اتصالات الشبكة التي تجريها الإضافة؟

لا شيء أثناء الالتقاط أو التعديل أو النسخ أو التنزيل. تتصل بـ screshot.com فقط عندما يسجّل المستخدم الدخول أو يشارك، وتفتح صفحات screshot.com في علامات تبويب عادية لدليل الترحيب بعد التثبيت اليدوي ولاستبيان إلغاء التثبيت الاختياري.

هل تتضمن تحليلات أو قياسًا عن بُعد أو نصوصًا برمجية من جهات خارجية؟

لا. لا يُحمَّل أي شيء من خوادم بعيدة، ولا توجد تحليلات أو تقارير أعطال في الإضافة.

ما أذونات المتصفح التي تطلبها؟

activeTab، وscripting، وcontextMenus، وstorage، وidentity. لا يؤدي أي منها إلى تحذير عند التثبيت، ولا توجد أذونات مضيف. انظر الجدول أعلاه.

هل يمكنها قراءة علامات التبويب الأخرى أو سجل التصفح أو ملفات تعريف الارتباط؟

لا. يمنح activeTab الوصول فقط إلى علامة التبويب التي يختار المستخدم التقاطها، وفي تلك اللحظة فقط.

هل البيانات مشفّرة أثناء النقل وأثناء التخزين؟

نعم. يُقدَّم كل شيء عبر HTTPS، ولقطات الشاشة المشتركة مشفّرة من طرف إلى طرف في المتصفح قبل الرفع (AES-256-GCM)، لذا فهي مشفّرة أثناء التخزين بمفاتيح لا تملكها Screshot. التفاصيل في النظرة العامة على الأمان.

هل يمكن لموظفي Screshot عرض لقطات الشاشة المشتركة؟

لا. يمكن للموظفين رؤية البيانات الوصفية مثل العناوين وعناوين البريد الإلكتروني المدعوة، لكن ليس الصور. الاستثناء الوحيد هو بلاغ إساءة يختار مقدّمه تضمين المفتاح، ليتمكن المشرفون من مراجعة لقطة الشاشة تلك وحدها.

ماذا يحدث إذا فقد المستخدم مفتاح المرور؟

يفتح القفل برمز الاسترداد ويمكنه بعد ذلك إضافة مفتاح مرور جديد. إذا فُقد الاثنان، لا يستطيع أحد فك تشفير لقطات الشاشة التي شاركها، بما في ذلك Screshot.

هل تدعم SSO أو SCIM أو الوصول القائم على الأدوار؟

ليس حاليًا. لا يحتاج الالتقاط إلى حساب. تستخدم المشاركة تسجيل الدخول باستخدام Google، ويتحكم كل مالك في الوصول لكل لقطة شاشة: أنا فقط، أو الأشخاص المدعوون، أو أي شخص لديه الرابط.

كيف تُحذف البيانات؟

يحذف المستخدمون لقطات الشاشة بأنفسهم. تُمحى المهملات بعد 30 يومًا، أو فورًا عبر «حذف نهائي»، من قاعدة البيانات ومن التخزين معًا. حذف الحساب من الإعدادات يمحو كل شيء فورًا.

كيف تُنشر وكيف تُزال؟

افرض التثبيت باستخدام Google Admin console أو Microsoft Intune أو Group Policy أو ملف تعريف macOS، وأزلها من السياسة نفسها. انظر دليل النشر.

كيف تُقدَّم التحديثات وكيف تُراجَع؟

عبر Chrome Web Store، الذي يراجع كل إصدار. إذا طلب إصدار جديد إذنًا يُظهر تحذيرًا، يعطّله Chrome حتى يوافق المستخدم أو المسؤول.

هل يمكن للمسؤولين التحكم في الإصدار الذي يعمل؟

يمكن لسياسة Chrome السماح بالإضافة أو حظرها أو فرض تثبيتها حسب المعرّف. لا يدعم Chrome Web Store تثبيت إصدار محدد.

هل خضع المنتج لاختبار اختراق مستقل؟

ليس بعد. سنشارك النتائج مع العملاء بموجب اتفاقية عدم إفصاح بمجرد اكتمال اختبار.

كيف تتعاملون مع الثغرات؟

أبلغوا عنها إلى contact@screshot.com. نؤكد استلام البلاغات ونطلب وقتًا معقولًا للإصلاح قبل الإفصاح العلني.

كيف ستبلغوننا بالحوادث الأمنية أو التغييرات الجوهرية؟

ننشر التغييرات في الأذونات أو في معالجة البيانات على صفحة الأمان وفي سياسة الخصوصية قبل إصدار النسخة التي تُجريها.

7. التغييرات المخطط لها

نخطط لسياسة Chrome تتيح للمسؤولين إبقاء المشاركة متوقفة للمؤسسة كلها، ولاختبار اختراق مستقل. ستُنشر هنا أولًا أي تغييرات على تدفق البيانات أو البيانات المخزّنة أو المعالجين الفرعيين.