قائمة مجانية · بلا تسجيل
قائمة فحص الأمان لمن يبني بأسلوب Vibe Coding.
تُنتج أدوات البناء بالذكاء الاصطناعي تطبيقات تبدو مكتملة، ونادرًا ما تظهر ثغرات الأمان من الشاشة. هذه 15 فحصًا لأكثر المشكلات شيوعًا في التطبيقات المولّدة بالذكاء الاصطناعي، ومع كل فحص اختبار تستطيع إجراءه بنفسك. ويرتبط كثير منها بالمخاطر الواردة في OWASP Top 10. ابدأ بالبنود ذات الخطورة العالية .
- 01عالية
مفاتيح API سرية في شيفرة الواجهة الأمامية
الفحص: افتح أدوات المطور في متصفحك (تبويبا Sources وNetwork) وابحث عن "key" و"token" و"secret". المفاتيح المخصصة للنشر العلني، مثل مفتاح Supabase العلني (anon) أو مفتاح Stripe العلني (publishable)، مصممة لتكون عامة. أما المفاتيح السرية ومفاتيح service-role ومفاتيح API الخاصة بجهات خارجية (مثل مفتاح OpenAI) فليست كذلك. إذا وجدت واحدًا، فانقل ذلك الاستدعاء إلى الخادم وبدّل المفتاح.
- 02عالية
تسجيل دخول يُفرض في المتصفح فقط
الفحص: انسخ رابط صفحة لا تظهر إلا للمستخدم المسجَّل وافتحه في نافذة خاصة، أو استدعِ واجهة API الذي تستخدمه دون جلسة. إذا عادت البيانات رغم ذلك، فإن فحص تسجيل الدخول موجود في الواجهة والخادم لا يفرضه.
- 03عالية
غياب الأمان على مستوى الصفوف أو قواعد الوصول لكل مستخدم
الفحص: وأنت مسجّل الدخول بصفتك المستخدم A، غيّر معرّفًا في طلب (أو في الرابط) إلى معرّف يخص المستخدم B. إذا عادت بيانات B، فإن الوصول لا يُفرض في المكان الذي توجد فيه البيانات.
- 04عالية
جداول قاعدة بيانات يمكن بلوغها من المتصفح دون قواعد وصول
الفحص: إذا كان المتصفح يستعلم من قاعدة بياناتك مباشرة (شائع مع Supabase)، فلا يكون ذلك آمنًا إلا إذا فُعّل الأمان على مستوى الصفوف (row-level security) في كل جدول مكشوف، مع سياسات تطابق قواعدك. افحص كل جدول في لوحة تحكم قاعدة بياناتك. الجدول الذي لا يحمل أمانًا على مستوى الصفوف يستطيع أي شخص يملك المفتاح العلني قراءته أو تعديله.
- 05عالية
غياب التحقق من المدخلات على الخادم
الفحص: أرسل مدخلات غير متوقعة مباشرة إلى واجهة API بدل إرسالها عبر النموذج: نصًا طويلًا جدًا، أو وسوم script، أو أنواع بيانات خاطئة، أو كميات سالبة. إذا قبلها الخادم، فأضف تحققًا على الخادم؛ إذ يمكن تجاوز الفحوصات الموجودة في النموذج وحده.
- 06عالية
أسرار محفوظة في مستودع الشيفرة
الفحص: ابحث في المستودع وسجله عن المفاتيح وكلمات المرور وقيم .env. ينبغي تبديل كل ما تجده (حذفه من أحدث نسخة لا يكفي) ثم نقله إلى متغيرات البيئة أو مخزن الأسرار لدى مزوّد الاستضافة.
- 07متوسطة
غياب تحديد معدل الطلبات
الفحص: على تطبيقك أنت، استدعِ نقطة تسجيل دخول أو إنشاء حساب أو نقطة تعمل بالذكاء الاصطناعي مرات كثيرة وبسرعة. إذا لم يبطئك شيء، فأنت معرّض لتخمين كلمات المرور والتسجيلات المزعجة وفواتير الاستخدام غير المتوقعة.
- 08متوسطة
CORS متساهل أكثر من اللازم
الفحص: تحقق من المواقع التي يقبل واجهة API الخاص بك طلبات المتصفح منها. العلامة العامة (*) مقبولة للبيانات العامة فعلًا؛ أما لكل ما يقع خلف تسجيل دخول فاسمح بنطاقاتك أنت فقط.
- 09متوسطة
صفحات أو طلبات لا تعمل عبر HTTPS
الفحص: تأكد من أن كل صفحة تُحمَّل عبر HTTPS وأن وحدة تحكم المتصفح لا تعرض تحذيرات «المحتوى المختلط» للسكربتات أو الصور أو استدعاءات واجهة API.
- 10متوسطة
رسائل خطأ تكشف تفاصيل داخلية
الفحص: تسبّب في خطأ، مثلًا بإرسال نموذج معطوب أو بزيارة سجل غير موجود. إذا رأى المستخدمون آثار تتبّع الأخطاء (stack traces) أو استعلامات قاعدة البيانات أو مسارات الملفات، فسجّل التفاصيل بشكل خاص واعرض رسالة بسيطة بدلًا منها.
- 11عالية
نقاط إدارية أو داخلية غير محمية
الفحص: اسرد كل صفحة إدارية وكل مسار API داخلي وكل مهمة مجدولة. ينبغي أن يتطلب كل منها مستخدمًا مسجَّل الدخول بالدور المناسب. الرابط الصعب التخمين ليس حماية.
- 12عالية
معالجة كلمات المرور بطريقة غير آمنة
الفحص: ينبغي أن تُجزَّأ كلمات المرور (hashing) بواسطة خدمة مصادقة أو مكتبة مجرَّبة، ولا تُخزَّن نصًا صريحًا ولا تُكتب في السجلات. وإذا كتبت أداة الذكاء الاصطناعي نظام تسجيل دخول خاصًا بها، فاستبدله بمزوّد مصادقة مُدار.
- 13متوسطة
اعتماديات لم تُراجَع
الفحص: شغّل أمر التدقيق في مدير الحزم لديك (مثل npm audit) للكشف عن الثغرات المعروفة، وحدّث ما يشير إليه، واحذف الحزم التي لم يعد التطبيق يستخدمها.
- 14متوسطة
رفع ملفات دون قيود
الفحص: إذا كان بإمكان المستخدمين رفع ملفات، فتأكد من تقييد النوع والحجم على الخادم، وأن الملفات المرفوعة لا يمكن تشغيلها كشيفرة برمجية، وأن الملفات الخاصة لا يمكن بلوغها عبر رابط عام أو سهل التخمين.
- 15عالية
لا نسخ احتياطية ولا خطة استرداد
الفحص: تأكد من أن قاعدة البيانات تُنسخ احتياطيًا تلقائيًا، وتحقق إلى أي مدى زمني يمكنك الاستعادة، ثم أجرِ استعادة تجريبية. النسخة الاحتياطية التي لم يستعدها أحد افتراض وليست خطة.
الأسئلة الشائعة
الأسئلة الشائعة
هل الvibe coding آمن؟
للنماذج الأولية، نعم. أما حين يحتفظ التطبيق ببيانات عملاء حقيقية أو يستقبل مدفوعات، فيحتاج إلى فحوصات الأمان نفسها التي يحتاجها أي برنامج آخر، وكثيرًا ما تتجاوز التطبيقات المبنية بالذكاء الاصطناعي بعضها: مفاتيح سرية متروكة في شيفرة المتصفح، وفحوصات تسجيل دخول موجودة في الواجهة فقط، وجداول قاعدة بيانات بلا قواعد وصول، ومدخلات لا يتحقق منها الخادم أبدًا. وقد يبدو التطبيق مكتملًا وهذه الثغرات قائمة فيه. تساعدك هذه القائمة على اكتشافها قبل أن يعتمد العملاء على التطبيق.
ما أكثر المشكلات الأمنية شيوعًا في التطبيقات المولّدة بالذكاء الاصطناعي؟
أكثر ما نراه هو مفاتيح سرية مكشوفة في شيفرة الواجهة الأمامية، وتسجيل دخول يُفرض في المتصفح فقط، وغياب الأمان على مستوى الصفوف (فيستطيع مستخدم قراءة بيانات آخر)، وغياب التحقق على الخادم. ويندرج عدد منها تحت فئات في OWASP Top 10 (إصدار 2025)، وهي القائمة المعتمدة على نطاق واسع لمخاطر أمان تطبيقات الويب، مثل Broken Access Control وAuthentication Failures. وكلها قابلة للإصلاح.
كيف أؤمّن تطبيقًا بنيته باستخدام Lovable أو Bolt أو Replit؟
ابدأ بالبنود ذات الخطورة العالية: انقل المفاتيح السرية إلى الخادم، وافرض تسجيل الدخول وقواعد الوصول على الخادم أو قاعدة البيانات، وفعّل الأمان على مستوى الصفوف في كل جدول مكشوف، وتحقق من المدخلات على الخادم. ثم انتقل إلى البنود المتوسطة. وإذا فضّلت أن ينفذ المهندسون ذلك، فنستطيع مراجعة التطبيق وإخبارك بما يحتاج إلى إصلاح.
وجدت بنودًا لا تعرف كيف تصلحها؟
أرسل إلينا التطبيق أو المستودع. سنراجعه، ونخبرك أي المشكلات حقيقية وأيها لا بأس بها كما هي، وكم من العمل تتطلب الإصلاحات.