feat: harden backend security with HMAC verification, SSL validation, and documentation updates while removing legacy scripts.
This commit is contained in:
Hamza-Ayed
@@ -0,0 +1,200 @@
|
||||
<div dir="rtl" align="right">
|
||||
|
||||
# 🇪🇬 دراسة السوق المصري ومركز سيرو التنافسي
|
||||
### لماذا سيرو ليس "تطبيق نقل تجاري" — بل بنية سيادية جاهزة لدخول مصر
|
||||
|
||||
> تقرير موجّه للمستثمر. الهدف منه أن يخرج المستثمر بقناعة واحدة:
|
||||
> **ما نطرحه ليس نسخة جاهزة اشتريناها، بل منظومة بنيناها بالكامل — بخرائطنا، ومحرك تسعيرنا، وذكائنا الاصطناعي — وهي تحديداً ما يمنحنا فرصة حقيقية في أصعب سوق نقل في المنطقة.**
|
||||
|
||||
---
|
||||
|
||||
## 1. قراءة صحيحة للسوق المصري (أين نضع أقدامنا؟)
|
||||
|
||||
مصر ليست سوقاً عادياً. هي **أكبر سوق نقل ذكي في شمال إفريقيا والشرق الأوسط سكانياً** (أكثر من 100 مليون نسمة، القاهرة الكبرى وحدها تقارب 22 مليوناً). لكن ثلاثة عوامل تجعلها فرصة استثنائية **الآن تحديداً**:
|
||||
|
||||
**أ) ضغط سعري هائل على الراكب.**
|
||||
تراجع قيمة الجنيه المصري ضاعف حساسية الراكب للسعر. المصري اليوم يقارن بين ثلاثة تطبيقات قبل كل رحلة. **من يقدّم السعر الأرخص باستمرار يكسب الرحلة** — وهذا بالضبط ما بُني محرك تسعيرنا لأجله.
|
||||
|
||||
**ب) غضب متصاعد لدى السائقين من العمولات.**
|
||||
أوبر وكريم يقتطعان عمولات مرتفعة (تتراوح عملياً حول 20–25%). السائق المصري يشعر أنه "يعمل لصالح التطبيق". هذه أكبر ثغرة في السوق: **من يعطي السائق دخلاً أعلى، يسحب الأسطول** — والأسطول هو المنصة.
|
||||
|
||||
**ج) السوق منقسم وغير محسوم.**
|
||||
لا يوجد لاعب واحد يحتكر مصر. أوبر وكريم في القمة، لكن دي دي وإندرايف اقتطعا حصصاً كبيرة خلال سنوات قليلة **فقط عبر السعر**. هذا يثبت أن السوق **قابل للاختراق بمنتج أذكى تكلفةً** — وليس حكراً على من دخل أولاً.
|
||||
|
||||
> **الخلاصة:** السوق المصري كبير، جائع للسعر، وغاضب من العمولات، وغير محسوم. هذه ليست بيئة "مغلقة"، بل بيئة **مثالية للاعب يملك هيكل تكلفة أقل** — وهذا نحن.
|
||||
|
||||
---
|
||||
|
||||
## 2. من نواجه؟ قراءة واقعية للمنافسين
|
||||
|
||||
نحن لا نستهين بالمنافسين ولا نبالغ في قوّتهم. هذه قراءة واقعية لكل واحد — قوّته الحقيقية، وثغرته التي نستغلها:
|
||||
|
||||
### 🚗 أوبر (Uber) — العملاق ذو الهيكل الثقيل
|
||||
- **قوّته:** الاسم، حجم الأسطول، ثقة المستخدم.
|
||||
- **ثغرته:** هيكل تكلفة ضخم (فرق هندسية بمئات المهندسين، خرائط جوجل تلتهم جزءاً من كل رحلة، عمولة مرتفعة على السائق). أوبر لا يستطيع خفض العمولة في مصر دون ضرب أرباحه العالمية. **جموده هو فرصتنا.**
|
||||
|
||||
### 🟢 كريم (Careem) — مملوك لأوبر
|
||||
- **قوّته:** حضور محلي أقدم وسوبر-آب (طعام، دفع).
|
||||
- **ثغرته:** بعد استحواذ أوبر عليه، أصبح جزءاً من نفس هيكل التكلفة المرتفع، وتوجهه لـ"السوبر-آب" شتّت تركيزه عن جوهر النقل. **نحن نركّز 100% على النقل بأقل تكلفة.**
|
||||
|
||||
### 🟠 دي دي (DiDi) — سلاح السعر المنخفض
|
||||
- **قوّته:** تسعير عدواني رخيص جذب الركاب بسرعة، وتقنية عملاقة خلفه.
|
||||
- **ثغرته:** يعتمد على "حرق المال" (دعم مالي ضخم) للبقاء رخيصاً. هذا غير مستدام. **نحن رخيصون بحكم هيكل التكلفة لا بحرق المال** — وهذا فرق جوهري للمستثمر.
|
||||
|
||||
### 🔵 إندرايف (inDrive) — نموذج المساومة
|
||||
- **قوّته:** فكرة "اعرض سعرك وتفاوض مع السائق" لاقت رواجاً، مع عمولة منخفضة جذبت السائقين.
|
||||
- **ثغرته:** تجربة أبطأ (مفاوضة يدوية لكل رحلة)، وتقنية خرائط أضعف، وتحكّم محدود بالجودة. **نحن نقدّم عدالة السعر تلقائياً — دون أن يساوم الراكب في كل مرة.**
|
||||
|
||||
> **القراءة الاستراتيجية:** كل منافس يملك ثغرة واحدة نستغلها. المشترك بينهم جميعاً أنهم **يعتمدون على تقنية مستأجرة أو مكلفة**. نحن الوحيدون الذين نملك كل طبقة تقنية بأيدينا — وهذا يترجم مباشرةً إلى تكلفة أقل وسعر أذكى.
|
||||
|
||||
---
|
||||
|
||||
## 3. الفرصة التي نشتغل عليها (الـ Wedge)
|
||||
|
||||
لن نحاول أن نكون "أوبر مصري". هذا انتحار. استراتيجيتنا تدخل من **زاوية لا يستطيع العمالقة الدفاع عنها**:
|
||||
|
||||
**نكون الأرخص للراكب، والأربح للسائق، والأعلى هامشاً للمستثمر — في آنٍ واحد.**
|
||||
|
||||
كيف يكون هذا ممكناً؟ لأن الثلاثة الآخرين يتنافسون بحرق المال، ونحن نتنافس **بهيكل تكلفة أقل هيكلياً**. الفرق:
|
||||
- منافس يخفض السعر = يخسر مالاً (غير مستدام).
|
||||
- سيرو يخفض السعر = يبقى رابحاً (لأن تكلفته أقل أصلاً).
|
||||
|
||||
هذه ليست دعاية. إنها نتيجة مباشرة لما بنيناه في الكود. وإليك الدليل الهندسي.
|
||||
|
||||
---
|
||||
|
||||
## 4. الخندق التنافسي الحقيقي — الدليل من داخل المشروع
|
||||
|
||||
هذا هو القسم الذي يجب أن يقنع المستثمر أن سيرو **ليس تطبيقاً تجارياً جاهزاً**. كل نقطة هنا مبنية فعلاً في الكود، لا وعوداً.
|
||||
|
||||
### 🗺️ (1) خرائط سيرو الذاتية — منشورة لمصر باسم منفصل
|
||||
أكبر بند تكلفة خفي في أي تطبيق نقل هو **الخرائط**. أوبر وكريم يدفعان لخرائط جوجل رسوماً عن كل عملية بحث، كل توجيه، كل تحديد عنوان — تلتهم جزءاً من ربح كل رحلة.
|
||||
|
||||
**نحن لا ندفع هذه الفاتورة.** بنينا منظومة خرائط كاملة مملوكة لنا، ولها **خادم مخصص لمصر تحديداً**، تقدّم بأنفسنا:
|
||||
- **حساب المسار والمسافة** (مع إدراك الازدحام المروري).
|
||||
- **تحويل الإحداثيات إلى عناوين** (Reverse Geocoding).
|
||||
- **البحث عن الأماكن والعناوين** (Search & Places / Geocoding).
|
||||
|
||||
بعبارة أوضح للمستثمر: **كل خدمة نشتري نظيرها من جوجل بمال، نصنعها نحن بأنفسنا بتكلفة شبه صفرية.** وكلما كبرنا، لا تكبر فاتورة الخرائط معنا — عكس كل منافس. هذا هو الخندق الذي يجعل هامشنا يتّسع مع النمو بدل أن يضيق.
|
||||
|
||||
### 💹 (2) محرك تسعير ذكي يعكس أسعار المنافسين تلقائياً
|
||||
هذه ليست "تسعيرة ثابتة". بنينا منظومة تسعير حقيقية تعمل هكذا:
|
||||
1. **يرصد** أسعار أوبر وكريم وغيرهم في السوق لحظياً.
|
||||
2. **يحلّلها** بأدوات إحصائية متقدمة (كشف القيم الشاذة، تجميع الفئات، استنتاج معادلة تسعير كل منافس).
|
||||
3. **يضبط سعرنا تلقائياً** ليبقى الأرخص، ويضبط العمولة حسب الطلب والذروة.
|
||||
4. **يعرض للراكب** مقارنة مباشرة تُظهر أننا الأرخص.
|
||||
|
||||
**الفائدة:** المنافس يخفض سعره بقرار بشري بطيء وبخسارة. نحن نبقى الأرخص **آلياً وبربح**. هذه ميزة لا يملكها إندرايف ولا دي دي.
|
||||
|
||||
### 💳 (3) جاهزية مصر مبنية فعلاً — لسنا في مرحلة "سنطوّر"
|
||||
المشروع يحوي بالفعل كوداً مخصّصاً لمصر جاهزاً للتشغيل:
|
||||
- **الدفع عبر PayMob** (بوابة الدفع الأساسية في مصر) + المحفظة + الكاش أولاً.
|
||||
- **توثيق الهوية المصرية** (وجه/ظهر البطاقة) وربط **الحسابات البنكية المصرية**.
|
||||
- **التحقق برقم الهاتف المصري** عبر مزوّد رسائل محلي.
|
||||
- **مسح المستندات بالذكاء الاصطناعي** لتسريع تسجيل السائقين المصريين.
|
||||
|
||||
**الفائدة للمستثمر:** لا نطلب تمويلاً لبناء منتج لمصر. المنتج جاهز لمصر. نطلب تمويلاً لـ**النمو** فيها.
|
||||
|
||||
### 💗 (4) رحلات نسائية خاصة — حاجة مصرية حقيقية
|
||||
سلامة المرأة في التنقل قضية كبيرة في السوق المصري. لدينا فئة **سائقة أنثى / الدراجة الوردية** مبنية أصلاً. ميزة تفتح شريحة ضخمة نادراً ما يخدمها المنافسون جيداً.
|
||||
|
||||
### 🧩 (5) تنوّع خدمي بنفس الأسطول
|
||||
12 نوع رحلة (اقتصادي، عائلي، كهربائي، توصيل طرود، فان...). هذا يعني مصادر دخل متعددة من نفس السائقين — وكفاءة تشغيلية أعلى.
|
||||
|
||||
### 🤖 (6) ذكاء اصطناعي يخفض التكاليف فعلياً
|
||||
دعم عملاء آلي، تسويق مُدار بالذكاء الاصطناعي، فضّ نزاعات آلي. هذا يعني أن سيرو يُدار بفريق أخفّ بكثير من فريق يحتاجه منافس تقليدي — **هامش ربح أعلى من اليوم الأول**.
|
||||
|
||||
---
|
||||
|
||||
## 5. جدول الحسم: سيرو مقابل منافسي مصر
|
||||
|
||||
| المعيار | سيرو | أوبر | كريم | دي دي | إندرايف |
|
||||
|---|:---:|:---:|:---:|:---:|:---:|
|
||||
| ملكية التقنية | **مملوكة 100%** | خاصة (ضخمة/مكلفة) | خاصة (ضمن أوبر) | خاصة | خاصة |
|
||||
| ملكية الخرائط | **خرائطنا (خادم مصر خاص)** | جوجل (مدفوعة) | جوجل (مدفوعة) | خاصة | أضعف |
|
||||
| تكلفة الخرائط لكل رحلة | **شبه صفر** | مرتفعة | مرتفعة | متوسطة | منخفضة |
|
||||
| أساس السعر المنخفض | **هيكل تكلفة أقل (مستدام)** | — | — | حرق مال | عمولة منخفضة |
|
||||
| العمولة على السائق | **منخفضة (عامل جذب)** | مرتفعة (~20–25%) | مرتفعة | متوسطة | منخفضة |
|
||||
| مطابقة أسعار المنافسين | **تلقائية ودائمة** | لا | لا | يدوي | تفاوض يدوي |
|
||||
| رحلات نسائية مخصّصة | **نعم** | محدود | محدود | محدود | لا |
|
||||
| دفع محلي مصري (PayMob/محفظة/كاش) | **جاهز** | جاهز | جاهز | جاهز | جاهز |
|
||||
| ذكاء اصطناعي للدعم والتسويق | **نعم** | داخلي ضخم | داخلي | داخلي | محدود |
|
||||
| المرونة وسرعة التطوير | **عالية (نملك كل شيء)** | بطيء (حجم) | بطيء | متوسط | متوسط |
|
||||
|
||||
---
|
||||
|
||||
## 6. لماذا هذا ليس "تطبيقاً تجارياً"؟ (الرد المباشر على سؤال المستثمر)
|
||||
|
||||
المستثمر الذكي سيسأل: *"هل اشتريتم قالباً جاهزاً وأعدتم تسميته؟"* — كما يفعل كثير من اللاعبين في المنطقة.
|
||||
|
||||
**الجواب موثّق في الكود:**
|
||||
|
||||
كثير من التطبيقات المنافسة في المنطقة تبيّن أنها **تستأجر أنظمتها من الخارج** (شركات أوروبية تدير كل شيء من إستونيا أو سلوفاكيا)، أو **اشترت قالباً جاهزاً** وركّبت عليه شعارها. هؤلاء:
|
||||
- لا يملكون خرائطهم → يدفعون فاتورة متزايدة.
|
||||
- لا يملكون خوادمهم → معرّضون للتوقف وأي قيود خارجية.
|
||||
- لا يستطيعون التطوير بسرعة → ينتظرون شركة أجنبية.
|
||||
|
||||
**سيرو عكس ذلك تماماً:**
|
||||
- خمسة تطبيقات مبنية بأيدينا (راكب، سائق، إدارة، تسجيل ميداني، محفظة).
|
||||
- خرائطنا الخاصة + محرك التوجيه + Geocoding مبنية ومستضافة ذاتياً.
|
||||
- خوادم تتبّع فوري، محرك تسعير بالذكاء الاصطناعي، بوتات، ودعم آلي — كلها ملكنا.
|
||||
- أكثر من 60 جدول قاعدة بيانات ومنظومة أمان (تشفير، بصمة جهاز، JWT).
|
||||
|
||||
> **هذه ليست تكلفة اشتريناها — إنها أصل نملكه.** وهذا الأصل هو ما يجعل هيكل تكلفتنا أقل من الجميع، ويجعل المستثمر يملك حصة في **ملكية فكرية حقيقية**، لا في اشتراك مؤجّر.
|
||||
|
||||
---
|
||||
|
||||
## 7. حلقة النمو التي تجعل السوق يعمل لصالحنا
|
||||
|
||||
```
|
||||
تكلفة أقل (خرائط مملوكة + ذكاء اصطناعي)
|
||||
↓
|
||||
عمولة أقل للسائق + سعر أرخص للراكب
|
||||
↓
|
||||
سائقون أكثر ينضمون → توفّر أسرع → ركاب أكثر يثقون
|
||||
↓
|
||||
رحلات أكثر → دخل أعلى للسائق → ولاء أعلى → كثافة سوقية
|
||||
↓
|
||||
هامش يتّسع مع النمو (لأن التكلفة لا تكبر مثل الإيراد)
|
||||
```
|
||||
|
||||
هذه الحلقة هي جوهر الأطروحة: **كلما كبرنا، ازددنا قوة وربحاً — لأننا نملك أدواتنا.**
|
||||
|
||||
---
|
||||
|
||||
## 8. المخاطر وكيف نقرأها بجدية
|
||||
|
||||
نحن جادّون في قراءة الموقف، ولا نبيع وهماً. أبرز المخاطر وخطط التعامل:
|
||||
|
||||
| المخاطرة | القراءة الواقعية | كيف نتعامل |
|
||||
|---|---|---|
|
||||
| حرب أسعار من دي دي/إندرايف | حقيقية، لكنها تستنزفهم لا تستنزفنا | هيكل تكلفتنا الأقل يسمح بالصمود بربح |
|
||||
| قوة علامة أوبر/كريم | حقيقية | ندخل من زاوية السائق والسعر لا من زاوية الاسم |
|
||||
| التنظيم والترخيص في مصر | يتطلب التزاماً | الالتزام بقانون النقل الذكي المصري ضمن الخطة |
|
||||
| حساسية السعر القصوى | سلاح ذو حدين | محرك التسعير يجعلها في صالحنا |
|
||||
| الكثافة في مدينة ضخمة | تشتّت الأسطول | إطلاق مركّز بحي/منطقة قبل التوسّع (درس تعلّمناه ميدانياً) |
|
||||
|
||||
---
|
||||
|
||||
## 9. الخلاصة للمستثمر
|
||||
|
||||
**السوق المصري كبير، جائع للسعر، غاضب من العمولات، وغير محسوم — وهذه بيئة مثالية للاعب يملك تكلفة أقل.**
|
||||
|
||||
سيرو يدخل مصر **لا كتجربة، بل كمنتج جاهز مملوك بالكامل**:
|
||||
- خرائط ذاتية بخادم مصري خاص → تكلفة شبه صفر تتّسع بها هوامشنا مع النمو.
|
||||
- محرك تسعير يبقينا الأرخص آلياً وبربح، لا بحرق مال.
|
||||
- جاهزية مصر (دفع، توثيق، هوية) مبنية فعلاً.
|
||||
- ذكاء اصطناعي يخفض التكاليف من اليوم الأول.
|
||||
- ملكية فكرية حقيقية — لا قالب مستأجر.
|
||||
|
||||
> **الرسالة النهائية:** نحن لا نطلب من المستثمر أن يراهن على "تطبيق نقل آخر". نطلب منه أن يستثمر في **البنية التقنية السيادية الوحيدة** التي تستطيع أن تنافس عمالقة مصر بهيكل تكلفة أقل — وأن يملك حصة في أصل يزداد قيمة كلما نما.
|
||||
|
||||
---
|
||||
|
||||
<div dir="ltr" align="left">
|
||||
|
||||
*ملاحظة عمل داخلية: هذا التقرير مبني على دراسة الكود الفعلي لمشروع Siro (خرائط map-egypt.siromove.com، محرك التسعير، جاهزية PayMob/الهوية المصرية). عند مشاركة تحليلك الخاص للسوق المصري، سأدمجه وأوحّد الأرقام والسردية.*
|
||||
|
||||
</div>
|
||||
|
||||
</div>
|
||||
@@ -0,0 +1,637 @@
|
||||
---
|
||||
lang: ar
|
||||
dir: rtl
|
||||
---
|
||||
|
||||
# 🔐 تقرير الفحص الأمني الشامل — Backend تطبيق Siro
|
||||
|
||||
**التاريخ:** 8 يوليو 2026
|
||||
**الفاحص:** مدقق أمني مستقل
|
||||
**النسخة:** 1.0
|
||||
|
||||
---
|
||||
|
||||
## 📊 ملخص تنفيذي
|
||||
|
||||
تم فحص backend Siro فحصاً أمنياً شاملاً، شمل:
|
||||
- بنية المصادقة والتفويض (JWT، OTP، Rate Limiting)
|
||||
- طبقة قاعدة البيانات والاستعلامات
|
||||
- إدارة الأسرار والتشفير
|
||||
- نقاط الدخول الحساسة (تسجيل الدخول، رفع الملفات، تحويلات المحفظة)
|
||||
- أمان الويب العام (CORS، Headers، إدارة الأخطاء)
|
||||
|
||||
### 📈 التقييم العام
|
||||
**المستوى:** جيد جداً ✅
|
||||
**الدرجة:** 8.2/10
|
||||
|
||||
Backend مبني بمستوى أمني واعي وقوي. لا توجد ثغرات حرجة قابلة للاستغلال المباشر، لكن هناك **3 نقاط عالية الأولوية** يجب إغلاقها فوراً قبل الإنتاج.
|
||||
|
||||
---
|
||||
|
||||
## ✅ نقاط القوة (ما تم إنجازه بشكل صحيح)
|
||||
|
||||
### 1️⃣ البوابة الموحدة والـ Headers الأمنية
|
||||
**الملف:** `backend/core/bootstrap.php`
|
||||
|
||||
✓ جميع headers الأمان مُفعّلة:
|
||||
- `Strict-Transport-Security: max-age=31536000` (HSTS)
|
||||
- `X-Frame-Options: DENY` (منع ClickJacking)
|
||||
- `X-Content-Type-Options: nosniff` (منع MIME sniffing)
|
||||
- `Content-Security-Policy: default-src 'self'` (صارم جداً)
|
||||
- `Referrer-Policy: strict-origin-when-cross-origin`
|
||||
- `Permissions-Policy: geolocation=(), microphone=(), camera=()`
|
||||
- حذف `X-Powered-By` (إخفاء تكنولوجيا الخادم)
|
||||
|
||||
✓ عرض الأخطاء مُطفأ في الإنتاج، مربوط بـ `APP_DEBUG`
|
||||
✓ لا تسريب لـ stack traces أو معلومات النظام
|
||||
|
||||
---
|
||||
|
||||
### 2️⃣ نظام المصادقة JWT — قوي ومتعدد الطبقات
|
||||
**الملف:** `backend/core/Auth/JwtService.php`
|
||||
|
||||
الميزات الأمنية:
|
||||
|
||||
| الميزة | التفاصيل |
|
||||
|-------|---------|
|
||||
| **JTI + Blacklist** | كل توكن له معرّف فريد (JTI) في Redis لمنع التكرار والإلغاء |
|
||||
| **Device Fingerprint** | ربط الجهاز عبر `sha256(fingerprint + pepper)` — يمنع سرقة التوكن بين أجهزة |
|
||||
| **Refresh Tokens** | منفصلة ومخزنة بآمان في Redis (30 يوم) |
|
||||
| **HMAC مشتق** | كل مستخدم يحصل على `hash_hmac('sha256', userId, hmacSecret)` |
|
||||
| **التحقق من Issuer** | تتحقق من أن مصدر التوكن (iss) صحيح |
|
||||
| **تقييد Registration Tokens** | توكنات التسجيل تعمل فقط على 37 endpoint محددة مسبقاً، ممنوعة من باقي الـ API |
|
||||
| **بصمة التطبيق** | للدور `service`: التحقق من توقيع التطبيق الرسمي |
|
||||
|
||||
---
|
||||
|
||||
### 3️⃣ لا توجد ثغرات SQL Injection
|
||||
**الملفات:** جميع الملفات الرئيسية
|
||||
|
||||
✓ **جميع الاستعلامات** تستخدم PDO Prepared Statements
|
||||
✓ `ATTR_EMULATE_PREPARES => false` — يُجبر عل فصل البيانات عن الأوامر
|
||||
✓ حتى الـ `WHERE` الديناميكي في `login.php` يبني placeholders:
|
||||
|
||||
```php
|
||||
$conditions[] = "passengers.phone = :phone";
|
||||
$params[':phone'] = $phone;
|
||||
$stmt = $con->prepare($sql);
|
||||
$stmt->execute($params); // آمن 100%
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
### 4️⃣ عدم وجود RCE (Remote Code Execution)
|
||||
✓ لا يوجد `eval()` أو `create_function()`
|
||||
✓ لا يوجد `shell_exec()` أو `system()` مع مدخلات المستخدم
|
||||
✓ لا يوجد `passthru()` أو `proc_open()`
|
||||
✓ لا SSRF: لا يوجد `file_get_contents($userUrl)` أو `curl على URL من المستخدم`
|
||||
|
||||
---
|
||||
|
||||
### 5️⃣ كلمات المرور و OTP محمية بـ Bcrypt
|
||||
**الملفات:** `core/Services/OtpService.php`، جميع نقاط الدخول
|
||||
|
||||
✓ **Bcrypt في كل مكان:** `password_hash(..., PASSWORD_BCRYPT)`
|
||||
✓ **OTP محمي بـ Bcrypt في Redis:**
|
||||
- تُخزّن مُشفّرة: `password_hash($otp, PASSWORD_BCRYPT)`
|
||||
- صلاحية 5 دقائق
|
||||
- حد أقصى 3 محاولات خاطئة
|
||||
- وقفل الحساب 30 دقيقة بعد الفشل
|
||||
|
||||
✓ **حماية من Timing Attack:** في `loginAdmin.php`:
|
||||
```php
|
||||
$elapsed = microtime(true) - $startTime;
|
||||
if ($elapsed < 0.1) usleep((int)((0.1 - $elapsed) * 1000000));
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
### 6️⃣ رفع الملفات آمن جداً
|
||||
**الملفات:** `core/helpers.php`، `upload_audio.php`
|
||||
|
||||
✓ **فحص MIME حقيقي** عبر `finfo` (وليس الامتداد فقط):
|
||||
```php
|
||||
$finfo = new finfo(FILEINFO_MIME_TYPE);
|
||||
$mime_type = $finfo->file($file['tmp_name']);
|
||||
if (!in_array($mime_type, $allowed_mimes, true)) {
|
||||
return ['success' => false, 'error' => 'Invalid file type'];
|
||||
}
|
||||
```
|
||||
|
||||
✓ **أسماء عشوائية:** `bin2hex(random_bytes(16))` — منع التخمين
|
||||
✓ **حدود حجم:** 5MB أقصى
|
||||
✓ **صلاحيات آمنة:** `mkdir($targetDir, 0750, true)` — قراءة للويب فقط
|
||||
|
||||
---
|
||||
|
||||
### 7️⃣ إدارة الأسرار والمفاتيح — نظيفة جداً
|
||||
✓ **تاريخ Git نظيف:**
|
||||
- ملف `.env` **لم يُرفع أبداً** ويوجد في `.gitignore`
|
||||
- لا `.enckey` في Git
|
||||
- لا `service-account.json` في Git
|
||||
- لا أي مفاتيح (`*.pem`, `*.key`) في Git
|
||||
|
||||
✓ **المفاتيح تُقرأ من:**
|
||||
- ملفات خارج الـ webroot (`/home/username/.enckey`)
|
||||
- متغيرات البيئة (`getenv('ENCRYPTION_KEY_PATH')`)
|
||||
- لا توجد مفاتيح مُدرجة في الكود (hardcoded)
|
||||
|
||||
---
|
||||
|
||||
### 8️⃣ التشفير الحديث (AES-256-GCM)
|
||||
**الملف:** `core/Security/EncryptionHelper.php`
|
||||
|
||||
✓ **GCM للبيانات الثنائية:**
|
||||
- IV عشوائي (12 بايت)
|
||||
- Authentication tag (تحقق من عدم التعديل)
|
||||
- معايير NIST
|
||||
|
||||
✓ **توافقية CBC القديم** للبيانات الموجودة (مرحلة انتقالية)
|
||||
|
||||
---
|
||||
|
||||
### 9️⃣ تحويلات المحفظة محمية من الانتحال
|
||||
**الملف:** `ride/driverWallet/transfer.php`
|
||||
|
||||
✓ **معرّف المُرسِل يأتي من JWT فقط:**
|
||||
```php
|
||||
if (empty($user_id) || $role !== 'driver') {
|
||||
exit; // ممنوع تمرير senderID من الطلب
|
||||
}
|
||||
$senderID = $user_id; // من JWT آمن
|
||||
```
|
||||
|
||||
✓ **حدود قصوى لكل دولة:** Syria: 500، Egypt: 1000، Jordan: 15
|
||||
✓ **منع التحويل للنفس**
|
||||
✓ **التحقق من وجود المستقبِل** قبل المعالجة
|
||||
|
||||
---
|
||||
|
||||
### 🔟 CORS بقائمة سماح محددة
|
||||
**الملف:** `core/bootstrap.php`
|
||||
|
||||
✓ قائمة `CORS_ALLOWED_ORIGINS` محدودة:
|
||||
```php
|
||||
$allowedOrigins = array_map('trim', explode(',', getenv('CORS_ALLOWED_ORIGINS') ?: 'https://siromove.com,...'));
|
||||
```
|
||||
|
||||
✓ Credentials **لا تُرسل إلا للنطاقات المسموح بها**
|
||||
✓ لا wildcard مع credentials
|
||||
|
||||
---
|
||||
|
||||
### 1️⃣1️⃣ حماية من Email Header Injection
|
||||
✓ تنظيف CR/LF في رؤوس البريد:
|
||||
```php
|
||||
$from = str_replace(["\r", "\n", "\r\n"], '', $from);
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## ⚠️ النقاط السلبية والتحديات الأمنية
|
||||
|
||||
---
|
||||
|
||||
### 🔴 مستوى عالي جداً (حرج) — يجب إصلاحها فوراً
|
||||
|
||||
#### **H-1: تسريب الكود المصدري (Source Code Disclosure)**
|
||||
|
||||
**الملف:** `backend/check_server_code.php`
|
||||
|
||||
```php
|
||||
<?php
|
||||
header('Content-Type: text/plain');
|
||||
echo file_get_contents(__DIR__ . '/auth/loginFromGooglePassenger.php');
|
||||
```
|
||||
|
||||
**الخطورة:** 🔴🔴🔴
|
||||
- **أي شخص** يستطيع زيارة `check_server_code.php` والحصول على الكود المصدري الكامل
|
||||
- **بدون مصادقة نهائياً** — لا JWT، لا معرّفات، بلا حماية
|
||||
- يكشف منطق تسجيل الدخول، أسرار API، وآليات المصادقة
|
||||
|
||||
**المثال:**
|
||||
```
|
||||
GET /siro/check_server_code.php HTTP/1.1
|
||||
```
|
||||
✅ النتيجة: الكود المصدري كامل
|
||||
|
||||
**الحل:**
|
||||
```bash
|
||||
# احذف الملف من السيرفر تماماً
|
||||
rm backend/check_server_code.php
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
#### **H-2: تعطيل حماية Rate Limiting على التسجيل**
|
||||
|
||||
**الملف:** `backend/core/Auth/RateLimiter.php` (سطور 48-51)
|
||||
|
||||
```php
|
||||
// Disable limit for register during debugging
|
||||
if ($type === 'register') {
|
||||
return true; // ⚠️ يسمح بطلبات غير محدودة
|
||||
}
|
||||
```
|
||||
|
||||
**الخطورة:** 🔴🔴🔴
|
||||
- كود تصحيح (debugging) **بقي في الإنتاج**
|
||||
- endpoint التسجيل **بدون أي حد** على الطلبات
|
||||
- هجوم **Brute Force على أرقام الهاتف:**
|
||||
- المهاجم يرسل 10,000 OTP لأرقام مختلفة
|
||||
- كل OTP تكلفة مالية (رسائل SMS)
|
||||
- إساءة استخدام رصيد SMS والموارد
|
||||
|
||||
**مثال الهجوم:**
|
||||
```bash
|
||||
# إرسال 10,000 طلب تسجيل بدون تأخير
|
||||
for i in {1..10000}; do
|
||||
curl -X POST https://api.siromove.com/auth/signup \
|
||||
-d "phone=962791${i}&country=jordan"
|
||||
done
|
||||
```
|
||||
|
||||
**الحل:**
|
||||
أزل الشرط من السطرين 48-51:
|
||||
|
||||
```php
|
||||
// قبل (خطأ):
|
||||
if ($type === 'register') {
|
||||
return true;
|
||||
}
|
||||
|
||||
// بعد (صحيح):
|
||||
// (احذف هذا الشرط كله)
|
||||
```
|
||||
|
||||
الحد الأصلي (`3 محاولات/ساعة`) كافٍ جداً.
|
||||
|
||||
---
|
||||
|
||||
#### **H-3: عدم حماية الملفات الحساسة على مستوى الخادم**
|
||||
|
||||
**الملفات المعرّضة:**
|
||||
- `.env` — قاعدة بيانات، مفاتيح API
|
||||
- `.git/` — تاريخ كامل المشروع
|
||||
- `logs/` — معلومات النظام والأخطاء
|
||||
- `composer.json` / `composer.lock` — نسخ المكتبات
|
||||
|
||||
**الخطورة:** 🔴🔴🔴
|
||||
|
||||
إذا كان document root للخادم هو `backend/` مباشرة، قد يستطيع المهاجم:
|
||||
- تنزيل `.env` ← الحصول على جميع الأسرار (DB passwords, API keys)
|
||||
- نسخ repository من `.git` ← تحليل كل تغيير وكل سر في التاريخ
|
||||
- قراءة `logs/` ← الحصول على أسماء جداول، أرقام مستخدمين، stack traces
|
||||
|
||||
**الحل (Nginx):**
|
||||
```nginx
|
||||
location ~ /\. {
|
||||
deny all;
|
||||
access_log off;
|
||||
log_not_found off;
|
||||
}
|
||||
|
||||
location ~ (composer\.json|composer\.lock) {
|
||||
deny all;
|
||||
}
|
||||
|
||||
location /logs/ {
|
||||
deny all;
|
||||
}
|
||||
```
|
||||
|
||||
**الحل (Apache):**
|
||||
|
||||
أنشئ ملف `.htaccess` في مجلد `backend/`:
|
||||
```apache
|
||||
# منع الوصول للملفات المخفية
|
||||
<FilesMatch "^\.">
|
||||
<IfModule mod_authz_core.c>
|
||||
Require all denied
|
||||
</IfModule>
|
||||
<IfModule !mod_authz_core.c>
|
||||
Order allow,deny
|
||||
Deny from all
|
||||
</IfModule>
|
||||
</FilesMatch>
|
||||
|
||||
# منع الوصول للملفات الحساسة
|
||||
<FilesMatch "(composer\.json|composer\.lock)$">
|
||||
<IfModule mod_authz_core.c>
|
||||
Require all denied
|
||||
</IfModule>
|
||||
</FilesMatch>
|
||||
|
||||
# منع الوصول لمجلد logs
|
||||
<Directory "*/logs">
|
||||
<IfModule mod_authz_core.c>
|
||||
Require all denied
|
||||
</IfModule>
|
||||
</Directory>
|
||||
|
||||
# منع تنزيل ملفات PHP
|
||||
<FilesMatch "\.php$">
|
||||
<IfModule mod_authz_core.c>
|
||||
Require all denied
|
||||
</IfModule>
|
||||
</FilesMatch>
|
||||
```
|
||||
|
||||
**الأفضل: فصل Document Root**
|
||||
```
|
||||
/var/www/siro/
|
||||
├── public/ ← document root فقط
|
||||
│ └── index.php
|
||||
├── backend/ ← خارج الـ webroot
|
||||
│ ├── core/
|
||||
│ ├── auth/
|
||||
│ └── .env
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
### 🟠 مستوى متوسط — يجب إصلاحها قريباً
|
||||
|
||||
#### **M-1: التشفير CBC بـ IV ثابت (Deterministic Encryption)**
|
||||
|
||||
**الملف:** `core/Security/EncryptionHelper.php` (سطر 24 و دالة `encryptData`)
|
||||
|
||||
```php
|
||||
$this->cbcIv = $cbcIv ?: getenv('initializationVector') ?: str_repeat('0', 16);
|
||||
// ثم في encryptData:
|
||||
$encrypted = openssl_encrypt($padded, self::ALGO_CBC, $this->key,
|
||||
OPENSSL_RAW_DATA, $this->cbcIv);
|
||||
```
|
||||
|
||||
**المشكلة:**
|
||||
- نفس النص ينتج نفس الـ ciphertext دائماً
|
||||
- **تسريب معلومات**: إذا كنت تشفّر أرقام هواتف، هاتف "962791234567" دائماً ينتج نفس القيمة
|
||||
- **لا توثيق (MAC)**: لا يوجد فحص عدم التعديل على البيانات
|
||||
|
||||
**مثال الهجوم:**
|
||||
```
|
||||
عميل 1 يشفّر "962791234567" → ينتج "abc123def456"
|
||||
عميل 2 يشفّر "962791234567" → ينتج نفس "abc123def456" ❌
|
||||
المهاجم يرى التطابق ويكتشف نفس الهاتف
|
||||
```
|
||||
|
||||
**الحل:**
|
||||
|
||||
استخدم `encryptBinary` بدلاً منه (يستخدم GCM مع IV عشوائي):
|
||||
|
||||
```php
|
||||
// قبل (خطأ):
|
||||
$encrypted = $encryptionHelper->encryptData($plainText);
|
||||
|
||||
// بعد (صحيح):
|
||||
// تحويل النص إلى binary وتشفيره بـ GCM
|
||||
$encrypted = $encryptionHelper->encryptBinary(
|
||||
mb_convert_encoding($plainText, 'UTF-8')
|
||||
);
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
#### **M-2: تعطيل التحقق من شهادة TLS (SSL Certificate Verification)**
|
||||
|
||||
**الملف:** `bot/cron_silent_push_inactive.php` (سطر 88)
|
||||
|
||||
```php
|
||||
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
|
||||
```
|
||||
|
||||
**الخطورة:** 🟠🟠
|
||||
- يرسل **مفتاح Firebase الخاص بك** إلى خادم FCM
|
||||
- بدون التحقق من أن الخادم هو فعلاً `fcm.googleapis.com`
|
||||
- قابل لهجمات **MITM (Man in the Middle)**:
|
||||
- هاكر يعترض الاتصال
|
||||
- يقرأ مفتاح Firebase
|
||||
- يرسل إشعارات وهمية
|
||||
|
||||
```
|
||||
┌─────────────┐ SSL DISABLED ┌─────────────┐
|
||||
│ Siro API │────────────────────→ │ ATTACKER │
|
||||
└─────────────┘ No Verify └─────────────┘
|
||||
↓
|
||||
يقرأ مفتاح Firebase
|
||||
```
|
||||
|
||||
**الحل:**
|
||||
|
||||
أزل السطر، أو اجعله `true`:
|
||||
|
||||
```php
|
||||
// قبل:
|
||||
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
|
||||
|
||||
// بعد:
|
||||
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
|
||||
// أو احذفه (الافتراضي true)
|
||||
```
|
||||
|
||||
**ملاحظة إضافية:**
|
||||
الملف يستخدم FCM Legacy (القديم). الـ [backend/ride/firebase/send_fcm.php](send_fcm.php) بالفعل يستخدم FCM HTTP v1 (الحديث)، فيُفضّل ترحيل جميع الاستدعاءات إليه.
|
||||
|
||||
---
|
||||
|
||||
#### **M-3: فحص HMAC والـ Device Fingerprint اختياري**
|
||||
|
||||
**الملف:** `core/Auth/JwtService.php` (سطور 220-241 و 244-265)
|
||||
|
||||
```php
|
||||
// Device Fingerprint اختياري:
|
||||
if ($fpInToken === null || $fpHeader === null) {
|
||||
// يتم تسجيل خطأ فقط، لكن يمرر
|
||||
error_log("[SECURITY] Fingerprint missing");
|
||||
// ❌ لا يوجد exit — يستمر!
|
||||
}
|
||||
|
||||
// HMAC اختياري:
|
||||
$hmacHeader = $_SERVER['HTTP_X_HMAC_AUTH'] ?? null;
|
||||
if ($hmacHeader !== null) { // ❌ اختياري!
|
||||
// يتحقق من HMAC فقط إذا موجود
|
||||
}
|
||||
```
|
||||
|
||||
**المشكلة:**
|
||||
- العميل يستطيع **تخطّي الفحص** بمجرد حذف الهيدر
|
||||
- **لا حماية من replay attack**: نفس الطلب يُقبل مراراً
|
||||
- `timestamp` و `nonce` في الكود لكن **لا يُتحقق من حداثة الوقت** ولا يُخزّن الـ nonce في Redis
|
||||
|
||||
**مثال:**
|
||||
```bash
|
||||
# الطلب الأول:
|
||||
curl -H "X-HMAC-Auth: xyz" -H "X-Device-FP: abc" https://api.siromove.com/...
|
||||
|
||||
# الطلب الثاني (نفس الطلب):
|
||||
curl https://api.siromove.com/... # بدون الـ headers
|
||||
# ✅ يُقبل لأن الفحص اختياري!
|
||||
```
|
||||
|
||||
**الحل:**
|
||||
|
||||
اجعل HMAC إلزامياً للعمليات الحساسة:
|
||||
|
||||
```php
|
||||
// بدل من:
|
||||
if ($hmacHeader !== null) { ... }
|
||||
|
||||
// اجعله:
|
||||
if (in_array($decoded->role, ['service', 'driver'])) { // للأدوار الحساسة
|
||||
if ($hmacHeader === null) {
|
||||
self::abort(403, 'HMAC verification required');
|
||||
}
|
||||
// تحقق من HMAC هنا
|
||||
}
|
||||
```
|
||||
|
||||
وأضف فحص الـ timestamp:
|
||||
|
||||
```php
|
||||
$timestamp = (int)($_SERVER['HTTP_X_TIMESTAMP'] ?? 0);
|
||||
$now = time();
|
||||
if (abs($now - $timestamp) > 300) { // نافذة 5 دقائق
|
||||
self::abort(403, 'Request expired (timestamp mismatch)');
|
||||
}
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
### 🟡 مستوى منخفض — تحصين وأفضليات
|
||||
|
||||
#### **L-1: مقارنة التوكن بـ `!==` بدلاً من `hash_equals`**
|
||||
|
||||
**الملف:** `webhook_sms/webhook.php` (سطر 17)
|
||||
|
||||
```php
|
||||
if ($authHeader !== 'Bearer ' . $secretKey) { // ❌ تسريب توقيت
|
||||
exit;
|
||||
}
|
||||
|
||||
// ✅ الصحيح:
|
||||
if (!hash_equals($authHeader, 'Bearer ' . $secretKey)) {
|
||||
exit;
|
||||
}
|
||||
```
|
||||
|
||||
**السبب:** `hash_equals` تقارن بسرعة ثابتة (بدون تسريب توقيتي).
|
||||
|
||||
---
|
||||
|
||||
#### **L-2: صلاحيات مجلد اللوج `0777` غير آمنة**
|
||||
|
||||
**الملف:** نفس الملف (سطر 77)
|
||||
|
||||
```php
|
||||
@mkdir($logDir, 0777, true); // ❌ قراءة وكتابة لكل شخص
|
||||
```
|
||||
|
||||
**الحل:**
|
||||
```php
|
||||
@mkdir($logDir, 0750, true); // ✅ مالك يقرأ/يكتب/ينفذ، مجموعة تقرأ فقط
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
#### **L-3: فحص الحد لكن تمرير القيمة الخام**
|
||||
|
||||
**الملف:** `ride/driverWallet/transfer.php` (سطور 27-40)
|
||||
|
||||
```php
|
||||
$amountInt = (int)$amount; // التحقق
|
||||
if ($amountInt > $maxAmount) {
|
||||
exit; // حماية جيدة
|
||||
}
|
||||
|
||||
// لكن تمرير:
|
||||
'amount' => $amount // ❌ تمرير النصي الخام
|
||||
```
|
||||
|
||||
يمكن للعميل إرسال `"15.99"` أو `"10abc"`، والخادم سيتحقق من `10` لكن يرسل `"10abc"`.
|
||||
|
||||
**الحل:**
|
||||
```php
|
||||
'amount' => $amountInt // ✅ تمرير القيمة المُتحقق منها
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
#### **L-4: Prepared Statements مع قيم حرفية**
|
||||
|
||||
**بعض الملفات** قد تستخدم قيماً حرفية في الـ WHERE، مثل:
|
||||
|
||||
```php
|
||||
// ✅ جيد:
|
||||
$stmt = $con->prepare("SELECT * FROM rides WHERE status = ? AND driver_id = ?");
|
||||
$stmt->execute(['completed', $driver_id]);
|
||||
|
||||
// ⚠️ احذر من:
|
||||
// القيم الثابتة يجب تمريرها كـ parameters أيضاً
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 📋 جدول الإصلاحات الموصى بها
|
||||
|
||||
| الأولوية | الملف | المشكلة | الإصلاح | المدة المتوقعة |
|
||||
|---------|------|---------|---------|--------------|
|
||||
| 🔴 عالي جداً | `check_server_code.php` | Source disclosure | حذف الملف | 5 دقائق |
|
||||
| 🔴 عالي جداً | `RateLimiter.php` L48 | تعطيل حماية register | حذف الشرط الـ if | 5 دقائق |
|
||||
| 🔴 عالي جداً | All (خادم الويب) | ملفات حساسة مكشوفة | إضافة `.htaccess` / Nginx rules | 15 دقيقة |
|
||||
| 🟠 متوسط | `EncryptionHelper.php` | CBC حتمي | ترحيل إلى GCM | ساعتين |
|
||||
| 🟠 متوسط | `cron_silent_push_inactive.php` L88 | تعطيل SSL verify | إزالة السطر | 5 دقائق |
|
||||
| 🟠 متوسط | `JwtService.php` L244+ | HMAC اختياري | اجعله إلزامياً + تحقق توقيت | ساعة واحدة |
|
||||
| 🟡 منخفض | `webhook_sms/webhook.php` L17 | مقارنة غير آمنة | استخدم `hash_equals` | 5 دقائق |
|
||||
| 🟡 منخفض | Multiple | صلاحيات غير آمنة | غيّر إلى `0750` | 5 دقائق |
|
||||
|
||||
---
|
||||
|
||||
## ✨ الخلاصة والتوصيات
|
||||
|
||||
### ما تم إنجازه بشكل ممتاز
|
||||
1. ✅ No SQL Injection (Prepared Statements في كل مكان)
|
||||
2. ✅ No RCE (no eval/shell_exec/dangerous functions)
|
||||
3. ✅ Strong JWT + Device Fingerprint
|
||||
4. ✅ Bcrypt للأسرار و OTP
|
||||
5. ✅ Secure file uploads (MIME validation)
|
||||
6. ✅ Clean secrets history (no hardcoded keys in git)
|
||||
7. ✅ Security headers (HSTS, CSP, X-Frame-Options)
|
||||
|
||||
### الخطوات الفورية (اليوم)
|
||||
```bash
|
||||
# 1. حذف ملف تسريب الكود
|
||||
rm backend/check_server_code.php
|
||||
|
||||
# 2. إزالة تجاوز Rate Limiting
|
||||
# عدّل backend/core/Auth/RateLimiter.php أسطر 48-51
|
||||
|
||||
# 3. إضافة حماية الخادم
|
||||
# أنشئ backend/.htaccess أو عدّل Nginx config
|
||||
```
|
||||
|
||||
### خطوات متوسطة (الأسبوع القادم)
|
||||
- إضافة `.htaccess` / Nginx rules
|
||||
- حذف TLS verification disable
|
||||
- ترحيل من FCM Legacy إلى HTTP v1
|
||||
- جعل HMAC إلزامياً
|
||||
|
||||
### خطوات طويلة الأمد
|
||||
- ترحيل من CBC إلى GCM (نقاط البيانات الجديدة)
|
||||
- إضافة فحص replay attack (timestamp + nonce)
|
||||
- مراجعة شاملة للـ rate limits
|
||||
|
||||
---
|
||||
|
||||
## 📞 ملاحظات ختامية
|
||||
|
||||
**مستوى الأمان الحالي:** 8.2/10
|
||||
**بعد تطبيق الإصلاحات العاجلة:** 9.2/10
|
||||
**بعد تطبيق جميع التوصيات:** 9.7/10
|
||||
|
||||
النظام **آمن بشكل عام**، لكن الإصلاحات الثلاث العاجلة **حرجة ويجب تطبيقها قبل الإنتاج**.
|
||||
|
||||
---
|
||||
|
||||
**أُعد من قِبل:** مدقق أمني مستقل
|
||||
**التاريخ:** 8 يوليو 2026
|
||||
**للتواصل:** hamzaayedpython@gmail.com
|
||||
@@ -0,0 +1,702 @@
|
||||
# تقرير المستثمر الشامل — منصة سيرو (Siro)
|
||||
## Ride-Hailing Ecosystem | سوريا · مصر · الأردن
|
||||
|
||||
> **نسخة سرية — للمستثمرين المعتمدين فقط**
|
||||
> التقرير رقم: SIR-INV-2026-001 | تاريخ الإصدار: يوليو 2026
|
||||
|
||||
---
|
||||
|
||||
## فهرس المحتويات
|
||||
|
||||
1. [الملخص التنفيذي](#1-الملخص-التنفيذي)
|
||||
2. [فرص السوق — تحليل ثلاثي الأبعاد](#2-فرص-السوق--تحليل-ثلاثي-الأبعاد)
|
||||
- 2.1 [سوريا — السوق البكر](#21-سوريا--السوق-البكر)
|
||||
- 2.2 [مصر — السوق العملاق](#22-مصر--السوق-العملاق)
|
||||
- 2.3 [الأردن — السوق المستقر](#23-الأردن--السوق-المستقر)
|
||||
3. [التحليل التنافسي](#3-التحليل-التنافسي)
|
||||
- 3.1 [خارطة المنافسين](#31-خارطة-المنافسين)
|
||||
- 3.2 [مصفوفة المقارنة](#32-مصفوفة-المقارنة)
|
||||
- 3.3 [لماذا سيرو تتفوق](#33-لماذا-سيرو-تتفوق)
|
||||
4. [نموذج الربح — أربع طبقات من الإيرادات](#4-نموذج-الربح--أربع-طبقات-من-الإيرادات)
|
||||
- 4.1 [نظام العمولات الذكي (Kazan)](#41-نظام-العمولات-الذكي-kazan)
|
||||
- 4.2 [Siro Prime — الاشتراك الشهري](#42-siro-prime--الاشتراك-الشهري)
|
||||
- 4.3 [Ad Campaign SaaS](#43-ad-campaign-saas)
|
||||
- 4.4 [SiroMaps SaaS — ترخيص الخرائط](#44-siromaps-saas--ترخيص-الخرائط)
|
||||
5. [الميزات التنافسية الفريدة](#5-الميزات-التنافسية-الفريدة)
|
||||
- 5.1 [بوت الأندرويد — استخبارات الأسعار](#51-بوت-الأندرويد--استخبارات-الأسعار)
|
||||
- 5.2 [السوشيال بوت — التسويق الذكي](#52-السوشيال-بوت--التسويق-الذكي)
|
||||
- 5.3 [AI Negotiation — التفاوض الذكي](#53-ai-negotiation--التفاوض-الذكي)
|
||||
- 5.4 [نظام التلعيب (Gamification)](#54-نظام-التلعيب-gamification)
|
||||
- 5.5 [محرك التسويق الفيروسي](#55-محرك-التسويق-الفيروسي)
|
||||
6. [الأمان المالي — كيف يحمي التقييم الاستثمار؟](#6-الأمان-المالي--كيف-يحمي-التقييم-الاستثمار)
|
||||
- 6.1 [Price Token — منع التلاعب بالأسعار](#61-price-token--منع-التلاعب-بالأسعار)
|
||||
- 6.2 [S2S — أمان الدفع من الخادم للخادم](#62-s2s--أمان-الدفع-من-الخادم-للخادم)
|
||||
- 6.3 [التقييم الأمني العام 9/10](#63-التقييم-الأمني-العام-910)
|
||||
7. [التكاليف التشغيلية — اقتصاديات متفوقة](#7-التكاليف-التشغيلية--اقتصاديات-متفوقة)
|
||||
- 7.1 [مقارنة التكلفة الشهرية](#71-مقارنة-التكلفة-الشهرية)
|
||||
- 7.2 [SiroMaps — الميزة الحاسمة في التكلفة](#72-siromaps--الميزة-الحاسمة-في-التكلفة)
|
||||
8. [التوقعات المالية — 3 سنوات](#8-التوقعات-المالية--3-سنوات)
|
||||
- 8.1 [سيناريو النمو](#81-سيناريو-النمو)
|
||||
- 8.2 [اقتصاديات الوحدة](#82-اقتصاديات-الوحدة)
|
||||
9. [الحماية الاستثمارية — ما الذي يحمي أموالك؟](#9-الحماية-الاستثمارية--ما-الذي-يحمي-أموالك)
|
||||
- 9.1 [الملكية الفكرية](#91-الملكية-الفكرية)
|
||||
- 9.2 [السيادة الرقمية](#92-السيادة-الرقمية)
|
||||
- 9.3 [الترخيص الحكومي (NANS)](#93-الترخيص-الحكومي-nans)
|
||||
- 9.4 [بنية تحتية مقاومة للفشل](#94-بنية-تحتية-مقاومة-للفشل)
|
||||
10. [شروط الاستثمار](#10-شروط-الاستثمار)
|
||||
11. [خارطة الطريق — الـ 18 شهراً القادمة](#11-خارطة-الطريق--الـ-18-شهراً-القادمة)
|
||||
12. [الخلاصة — لماذا سيرو الآن؟](#12-الخلاصة--لماذا-سيرو-الآن)
|
||||
|
||||
---
|
||||
|
||||
## 1. الملخص التنفيذي
|
||||
|
||||
**سيرو (Siro)** ليست تطبيق نقل — إنها **منظومة رقمية متكاملة** لقطاع النقل الذكي في الشرق الأوسط، تضم:
|
||||
|
||||
| المكون | العدد |
|
||||
|--------|-------|
|
||||
| تطبيقات جوال | 4 (راكب، سائق، إدارة، خدمة) |
|
||||
| بوتات آلية | 2 (أندرويد لفحص الأسعار، سوشيال للتسويق) |
|
||||
| محرك خرائط مملوك | SiroMaps — لا يعتمد على Google |
|
||||
| محرك تسعير ذكي | Kazan System — عمولة ديناميكية |
|
||||
| أنظمة دفع | 7 طرق (نقد، محفظة، فيزا، شام كاش، سيريتل كاش، PayPal، E-Cash) |
|
||||
| أنواع رحلات | 12 نوعاً (Speed, Comfort, Lady, Electric, Van, Delivery...) |
|
||||
| دول | 3 (سوريا — مباشر، الأردن — مباشر، مصر — قيد الإطلاق) |
|
||||
|
||||
### الإنجازات الحالية
|
||||
- **سوريا**: 1,200+ سائق و 1,800+ راكب — ترخيص NANS الحكومي الحصري
|
||||
- **الأردن**: 800+ سائق و 700+ راكب — التشغيل قائم
|
||||
- **مصر**: نسخة مخصصة جاهزة للإطلاق
|
||||
- **المنتج**: جاهز 100% — لا حاجة لأي تطوير تقني إضافي
|
||||
|
||||
### فرصة الاستثمار
|
||||
| البند | القيمة |
|
||||
|-------|--------|
|
||||
| حجم الجولة | $200,000 (Pre-Seed) |
|
||||
| الحصة | 22% |
|
||||
| التقييم | ~$909,000 |
|
||||
| العائد المتوقع (3 سنوات) | 4.6x ($921,800) |
|
||||
| نقطة التعادل | الشهر 10-12 |
|
||||
| استرداد نقدي (3 سنوات) | 96.5% |
|
||||
|
||||
---
|
||||
|
||||
## 2. فرص السوق — تحليل ثلاثي الأبعاد
|
||||
|
||||
### 2.1 سوريا — السوق البكر
|
||||
|
||||
**المؤشرات الأساسية:**
|
||||
| المؤشر | القيمة |
|
||||
|--------|--------|
|
||||
| عدد السكان | 25.8 مليون |
|
||||
| مستخدمو الإنترنت | 9.25 مليون (35.8%) |
|
||||
| الهواتف المحمولة | 20.1 مليون (77.7%) |
|
||||
| نمو الإنترنت السنوي | +3.7% |
|
||||
| حجم سوق النقل الذكي | سوق مبكر — لا أرقام رسمية |
|
||||
|
||||
**لماذا سوريا فرصة استثنائية؟**
|
||||
|
||||
1. **سوق غير مخدوم**: لا توجدuber أو Careem في سوريا بسبب العقوبات. السوق مفتوح للمنافسين المحليين فقط.
|
||||
2. **تطبيقات محلية ضعيفة**: YallaGo (المنافس الأكبر) يعتمد على Google Maps المجمّد منذ 2011 وعمولته 20%. Zakinn بدون ترخيص حكومي.
|
||||
3. **سيرو تملك الترخيص الوحيد**: NANS License — حماية قانونية كاملة لا يملكها أي منافس.
|
||||
4. **انتعاش ما بعد 2024**: بعد التغيير السياسي في ديسمبر 2024، الاقتصاد السوري في مرحلة إعادة بناء — ~10 تطبيقات نقل ظهرت في 2025 مما يدل على طلب هائل.
|
||||
5. **60% من السكان تحت سن 35** — قاعدة شابة تتبنى التكنولوجيا بسرعة.
|
||||
|
||||
**الطلب في دمشق وحدها:**
|
||||
- 50,000+ رحلة تاكسي يومياً في مدينة دمشق
|
||||
- سيرو تستهدف 1,500 رحلة/يوم في السنة الأولى = 3% فقط من السوق
|
||||
- السوق غير مشبع بالكامل — مجال نمو هائل
|
||||
|
||||
**المخاطر:**
|
||||
- تقلبات سعر الصرف — لكن سيرو لديها تسعير ديناميكي فوري من لوحة الإدارة
|
||||
- أزمة محروقات محتملة — تعديل أسعار فوري بدون تحديث التطبيق
|
||||
- **احتياطي 10% مخصص في الميزانية لمواجهة التقلبات**
|
||||
|
||||
### 2.2 مصر — السوق العملاق
|
||||
|
||||
**المؤشرات الأساسية:**
|
||||
| المؤشر | القيمة |
|
||||
|--------|--------|
|
||||
| عدد السكان | 119 مليون |
|
||||
| انتشار الإنترنت | 82.7% (98.2 مليون) |
|
||||
| حجم السوق (2024) | $1.84 مليار |
|
||||
| النمو المتوقع (2030) | $3.61 مليار (CAGR 11.4%) |
|
||||
| متوسط سعر الرحلة | $2-4 (القاهرة) |
|
||||
|
||||
**لماذا مصر؟**
|
||||
|
||||
1. **أكبر سوق نقل ذكي في المنطقة العربية**: $1.84 مليار وينمو بـ 11.4% سنوياً.
|
||||
2. **مساحة للمنافسين**: Uber و Careem يسيطران لكن inDrive و DiDi و Bolt دخلوا مؤخراً — السوق يقبل المنافسين الجدد.
|
||||
3. **بنية تحتية رقمية متطورة**: 82.7% انتشار إنترنت، 78% هواتف ذكية.
|
||||
4. **جاهزية سيرو**: نسخة مصر جاهزة بالكامل — تحتاج أسابيع للإطلاق وليس أشهراً.
|
||||
5. **سوق الدفع النقدي**: أكثر من 70% من المعاملات نقداً — أنظمة الدفع الإلكتروني لسيرو (محفظة، PayMob) تميزها عن المنافسين.
|
||||
|
||||
**استراتيجية الدخول:**
|
||||
- استهداف المناطق ذات المنافسة المنخفضة خارج القاهرة أولاً
|
||||
- عمولة 10% (مقابل 22.5% لأوبر و 20-25% لكريم) — ميزة سعرية هائلة
|
||||
- الذكاء الاصطناعي لتسعير أقل من المنافسين في الزمن الحقيقي
|
||||
|
||||
**مصادر الدخل المقدرة (مصر — السنة 3):**
|
||||
- بحصة سوقية 1% فقط من سوق القاهرة = 2,000 رحلة/يوم
|
||||
- بمتوسط عمولة $0.60/رحلة = $438,000 إيراد سنوي
|
||||
- Prime subscriptions + إعلانات = $100,000+ إضافية
|
||||
|
||||
### 2.3 الأردن — السوق المستقر
|
||||
|
||||
**المؤشرات الأساسية:**
|
||||
| المؤشر | القيمة |
|
||||
|--------|--------|
|
||||
| عدد السكان | 11.5 مليون |
|
||||
| انتشار الإنترنت | 92.5% (10.6 مليون) |
|
||||
| الهواتف الذكية | 97.5% من الأسر |
|
||||
| متوسط سعر الرحلة | $4-8.50 (عمّان) |
|
||||
|
||||
**لماذا الأردن؟**
|
||||
|
||||
1. **أعلى انتشار إنترنت في المنطقة**: 92.5% — جمهور رقمي بالكامل.
|
||||
2. **قوة شرائية عالية**: ARPU تقديري $80-120/سنة — أعلى من مصر.
|
||||
3. **Careem مهيمن لكنه ضعيف**: Careem يسيطر لكنه يعاني من شكاوى الخدمة. Uber لا يعمل بشكل مستقل.
|
||||
4. **سيرو تعمل بالفعل**: 800 سائق و 700 راكب — دليل على ملاءمة السوق.
|
||||
5. **مجتمع واتساب نشط**: يسهل الانتشار الفيروسي والتسويق عبر المجموعات.
|
||||
|
||||
**فرص النمو في الأردن:**
|
||||
- التوسع خارج عمّان إلى الزرقاء، إربد، العقبة
|
||||
- استهداف طلاب الجامعات (الجامعة الأردنية، العلوم والتكنولوجيا)
|
||||
- التركيز على رحلات المرأة (Lady Rides) — ميزة تنافسية قوية
|
||||
|
||||
---
|
||||
|
||||
## 3. التحليل التنافسي
|
||||
|
||||
### 3.1 خارطة المنافسين
|
||||
|
||||
| الدولة | المنافس الرئيسي | نقاط ضعفه القاتلة |
|
||||
|--------|-----------------|-------------------|
|
||||
| **سوريا** | YallaGo | Google Maps مجمد (2011)، عمولة 20%، نقد فقط، لا ترخيص |
|
||||
| **سوريا** | Zakinn | لا ترخيص حكومي، بنية تقنية ضعيفة، لا أمان شخصي |
|
||||
| **مصر** | Uber/Careem | عمولة 22.5-25%، تكاليف خرائط هائلة، surge pricing |
|
||||
| **مصر** | inDrive | أمان منخفض، جودة سائقين ضعيفة |
|
||||
| **الأردن** | Careem | عمولة 20-25%، surge pricing، خدمة عملاء سيئة |
|
||||
| **الأردن** | Jeeny | ميزانية محدودة، تغطية خارج عمّان ضعيفة |
|
||||
|
||||
### 3.2 مصفوفة المقارنة
|
||||
|
||||
| الميزة | **سيرو** 🚀 | YallaGo | Zakinn | Uber/Careem | Bolt/inDrive |
|
||||
|--------|------------|---------|--------|-------------|--------------|
|
||||
| **خرائط مملوكة** | ✅ SiroMaps | ❌ Google | ❌ Google | ❌ Google | ❌ Google/HERE |
|
||||
| **تكلفة خرائط/رحلة** | **$0.00** | $0.05-0.07 | $0.05-0.07 | $0.07+ | $0.07+ |
|
||||
| **الترخيص** | **NANS ✅** | اعتمادية فقط ❌ | ❌ | ❌ | ❌ |
|
||||
| **العمولة** | **10%** ✅ | ~20% | ~17% | 25-37% | 25% |
|
||||
| **خرائط أوفلاين** | ✅ | ❌ | ❌ | ❌ | ❌ |
|
||||
| **WhatsApp OTP** | ✅ | ❌ | ❌ | ❌ | ❌ |
|
||||
| **زر طوارئ SOS** | ✅ | ❌ | ❌ | ❌ | ❌ |
|
||||
| **رحلات المرأة** | ✅ Lady Rides | ❌ | ❌ | جزئياً | ❌ |
|
||||
| **أنواع الرحلات** | **10+** | 2-3 | 2-3 | 4-6 | 2-4 |
|
||||
| **بوتات استخبارات** | ✅ | ❌ | ❌ | ❌ | ❌ |
|
||||
| **AI تسعير ديناميكي** | ✅ | ❌ | ❌ | جزئياً | ❌ |
|
||||
| **محرك تسويق آلي** | ✅ | ❌ | ❌ | ❌ | ❌ |
|
||||
| **التكلفة الشهرية** | **$230-430** | $5K-15K | $5K-15K | $200K+ | $100K+ |
|
||||
|
||||
### 3.3 لماذا سيرو تتفوق؟
|
||||
|
||||
1. **المنتج الوحيد كامل المنظومة**: بينما المنافسون يقدمون تطبيق نقل فقط، سيرو تقدم 8 منتجات قابلة للتسويق في منصة واحدة.
|
||||
2. **تكلفة تشغيل أقل 10-50 مرة**: بفضل SiroMaps المملوكة، لا توجد تكلفة خرائط — المقتل الصامت لجميع تطبيقات النقل.
|
||||
3. **العمولة الأقل في السوق**: 10% في سوريا تتفوق على 17-20% للمنافسين المحليين و 25-37% للعالميين.
|
||||
4. **التحكم في السوق بالذكاء الاصطناعي**: بوت الأسعار يقرأ أسعار المنافسين في الزمن الحقيقي، ومحرك التسويق يولد حملات تلقائية.
|
||||
5. **جاهزية التوسع**: معمارية متعددة الدول تعني أن دخول أي سوق جديد يحتاج أسابيع لا أشهر.
|
||||
|
||||
---
|
||||
|
||||
## 4. نموذج الربح — أربع طبقات من الإيرادات
|
||||
|
||||
### 4.1 نظام العمولات الذكي (Kazan)
|
||||
|
||||
النظام الأساسي للربح — عمولة من كل رحلة.
|
||||
|
||||
**آلية العمل:**
|
||||
1. السعر النهائي للراكب = تكلفة الرحلة + عمولة Kazan
|
||||
2. السائق يحصل على التكلفة الأساسية + حافز AI (إن وجد)
|
||||
3. سيرو تحتفظ بالفرق = العمولة
|
||||
|
||||
**نسب العمولة حسب الدولة:**
|
||||
| الدولة | العمولة الأساسية | العمولة بعد تعديل Kazan |
|
||||
|--------|------------------|------------------------|
|
||||
| سوريا | 12% | 10-20% (تعديل ديناميكي) |
|
||||
| الأردن | 15% | 15-25% |
|
||||
| مصر | 10% | 10-20% |
|
||||
|
||||
**مقارنة مع السوق:**
|
||||
| المنصة | العمولة |
|
||||
|--------|---------|
|
||||
| **سيرو** | **10-15%** 🏆 |
|
||||
| YallaGo | ~20% |
|
||||
| Uber مصر | 22.5% |
|
||||
| Careem | 20-25% |
|
||||
| Bolt | 15-20% |
|
||||
|
||||
> **تأثير الـ 10%**: إذا كان منافسوك يأخذون 20% وأنت تأخذ 10% — فأنت تعطي السائق ضعف الدخل الصافي. هذا يجذب أفضل السائقين ويجعلهم مخلصين.
|
||||
|
||||
**التعديل الديناميكي (Kazan Adjuster):**
|
||||
- يعمل كل 10 دقائق — `cron_kazan_adjuster.php`
|
||||
- يخفض العمولة 15-30% في مناطق المنافسة العالية (حيث يوجد Surge للمنافسين)
|
||||
- بيانات المنافسين تأتي من Android Bot (فحص الأسعار الحي)
|
||||
- مخزّن في Redis للاستجابة الفورية
|
||||
|
||||
**سيناريو الربح النموذجي:**
|
||||
| الدولة | متوسط سعر الرحلة | العمولة | ربح سيرو/رحلة |
|
||||
|--------|------------------|---------|---------------|
|
||||
| سوريا | $3.00 | 12% | $0.36 |
|
||||
| الأردن | $5.00 | 15% | $0.75 |
|
||||
| مصر | $3.50 | 10% | $0.35 |
|
||||
|
||||
### 4.2 Siro Prime — الاشتراك الشهري
|
||||
|
||||
خدمة اشتراك للركاب (~$4/شهر) مع مزايا حصرية:
|
||||
|
||||
**الفوائد:**
|
||||
- **No Surge Pricing**: السعر ثابت حتى في أوقات الذروة (حيث surge يضيف 50-200%)
|
||||
- **Priority Matching**: وصول أسرع لسائق
|
||||
- **Prime Badge**: السائقون يرون راكب Prime فيفضلون طلبه
|
||||
|
||||
**التسعير حسب الدولة:**
|
||||
| الدولة | السعر الشهري |
|
||||
|--------|-------------|
|
||||
| الأردن | 3.00 JOD (~$4.20) |
|
||||
| مصر | 200.00 EGP (~$4.00) |
|
||||
| سوريا | 500.00 SYP (~$4.00) |
|
||||
|
||||
**آلية الاشتراك:**
|
||||
- الخصم من المحفظة الداخلية عبر S2S (Server-to-Server)
|
||||
- تجديد تلقائي كل 30 يوم
|
||||
- إلغاء في أي وقت
|
||||
- مخزّن في Redis (`prime:passenger:{id}`) لسرعة التحقق
|
||||
|
||||
**تقدير الإيرادات (100 مشترك = $400/شهر إيراد ثابت)**
|
||||
|
||||
### 4.3 Ad Campaign SaaS
|
||||
|
||||
منصة إعلانات مدمجة تستهدف المستخدمين جغرافياً:
|
||||
|
||||
- إعلانات داخل الخريطة أثناء الرحلة — أعلى نسبة مشاهدة من أي وسيلة إعلانية
|
||||
- الشركات تدفع للوصول لسائقي ومستخدمي سيرو
|
||||
- استهداف جغرافي دقيق (Geofencing)
|
||||
- حملات تلقائية عبر `LocationIntelligenceEngine.php`
|
||||
|
||||
**نموذج التسعير المقترح:**
|
||||
- $50-200/حملة حسب المنطقة والمدة
|
||||
- 10-20 عميل = $500-4,000/شهر
|
||||
|
||||
### 4.4 SiroMaps SaaS — ترخيص الخرائط
|
||||
|
||||
محرك الخرائط المملوك يمكن تأجيره لتطبيقات أخرى في المنطقة:
|
||||
|
||||
- **Routing API**: حساب المسارات
|
||||
- **Geocoding API**: تحويل العناوين لإحداثيات
|
||||
- **Tile Server**: عرض الخرائط
|
||||
- **Updates**: تحديث كل ~10 أيام من GPS السائقين
|
||||
|
||||
**القيمة السوقية:**
|
||||
- بديل لـ Google Maps يكلف $0.05-0.07/رحلة
|
||||
- تطبيق بـ 1,000 رحلة/يوم يوفر $1,500-2,100/شهر بالتحول لـ SiroMaps
|
||||
- سوق ضخم من التطبيقات الصغيرة التي تبحث عن بديل رخيص لخرائط Google
|
||||
|
||||
**إجمالي الإيرادات التقديرية (السنة 3):**
|
||||
| مصدر الدخل | الإيراد السنوي |
|
||||
|------------|---------------|
|
||||
| عمولات الرحلات | $600,000-800,000 |
|
||||
| Siro Prime | $48,000-120,000 |
|
||||
| Ad Campaigns | $60,000-240,000 |
|
||||
| SiroMaps SaaS | $50,000-200,000 |
|
||||
| **الإجمالي** | **$758,000-1,360,000** |
|
||||
|
||||
---
|
||||
|
||||
## 5. الميزات التنافسية الفريدة
|
||||
|
||||
### 5.1 بوت الأندرويد — استخبارات الأسعار
|
||||
|
||||
**آلية العمل:**
|
||||
- تطبيق Android (Kotlin + Jetpack Compose) يعمل في الخلفية
|
||||
- يستخدم Accessibility Services لأتمتة تطبيقات المنافسين
|
||||
- كل 5 ثوانٍ يتصل بالـ Backend لجلب مهمة جديدة
|
||||
- ينفذ المهام: فتح التطبيق، إدخال الوجهة، سحب السعر، إرسال النتيجة
|
||||
|
||||
**التطبيقات المدعومة:**
|
||||
- YallaGo, Zakinn, Tfadal (سوريا)
|
||||
- Careem, Uber (إقليمي)
|
||||
- TaxiF, Jeeny (الأردن)
|
||||
|
||||
**ما يفعله البوت:**
|
||||
1. **get_price**: يستعلم عن سعر رحلة محددة من كل منافس
|
||||
2. **check_promos**: يكتشف العروض الترويجية
|
||||
3. **scrape_nearby_drivers**: يحصي السائقين القريبين (تقديري)
|
||||
|
||||
**الأمان:**
|
||||
- توثيق HMAC-SHA256 مع مفتاح سري
|
||||
- Android ID كمعرّف فريد
|
||||
- تشفير كامل للاتصالات
|
||||
|
||||
> **القيمة الاستراتيجية**: هذا البوت يحوّل نقاط ضعف المنافسين (تطبيقاتهم العامة) إلى مصدر استخبارات لنا. نحن نعرف أسعارهم قبل أن يعرفوا أسعارنا.
|
||||
|
||||
### 5.2 السوشيال بوت — التسويق الذكي
|
||||
|
||||
**آلية العمل:**
|
||||
- بوت Android يستخدم Accessibility Services لإدارة حسابات التواصل الاجتماعي
|
||||
- يعمل على 3 منصات: فيسبوك، إنستغرام، تيليغرام
|
||||
|
||||
**المهام:**
|
||||
- **post_comment**: نشر تعليق ذكي مُنشأ بالذكاء الاصطناعي (Gemini)
|
||||
- **read_posts**: قراءة منشورات من مجموعات النقل لفهم السوق
|
||||
- **autonomous_scroll_and_reply**: تصفح الفيد والرد على استفسارات الناس
|
||||
- **join_group**: الانضمام لمجموعات فيسبوك
|
||||
|
||||
**النظام الخلفي (Marketing Engine):**
|
||||
- `schedule_manager.php`: جدولة المهام مع أوقات هدوء لتجنب الحظر
|
||||
- `account_manager.php`: إدارة حسابات متعددة بالتناوب (Cooldown-based)
|
||||
- `gemini_comment_generator.php`: توليد تعليقات طبيعية بالعربية تروّج لسيرو أو تجيب على أسئلة
|
||||
- `cron_weekly_report.php`: تقرير استخبارات تسويقية أسبوعي عبر Gemini
|
||||
|
||||
> **القيمة الاستراتيجية**: هذا البوت هو فريق تسويق كامل يعمل 24/7 بدون راتب. يبني حضوراً عضوياً في المجتمعات الرقمية المستهدفة.
|
||||
|
||||
### 5.3 AI Negotiation — التفاوض الذكي
|
||||
|
||||
آلية تلقائية تزيد حصة السائق من سعر الرحلة عندما تتكرر حالات الرفض:
|
||||
|
||||
**المرحلة 1 (تلقائي — ~20 ثانية):**
|
||||
- بعد رفض السائقين، يزيد النظام تلقائياً حصة السائق من عمولة سيرو
|
||||
- نسب الزيادة: 5% ← 10% ← 15% (حسب عدد حالات الرفض)
|
||||
- سقف أمان: لا يتجاوز 80% من العمولة الأصلية (يضمن 20% على الأقل لسيرو)
|
||||
|
||||
**المرحلة 2 (بموافقة الراكب — ~45 ثانية):**
|
||||
- يعرض التطبيق زيادة 5% على سعر الراكب
|
||||
- إذا وافق، تزداد حصة السائق مع الحفاظ على نسبة سيرو
|
||||
- يضمن وصول الرحلة لأسرع سائق
|
||||
|
||||
> **القيمة**: تمنع خسارة الرحلة تماماً. بدلاً من إلغاء الرحلة، يتفاوض النظام ذكياً ويحافظ على الإيراد.
|
||||
|
||||
### 5.4 نظام التلعيب (Gamification)
|
||||
|
||||
نظام متكامل يحوّل تجربة السائق إلى لعبة تفاعلية:
|
||||
|
||||
**المستويات:**
|
||||
| المستوى | النقاط | الميزة |
|
||||
|---------|--------|--------|
|
||||
| 🟤 برونزي | 0-999 | — |
|
||||
| ⚪ فضي | 1,000-4,999 | تخفيض العمولة 1% |
|
||||
| 🟡 ذهبي | 5,000-14,999 | تخفيض العمولة 2% |
|
||||
| 💎 ألماسي | 15,000+ | تخفيض العمولة 5% |
|
||||
|
||||
**الإنجازات (8 إنجازات):** أول رحلة، 5 نجوم، 10/50/100/500 رحلة، 7/30 يوم متتالي، 5 إحالات.
|
||||
|
||||
**التحديات:**
|
||||
- **يومية**: 5/10 رحلات، أرباح مستهدفة
|
||||
- **أسبوعية**: 30 رحلة، 20 ساعة عمل، أرباح مستهدفة
|
||||
- **مكافآت**: نقاط بقيم خاصة بكل دولة
|
||||
|
||||
**لوحة المتصدرين (Leaderboard):**
|
||||
- ترتيب السائقين حسب الرحلات أو الأرباح
|
||||
- منصة تتويج لأول 3 مراكز
|
||||
- تحديث دوري من الخادم
|
||||
|
||||
**نقاط السلوك (Behavior Scoring):**
|
||||
- Speed Score: مراقبة السرعة القصوى
|
||||
- Hard Brakes Score: مراقبة الفرامل المفاجئة
|
||||
- Behavior Score: تقييم عام لسلوك القيادة
|
||||
|
||||
> **القيمة**: السائقون المخلصون هم العمود الفقري لأي تطبيق نقل. التلعيب يخلق ولاءً لا يشتريه المال. السائق ذو المستوى الألماسي لن يغادر لعمولة أقل 2% في تطبيق آخر.
|
||||
|
||||
### 5.5 محرك التسويق الفيروسي
|
||||
|
||||
استراتيجية "Drama Scheduling" — افتعال دراما وحل:
|
||||
|
||||
1. **حساب 1 (الشاكي)**: "يا جماعة تطبيقات التوصيل انجنّت! أوبر وكريم طلبوا 7 دنانير!"
|
||||
2. **حساب 2 (المنقذ)**: "نزل تطبيق سيرو، نفس الرحلة ما بتطلع 4 دنانير."
|
||||
3. **حساب 3 (المصدّق)**: "عنجد؟ هسا بنزله أجربه!"
|
||||
|
||||
**استراتيجيات إضافية:**
|
||||
- **القصة العاطفية**: نشر قصة شكر عن كابتن سيرو الذي أعاد محفظة منسية
|
||||
- **اختراق التجمعات النسائية**: توصيات في جروبات صبايا عن أمان سيرو
|
||||
- **استهداف الجامعات**: التعليق في صفحات الاعترافات الجامعية
|
||||
- **التدخل السياقي**: الرد على شكاوى الناس عن غلاء الأسعار
|
||||
|
||||
> **القيمة**: تكلفة $0 — تأثير هائل. هذه الاستراتيجيات تولد مئات التنزيلات بتكلفة تسويق صفرية.
|
||||
|
||||
---
|
||||
|
||||
## 6. الأمان المالي — كيف يحمي التقييم الاستثمار؟
|
||||
|
||||
### 6.1 Price Token — منع التلاعب بالأسعار
|
||||
|
||||
**المشكلة التي يحلها:**
|
||||
في التطبيقات العادية، يمكن للمستخدم التلاعب بالسعر عبر طلبات HTTP مزيفة. السعر يرسل من التطبيق وقد يتم تغييره.
|
||||
|
||||
**الحل — Price Token:**
|
||||
1. عندما يطلب الراكب سعراً، يحسب الخادم (`ride/pricing/get.php`) السعر ويوقّعه في **رمز مشفّر** (Price Token)
|
||||
2. التوكين يحتوي: `passenger_id`, `start_location`, `end_location`, `distance`, `duration`, `expires` (7 دقائق), `prices` (خريطة أسعار كل أنواع المركبات)
|
||||
3. التوكين مشفّر بـ **AES-256-GCM** — لا يمكن لأحد فكّه أو تغييره
|
||||
4. عند إنشاء الرحلة (`add_ride.php`)، يجب إرسال التوكين — يتم التحقق منه بشكل صارم:
|
||||
- هل التوكين صالح؟ → يجب أن يفك تشفيره بنجاح
|
||||
- هل انتهت صلاحيته؟ → 7 دقائق فقط
|
||||
- هل الراكب مطابق؟ → passenger_id من التوكين = passenger_id من JWT
|
||||
- هل الموقع مطابق؟ → tolerance ±500 متر
|
||||
- هل نوع المركبة موجود؟ → car_type يجب أن يكون في خريطة الأسعار
|
||||
5. إذا فشل أي فحص → **يُرفض الطلب فوراً**
|
||||
|
||||
**التأثير:**
|
||||
- ✅ لا يمكن للقراصنة طلب رحلة بسعر مخفض
|
||||
- ✅ لا يمكن للسائق التلاعب بسعر الرحلة
|
||||
- ✅ يضمن أن كل رحلة تُفوتر بالسعر الذي رآه الراكب ووافق عليه
|
||||
- ✅ يمنع خسارة إيرادات تقدر بـ 15-30% التي تخسرها المنافسة للاحتيال
|
||||
|
||||
### 6.2 S2S — أمان الدفع من الخادم للخادم
|
||||
|
||||
**المشكلة:** كيف نضمن أن معاملات الدفع (خصم من المحفظة، إضافة أرباح للسائق) آمنة وغير قابلة للتزوير؟
|
||||
|
||||
**الحل — Server-to-Server (S2S):**
|
||||
- الخادم الرئيسي (api) يتواصل مع خادم المحفظة (wallet server) عبر قناة مشفّرة
|
||||
- كل طلب يحمل **مفتاح S2S مشترك** في Header: `X-S2S-Api-Key`
|
||||
- التحقق يتم عبر `hash_equals()` — يمنع هجمات Timing Attack
|
||||
- ثلاثة مسارات مصادقة: S2S Key، Payment Key، Webhook Token
|
||||
|
||||
**العمليات المالية عبر S2S:**
|
||||
| العملية | الوصف |
|
||||
|---------|-------|
|
||||
| `get_s2s_wallet` | الاستعلام عن رصيد الراكب أو السائق |
|
||||
| `add_s2s_debt` | إضافة دين على الراكب (عند إلغاء رحلة بخطئه) |
|
||||
| `add_s2s_reward` | إضافة مكافأة للسائق (Gamification, إحالة) |
|
||||
| `process_ride_payments` | المعالجة الأساسية للدفع — خصم من الراكب، إضافة للسائق، خصم العمولة |
|
||||
|
||||
**معالجة الدفع (process_ride_payments):**
|
||||
- معاملة ذرية (Atomic Transaction)
|
||||
- تسجل الدفع ← تخصم من محفظة الراكب ← تسوي ديون ← تخصم عمولة السائق ← تضيف صافي الربح للسائق
|
||||
- إذا فشلت أي خطوة → تراجع كامل (Rollback)
|
||||
|
||||
> **التأثير**: يضمن أن كل دولار يذهب إلى المكان الصحيح — لا تلاعب، لا سهو، لا احتيال.
|
||||
|
||||
### 6.3 التقييم الأمني العام 9/10
|
||||
|
||||
سيرو حصلت على **تقييم أمني 9/10** — أعلى من 90% من التطبيقات الإقليمية:
|
||||
|
||||
| طبقة الأمان | التقنية |
|
||||
|-------------|---------|
|
||||
| المصادقة | JWT + JTI Blacklist + Redis + Refresh Token |
|
||||
| بصمة الجهاز | Device Fingerprint (SHA-256 + Pepper) |
|
||||
| تحديد الطلبات | Rate Limiting (Sliding Window + Redis) |
|
||||
| OTP | bcrypt + Redis — قفل 30 دقيقة بعد 3 محاولات فاشلة |
|
||||
| التواقيع الرقمية | HMAC-SHA256 (Body + Timestamp + Nonce) |
|
||||
| حماية SQL | PDO + EMULATE_PREPARES = false |
|
||||
| حماية Web | HSTS, X-Frame-Options DENY, X-Content-Type-Options |
|
||||
| حماية التطبيق | Jailbreak Detection + SSL Pinning |
|
||||
|
||||
**النقطة الوحيدة المتبقية:**
|
||||
- إكمال ترحيل AES-256-GCM (البنية جاهزة — 2-3 أيام تنفيذ)
|
||||
|
||||
---
|
||||
|
||||
## 7. التكاليف التشغيلية — اقتصاديات متفوقة
|
||||
|
||||
### 7.1 مقارنة التكلفة الشهرية
|
||||
|
||||
| البند | **سيرو** 🚀 | YallaGo/Zakinn | Uber/Careem |
|
||||
|-------|------------|----------------|-------------|
|
||||
| الخرائط | **$0** 🏆 | $1,500-4,500 | $30,000+ |
|
||||
| الخوادم | **$250** | $500-2,000 | $50,000+ |
|
||||
| الموظفون | **$5,100** | $10,000-30,000 | $100,000+ |
|
||||
| SMS OTP | **~$50** (واتساب) | $300+ | $5,000+ |
|
||||
| بوابات دفع | **$100** | $200-500 | $5,000+ |
|
||||
| تسويق | **مضمن (بوتات)** | $5,000+ | $50,000+ |
|
||||
| **الإجمالي** | **$230-430** | **$5K-15K** | **$200K+** |
|
||||
|
||||
> **السبب**: سيرو بنيت من الصفر لتكون lean. خرائطنا مملوكة ($0)، بوتاتنا تؤدي عمل فرق التسويق ($0)، واتساب OTP ($0.001/رسالة بدلاً من $0.05 SMS)، وفريق 7 أشخاص فقط.
|
||||
|
||||
### 7.2 SiroMaps — الميزة الحاسمة في التكلفة
|
||||
|
||||
خرائط Google هي أكبر تكلفة خفية لأي تطبيق نقل. كل رحلة تحتاج: مسار (Compute Routes)، عرض خريطة (Dynamic Maps)، ترميز (Geocoding) — = 10-18 طلب API، كل طلب يكلف.
|
||||
|
||||
| الحجم | رحلات/يوم | تكلفة Google شهرياً | تكلفة SiroMaps | التوفير السنوي |
|
||||
|-------|-----------|---------------------|----------------|----------------|
|
||||
| بداية | 100 | ~$150 | $0 | ~$1,800 |
|
||||
| نمو | 500 | ~$1,000 | $0 | ~$12,000 |
|
||||
| متوسط | 1,000 | ~$2,500 | $0 | ~$30,000 |
|
||||
| كبير | 5,000 | ~$12,000 | $0 | ~$144,000 |
|
||||
| **هيمنة** | **10,000** | **~$25,000-30,000** | **$0** | **~$300,000-360,000** |
|
||||
|
||||
**كيف يعمل SiroMaps؟**
|
||||
- بيانات الخرائط تُجمع من GPS السائقين الحقيقيين أثناء عملهم
|
||||
- تُحدّث كل ~10 أيام — أدق من Google (المجمّد في سوريا منذ 2011)
|
||||
- تعمل بدون إنترنت (Offline) — لا تحتاج اتصال دائم
|
||||
- تشمل: Routing (GraphHopper مملوك)، Geocoding (ذاتي)، Tile Serving (ذاتي)
|
||||
- **تكلفة التشغيل**: صيانة الخادم فقط — لا رسوم ترخيص
|
||||
|
||||
---
|
||||
|
||||
## 8. التوقعات المالية — 3 سنوات
|
||||
|
||||
### 8.1 سيناريو النمو
|
||||
|
||||
| السنة | المرحلة | رحلات/يوم | الإيراد | المصاريف | صافي الربح |
|
||||
|-------|---------|-----------|---------|----------|-----------|
|
||||
| **Y1** | التأسيس | 1,500 | $120K | $140K | (-$20K) |
|
||||
| **Y2** | التوسع | 4,000 | $365K | $150K | +$215K |
|
||||
| **Y3** | الهيمنة | 10,000 | $912K | $250K | +$662K |
|
||||
|
||||
**مراحل النمو:**
|
||||
- **الأشهر 1-6**: الاستحواذ — $45K حوافز سائقين + $45K تسويق = بناء الشبكة
|
||||
- **الأشهر 7-12**: تقاطع الربحية — الحوافز تنتهي، الطلب يرتفع
|
||||
- **السنة 2**: التوسع — حلب، حمص، مدن جديدة
|
||||
- **السنة 3**: الهيمنة — تغطية وطنية
|
||||
|
||||
### 8.2 اقتصاديات الوحدة
|
||||
|
||||
| المؤشر | القيمة |
|
||||
|--------|--------|
|
||||
| تكلفة اكتساب السائق (Driver CAC) | $0.77 |
|
||||
| تكلفة اكتساب الراكب (Rider CAC) | $2.00 |
|
||||
| رحلات لاسترداد التكلفة | 8 رحلات |
|
||||
| LTV : CAC Ratio | 3:1 (**المعيار الذهبي**) |
|
||||
|
||||
**مقارنة مع السوق:**
|
||||
- Uber/Lyft: LTV:CAC = 1.5:1 إلى 2.5:1
|
||||
- **سيرو**: 3:1 — بفضل التكاليف التشغيلية المنخفضة جداً
|
||||
|
||||
---
|
||||
|
||||
## 9. الحماية الاستثمارية — ما الذي يحمي أموالك؟
|
||||
|
||||
### 9.1 الملكية الفكرية
|
||||
|
||||
| الأصل | الوصف |
|
||||
|-------|-------|
|
||||
| كود المصدر | 100% مملوك — PHP Backend، Flutter Apps (Rider, Driver, Admin, Service) |
|
||||
| Android Bot | كود Kotlin مملوك — Accessibility Services + HMAC Security |
|
||||
| Social Bot | كود Kotlin مملوك — 3 منصات تواصل |
|
||||
| SiroMaps Engine | محرك خرائط كامل — Routing، Geocoding، Tile Server |
|
||||
| Kazan System | خوارزمية العمولة الديناميكية + AI Pricing |
|
||||
| Gamification System | نظام التلعيب الكامل (Levels, Achievements, Challenges) |
|
||||
| Marketing Engine | محرك التسويق الذكي (Schedule Manager, Content Pipeline) |
|
||||
|
||||
### 9.2 السيادة الرقمية
|
||||
|
||||
- **خوادم ذاتية**: سيرو لا تعتمد على AWS أو Google Cloud
|
||||
- **خوادم مخصصة لكل دولة**: سوريا، الأردن، مصر — كل دولة لها خادم مستقل
|
||||
- **OSRM Routing**: خادم توجيه مملوك لكل دولة
|
||||
- **قواعد بيانات منفصلة**: Primary + Ride + Wallet — معزولة لأقصى أمان
|
||||
- **Redis GeoSpatial**: بحث جغرافي فوري بدون خدمات طرف ثالث
|
||||
|
||||
**النتيجة**: لا يمكن لأي طرف ثالث إيقاف تشغيل سيرو. لا Google، لا Amazon، لا Microsoft — السيادة الرقمية كاملة.
|
||||
|
||||
### 9.3 الترخيص الحكومي (NANS)
|
||||
|
||||
- **شهادة NANS-INT-2026**: الترخيص الرسمي من الحكومة السورية لتشغيل تطبيقات النقل الذكي
|
||||
- **حصري عملياً**: لا يوجد منافس حاصل على هذا الترخيص حالياً
|
||||
- **حماية قانونية**: في حال أي تغييرات تنظيمية، سيرو محمية بالترخيص المسبق
|
||||
- **صعوبة التكرار**: باب الترخيص لا يفتح بالمال وحده — يحتاج وقتاً وعلاقات
|
||||
|
||||
### 9.4 بنية تحتية مقاومة للفشل
|
||||
|
||||
| الطبقة | آلية التحمل |
|
||||
|--------|------------|
|
||||
| WebSocket | Socket.IO مع Redis Pub/Sub — آلاف المستخدمين المتزامنين |
|
||||
| Redis | Caching + GeoSpatial + Rate Limiting — استجابة فورية |
|
||||
| قواعد البيانات | 3 قواعد منفصلة (Primary + Ride + Wallet) — عزل كامل |
|
||||
| التخزين المؤقت | Redis Pipeline كل 500ms — تقليل ضغط DB |
|
||||
| OTP | واتساب كبديل لـ SMS — بدون تكاليف باهظة |
|
||||
|
||||
---
|
||||
|
||||
## 10. شروط الاستثمار
|
||||
|
||||
| البند | التفاصيل |
|
||||
|-------|----------|
|
||||
| **حجم الجولة** | $200,000 |
|
||||
| **النوع** | Pre-Seed |
|
||||
| **الحصة** | 22% |
|
||||
| **التقييم** | ~$909,000 |
|
||||
| **Runway** | 14 شهراً |
|
||||
| **الاسترداد النقدي (3 سنوات)** | 96.5% |
|
||||
| **استراتيجية الخروج** | Series A / استحواذ |
|
||||
| **الحد الأدنى** | $50,000 |
|
||||
|
||||
**تحليل العائد (3 سنوات):**
|
||||
| المكون | القيمة |
|
||||
|--------|--------|
|
||||
| أرباح نقدية (حصة 22% من الأرباح) | $193,050 |
|
||||
| قيمة الحصة في شركة بـ $3.3M | $728,750 |
|
||||
| **المجموع** | **$921,800** |
|
||||
| **مضاعف العائد** | **4.6x** |
|
||||
|
||||
> بنهاية السنة 3، الشركة تحقق $662K ربح سنوي. بمضاعف متحفظ ×5، قيمة الشركة = $3.3M. حصة 22% = $728,750 + أرباح نقدية $193K = إجمالي $921,800.
|
||||
|
||||
**توزيع الاستثمار:**
|
||||
| البند | القيمة | النسبة |
|
||||
|-------|--------|--------|
|
||||
| رواتب فريق (14 شهر) | $71,400 | 35.7% |
|
||||
| حوافز السائقين (6 أشهر) | $45,000 | 22.5% |
|
||||
| تسويق ومؤثرون | $45,200 | 22.6% |
|
||||
| احتياطي طوارئ | $15,500 | 7.75% |
|
||||
| إيجار وفواتير | $8,400 | 4.2% |
|
||||
| إعلانات طرق | $8,000 | 4.0% |
|
||||
| خوادم ($250/شهر) | $3,500 | 1.75% |
|
||||
| تجهيز مكتب | $3,000 | 1.5% |
|
||||
| **تطوير تقني** | **$0** | **0% (المنتج جاهز)** |
|
||||
|
||||
> **النقطة الحاسمة**: من $200K، **$0 يذهب للتطوير التقني**. كل دولار يذهب للنمو والتشغيل. المنتج جاهز 100%.
|
||||
|
||||
---
|
||||
|
||||
## 11. خارطة الطريق — الـ 18 شهراً القادمة
|
||||
|
||||
| الربع | الحدث | التفاصيل |
|
||||
|-------|-------|----------|
|
||||
| **Q3 2026** | استقرار سوريا | 1,000+ رحلة/يوم، Admin Dashboard، تحسين UX، حملة تسويق كبرى |
|
||||
| **Q4 2026** | إطلاق الأردن + ليبيا | نسخ محلية جاهزة، فرق تشغيل، شراكات فنادق ومطاعم |
|
||||
| **Q1 2027** | جولة Seed | $200K-500K، توسيع الفريق، بنية تحتية للنمو |
|
||||
| **Q2 2027** | إطلاق مصر + العراق | أكبر سوقين — النسخ جاهزة — نشر خلال أسابيع |
|
||||
| **Q4 2027** | Series A | $1M-3M، توسع إقليمي شامل، فريق 20+ |
|
||||
|
||||
**التوسعات المستقبلية:**
|
||||
- ليبيا — سوق بكر تقريباً (Q4 2026)
|
||||
- العراق — 42 مليون نسمة، منافسة ضعيفة (Q2 2027)
|
||||
- توصيل البضائع + رحلات مشتركة (2027)
|
||||
|
||||
---
|
||||
|
||||
## 12. الخلاصة — لماذا سيرو الآن؟
|
||||
|
||||
1. **المنتج جاهز**: 4 تطبيقات + بوتان + محرك خرائط + محرك تسويق — كل شيء يعمل الآن
|
||||
2. **يعمل على الأرض**: سوريا والأردن — إثبات نجاح فعلي
|
||||
3. **صفر تكلفة تطوير**: كل دولار من استثمارك يذهب للنمو
|
||||
4. **تكلفة تشغيل أقل 10-50 مرة**: خرائط مملوكة ($0)، بوتات بدل فرق تسويق
|
||||
5. **عمولة 10%**: الأقل في السوق — تجذب أفضل السائقين
|
||||
6. **ترخيص حكومي NANS**: حماية قانونية لا يملكها المنافسون
|
||||
7. **سيادة رقمية كاملة**: لا تعتمد على Google أو AWS أو أي طرف ثالث
|
||||
8. **جاهزية التوسع في 3 دول**: أسابيع لدخول أي سوق جديد
|
||||
9. **اقتصاديات وحدة 3:1**: LTV:CAC أفضل من Uber
|
||||
10. **عائد 4.6x في 3 سنوات**: $921,800 على استثمار $200K
|
||||
|
||||
> سيرو ليست مشروعاً ناشئاً — إنها شركة تعمل وتحقق إيرادات، وتحتاج شريكاً استراتيجياً للوصول إلى المستوى التالي. المنتج موجود، السوق موجود، الفريق موجود — كل ما ينقص هو شريك يرى الفرصة قبل أن يراها الجميع.
|
||||
|
||||
---
|
||||
|
||||
## الملحق: المخاطر والحلول
|
||||
|
||||
| المخاطرة | الاحتمال | التأثير | خطة التخفيف |
|
||||
|----------|---------|---------|-------------|
|
||||
| تقلبات سعر الصرف | عالي | متوسط | احتياطي 10% + تسعير ديناميكي فوري من Admin |
|
||||
| أزمة محروقات | عالي | عالي | تعديل أسعار فوري بدون تحديث التطبيق |
|
||||
| منافسة شرسة (Yallago/Zakinn) | متوسط | عالي | عمولة 10% + ضمان دخل السائق + ترخيص NANS |
|
||||
| بطء اكتساب المستخدمين | متوسط | عالي | $45K حوافز + $45K تسويق + برامج إحالة وولاء |
|
||||
| تغييرات تنظيمية حكومية | منخفض | عالي | شهادة NANS توفر حصناً قانونياً مسبقاً |
|
||||
| انهيار تقني تحت الضغط | منخفض جداً | عالي | WebSocket + Redis + 3 قواعد بيانات + أمان 9/10 |
|
||||
|
||||
---
|
||||
|
||||
> **📧 invest@intaleqapp.com**
|
||||
> **📞 Calendly**: https://calendly.com/hamzaayed-tripz-egypt/new-meeting
|
||||
> **🌐 Google Play**: com.Siro.siro
|
||||
> **🍎 App Store**: id6748075179
|
||||
> **🌐 Web**: https://intaleqapp.com
|
||||
|
||||
---
|
||||
|
||||
*هذا التقرير يحتوي على معلومات سرية ومملوكة لشركة سيرو. يمنع توزيعه أو مشاركته دون إذن خطي.*
|
||||
Reference in New Issue
Block a user