عزل تفرضه قاعدة البيانات، لا شيفرة التطبيق.

يسأل عنصر التحكّم في الواجهة إن كان المستخدم يملك الصلاحية قبل أن يُعرض. ويؤكّد المعالِج على الخادم الصلاحية نفسها قبل أن يقوم بأي عمل. ثم تطبّق قاعدة البيانات سياسة تقرّر أي الصفوف يجوز للاستعلام رؤيتها. ثلاث آليات، وثلاثة مواضع منفصلة يجب أن تصيب، وأيّها قال لا انتهى الطلب.

• فحص الواجهة راحة لا حدّ. فهو يخفي زراً؛ ولا يحمي جدولاً.
• كل فحص يمرّ عبر فهرس صلاحيات واحد ودالّة واحدة. ولا معالِج يقرأ اسم دور ويقرّر بنفسه ما يعنيه ذلك الدور.
• والدور الممنوح عند فرع من شجرة المؤسسة يتدرّج إلى ذلك الفرع — وسياسات قاعدة البيانات تقرأ الشجرة نفسها التي تقرأها الواجهة، فلا يمكن أن تتعارضا.

العزل مخطط لا عُرف. فالجداول تُنشأ وأمان مستوى الصف مفعّل عليها وسياساتها تفوّض إلى دالّة الصلاحيات نفسها التي يستدعيها الخادم، وثمة فحص للترحيلات يبحث عن جداول مُنحت وصولاً بلا سياسة خلفه. والرقم ليس رقماً تسويقياً — بل هو ما تعيده قاعدة البيانات حين تسألها كم سياسة تفرض.

• السياسات لا تضمّن منطقها بنفسها. بل تستدعي دالّة الصلاحيات، فلا يمكن أن ينحرف الجواب عما قرّره الخادم قبل لحظة.
• وسياسات الكتابة تحمل شرط تحقق إلى جانب شرط القراءة، فلا يستطيع إدراجٌ أن يضع صفاً في مؤسسة لا يملك الكاتب صلاحية فيها.
• وحيث يكشف عرضٌ بيانات شخصية، يُمنح الوصول عموداً عموداً. فالمنح على مستوى الجدول كله ينقض بصمت الحماية على مستوى العمود، ولذلك لا يُستخدم.

تعيش جداول التطبيق في أربعة عشر مخططاً مُسمّى — واحد للهوية والوصول، وواحد للمؤسسات، وواحد للوسائط، وهكذا. ولا شيء ذو أهمية يجلس في المخطط العام الافتراضي، وهو الموضع الذي يُرجَّح أن يكشف فيه منحٌ عرَضي أو إعداد افتراضي متساهل شيئاً. أما الوسائط الخاصة فلا سياسات تخزين لها للمتصفحات المسجَّلة دخولاً إطلاقاً: فكل قراءة يوقّعها خادم فحص الصف المالك أولاً، وكل رفع يُصدَر بالطريقة نفسها.

• الرموز أحادية الاستخدام — الدعوات، وإعادة تعيين كلمة المرور، واستعادة الحساب — تُخزَّن بصمات مملّحة. ويُعرض الرمز الخام مرة واحدة، في البريد، ولا يُعرض بعدها أبداً.
• ولا شيء عام إلا الهوية البصرية. فشعار المؤسسة وأيقونتها يجب أن يظهرا قبل أن يسجّل أحد الدخول؛ أما الصور الشخصية ووسائط الدروس فلا، ولذلك تبقى موقَّعة.

تُكتب الملفات عبر واجهة تخزين لها أربع تطبيقات: Supabase Storage وAmazon S3 وAzure Blob Storage وGoogle Cloud Storage. وهذا عادةً هو الجواب الصادق عن متطلب موقع البيانات — إذ يستطيع النشر كتابة الملفات في حاوية داخل المنطقة التي يلزمك استخدامها، بدل انتظار مزوّد يفتح واحدة. أخبرنا بالمتطلب مبكراً وسنقول لك بوضوح هل هو ملبّى اليوم.

• قاعدة البيانات والمصادقة والدوالّ التي تعمل عليها الواجهة البرمجية تستضيفها Supabase. وهذا هو الاعتماد الوحيد الذي لا تستطيع تهيئته بعيداً، وهو مُسمّى في اتفاقية DPA.
• والنطاقات المخصّصة لكل مؤسسة تُقدَّم عبر Cloudflare بشهادات تُصدَر تلقائياً، فيرى المتعلّم في بيروت أو ميلانو نطاقك أنت لا نطاقنا.

تعمل تحليلات المنصة عبر PostHog في منطقة الاتحاد الأوروبي، خلف طبقة تجريد تتيح استبدال المزوّد دون المساس بالمنتج. وإعادة تشغيل الجلسات مُقنَّعة، ولا تسجّل المتعلّمين أبداً — فواجهة المتعلّم غير مزوّدة بأدوات إعادة التشغيل إطلاقاً.

• حقول النص وكل ما يُوسم بيانات شخصية تُقنَّع في المتصفح، قبل أن تُرسل أي إعادة تشغيل إلى أي مكان.
• والتحليلات مشروطة بالموافقة ومعطّلة ما لم تفعّلها المؤسسة. ولا شيء عن قاصر يخضع للتنميط، على أي واجهة.