أمان الحساب مبني على أربعة أشياء: كلمات المرور، والتحقق بخطوتين، واستعادة كلمة المرور، وإدارة الجلسات. بعد كلمة المرور يُطلب من الموظفين والمدرّبين رمز من ستة أرقام من تطبيق مصادقة أو عبر البريد الإلكتروني (انظر التحقق بخطوتين). تسجيل الدخول الموحد ضمن خارطة الطريق.
كلمات المرور
- الحد الأدنى للطول: 8 أحرف. لا حد أقصى.
- اشتراطات التعقيد: لا شيء بما يتجاوز الحد الأدنى للطول. لا تفرض المنصة مزيجاً من الحروف الكبيرة والصغيرة والأرقام والرموز. تُشجَّع كلمات المرور على شكل عبارات طويلة (طويلة وسهلة التذكر) على الكلمات القصيرة المعقدة.
- التخزين: مُشفَّرة بـ bcrypt بتكلفة 12. كلمة المرور بالنص الصريح غير مخزَّنة ولا مُسجَّلة ولا قابلة للاسترداد.
مدير كلمات المرور (1Password، أو Bitwarden، أو Apple Keychain، أو المدمج في المتصفح) هو أبسط دفاع ضد كلمات المرور الضعيفة أو المُعاد استخدامها. المنصة لا تشترط مديراً بعينه؛ أي مدير قياسي يعمل.
تغيير كلمة مرورك
من ملفك الشخصي:
/{slug}/me/profile ← تغيير كلمة المرور. ثلاثة حقول: الحالية، والجديدة، وتأكيد الجديدة. كلمة المرور الحالية مطلوبة حتى لو كنت مسجلاً الدخول بالفعل.
تغيير كلمة مرورك يُبقيك مسجلاً الدخول على هذا الجهاز لكنه يُسجّل خروجك من كل جهاز آخر كنت مسجلاً الدخول فيه سابقاً.
استعادة كلمة مرور منسية
إذا تعذّر عليك تسجيل الدخول:
/login ← نسيت كلمة مرورك؟ ← أدخل بريدك الإلكتروني ← تحقق من صندوق بريدك.
التدفق الكامل مشروح في نسيت كلمة مرورك؟. الرمز صالح لساعة واحدة؛ محدود بثلاثة طلبات في الساعة لكل بريد إلكتروني.
إذا لم تنجح الاستعادة (البريد لا يصل، الرابط يتكرر انتهاؤه)، اكتب إلى hello@jadiroon.sa. يمكننا التحقق من هويتك وإصدار إعادة تعيين يدوية.
الجلسات
تُنشأ جلسة عند تسجيل الدخول. الجلسة محفوظة كـ JWT موقَّع في ملف تعريف ارتباط آمن. مدة الجلسة 30 يوماً؛ بعدها تُسجَّل خارجاً ويجب تسجيل الدخول مجدداً.
تغيير كلمة مرورك يُسجّل خروجك من كل مكان آخر. وتظهر أجهزتك الموثوقة في ملفك الشخصي:
/{slug}/me/profile (أو /{slug}/app/profile) ← بطاقة التحقق بخطوتين ← الأجهزة الموثوقة.
من هنا يمكنك:
- إلغاء الوثوق بمتصفح واحد، فيُطلب منه الرمز من جديد.
- إلغاء الجميع، فيُلغى الوثوق بكل المتصفحات ويُسجَّل خروجك أيضاً من جلساتك الأخرى.
إذا اشتبهت في اختراق حسابك، غيّر كلمة مرورك وألغِ الوثوق بجميع الأجهزة. إذا كان الاشتباه قوياً، اكتب إلى hello@jadiroon.sa وسنحقق في سجلات التدقيق للفترة المعنية.
التحقق بخطوتين
بعد كلمة المرور يمكن أن يُطلب من الموظفين والمدرّبين رمز من ستة أرقام من تطبيق مصادقة أو من رسالة بريد. ولا تُنشأ جلسة قبل قبول الرمز. أما المرشحون فلا يُطلب منهم رمز أبداً.
- مسؤولو الموارد البشرية يستخدمون التحقق بخطوتين دائماً، أيّاً كان إعداد مساحة العمل.
- بقية الموظفين والمدرّبون يستخدمونه حين تشترطه مساحة العمل (وهو مفعّل افتراضياً)، أو إذا فعّلوه لأنفسهم. انظر اشتراط التحقق بخطوتين في مساحة العمل.
- الوثوق بهذا الجهاز لمدة 30 يوماً يتخطى الرمز في متصفح تملكه. ويُلغى هذا الوثوق عند تغيير كلمة المرور أو إعادة تعيينها، أو عند إعادة ضبط المسؤول للتحقق بخطوتين، أو عند إلغائك الوثوق بالجهاز.
- مشرفو المنصة يُدخلون دائماً رمزاً من تطبيق المصادقة عند الدخول إلى لوحة إدارة المنصة، دون خيار الوثوق بالجهاز.
قفل الحساب
- خطوة كلمة المرور: لا تُقفل المنصة الحسابات عند إدخال كلمات مرور خاطئة. يوجد تحديد لمعدل المحاولات الفاشلة لكل عنوان IP لإبطاء محاولات القوة الغاشمة، لكن لا توجد سياسة عدّ-ثم-قفل، لأن عمليات القفل ناقل لحجب الخدمة عن المستخدمين الشرعيين.
- خطوة الرمز: خمسة رموز خاطئة تُلغي محاولة الدخول، ويصل صاحب الحساب بريد بأن رموزاً خاطئة أُدخلت لحسابه. وبعد 20 رمزاً خاطئاً خلال ساعة يتوقف الدخول بالرمز لهذا الحساب لمدة ساعة ("رموز خاطئة كثيرة. حاول مجددًا بعد ساعة."). أما المتصفح الموثوق به مسبقاً لهذا الحساب فيظل يدخل.
إذا انقطع وصولك إلى التحقق بخطوتين تماماً (فقدت هاتفك ولا يصلك البريد)، يستطيع مسؤول الموارد البشرية إعادة ضبطه. وإذا اشتبهت في نشاط قوة غاشمة موجّه ضد حسابك، اكتب إلى hello@jadiroon.sa.
ما هو ضمن خارطة الطريق
- تسجيل الدخول الموحد: تكامل SAML و OIDC للمؤسسات التي تفضّل إدارة الهوية المركزية.
- WebAuthn / مفاتيح المرور: مصادقة مقاومة للتصيّد الاحتيالي.
- مدة جلسة قابلة للتهيئة لكل مساحة عمل.
- قائمة بيضاء لعناوين IP لوصول مسؤولي الموارد البشرية (تطبيق سياسة المؤسسة).
مساحات العمل ذات اشتراطات المصادقة الصارمة يمكنها الكتابة إلى hello@jadiroon.sa للتنسيق؛ قد يتم تقديم بعض هذه القدرات لعملاء بعينهم.
ما يمكنك فعله اليوم
- استخدام مدير كلمات المرور.
- استخدام كلمة مرور فريدة لجديرون — لا تُعيد استخدام كلمة مرور من حسابات أخرى.
- إعداد تطبيق مصادقة بدلاً من رموز البريد، على هاتف تتحكم به.
- تسجيل الخروج من الأجهزة المشتركة أو العامة قبل المغادرة.
- مراجعة أجهزتك الموثوقة كل بضعة أشهر.