الأمان
التقط المخاطر الأمنية داخل مسار الجودة نفسه.
اختباراتك القائمة تسجّل الدخول بأدوار حقيقية وتقود تدفّقات حقيقية، وهذا معظم ما يحتاجه فحص الصلاحيات. لذلك تؤدّي Vera العمل الأمني حيث تعيش الاختبارات أصلًا — وتعرض كل نوع من الملحوظات على حقيقته، لأنها أنواع ادّعاء لا تتبادل المواقع.
١ · الصلاحيات — مُشاهَد
تسجّل Vera الدخول بكل دور وتحاول ما يجب ألّا يقدر عليه ذلك الدور. والخانة المعلّمة ممنوع لا تُحتسب مستوفاة إلا إذا شاهدت Vera الرفض. فالمُحدِّد المعطوب ومهلة الانتظار والخطأ 500 تبدو كلّها «مُنِع بشكل صحيح» لفحصٍ ساذج — وتسجّلها Vera غير حاسمة فلا تخضرّ أبدًا. وهذه هي الطبقة الوحيدة التي جعلت فيها Vera الأمر يقع وشاهدته يقع.
٢ · إشارات الفحص — مُبلَّغ عنها
يزحف فحص OWASP ZAP على الهدف ويشير إلى أنماط. وكل ما يعيده ثغرة محتملة، موسومةٌ كذلك في البيانات لا في النصّ فحسب: فـ ZAP طابَق شكلًا ولم يشاهد تطبيقك يفشل. والفحوص مقيّدة في المدة وعدد الصفحات ومعدّل الطلبات، لأن فحصًا بلا سقف لبيئة تجريبية اختبارُ حِملٍ لم يطلبه أحد.
٣ · نتائج مستورَدة — مُبلَّغ عنها
أحضِر ملفات SARIF من أي أداة تشغّلها أصلًا. وتُمرَّر شدّة الأداة دون تغيير بدل إعادة تعيينها إلى رأيٍ لـ Vera — فإعادة تقييمها تنقض بصمت حكمًا اتُّخذ بسياقٍ لا تملكه Vera، بينما تبدو موافقةً له. وما كتمته الأداة يبقى مكتومًا، لأن استيراده رغم ذلك ينقض فرزَ شخصٍ ما.
٤ · وضع Vera نفسها — لا تطبيقك
أسرار مختومة، وحمايات SSRF، وعزل المستأجرين، ودفتر للإضافة فقط. هذه تحمي Vera، ولا تختبر شيئًا البتّة في تطبيقك. وقد أُدرجت هنا طبقةً رابعة تحديدًا كي لا تُقرأ تقييمًا خارجيًّا لمنتجك — فتسليمك وضعَ المورّد الأمني على أنه تقريرك الأمني أقدم حيلة في هذه الصفحة. القائمة الكاملة ↓
لا توجد درجة أمنية. فأي رقم واحد عليه أن يوازن بين ترويسة X-Frame-Options ناقصة وبين تجاوزٍ للصلاحيات، ولا وزن أمين بينهما. تَعُدّ Vera الملحوظات حسب النوع وتقف عند ذلك. والفرق يُدرك خلال أسبوع أن الدرجة المركّبة اعتباطية، وما يتعلّمه حينها هو تجاهل التقرير كلّه.
وهذا ليس اختبار اختراق، ولن تدّعي Vera غير ذلك. لا استغلال، ولا ربط ملحوظة بأخرى، ولا إثبات أن ملحوظةً قابلة للوصول في بيئة الإنتاج لديك. فالأداة التي تشير إلى نمط والشخص الذي يقتحم أمران مختلفان، ولا يجري هنا إلا أحدهما.
الفحص مُصرَّح به لكل مشروع ولكل مضيف: على أحدهم أن يسجّل أنه مخوَّل باختبار ذلك المضيف قبل أن يبدأ الفحص، وهذا التصريح مُخزَّن ومنسوب وقابل للسحب. وسترفض Vera الفحص بدل أن تأخذ الهدف على الثقة.
الطبقة الرابعة — وضع Vera نفسها
كيف تحمي Vera ما تعطيه إياها.
منصات الاختبار تحمل بيانات اعتماد وجلسات ومفاتيح API، وتعامل Vera كلًّا منها كمادة مشعّة. وكل ما يلي يخصّ Vera — ليس ملحوظةً عن تطبيقك، وهو مفصولٌ وحده كي لا يُخلَط بها أبدًا.
اشحن بها
اربطها بخط الأنابيب الذي لديك بالفعل.
تلتقي Vera بمنظومتك حيث هي — GitHub وSlack وCI، بل ومساعدك الذكي.
- إجراء GitHub — شغّل مشروعًا أو مجموعة أو اختبارًا واحدًا مقابل نشر معاينة. تُكتشَف روابط معاينة Vercel وNetlify تلقائيًا.
- بوّابة صادقة — يفشل الـ PR فقط عند الأعطال الحقيقية. الاختبارات المعزولة والناجحة بعد إعادة المحاولة أو بعد إصلاح مُحدِّد تظهر كتحذيرات، فلا يتعلّم أحد تجاهل الأحمر.
- الأخضر ليس شيئًا واحدًا — التشغيل الذي نجح فقط بعد أن أعاد الإصلاح الذاتي كتابة مُحدِّد يُبلَّغ عنه كـ
healedولا يُدمَج في النجاح أبدًا. والإصلاح الذاتي إجراء إصلاح صريح، لا شيء يفعله تشغيل CI غير المراقَب بمُحدِّداتك من دون علمك. - تطبيق GitHub — استورِد مستودعًا كمشروع، ودَع الذكاء الاصطناعي يكتشف الإعدادات من المصدر، وراجِع مقترحات المزامنة التلقائية عند تغيّر التطبيق.
- واجهة REST + رموز — رموز حاملة محصورة (تُعرَض مرة، وتُخزَّن مُجزّأة) لتشغيل التشغيلات وانتظارها من أي نظام CI.
- خادم MCP — اطلب من Claude تشغيل اختبار أو مجموعة، أو فحص فشل، أو تطبيق إصلاح، أو إنشاء اختبار جديد، أو فتح مشكلة — من محرّرك مباشرة.
- استيراد من أي مكان — Cypress و Playwright و WebdriverIO و Selenium بلغتي Java/Python عبر التحويل بالذكاء الاصطناعي و TestCafe و Postman وملف HAR من المتصفح ومواصفة OpenAPI — كلها تصبح خطوات مرئية قابلة للتحرير.
- تصدير بلا احتكار — أي اختبار ككود Playwright أو WebdriverIO أو Selenium (pytest) أو TestCafe؛ وأي تشغيل كـ JUnit XML.
- وكيل CI — إجراء
vera-agent-ciيفرّغ التشغيلات المصطفّة على مشغّلات GitHub الخاصة بك — بما فيها محاكيات iOS علىmacos-*.
# Gate every PR on your real user flows - name: Run Vera E2E suite uses: vera/vera-run@v1 with: api-url: https://vera-agent.com api-token: ${{ secrets.VERA_TOKEN }} project: proj_checkout environment: preview preview-url: ${{ steps.deploy.outputs.url }} # opt in to a stricter gate: # fail-on-flaky: 'true' # fail-on-healed: 'true' # quarantined, passed-on-retry and healed => warnings, # the check only fails on real failures
ابدأ الآن
يجب أن تكتشف Vera الانحدار الحرج التالي — لا أن يكتشفه عميل.
أرِ Vera ما يعتمد عليه عملك وابدأ بحمايته قبل الإصدار القادم. خطة مجانية، مفتاحك الخاص، بلا بطاقة ائتمان.