العمارة الأمنية

كيف يحمي mikroHUB البنية التحتية لشبكتك

نسخة الوثيقة: 2026-03-22 · أسئلة: [email protected]

                              INTERNET
         ┌────────────────────┬──────────────────────┐
         │ HTTPS/443          │ WSS/443              │ WG/UDP 51820
         │ (TLS 1.2+)        │ (WebSocket)          │ (WireGuard)
         ▼                    ▼                      ▼
┌─────────────────────────────────────────────────────────────────┐
│  NGINX REVERSE PROXY  (mikrohub.io)                             │
│  ┌──────────────┐  ┌──────────────┐  ┌────────────────────────┐ │
│  │ Let's Encrypt │  │ HSTS Preload │  │ CSP + Security Headers │ │
│  │ ECDSA cert    │  │ max-age=2yr  │  │ X-Frame, X-Content     │ │
│  └──────────────┘  └──────────────┘  └────────────────────────┘ │
│  Ports open : 80 (→301), 443, 51820/UDP                         │
│  Ports BLOCKED: 3001 (API), 6379 (Redis)                         │
└──────────┬──────────────────────┬───────────────────┬───────────┘
           │ :3001               │ :3001/ws          │ :51820
           ▼                     ▼                    ▼
┌──────────────────┐  ┌──────────────┐  ┌──────────────────────────┐
│ EXPRESS API      │  │ WebSocket    │  │ WireGuard (wg0)          │
│ (Node.js)        │  │ Server       │  │ 10.99.0.1/16             │
│                  │  │ One-time     │  │ Per-device /32 peer      │
│ JWT validation   │  │ ticket auth  │  │ No split tunnel          │
│ 60s session cache│  │ (no JWT      │  │                          │
│ 1h max token age │  │  in URL)     │  │ Devices: 10.99.x.y      │
└────────┬─────────┘  └──────────────┘  └──────────────────────────┘
         │
   ┌─────┴──────┐
   ▼            ▼
┌────────┐  ┌────────┐
│Supabase│  │ Redis  │
│Postgres│  │ TLS    │
│(cloud) │  │(local) │
│RLS on  │  │ Auth   │
│all tbl │  │ reqd   │
└────────┘  └────────┘

• ❌ نحن لا نقوم بتخزين كلمات المرور في نص عادي — على الإطلاق
• ❌ نحن لا نستخدم localStorage للرموز المميزة
• ❌ نحن لا نكشف عن الخدمات الداخلية للإنترنت
• ❌ نحن لا نسمح بالوصول إلى البيانات بين المستأجرين
• ❌ نحن لا نسجل بيانات الاعتماد أو البيانات الحساسة
• ❌ لا نطلب منافذ مفتوحة على جهاز التوجيه الخاص بك (وضع WireGuard)
• ❌ نحن لا نرسل اتصالات واجهة برمجة التطبيقات (API) ذات النص العادي (SSL مطلوب للوضع المباشر)