diff --git a/docs/17-backend-backlog.md b/docs/17-backend-backlog.md
index 7e2192e..2fbbfab 100644
--- a/docs/17-backend-backlog.md
+++ b/docs/17-backend-backlog.md
@@ -176,7 +176,8 @@
 | I3 | **جدول لكل طريقة دفع** | ⏳ لم يُنفَّذ — إعادة هيكلة مخطط كاملة (`tripz_pay_payments` عام حالياً). يُنفَّذ مع أول ربط بوابة حقيقية، لا قبله. |
 | I8 | **webhook SMS + Gemini** | ⏳ لم يُنفَّذ — ميزة كاملة (`raw_sms_log` + استخراج + تسوية). تُبنى عند دخول السوق السوري فعلياً. |
 
-### 🔴 TLS — أخطر ثغرة مالية كانت قائمة. **المستند: [20-tls](20-tls.md)**
+### 🔴 TLS — أخطر ثغرة مالية كانت قائمة ✅ منجَز ومُثبَت. **المستند: [20-tls](20-tls.md)**
+**مُثبَت على السيرفر (2026-07-17)**: `https://tripz-api.intaleqapp.com/api/health` → 200 عبر nginx+شهادة. `http://194.163.173.157:4010/api/health` → Connection refused. المنفذ الخام لم يعد قابلاً للوصول من الإنترنت إطلاقاً.
 الـAPI كان على `http` بلا TLS: من يلتقط الشبكة يسرق توكن أي سائق ويسحب أرباحه، ولا OTP ولا HMAC ولا تدقيق يمنع ذلك.
 **النطاق المعتمد: `tripz-api.intaleqapp.com`.** الجزء البرمجي ✅ (المنافذ + trust proxy)؛ الباقي خطوات سيرفر يدوية في docs/20.