اکاؤنٹ کی سیکیورٹی
سرور کی سیکیورٹی سائٹس کی حفاظت کرتی ہے۔ اکاؤنٹ کی سیکیورٹی ان کی چابیوں کی حفاظت کرتی ہے۔ ہر Zinn Digital® لاگ اِن معیارات پر مبنی ایک شناختی نظام پر کام کرتا ہے — پاس کیز اور WebAuthn، TOTP ٹو فیکٹر، میجک لنک سائن اِن، انٹرپرائز اور ایجنسی ٹیموں کے لیے SAML SSO — جس کے پیچھے تفصیلی کردار، فی ادارہ API کیز اور صرف اضافہ کرنے والا آڈٹ لاگ موجود ہے۔
زیادہ تر ہوسٹنگ اکاؤنٹس ڈیٹا بیس میں موجود ایک پاس ورڈ ہوتے ہیں جو کنٹرول پینل سے منسلک ہوتا ہے۔ ہمارا ایک وقف شدہ شناختی نظام ہے — Keycloak جو OIDC اور SAML کو سپورٹ کرتا ہے — جو ہر چیز کے سامنے موجود ہے: کسٹمر ڈیش بورڈ، عملے کا ایڈمن کنسول، یہ عوامی سائٹ اور نالج بیس، اور آپ کے سپورٹ ٹکٹس۔ ایک بار سائن ان کریں اور آپ ان تمام میں سائن ان ہو جائیں گے۔
چونکہ یہ کسی ملکیتی لاگ ان کے بجائے کھلے معیارات پر بنایا گیا ہے، اس لیے شناختی پرت کو اسی طرح تبدیل کیا جا سکتا ہے جیسے پلیٹ فارم کے ہر دوسرے جزو کو۔ آپ کے رسائی کے ماڈل کا کوئی بھی حصہ کسی وینڈر کے پروڈکٹ میں مقید نہیں ہے، اور آپ کی ٹیم کی تصدیق کا انحصار ہمارے صرف ایک فراہم کنندہ کو برقرار رکھنے پر نہیں ہے۔ یہ بالکل وہی نو لاک ان اصول ہے جو ہم CDN اکاؤنٹس، DNS اور ادائیگی فراہم کنندگان پر لاگو کرتے ہیں۔
سائن ان کو مقامی زبان کے مطابق ڈھالا گیا ہے، اور سائٹ سے لاگ ان اسکرین پر منتقلی آپ کی زبان کو برقرار رکھتی ہے — لہٰذا مختلف ممالک میں پھیلی ہوئی ٹیم کو صرف انگریزی میں لاگ ان کرنے پر مجبور نہیں کیا جاتا۔
چار طریقے، سبھی فرسٹ کلاس، سبھی فی کس ترتیب کے قابل۔ کسی کو بھی سب سے کمزور آپشن پر مجبور نہیں کیا جاتا صرف اس لیے کہ وہی واحد دستیاب آپشن ہے۔
اپنا ای میل درج کریں، لنک پر کلک کریں، آپ داخل ہو گئے۔ فشنگ کا شکار ہونے، دوبارہ استعمال ہونے، یا ڈیٹا کے اخراج میں افشا ہونے کے لیے کوئی پاس ورڈ نہیں۔ نئے اکاؤنٹس کے لیے یہ پہلے سے طے شدہ طریقہ ہے، اور زیادہ تر لوگوں کے لیے یہ واحد طریقہ ہے جس کی انہیں کبھی ضرورت پیش آئے گی۔
ایک پاس کی رجسٹر کریں — Touch ID، Face ID، Windows Hello، یا YubiKey جیسی ہارڈویئر کی — اور بغیر کسی پاس ورڈ کے سائن ان کریں۔ پاس کیز اصل ڈومین سے منسلک ہوتی ہیں، اس لیے ملتی جلتی جعلی لاگ اِن سائٹ اسے چرا نہیں سکتی۔ یہ پلیٹ فارم ES256 اور RS256 تصدیق کنندگان کو قبول کرتا ہے اور صارف کی توثیق کو ترجیح دیتا ہے۔
ایک معیاری شناختی فراہم کنندہ کے کنکشن کے ذریعے Google کے ساتھ سائن ان کریں، تاکہ اکاؤنٹ کو وہ تمام کنٹرولز وراثت میں مل جائیں جو آپ کا Google Workspace پہلے سے نافذ کرتا ہے۔ مزید فراہم کنندگان بھی اسی طرح جڑتے ہیں — اس میں کوئی بھی چیز حسب ضرورت انضمام نہیں ہے۔
ان لوگوں اور اسکرپٹس کے لیے محفوظ کیا گیا ہے جنہیں اس کی ضرورت ہے، اور ایک حقیقی پالیسی کے تحت رکھا گیا ہے: کم از کم بارہ حروف، کبھی بھی آپ کا صارف نام یا ای میل پتہ نہیں، آپ کے آخری تین کا دوبارہ استعمال نہیں، Argon2 کے ساتھ ہیش کیا گیا۔ اس سے پہلے کہ اکاؤنٹ قابل استعمال ہو، ای میل پتوں کی تصدیق کی جاتی ہے۔
دوسرے عوامل شناختی نظام کا حصہ ہیں، یہ کوئی ایسا ایڈ آن نہیں ہے جسے آپ خریدتے ہیں یا کوئی پلگ ان جسے آپ اپنی سائٹ پر انسٹال کرتے ہیں۔
اگر آپ کا ادارہ پہلے سے ہی کوئی شناختی فراہم کنندہ (identity provider) چلاتا ہے — Okta، Entra ID، Google Workspace، یا کوئی بھی ایسا پلیٹ فارم جو SAML کو سپورٹ کرتا ہو — تو آپ اسے منسلک کر سکتے ہیں اور آپ کے ملازمین اپنی موجودہ کارپوریٹ اسناد کے ساتھ Zinn Digital® میں سائن ان کر سکتے ہیں۔ آپ کی ٹیم کے لیے سنبھالنے کے واسطے کوئی دوسرا پاس ورڈ نہیں ہے، اور نہ ہی بھولنے کے لیے آف بورڈنگ کی کوئی دوسری فہرست ہے۔
یہ ایجنسی اور ری سیلر کی سطح پر سب سے زیادہ اہمیت رکھتا ہے، جہاں عملے کی تبدیلی ایک حقیقی سیکیورٹی واقعہ ہوتی ہے۔ جب کوئی ادارہ چھوڑتا ہے اور آپ اسے اپنی ڈائرکٹری میں غیر فعال کرتے ہیں، تو آپ اپنی ہوسٹنگ تک اس کا راستہ بھی غیر فعال کر دیتے ہیں۔ رسائی درجنوں SaaS ٹولز میں تلاش کرنے کے بجائے، مرکزی طور پر ملازمت کی حیثیت کے تابع ہوتی ہے۔
SAML ہر چیز کو تبدیل کرنے کے بجائے اس کے ساتھ مل کر کام کرتا ہے: ٹھیکیداروں کو اب بھی ایک محدود کردار کے اندر جادوئی لنک اکاؤنٹ دیا جا سکتا ہے، جبکہ مستقل عملہ SSO کے ذریعے داخل ہوتا ہے۔ ایک تنظیم، ایک اجازت کا ماڈل، دو سامنے کے دروازے۔
رسائی تنظیمی ڈھانچے کے دائرہ کار تک محدود ہے — ری سیلر سے کلائنٹ اور پھر سائٹ تک — اور یہ محض ایپلیکیشن میں ہی نہیں، بلکہ خود ڈیٹا بیس میں قطار کی سطح کی سیکیورٹی کے ذریعے نافذ کی گئی ہے۔ کراس ٹیننٹ رسائی کوئی ایسی پالیسی نہیں ہے جس کی پابندی کرنے کی ہم لوگوں سے درخواست کریں؛ بلکہ یہ ایک ایسا کوئری ہے جو قطاریں واپس لا ہی نہیں سکتا۔ گاہک کے چار کردار فرائض کی حقیقت پسندانہ تقسیم کا احاطہ کرتے ہیں۔
تنظیم اور اس کے ذیلی کھاتوں کا مکمل کنٹرول: ذیلی تنظیمیں بنائیں، اراکین کو مدعو کریں اور خارج کریں، کردار تفویض کریں، ہر سائٹ کا انتظام کریں، بلنگ اور انوائسنگ چلائیں، API کیز کا انتظام کریں، اور آڈٹ لاگ پڑھیں۔
انوائسز، سبسکرپشنز، ادائیگی کے طریقے اور پلان کیٹلاگ — اور کچھ نہیں۔ آپ کا مالیاتی اہلکار یا اکاؤنٹنٹ کسی لائیو سائٹ کو چھونے، معطل کرنے یا حذف کرنے کی صلاحیت رکھے بغیر انوائس ادا کر سکتا ہے۔
بلنگ کے کنٹرول کے بغیر سائٹس اور API تک رسائی: سائٹس دیکھیں اور فراہم کریں، سروسز دوبارہ شروع کریں، کیشے صاف کریں، API کیز اور ورک ٹکٹس کا نظم کریں۔ ادائیگی کے طریقوں، انوائسنگ یا پلان کی تبدیلیوں تک جان بوجھ کر کوئی رسائی نہیں ہے۔
پوری تنظیم میں صرف دیکھنے کی اجازت — سائٹس، بلنگ، پلانز، ٹکٹس، ترجمے کی حیثیت اور آڈٹ لاگ۔ کسی آڈیٹر، ایسے کلائنٹ جو رسائی کا خواہشمند ہو، یا اپنے پہلے ہفتے میں موجود نئے ملازم کے لیے بالکل درست کردار۔
ڈیش بورڈ داخل ہونے کا ایک راستہ ہے۔ API، CLI، Terraform فراہم کنندہ اور MCP سرور دوسرے راستے ہیں — اور وہ اسی رسائی کے ماڈل کے پابند ہیں، کیونکہ ایک دائرہ کار کے بغیر کلید آپ کے ابھی تشکیل کردہ ہر کردار کو نظر انداز کر دیتی ہے۔
ایک API کلید کسی فرد واحد کو نہیں بلکہ کسی ادارے کو جاری کی جاتی ہے، اور اس کے اپنے دائرہ کار ہوتے ہیں۔ اسے مشترکہ اسناد کے طور پر لیں: اس کے مقصد کے مطابق اس کا نام رکھیں، کام کرنے کے لیے درکار کم سے کم دائرہ کار تفویض کریں، اور جب اسے بنانے والا شخص چلا جائے تو اسے تبدیل کر دیں۔
اصل کلید آپ کو تخلیق کے وقت صرف ایک بار دکھائی جاتی ہے۔ ہم تلاش کے لیے صرف ایک SHA-256 ہیش اور ایک مختصر سابقہ اپنے پاس محفوظ رکھتے ہیں۔ ہم آپ کو دوبارہ کوئی کلید نہیں دکھا سکتے، اور ڈیٹابیس میں نقب زنی سے حملہ آور کے ہاتھ کارآمد اسناد نہیں لگتیں۔
ہر کلید میں وہی تفصیلی دائرہ کار ہوتا ہے جو کرداروں کے استعمال کردہ اجازتوں کے کیٹلاگ سے وابستہ ہوتا ہے، یہ ریکارڈ کرتی ہے کہ اسے آخری بار کب استعمال کیا گیا تھا، اور مشکوک لگتے ہی اسے فوری طور پر منسوخ کیا جا سکتا ہے۔ علیحدہ سینڈ باکس کلیدیں بغیر کسی حقیقی بلنگ یا فراہمی کے API کو آزماتی ہیں۔
MCP سرور کسی بھی MCP کے اہل ایجنٹ کو آپ کی ہوسٹنگ کا انتظام کرنے کی اجازت دیتا ہے — اور یہ OAuth 2.1 کے ذریعے تصدیق کرتا ہے، جو آپ کی تنظیم اور اس کے RBAC کے اختیارات تک محدود ہے، جس میں ہر ٹول کے لیے منسوخ ہونے والے ٹوکنز، تباہ کن اقدامات پر تصدیق، خرچ کی حدود اور مکمل آڈٹ لاگنگ شامل ہے۔ AI اسسٹنٹ کو جوڑنے کا مطلب یہ نہیں ہے کہ آپ اسے ہر چیز کی چابیاں سونپ دیں۔
ہر مراعات یافتہ عمل صرف اضافہ کیے جانے کے قابل ریکارڈ لکھتا ہے — یہ کس نے کیا، انہوں نے کیا کیا، کس چیز پر کیا، معاون ثبوت، اور سورس IP ایڈریس، ٹائم اسٹیمپ کے ساتھ۔ یہ ڈیبگنگ کی آسانی کے لیے نہیں ہے؛ یہ ثبوتوں کا سراغ ہے۔
نہیں — اور ہم ترجیح دیں گے کہ آپ ایسا نہ کریں۔ میجک لنک ای میل سائن ان ڈیفالٹ ہے، اور آپ ایک پاس کی (Touch ID، Face ID، Windows Hello یا ہارڈویئر کی) رجسٹر کر سکتے ہیں اور بغیر کوئی پاس ورڈ سیٹ کیے سائن ان کر سکتے ہیں۔ ای میل اور پاس ورڈ متبادل کے طور پر دستیاب رہتا ہے، جس کے لیے کم از کم بارہ حروف کی شرط، آپ کے پچھلے تین پاس ورڈز کا دوبارہ استعمال نہ ہونا، اور Argon2 ہیشنگ شامل ہے۔
TOTP ٹو فیکٹر شناخت کی پرت میں ہی شامل ہے اور اسے ہر رکن کی صوابدید پر چھوڑنے کے بجائے کسی پالیسی کے ذریعے پوری تنظیم میں نافذ کیا جا سکتا ہے۔ جہاں آپ کی ٹیم کے آلات پاس کیز (Passkeys) کو سپورٹ کرتے ہوں، وہاں یہ زیادہ محفوظ متبادل ہیں، کیونکہ یہ اس پاس ورڈ کو ہی ختم کر دیتی ہیں جسے کوئی حملہ آور فشنگ کے ذریعے حاصل کرنے کی کوشش کرے گا۔
جی ہاں۔ بلنگ مینیجر کا کردار رسیدوں، سبسکرپشنز، ادائیگی کے طریقوں اور پلان کیٹلاگ تک رسائی دیتا ہے، اور اس کے علاوہ کچھ نہیں — یعنی کسی سائٹ کو دیکھنے، تیار کرنے، دوبارہ شروع کرنے، معطل کرنے یا حذف کرنے کی کوئی صلاحیت نہیں۔ اس کا الٹ بھی درست ہے: ڈیولپر کا کردار بلنگ پر کسی قسم کے کنٹرول کے بغیر سائٹس اور API تک رسائی کا انتظام سنبھالتا ہے۔ کردار فی تنظیم تفویض کیے جاتے ہیں، لہٰذا ایک تنظیم میں موجود کردار کسی الگ، غیر متعلقہ تنظیم میں کوئی رسائی نہیں دیتا — البتہ بنیادی تنظیم میں موجود کردار اس کے تحت موجود ذیلی تنظیموں پر لاگو ہوتا ہے۔
ڈیش بورڈ سے اسے منسوخ کر دیں اور یہ فوری طور پر کام کرنا بند کر دے گا۔ نقصان کا دائرہ کار صرف اس حد تک محدود رہتا ہے جو وہ کلید ابتدا میں کر سکتی تھی، یہی وجہ ہے کہ کلیدوں میں مخصوص دائرہ کار ہوتے ہیں اور آخری بار استعمال کا ٹائم اسٹیمپ درج ہوتا ہے — محدود دائرہ کار اور استعمال کا واضح ریکارڈ ہی وہ چیزیں ہیں جو کسی لیکیج کو پورے اکاؤنٹ کے ہیک ہونے کے بجائے ایک قابو میں رہنے والے واقعے میں بدل دیتی ہیں۔ یاد رہے کہ کلیدیں کسی فرد کے بجائے تنظیم کو جاری کی جاتی ہیں، لہٰذا ان کے ساتھ مشترکہ اسناد جیسا برتاؤ کریں اور عملے کے چلے جانے پر انہیں تبدیل کریں۔ ہماری جانب صرف کلید کا ہیش محفوظ کیا جاتا ہے، اس لیے ہمارے ڈیٹا بیس سے لیکیج ہونے کی صورت میں بھی کوئی قابلِ استعمال اسناد حاصل نہیں ہوتی۔
جی ہاں۔ ہر مراعات یافتہ کارروائی کو صرف اضافہ کرنے والے آڈٹ لاگ میں کارروائی کرنے والے، کارروائی، ہدف، معاون ثبوت، ماخذ IP اور ٹائم اسٹیمپ کے ساتھ درج کیا جاتا ہے۔ مالک اور صرف پڑھنے کے مجاز کردار اسے براہ راست پڑھ سکتے ہیں۔ آپ کے اکاؤنٹ پر عملے کی کارروائیوں کو اسی ٹریک میں لاگ کیا جاتا ہے، اور حساس یا تباہ کن عملے کی کارروائیوں کے لیے پہلے تصدیق کے اضافی مرحلے یا دو افراد کی منظوری درکار ہو سکتی ہے۔
جی ہاں — انٹرپرائز اور ایجنسی اکاؤنٹس کے لیے SAML SSO کی سہولت دستیاب ہے، لہٰذا آپ کے ملازمین موجودہ کارپوریٹ اسناد کے ساتھ تصدیق کرتے ہیں اور آپ کی ڈائرکٹری سے آف بورڈنگ ان کی یہاں تک رسائی کو بھی ختم کر دیتی ہے۔ آپ مختلف طریقوں کو یکجا کر سکتے ہیں: مستقل عملے کے لیے SSO، ٹھیکیداروں کے لیے محدود دائرہ کار والے magic-link اکاؤنٹس، یہ سب ایک ہی اجازت کے ماڈل کے اندر ہیں۔
نہیں — پاس ورڈ جان بوجھ کر منتقل نہیں کیے گئے ہیں۔ آپ کا اکاؤنٹ پاس ورڈ کے بغیر درآمد کیا گیا ہے، اور پہلی بار سائن ان کرنے پر آپ یا تو magic-link استعمال کرتے ہیں یا موجودہ پالیسی کے تحت نیا پاس ورڈ سیٹ کرتے ہیں۔ پرانے پاس ورڈ ہیشز کو منتقل کرنے سے پرانی کمزوریاں نئے سسٹم میں آ جائیں گی، اس لیے ہم ایسا نہیں کرتے۔
Footprint-Free آزمائش 14 دن کی ہے، بغیر کارڈ کے ہے، اور پانچ سائٹس تک احاطہ کرتی ہے۔ آپ آزمائش کے دوران مکمل شناختی پرت حاصل کرتے ہیں — پاس کیز، ٹو فیکٹر، کردار، API کیز اور آڈٹ لاگ کسی ادا شدہ پلان کے پیچھے محدود نہیں ہیں۔
ایک پاس کی رجسٹر کریں، اپنی ٹیم کو مناسب کرداروں میں مدعو کریں، اور ایک محدود دائرہ کار والی API کلید جاری کریں — یہ سب کارڈ کی تفصیلات کے بغیر 14 دن کی آزمائشی مدت پر دستیاب ہے۔
مفت شروع کریں