0در یک نگاه
خلاصه نتایج در تاریخ گزارش. به دلیل حفظ امنیت کاربران، جزئیات فنی یافته‌های باز در این نسخه آورده نشده است.
| یافته‌های باز بحرانی، بالا و متوسط | 0 |
|---|---|
| یافته‌های باز با شدت پایین | 4 (اصلاح 3 مورد در حال اجرایی شدن است، 1 مورد با پذیرش مستدل ریسک) |
| توصیه‌های سطح اطلاعاتی | 19 |
| الزامات ASVS 5.0 سطح 1–2 | 253 الزام یک‌به‌یک ارزیابی شد؛ از 200 الزام قابل اعمال، 138 مورد به‌طور کامل، 51 مورد تا حدی برآورده می‌شود، 7 مورد برآورده نمی‌شود و 4 مورد با بررسی ایستا قابل راستی‌آزمایی نبود (پیوست A) |
| MASVS v2.1 (اندروید و iOS) | رمزنگاری، احراز هویت و کیفیت کد به‌طور کامل؛ ذخیره‌سازی، شبکه، تعامل با پلتفرم و حریم خصوصی عمدتاً برآورده می‌شود |
| نوع ارزیابی | ارزیابی داخلی انجام‌شده توسط Colitu؛ ممیزی مستقل شخص ثالث یا گواهی‌نامه نیست |
1خلاصه مدیریتی
API صفحه کنترل، پورتال وب، رابط مدیریت، دستیارهای مبتنی بر هوش مصنوعی، کنسول سازمانی (Business)، کانال پشتیبانی و ایمیل، ربات‌های جامعه، افزونه مرورگر و برنامه‌های اندروید و iOS که سرویس Colitu را تشکیل می‌دهند، در تاریخ 25 اکتبر 2026 بر اساس استاندارد تأیید امنیت برنامه OWASP (ASVS) 5.0 و استاندارد تأیید امنیت برنامه‌های موبایل OWASP (MASVS) v2.1 ارزیابی شده‌اند.
نتیجه ارزیابی این است که هیچ یافته باز با شدت بحرانی، بالا یا متوسط وجود ندارد. از 23 یافته باز، 4 مورد شدت پایین و 19 مورد سطح اطلاعاتی دارند و همه در برنامه بهبود قرار گرفته‌اند.
هر یک از 253 الزام ASVS 5.0 در سطح 1 و 2 به‌طور جداگانه و با مستندات ارزیابی شده است (پیوست A). از 200 الزام قابل اعمال، 138 مورد به‌طور کامل و 51 مورد تا حدی برآورده می‌شود؛ 7 الزام برآورده نمی‌شود و 4 الزام با بررسی ایستا قابل راستی‌آزمایی نیست. بیشتر الزامات برآورده‌نشده به مستندسازی، ثبت رویدادهای امنیتی و سخت‌سازی مربوط است. با توجه به این نتایج، سرویس ادعای انطباق کامل با ASVS 5.0 سطح 2 را ندارد.
در چارچوب MASVS، هر دو پلتفرم موبایل گروه‌های رمزنگاری، احراز هویت و کیفیت کد را به‌طور کامل و گروه‌های ذخیره‌سازی، شبکه، تعامل با پلتفرم و حریم خصوصی را عمدتاً برآورده می‌کنند.
2دامنه
ارزیابی بر روی کد منبع و پیکربندی اجزای زیر در تاریخ 25 اکتبر 2026 انجام شده است.
| جزء | توضیح | استاندارد مبنا |
|---|---|---|
| API صفحه کنترل | سرویس‌های حساب کاربری، احراز هویت، اشتراک، دستگاه و پیکربندی کلاینت | ASVS 5.0، سطح 1–2 |
| پورتال وب | colitu.com، بخش حساب کاربری و مرکز راهنما | ASVS 5.0، سطح 1–2 |
| رابط مدیریت | برنامه مدیریتی مورد استفاده کارکنان مجاز | ASVS 5.0، سطح 1–2 |
| دستیارهای مبتنی بر هوش مصنوعی | ربات گفت‌وگوی سایت، دستیار پشتیبانی مشتری و دستیار عملیات تیم | ASVS 5.0؛ OWASP Top 10 for LLM Applications 2025 |
| کنسول سازمانی | حساب‌های شرکتی، مدیریت اعضا و صندلی‌ها | ASVS 5.0، سطح 1–2 |
| کانال پشتیبانی و ایمیل | درخواست‌های پشتیبانی، پردازش ایمیل ورودی، کمپین‌ها و جریان‌های دعوت | ASVS 5.0، سطح 1–2 |
| ربات‌های جامعه | ربات‌های جامعه در Discord و Telegram | ASVS 5.0، V8، V13 و V14 |
| پیکربندی میزبانی | سرور پروکسی معکوس، TLS و پیکربندی کانتینر | ASVS 5.0، V12 و V13 |
| افزونه مرورگر | افزونه Chrome، Firefox و Edge (Manifest V3) | ASVS 5.0، V3 و V14 |
| برنامه اندروید | کلاینت اندروید Colitu | MASVS v2.1، MASTG |
| برنامه iOS | کلاینت iOS Colitu و افزونه شبکه | MASVS v2.1، MASTG |
حوزه‌های خارج از دامنه: برنامه‌های دسکتاپ ویندوز و لینوکس (مشمول ارزیابی‌های جداگانه‌اند)، زیرساخت سرور VPN، سامانه‌های ارائه‌دهندگان شخص ثالث پرداخت و هوش مصنوعی، امنیت فیزیکی و مهندسی اجتماعی.
3روش و محدودیت‌ها
در ارزیابی از روش‌های زیر استفاده شده است:
- بررسی ایستای دستی و ابزارمحور کد منبع بر اساس الزامات راستی‌آزمایی ASVS، موارد آزمون MASTG و OWASP Top 10 for LLM Applications 2025.
- فهرست بررسی برای هر یک از 253 الزام ASVS 5.0 در سطح 1 و 2 که با محل آن در کد منبع مستند شده است (پیوست A).
- اسکن وابستگی‌ها برای آسیب‌پذیری‌های شناخته‌شده (govulncheck برای Go، npm audit برای JavaScript).
- بررسی پیکربندی: سرفصل‌های امنیتی، سیاست امنیت محتوا، TLS، اشتراک منابع میان‌مبدأ (CORS)، سطح دسترسی کانتینرها و مانیفست‌های پلتفرم موبایل.
- راستی‌آزمایی مستقل یافته‌ها در دور دوم بررسی؛ موارد مثبت کاذب حذف شد و شدت‌ها بر اساس این دور تعیین گردید.
محدودیت‌ها:
- آزمون پویا (DAST) یا آزمون نفوذ بر روی سامانه‌های زنده انجام نشده است.
- برنامه‌های موبایل به‌صورت پویا روی دستگاه آزمایش نشده‌اند.
- این کار یک ارزیابی داخلی است که توسط Colitu انجام شده؛ جایگزین ممیزی مستقل شخص ثالث یا گواهی‌نامه نمی‌شود.
4معیارهای درجه‌بندی
| شدت | تعریف |
|---|---|
| بحرانی | آسیب‌پذیری‌ای که بدون نیاز به احراز هویت از راه دور قابل سوءاستفاده است و می‌تواند به نفوذ گسترده به سیستم یا داده‌های کاربران منجر شود |
| بالا | آسیب‌پذیری‌ای که با پیش‌نیازهای محدود می‌تواند به‌طور قابل‌توجهی بر یکپارچگی حساب‌ها، داده‌ها یا سرویس اثر بگذارد |
| متوسط | آسیب‌پذیری با اثر محدود که سوءاستفاده از آن به شرایط، دسترسی یا اختیار مشخصی نیاز دارد |
| پایین | نقص در دفاع در عمق؛ به‌تنهایی دشوار برای سوءاستفاده یا با اثر کم |
| اطلاعاتی | توصیه شیوه خوب که خطر مستقیمی ایجاد نمی‌کند |
| سطح انطباق | تعریف |
|---|---|
| برآورده می‌شود | در الزامات مربوطه یافته بازی وجود ندارد |
| عمدتاً برآورده می‌شود | فقط یافته باز با شدت پایین یا سطح اطلاعاتی وجود دارد |
| تا حدی برآورده می‌شود | دست‌کم یک یافته باز با شدت متوسط وجود دارد |
| برآورده نمی‌شود | یافته باز با شدت بالا یا بحرانی وجود دارد |
| قابل اعمال نیست | عملکرد مربوطه در سرویس وجود ندارد |
5ارزیابی انطباق با OWASP ASVS 5.0
253 الزام ASVS 5.0 در سطح 1 و 2 یک‌به‌یک ارزیابی شده است. جدول زیر نتایج را به تفکیک فصل نشان می‌دهد؛ وضعیت در سطح الزام در پیوست A آمده است.
| فصل | برآورده می‌شود | تا حدی | برآورده نمی‌شود | قابل اعمال نیست | راستی‌آزمایی نشد |
|---|---|---|---|---|---|
| V1 کدگذاری و پاک‌سازی | 18 | 2 | 0 | 7 | 0 |
| V2 اعتبارسنجی و منطق کسب‌وکار | 8 | 2 | 1 | 0 | 0 |
| V3 امنیت رابط وب | 15 | 2 | 1 | 1 | 0 |
| V4 API و سرویس‌های وب | 1 | 2 | 0 | 6 | 1 |
| V5 مدیریت فایل | 5 | 2 | 1 | 1 | 0 |
| V6 احراز هویت | 22 | 7 | 2 | 4 | 0 |
| V7 مدیریت نشست | 8 | 7 | 0 | 3 | 0 |
| V8 مجوزدهی | 4 | 2 | 1 | 0 | 0 |
| V9 توکن‌های خودبسنده | 6 | 0 | 0 | 1 | 0 |
| V10 OAuth و OIDC | 5 | 1 | 0 | 23 | 0 |
| V11 رمزنگاری | 10 | 4 | 0 | 0 | 0 |
| V12 ارتباط امن | 7 | 2 | 0 | 0 | 0 |
| V13 پیکربندی | 7 | 4 | 0 | 0 | 2 |
| V14 حفاظت از داده | 5 | 4 | 0 | 0 | 0 |
| V15 کدنویسی امن و معماری | 8 | 4 | 1 | 0 | 0 |
| V16 ثبت رویدادهای امنیتی و مدیریت خطا | 9 | 6 | 0 | 0 | 1 |
| V17 WebRTC | 0 | 0 | 0 | 7 | 0 |
| جمع | 138 | 51 | 7 | 53 | 4 |
V10 عمدتاً قابل اعمال نیست زیرا سرویس فقط به‌عنوان کلاینت حساب سرویس در ارتباط سرور به سرور عمل می‌کند و V17 نیز از آنجا که WebRTC اصلاً استفاده نمی‌شود. وضعیت «تا حدی» شامل مواردی هم می‌شود که الزام در اصل برآورده شده اما یک عنصر مکمل (مستندسازی، ثبت رویداد، مقدار حد و مانند آن) کم است.
6ارزیابی انطباق با OWASP MASVS v2.1
برنامه‌های اندروید و iOS بر اساس هشت گروه کنترل MASVS v2.1 و با مبنا قرار دادن موارد آزمون MASTG ارزیابی شده‌اند.
| گروه کنترل | اندروید | iOS | توجیه |
|---|---|---|---|
| MASVS-STORAGE | عمدتاً برآورده می‌شود | عمدتاً برآورده می‌شود | اطلاعات احراز هویت در انبار کلید پلتفرم (Android Keystore، iOS Keychain) محافظت می‌شود؛ داده‌های برنامه از پشتیبان‌گیری مستثنا است. یافته‌های باز با شدت پایین و سطح اطلاعاتی که به دسترسی فیزیکی نیاز دارند وجود دارد. |
| MASVS-CRYPTO | برآورده می‌شود | برآورده می‌شود | AES-GCM، بردار مقداردهی اولیه تصادفی و اعتبارسنجی بافت؛ الگوریتم ضعیف استفاده نمی‌شود. |
| MASVS-AUTH | برآورده می‌شود | برآورده می‌شود | حفاظت در برابر شرایط رقابتی تازه‌سازی توکن؛ هشدار ناهمخوانی موقعیت مکانی هنگام اتصال دستگاه. |
| MASVS-NETWORK | عمدتاً برآورده می‌شود | عمدتاً برآورده می‌شود | فقط TLS؛ ثابت‌سازی گواهی ریشه؛ به مراجع صدور گواهی نصب‌شده توسط کاربر اعتماد نمی‌شود. یک یافته باز سطح اطلاعاتی درباره مدیریت مدت ثابت‌سازی وجود دارد. |
| MASVS-PLATFORM | برآورده می‌شود | عمدتاً برآورده می‌شود | مؤلفه‌های در معرض دسترسی بیرونی به حداقل رسیده است؛ صفحات حساس در برابر گرفتن تصویر صفحه محافظت می‌شوند. در iOS یک یافته باز با شدت پایین وجود دارد. |
| MASVS-CODE | برآورده می‌شود | برآورده می‌شود | به‌روزرسانی‌های درون‌برنامه‌ای با مانیفست امضاشده و تطبیق گواهی امضا راستی‌آزمایی می‌شوند؛ WebView استفاده نمی‌شود. |
| MASVS-RESILIENCE | اعمال نمی‌شود (انتخاب آگاهانه) | اعمال نمی‌شود (انتخاب آگاهانه) | برای یک کلاینت VPN متن‌باز، حفاظت در برابر مهندسی معکوس لازم دانسته نشده است. |
| MASVS-PRIVACY | عمدتاً برآورده می‌شود | عمدتاً برآورده می‌شود | داده‌های تشخیصی روی دستگاه پوشانده می‌شوند و در سیاست حریم خصوصی توضیح داده شده‌اند. اطلاع‌رسانی درون‌برنامه‌ای به کاربر درباره گزارش‌های تشخیصی ارسال‌شده همراه با درخواست پشتیبانی در برنامه بهبود است (پایین). |
7خلاصه یافته‌های باز
تا تاریخ گزارش 23 یافته باز وجود دارد؛ یافته باز با شدت بحرانی، بالا یا متوسط وجود ندارد. از 4 یافته با شدت پایین، اصلاح 3 مورد آماده است و در مرحله اجرایی شدن قرار دارد (نقش دسترسی به پایگاه داده، انتقال گزارش‌های امنیتی به خارج از سرور، اسکن ویروس پیوست‌ها). یک مورد، یعنی امکان باد کردن آمار ناشناس برنامه، چون حاوی داده شخصی نیست و فقط بر دقت آمار اثر می‌گذارد، با پذیرش مستدل ریسک بسته شده است.
| حوزه | بحرانی | بالا | متوسط | پایین | اطلاعاتی |
|---|---|---|---|---|---|
| API صفحه کنترل، وب و پیکربندی میزبانی | 0 | 0 | 0 | 3 | 10 |
| دستیارهای مبتنی بر هوش مصنوعی | 0 | 0 | 0 | 0 | 0 |
| کنسول سازمانی، پشتیبانی، ایمیل و ربات‌های جامعه | 0 | 0 | 0 | 1 | 3 |
| برنامه‌های موبایل (اندروید و iOS) | 0 | 0 | 0 | 0 | 6 |
| جمع | 0 | 0 | 0 | 4 | 19 |
به دلیل حفظ امنیت کاربران، جزئیات فنی یافته‌های باز در این نسخه عمومی آورده نشده است. یافته‌ها با مهلت‌های هدف زیر در برنامه بهبود قرار گرفته‌اند:
| شدت | مهلت هدف برای بهبود |
|---|---|
| متوسط | 30 روز |
| پایین | 90 روز |
| اطلاعاتی | دوره ارزیابی بعدی |
8کنترل‌های امنیتی راستی‌آزمایی‌شده
در جریان ارزیابی، اجرای کنترل‌های زیر در کد منبع راستی‌آزمایی شد.
| حوزه | کنترل راستی‌آزمایی‌شده |
|---|---|
| امنیت گذرواژه | هش‌کردن گذرواژه با Argon2id؛ بررسی در برابر پایگاه‌های داده نشت شناخته‌شده؛ محدودسازی نرخ بر اساس ورودهای ناموفق |
| احراز هویت چندعاملی | پشتیبانی از TOTP (با جلوگیری از استفاده مجدد کد) و passkey (WebAuthn) |
| نشست و توکن‌ها | توکن‌های دسترسی کوتاه‌عمر؛ توکن‌های تازه‌سازی چرخشی و ابطال کل خانواده در صورت استفاده مجدد؛ کوکی‌های HttpOnly، Secure و SameSite=Strict |
| امنیت وب | سیاست امنیت محتوا مبتنی بر nonce؛ HSTS؛ حفاظت در برابر قرارگیری در فریم؛ توکن CSRF و اعتبارسنجی مبدأ؛ حفاظت در برابر تغییر مسیر باز |
| دسترسی به داده | پرس‌وجوهای پایگاه داده کاملاً پارامتری؛ مجوزدهی مدیریتی مبتنی بر نقش و ثبت ممیزی |
| حداقل‌سازی داده | نگهداری شناسه‌های حساس به‌صورت هش کلیددار؛ قواعد خودکار مدت نگهداری |
| زنجیره تأمین نرم‌افزار | اسکن وابستگی‌ها؛ به‌روزرسانی‌های امضاشده برنامه؛ ساخت‌های بازتولیدپذیر برای اندروید و ویندوز |
| کلاینت‌های موبایل | اطلاعات احراز هویت در انبار کلید پلتفرم؛ ذخیره‌سازی محلی رمزگذاری‌شده و مستثنا از پشتیبان‌گیری؛ ثابت‌سازی گواهی ریشه؛ اطلاعات احراز هویت جداگانه برای هر اتصال پروکسی محلی |
| زیرساخت | کانتینرهای بدون امتیاز ویژه و فقط‌خواندنی؛ سرویس‌های داده محدود به شبکه داخلی؛ دسترسی مدیریتی محدودشده در سطح شبکه |
| دستیارهای هوش مصنوعی | عملیات تغییردهنده منوط به تأیید انسان و یک‌بارمصرف است؛ دستیارهای رو به مشتری به ابزار دسترسی ندارند؛ اطلاعات حساب فقط به خود کاربر احراز هویت‌شده داده می‌شود؛ خروجی مدل هنگام نمایش اسکیپ می‌شود |
| کنسول سازمانی | شناسه مستأجر از نشست استخراج می‌شود نه از درخواست و در هر پرس‌وجو اعمال می‌شود؛ توکن‌های دعوت و راه‌اندازی 256 بیتی، یک‌بارمصرف و زمان‌دار هستند؛ مسیری برای ارتقای نقش وجود ندارد |
| کانال پشتیبانی | درخواست‌ها محدود به مالک آن‌ها هستند؛ بررسی نوع محتوا، محدودیت اندازه و ارائه محافظت‌شده برای پیوست‌ها؛ حفاظت در برابر تزریق سرفصل ایمیل |
9نتیجه‌گیری و بیانیه
در اجزای ارزیابی‌شده هیچ یافته باز با شدت بحرانی، بالا یا متوسط وجود ندارد. الزامات OWASP ASVS 5.0 سطح 2 تا حد قابل‌توجهی برآورده می‌شود، اما برای انطباق کامل، بهبود در حوزه‌های مستندسازی، ثبت رویدادهای امنیتی و سخت‌سازی لازم است. در چارچوب OWASP MASVS v2.1، برنامه‌های موبایل گروه‌های کنترل حیاتی را برآورده می‌کنند. یافته‌های باز طبق زمان‌بندی بالا رفع خواهند شد.
این گزارش شامل یافته‌هایی که در جریان ارزیابی شناسایی و پیش از تاریخ گزارش رفع شده‌اند نمی‌شود. ارزیابی به‌صورت دوره‌ای تکرار می‌شود؛ هر گزارش جدید جایگزین گزارش قبلی می‌شود.
Aپیوست A — فهرست بررسی OWASP ASVS 5.0 سطح 1–2
هر یک از 253 الزام در سطح 1 و 2 به‌طور جداگانه ارزیابی شده است. مستندات (محل در کد منبع) در سوابق داخلی نگهداری می‌شود. نام زیربخش‌ها همان نام‌های اصلی انگلیسی ASVS است.
نمایش 253 الزام
| الزام | سطح | زیربخش | وضعیت |
|---|---|---|---|
| V1.1.1 | 2 | Encoding and Sanitization Architecture | تا حدی |
| V1.1.2 | 2 | Encoding and Sanitization Architecture | برآورده می‌شود |
| V1.2.1 | 1 | Injection Prevention | برآورده می‌شود |
| V1.2.2 | 1 | Injection Prevention | تا حدی |
| V1.2.3 | 1 | Injection Prevention | برآورده می‌شود |
| V1.2.4 | 1 | Injection Prevention | برآورده می‌شود |
| V1.2.5 | 1 | Injection Prevention | برآورده می‌شود |
| V1.2.6 | 2 | Injection Prevention | قابل اعمال نیست |
| V1.2.7 | 2 | Injection Prevention | قابل اعمال نیست |
| V1.2.8 | 2 | Injection Prevention | قابل اعمال نیست |
| V1.2.9 | 2 | Injection Prevention | برآورده می‌شود |
| V1.3.1 | 1 | Sanitization | قابل اعمال نیست |
| V1.3.2 | 1 | Sanitization | برآورده می‌شود |
| V1.3.3 | 2 | Sanitization | برآورده می‌شود |
| V1.3.4 | 2 | Sanitization | برآورده می‌شود |
| V1.3.5 | 2 | Sanitization | برآورده می‌شود |
| V1.3.6 | 2 | Sanitization | برآورده می‌شود |
| V1.3.7 | 2 | Sanitization | برآورده می‌شود |
| V1.3.8 | 2 | Sanitization | قابل اعمال نیست |
| V1.3.9 | 2 | Sanitization | قابل اعمال نیست |
| V1.3.10 | 2 | Sanitization | برآورده می‌شود |
| V1.3.11 | 2 | Sanitization | برآورده می‌شود |
| V1.4.1 | 2 | Memory, String, and Unmanaged Code | برآورده می‌شود |
| V1.4.2 | 2 | Memory, String, and Unmanaged Code | برآورده می‌شود |
| V1.4.3 | 2 | Memory, String, and Unmanaged Code | برآورده می‌شود |
| V1.5.1 | 1 | Safe Deserialization | قابل اعمال نیست |
| V1.5.2 | 2 | Safe Deserialization | برآورده می‌شود |
| V2.1.1 | 1 | Validation and Business Logic Documentation | تا حدی |
| V2.1.2 | 2 | Validation and Business Logic Documentation | برآورده نمی‌شود |
| V2.1.3 | 2 | Validation and Business Logic Documentation | تا حدی |
| V2.2.1 | 1 | Input Validation | برآورده می‌شود |
| V2.2.2 | 1 | Input Validation | برآورده می‌شود |
| V2.2.3 | 2 | Input Validation | برآورده می‌شود |
| V2.3.1 | 1 | Business Logic Security | برآورده می‌شود |
| V2.3.2 | 2 | Business Logic Security | برآورده می‌شود |
| V2.3.3 | 2 | Business Logic Security | برآورده می‌شود |
| V2.3.4 | 2 | Business Logic Security | برآورده می‌شود |
| V2.4.1 | 2 | Anti-automation | برآورده می‌شود |
| V3.2.1 | 1 | Unintended Content Interpretation | برآورده می‌شود |
| V3.2.2 | 1 | Unintended Content Interpretation | برآورده می‌شود |
| V3.3.1 | 1 | Cookie Setup | تا حدی |
| V3.3.2 | 2 | Cookie Setup | برآورده می‌شود |
| V3.3.3 | 2 | Cookie Setup | برآورده نمی‌شود |
| V3.3.4 | 2 | Cookie Setup | برآورده می‌شود |
| V3.4.1 | 1 | Browser Security Mechanism Headers | برآورده می‌شود |
| V3.4.2 | 1 | Browser Security Mechanism Headers | برآورده می‌شود |
| V3.4.3 | 2 | Browser Security Mechanism Headers | برآورده می‌شود |
| V3.4.4 | 2 | Browser Security Mechanism Headers | برآورده می‌شود |
| V3.4.5 | 2 | Browser Security Mechanism Headers | برآورده می‌شود |
| V3.4.6 | 2 | Browser Security Mechanism Headers | برآورده می‌شود |
| V3.5.1 | 1 | Browser Origin Separation | برآورده می‌شود |
| V3.5.2 | 1 | Browser Origin Separation | برآورده می‌شود |
| V3.5.3 | 1 | Browser Origin Separation | برآورده می‌شود |
| V3.5.4 | 2 | Browser Origin Separation | تا حدی |
| V3.5.5 | 2 | Browser Origin Separation | قابل اعمال نیست |
| V3.7.1 | 2 | Other Browser Security Considerations | برآورده می‌شود |
| V3.7.2 | 2 | Other Browser Security Considerations | برآورده می‌شود |
| V4.1.1 | 1 | Generic Web Service Security | تا حدی |
| V4.1.2 | 2 | Generic Web Service Security | برآورده می‌شود |
| V4.1.3 | 2 | Generic Web Service Security | تا حدی |
| V4.2.1 | 2 | HTTP Message Structure Validation | راستی‌آزمایی نشد |
| V4.3.1 | 2 | GraphQL | قابل اعمال نیست |
| V4.3.2 | 2 | GraphQL | قابل اعمال نیست |
| V4.4.1 | 1 | WebSocket | قابل اعمال نیست |
| V4.4.2 | 2 | WebSocket | قابل اعمال نیست |
| V4.4.3 | 2 | WebSocket | قابل اعمال نیست |
| V4.4.4 | 2 | WebSocket | قابل اعمال نیست |
| V5.1.1 | 2 | File Handling Documentation | برآورده نمی‌شود |
| V5.2.1 | 1 | File Upload and Content | برآورده می‌شود |
| V5.2.2 | 1 | File Upload and Content | تا حدی |
| V5.2.3 | 2 | File Upload and Content | قابل اعمال نیست |
| V5.3.1 | 1 | File Storage | برآورده می‌شود |
| V5.3.2 | 1 | File Storage | برآورده می‌شود |
| V5.4.1 | 2 | File Download | برآورده می‌شود |
| V5.4.2 | 2 | File Download | برآورده می‌شود |
| V5.4.3 | 2 | File Download | تا حدی |
| V6.1.1 | 1 | Authentication Documentation | تا حدی |
| V6.1.2 | 2 | Authentication Documentation | برآورده نمی‌شود |
| V6.1.3 | 2 | Authentication Documentation | تا حدی |
| V6.2.1 | 1 | Password Security | تا حدی |
| V6.2.2 | 1 | Password Security | برآورده می‌شود |
| V6.2.3 | 1 | Password Security | برآورده می‌شود |
| V6.2.4 | 1 | Password Security | برآورده می‌شود |
| V6.2.5 | 1 | Password Security | برآورده می‌شود |
| V6.2.6 | 1 | Password Security | برآورده می‌شود |
| V6.2.7 | 1 | Password Security | برآورده می‌شود |
| V6.2.8 | 1 | Password Security | برآورده می‌شود |
| V6.2.9 | 2 | Password Security | برآورده می‌شود |
| V6.2.10 | 2 | Password Security | برآورده می‌شود |
| V6.2.11 | 2 | Password Security | برآورده نمی‌شود |
| V6.2.12 | 2 | Password Security | برآورده می‌شود |
| V6.3.1 | 1 | General Authentication Security | برآورده می‌شود |
| V6.3.2 | 1 | General Authentication Security | برآورده می‌شود |
| V6.3.3 | 2 | General Authentication Security | تا حدی |
| V6.3.4 | 2 | General Authentication Security | برآورده می‌شود |
| V6.4.1 | 1 | Authentication Factor Lifecycle and Recovery | تا حدی |
| V6.4.2 | 1 | Authentication Factor Lifecycle and Recovery | برآورده می‌شود |
| V6.4.3 | 2 | Authentication Factor Lifecycle and Recovery | برآورده می‌شود |
| V6.4.4 | 2 | Authentication Factor Lifecycle and Recovery | تا حدی |
| V6.5.1 | 2 | General Multi-factor authentication requirements | برآورده می‌شود |
| V6.5.2 | 2 | General Multi-factor authentication requirements | برآورده می‌شود |
| V6.5.3 | 2 | General Multi-factor authentication requirements | برآورده می‌شود |
| V6.5.4 | 2 | General Multi-factor authentication requirements | برآورده می‌شود |
| V6.5.5 | 2 | General Multi-factor authentication requirements | تا حدی |
| V6.6.1 | 2 | Out-of-Band authentication mechanisms | قابل اعمال نیست |
| V6.6.2 | 2 | Out-of-Band authentication mechanisms | برآورده می‌شود |
| V6.6.3 | 2 | Out-of-Band authentication mechanisms | برآورده می‌شود |
| V6.8.1 | 2 | Authentication with an Identity Provider | قابل اعمال نیست |
| V6.8.2 | 2 | Authentication with an Identity Provider | برآورده می‌شود |
| V6.8.3 | 2 | Authentication with an Identity Provider | قابل اعمال نیست |
| V6.8.4 | 2 | Authentication with an Identity Provider | قابل اعمال نیست |
| V7.1.1 | 2 | Session Management Documentation | تا حدی |
| V7.1.2 | 2 | Session Management Documentation | تا حدی |
| V7.1.3 | 2 | Session Management Documentation | قابل اعمال نیست |
| V7.2.1 | 1 | Fundamental Session Management Security | برآورده می‌شود |
| V7.2.2 | 1 | Fundamental Session Management Security | برآورده می‌شود |
| V7.2.3 | 1 | Fundamental Session Management Security | برآورده می‌شود |
| V7.2.4 | 1 | Fundamental Session Management Security | تا حدی |
| V7.3.1 | 2 | Session Timeout | تا حدی |
| V7.3.2 | 2 | Session Timeout | برآورده می‌شود |
| V7.4.1 | 1 | Session Termination | تا حدی |
| V7.4.2 | 1 | Session Termination | برآورده می‌شود |
| V7.4.3 | 2 | Session Termination | تا حدی |
| V7.4.4 | 2 | Session Termination | برآورده می‌شود |
| V7.4.5 | 2 | Session Termination | برآورده می‌شود |
| V7.5.1 | 2 | Defenses Against Session Abuse | برآورده می‌شود |
| V7.5.2 | 2 | Defenses Against Session Abuse | تا حدی |
| V7.6.1 | 2 | Federated Re-authentication | قابل اعمال نیست |
| V7.6.2 | 2 | Federated Re-authentication | قابل اعمال نیست |
| V8.1.1 | 1 | Authorization Documentation | برآورده می‌شود |
| V8.1.2 | 2 | Authorization Documentation | برآورده نمی‌شود |
| V8.2.1 | 1 | General Authorization Design | تا حدی |
| V8.2.2 | 1 | General Authorization Design | برآورده می‌شود |
| V8.2.3 | 2 | General Authorization Design | تا حدی |
| V8.3.1 | 1 | Operation Level Authorization | برآورده می‌شود |
| V8.4.1 | 2 | Other Authorization Considerations | برآورده می‌شود |
| V9.1.1 | 1 | Token source and integrity | برآورده می‌شود |
| V9.1.2 | 1 | Token source and integrity | برآورده می‌شود |
| V9.1.3 | 1 | Token source and integrity | برآورده می‌شود |
| V9.2.1 | 1 | Token content | برآورده می‌شود |
| V9.2.2 | 2 | Token content | برآورده می‌شود |
| V9.2.3 | 2 | Token content | برآورده می‌شود |
| V9.2.4 | 2 | Token content | قابل اعمال نیست |
| V10.1.1 | 2 | Generic OAuth and OIDC Security | برآورده می‌شود |
| V10.1.2 | 2 | Generic OAuth and OIDC Security | قابل اعمال نیست |
| V10.2.1 | 2 | OAuth Client | قابل اعمال نیست |
| V10.2.2 | 2 | OAuth Client | قابل اعمال نیست |
| V10.3.1 | 2 | OAuth Resource Server | برآورده می‌شود |
| V10.3.2 | 2 | OAuth Resource Server | قابل اعمال نیست |
| V10.3.3 | 2 | OAuth Resource Server | برآورده می‌شود |
| V10.3.4 | 2 | OAuth Resource Server | قابل اعمال نیست |
| V10.4.1 | 1 | OAuth Authorization Server | قابل اعمال نیست |
| V10.4.2 | 1 | OAuth Authorization Server | قابل اعمال نیست |
| V10.4.3 | 1 | OAuth Authorization Server | قابل اعمال نیست |
| V10.4.4 | 1 | OAuth Authorization Server | قابل اعمال نیست |
| V10.4.5 | 1 | OAuth Authorization Server | برآورده می‌شود |
| V10.4.6 | 2 | OAuth Authorization Server | قابل اعمال نیست |
| V10.4.7 | 2 | OAuth Authorization Server | قابل اعمال نیست |
| V10.4.8 | 2 | OAuth Authorization Server | تا حدی |
| V10.4.9 | 2 | OAuth Authorization Server | برآورده می‌شود |
| V10.4.10 | 2 | OAuth Authorization Server | قابل اعمال نیست |
| V10.4.11 | 2 | OAuth Authorization Server | قابل اعمال نیست |
| V10.5.1 | 2 | OIDC Client | قابل اعمال نیست |
| V10.5.2 | 2 | OIDC Client | قابل اعمال نیست |
| V10.5.3 | 2 | OIDC Client | قابل اعمال نیست |
| V10.5.4 | 2 | OIDC Client | قابل اعمال نیست |
| V10.5.5 | 2 | OIDC Client | قابل اعمال نیست |
| V10.6.1 | 2 | OpenID Provider | قابل اعمال نیست |
| V10.6.2 | 2 | OpenID Provider | قابل اعمال نیست |
| V10.7.1 | 2 | Consent Management | قابل اعمال نیست |
| V10.7.2 | 2 | Consent Management | قابل اعمال نیست |
| V10.7.3 | 2 | Consent Management | قابل اعمال نیست |
| V11.1.1 | 2 | Cryptographic Inventory and Documentation | تا حدی |
| V11.1.2 | 2 | Cryptographic Inventory and Documentation | تا حدی |
| V11.2.1 | 2 | Secure Cryptography Implementation | برآورده می‌شود |
| V11.2.2 | 2 | Secure Cryptography Implementation | تا حدی |
| V11.2.3 | 2 | Secure Cryptography Implementation | برآورده می‌شود |
| V11.3.1 | 1 | Encryption Algorithms | برآورده می‌شود |
| V11.3.2 | 1 | Encryption Algorithms | برآورده می‌شود |
| V11.3.3 | 2 | Encryption Algorithms | برآورده می‌شود |
| V11.4.1 | 1 | Hashing and Hash-based Functions | برآورده می‌شود |
| V11.4.2 | 2 | Hashing and Hash-based Functions | برآورده می‌شود |
| V11.4.3 | 2 | Hashing and Hash-based Functions | برآورده می‌شود |
| V11.4.4 | 2 | Hashing and Hash-based Functions | برآورده می‌شود |
| V11.5.1 | 2 | Random Values | تا حدی |
| V11.6.1 | 2 | Public Key Cryptography | برآورده می‌شود |
| V12.1.1 | 1 | General TLS Security Guidance | برآورده می‌شود |
| V12.1.2 | 2 | General TLS Security Guidance | برآورده می‌شود |
| V12.1.3 | 2 | General TLS Security Guidance | برآورده می‌شود |
| V12.2.1 | 1 | HTTPS Communication with External Facing Services | برآورده می‌شود |
| V12.2.2 | 1 | HTTPS Communication with External Facing Services | برآورده می‌شود |
| V12.3.1 | 2 | General Service to Service Communication Security | تا حدی |
| V12.3.2 | 2 | General Service to Service Communication Security | برآورده می‌شود |
| V12.3.3 | 2 | General Service to Service Communication Security | تا حدی |
| V12.3.4 | 2 | General Service to Service Communication Security | برآورده می‌شود |
| V13.1.1 | 2 | Configuration Documentation | تا حدی |
| V13.2.1 | 2 | Backend Communication Configuration | برآورده می‌شود |
| V13.2.2 | 2 | Backend Communication Configuration | تا حدی |
| V13.2.3 | 2 | Backend Communication Configuration | برآورده می‌شود |
| V13.2.4 | 2 | Backend Communication Configuration | تا حدی |
| V13.2.5 | 2 | Backend Communication Configuration | راستی‌آزمایی نشد |
| V13.3.1 | 2 | Secret Management | تا حدی |
| V13.3.2 | 2 | Secret Management | برآورده می‌شود |
| V13.4.1 | 1 | Unintended Information Leakage | برآورده می‌شود |
| V13.4.2 | 2 | Unintended Information Leakage | برآورده می‌شود |
| V13.4.3 | 2 | Unintended Information Leakage | برآورده می‌شود |
| V13.4.4 | 2 | Unintended Information Leakage | راستی‌آزمایی نشد |
| V13.4.5 | 2 | Unintended Information Leakage | برآورده می‌شود |
| V14.1.1 | 2 | Data Protection Documentation | برآورده می‌شود |
| V14.1.2 | 2 | Data Protection Documentation | تا حدی |
| V14.2.1 | 1 | General Data Protection | تا حدی |
| V14.2.2 | 2 | General Data Protection | برآورده می‌شود |
| V14.2.3 | 2 | General Data Protection | برآورده می‌شود |
| V14.2.4 | 2 | General Data Protection | برآورده می‌شود |
| V14.3.1 | 1 | Client-side Data Protection | تا حدی |
| V14.3.2 | 2 | Client-side Data Protection | برآورده می‌شود |
| V14.3.3 | 2 | Client-side Data Protection | تا حدی |
| V15.1.1 | 1 | Secure Coding and Architecture Documentation | برآورده نمی‌شود |
| V15.1.2 | 2 | Secure Coding and Architecture Documentation | تا حدی |
| V15.1.3 | 2 | Secure Coding and Architecture Documentation | تا حدی |
| V15.2.1 | 1 | Security Architecture and Dependencies | برآورده می‌شود |
| V15.2.2 | 2 | Security Architecture and Dependencies | برآورده می‌شود |
| V15.2.3 | 2 | Security Architecture and Dependencies | برآورده می‌شود |
| V15.3.1 | 1 | Defensive Coding | برآورده می‌شود |
| V15.3.2 | 2 | Defensive Coding | تا حدی |
| V15.3.3 | 2 | Defensive Coding | برآورده می‌شود |
| V15.3.4 | 2 | Defensive Coding | تا حدی |
| V15.3.5 | 2 | Defensive Coding | برآورده می‌شود |
| V15.3.6 | 2 | Defensive Coding | برآورده می‌شود |
| V15.3.7 | 2 | Defensive Coding | برآورده می‌شود |
| V16.1.1 | 2 | Security Logging Documentation | تا حدی |
| V16.2.1 | 2 | General Logging | تا حدی |
| V16.2.2 | 2 | General Logging | راستی‌آزمایی نشد |
| V16.2.3 | 2 | General Logging | تا حدی |
| V16.2.4 | 2 | General Logging | برآورده می‌شود |
| V16.2.5 | 2 | General Logging | برآورده می‌شود |
| V16.3.1 | 2 | Security Events | برآورده می‌شود |
| V16.3.2 | 2 | Security Events | برآورده می‌شود |
| V16.3.3 | 2 | Security Events | تا حدی |
| V16.3.4 | 2 | Security Events | برآورده می‌شود |
| V16.4.1 | 2 | Log Protection | برآورده می‌شود |
| V16.4.2 | 2 | Log Protection | تا حدی |
| V16.4.3 | 2 | Log Protection | تا حدی |
| V16.5.1 | 2 | Error Handling | برآورده می‌شود |
| V16.5.2 | 2 | Error Handling | برآورده می‌شود |
| V16.5.3 | 2 | Error Handling | برآورده می‌شود |
| V17.1.1 | 2 | TURN Server | قابل اعمال نیست |
| V17.2.1 | 2 | Media | قابل اعمال نیست |
| V17.2.2 | 2 | Media | قابل اعمال نیست |
| V17.2.3 | 2 | Media | قابل اعمال نیست |
| V17.2.4 | 2 | Media | قابل اعمال نیست |
| V17.3.1 | 2 | Signaling | قابل اعمال نیست |
| V17.3.2 | 2 | Signaling | قابل اعمال نیست |