قواعد تطوير التطبيقات

يجب أن تحمي تطبيقات السوق التجار وعملاءهم خلال التطوير والتشغيل والتحديث والتعليق وإلغاء التثبيت. اجتياز المراجعة لا يصرح بأي سلوك غير موثق.

الأمان

• اطلب أقل صلاحية واشرح كل نطاق.
• استخدم HTTPS وعناوين إعادة توجيه مطابقة، واستخدم رمز التفويض مع PKCE S256.
• احتفظ بالرموز والأسرار في الخادم وخارج السجلات.
• لا تستخدم بيانات اعتماد service role ولا تثق بهوية المستأجر القادمة من المتصفح.
• طبق تفويض المستأجر والنطاق في الخادم وأغلق بأمان عند الفشل.
• لا تصل إلى API أو مسار أو قاعدة بيانات أو مخطط أو RPC غير موثق.

الخصوصية

• اجمع الحد الأدنى اللازم للغرض المصرح به.
• قدم معلومات خصوصية ودعم دقيقة.
• لا تنفذ تتبعاً مخفياً أو تصنيفاً مشتركاً بين التجار.
• وثق الاحتفاظ والتصدير والحذف والتعامل عند إلغاء التثبيت.
• لا تدمج بيانات التجار لغرض ثانوي غير معلن.

الموثوقية

• استخدم إعادات محاولة محدودة مع jitter ومعالجة idempotent لـWebhook.
• لا تعتمد على ترتيب أحداث غير موثق أو اسم حدث لم يثبت انبعاثه.
• تعامل مع فشل المزود والمنصة من دون إفساد صامت للبيانات.
• احترم حدود المعدل الموثقة وRetry-After.
• حافظ على تحكم التاجر أثناء التحديث والتعليق وإلغاء التثبيت.

قابلية النقل

استخدم عقود ساس الموثقة فقط والإعداد الذي توفره البيئة المصرح بها. لا تعتمد على نطاق ثابت أو عنوان LAN أو Docker أو اسم مضيف لمزود سحابي أو منطقة أو عنوان Supabase داخلي أو خدمة Kubernetes أو طوبولوجيا عنقود أو توجيه Edge داخلي.

إلغاء التثبيت والتعامل مع البيانات

أوقف وصول API ومحاولات التحديث عند إلغاء التفويض. عطل مهام التطبيق واشتراكاته سريعاً. لا تحذف بيانات التاجر أو تعدلها أو تحتجزها كعقاب أو مفاجأة. التزم بشروط الاحتفاظ والحذف المعلنة للتاجر.