المراجعة الأمنية في Salesforce: تشغيل فحوصاتك الديناميكية بنفسك بعد Chimera

باختصار: سيلزفورس أوقفت ماسحها الديناميكي المستضاف Chimera في 2025-06-16، فبقى المطورون دلوقتي بيشغّلوا فحصهم الديناميكي (DAST) بنفسهم ويسلّموا النتائج مع طلب المراجعة الأمنية على AppExchange. وجّه أداة معتمدة زي OWASP ZAP أو Burp Suite أو Qualys على تثبيت كامل، واحتفظ بدليل إنك فحصت النقطة الصح، ووثّق كل ملاحظة فرزتها. الدليل ده بيغطي إيه اللي اتغير، وأنهي أدوات مقبولة، وإزاي تطلّع تقرير جاهز للتقديم، والأخطاء اللي بترجّعه.

لسنين سيلزفورس كانت بتشغّل الفحص الديناميكي بدالك عن طريق Chimera. الخدمة دي راحت. التحليل الثابت والمراجعة اليدوية زي ما هما، بس الفحص الديناميكي بقى مسؤوليتك تشغّله وتثبته. الدليل ده عن التحول ده بالتحديد. وللاطلاع على أنماط الرسوب اللي بترجّع الطلبات وترتيب إصلاحها، بُص على قائمة مراجعة أمان سيلزفورس: إيه اللي تصلّحه، وبأي ترتيب.

إيه اللي اتغير لما Chimera اتوقفت؟

Chimera كانت خدمة سيلزفورس المستضافة اللي بتختبر نقاط اتصال المطور الخارجية ديناميكيًا أثناء المراجعة. من ساعة ما اتوقفت في 2025-06-16، المطورون اللي بيقدّموا حزمة مُدارة بيشغّلوا فحصهم الديناميكي بنفسهم على أي خدمة الحزمة بتناديها، ويرفقوا التقرير مع الطلب. سيلزفورس لسه بتعمل التحليل الثابت والمراجعة اليدوية؛ الفحص الديناميكي بس هو اللي اتنقل ليك.

لو حزمتك بتنادي بس على APIs بتاعة سيلزفورس ومبتستضيفش حاجة خارجية، ممكن يبقى مفيش حاجة كتير تتفحص. بس أول ما تطبيقك يكلّم خدمة انت مشغّلها، الخدمة دي بتدخل النطاق ومحتاجة تقرير خاص بيها.

أنهي أدوات فحص ديناميكي بتقبلها سيلزفورس؟

انت اللي بتختار الأداة، طول ما بتطلّع تقرير DAST موثوق. أكتر أدوات المطورين بيلجأوا لها هي:

• OWASP ZAP. مجانية ومفتوحة المصدر، ونقطة البداية المعتادة لأول تقديم.
• Burp Suite. النسخة الاحترافية بتغطي معظم احتياجات المطورين، بماسح نشط أقوى من النسخة المجانية.
• Qualys WAS. خيار مستضاف للفرق اللي شغّالة بيه أصلًا في مكان تاني في منظومتها.
• أدوات DAST تانية زي Veracode وAcunetix وIntruder وJiT DAST مقبولة بنفس القدر لو فريقك عنده واحدة منها أصلًا.

سيلزفورس بيهمها التقرير مش العلامة اللي عليه. أي حاجة تشغّلها لازم تبيّن إنها وصلت للنقطة الحية واختبرتها فعلًا.

إزاي تشغّل الفحص وتوثّق النتائج؟

1. نصّب الحزمة كاملة في أورج اختبار ببيانات واقعية، علشان الماسح يختبر دورات عمل حقيقية مش صفحات فاضية.
2. خلّي الماسح يدخل كمستخدم حقيقي، وبعدين سيبه يزحف ويفحص بشكل نشط كل نقطة اتصال خارجية التطبيق بيناديها. الفحص من غير تسجيل دخول بيفوّت معظم السطح.
3. اعمل صورة شاشة أو سجل يثبت إن الفحص ضرب النقطة الصح. سيلزفورس بتطلب دليل إن الهدف الصح هو اللي اتفحص، مش مجرد ملخص نظيف.
4. افرز كل ملاحظة. صلّح المشاكل الحقيقية، ولكل إيجابية كاذبة اكتب بند واحد: الأداة ورقم القاعدة، والنقطة، ومسار البيانات، والإجراء اللي بيحميها.
5. صدّر التقرير كامل مع مستند الإيجابيات الكاذبة، وارفق الاتنين مع الطلب جنب تقارير الفحص الثابت.

إيه الأخطاء الشائعة؟

• فحص الهدف الغلط. توجيه الأداة على رابط staging الحزمة عمرها ما بتناديه بيطلّع تقرير سيلزفورس مش هتقدر تربطه بتطبيقك.
• تخطّي تسجيل الدخول. الفحص من غير مصادقة عمره ما بيوصل للسطح بعد تسجيل الدخول، فالتقرير بيبان نظيف لأنه اختبر حاجة تكاد تكون معدومة.
• تقديم المخرجات الخام. كومة ملاحظات من غير فرز بتتقري كإنها اتراجعتش. كل بند محتاج إصلاح أو تبرير مكتوب.
• تأجيله للأسبوع اللي قبله. شغّل الفحص أثناء التطوير علشان الملاحظات تظهر وهي لسه رخيصة الإصلاح.

فين دور تِكوندا

تشغيل الفحص الديناميكي وإثباته هو بالظبط الخطوة اللي بتعطّل الإطلاق لما الفريق يقابلها لأول مرة. تِكوندا بتبني وتحزّم منتجات AppExchange كشريك PDO معتمد من سيلزفورس، والفحص الديناميكي والتقديم من ضمن الشغل.

FAQ

هل لسه محتاج فحص ديناميكي بعد ما Chimera اتوقفت؟

أيوه، أكتر من قبل. Chimera كانت بتشغّله بدالك؛ دلوقتي انت بتشغّله بنفسك وتسلّم التقرير مع حزمتك.

أنهي أداة أستخدم؟

أي أداة DAST موثوقة. OWASP ZAP هي الخيار المجاني الافتراضي؛ وBurp Suite وQualys وVeracode خيارات مدفوعة شائعة. سيلزفورس بتحكم على التقرير مش على العلامة.

وإيه لو حزمتي مالهاش نقاط اتصال خارجية؟

ساعتها ممكن يبقى مفيش حاجة تتفحص ديناميكيًا. بس أول ما التطبيق ينادي خدمة انت مشغّلها، الخدمة دي بتدخل النطاق ومحتاجة تقرير خاص بيها.

إمتى أشغّل الفحص؟

أثناء التطوير، مش في الأسبوع اللي قبل التقديم، علشان الملاحظات تظهر وهي لسه رخيصة المعالجة.