الإعدادات
الأمان وحدود المعدل
تجمع هذه الصفحة عناصر التحكم الأمنية الموجودة ضمن Settings → Behavior (قسما Rate Limits وAccess control) — تحديد المعدل، والحظر التلقائي لعناوين IP، وتقييد الوصول حسب مجموعة العميل. وهي موجّهة للمسؤولين الذين يعزّزون الويدجت ضد سوء الاستخدام.
انتقل إلى Addons → AI Copilot Suite → Settings → Behavior → Rate Limits (و**→ Access control**).
تحديد المعدل
| الاسم الودّي | النوع | الافتراضي |
|---|---|---|
| Messages per IP / 5 min | رقم | 30 |
| Messages per session / min | رقم | 10 |
| Embed: requests per IP / 5 min | رقم | 20 |
| Embed: messages per session / min | رقم | 8 |
تُتبَّع حدود المعدل بشكل منفصل بين ويدجت واجهة العملاء العادي وويدجت التضمين الخارجي (حقول Embed، التي تنطبق فقط على حركة embed_api.php)، بحيث يمكنك تطبيق حدود أكثر صرامة على عمليات التضمين العامة إذا رغبت.
Tip
ابدأ بحدود معدل متحفّظة ولا تخفّفها إلا إذا كان عملاء شرعيون يتعرضون للتقييد. من الأسهل تخفيف حد ما من تنظيف الأضرار بعد حادثة سوء استخدام.
الحظر التلقائي لعناوين IP
| الاسم الودّي | النوع | الافتراضي |
|---|---|---|
| Auto-ban IP on rate-limit breach | مفتاح تبديل | معطَّل |
| Auto-ban duration (seconds) | رقم، الحد الأدنى 60 |
3600 |
"When enabled, exceeding the IP rate limit adds the address to the blocklist." "How long a rate-limit ban lasts (minimum 60 seconds)."
التحكم في الوصول حسب مجموعة العميل
| الاسم الودّي | النوع | الافتراضي |
|---|---|---|
| مجموعات العملاء المستثناة من المساعد | قائمة مربعات اختيار لمجموعات عملاء WHMCS | لا شيء محدد |
"Checked groups will not see the chat widget or API (logged-in clients only)." إذا لم يحتوِ تثبيت WHMCS لديك على مجموعات عملاء مهيَّأة، تعرض هذه اللوحة عبارة "No client groups found in WHMCS." بدلاً من قائمة مربعات الاختيار.
اختيار مجموعة عملاء هنا يخفي الويدجت تماماً عن أعضاء تلك المجموعة — بغض النظر عن توجيه المساعد أو الإجراءات السريعة أو أي إعداد آخر.
حماية مدمجة1.2.0
هذه ضوابط تطبيقية دائمة (ليست مفاتيح منفصلة في هذه الصفحة):
| المجال | السلوك |
|---|---|
| زاحف المعرفة | لا يُتابَع التحويل أعمى؛ يُتحقَّق من كل قفزة مع تثبيت DNS لمنع SSRF |
| جسر السلة / الجلسة | رمز CSRF من WHMCS + فحص Origin/Referer |
| واجهة Sales AI | نفس المصدر + CSRF؛ حد معدل IP؛ مساعدة التذكرة وتلخيص KB تتطلّبان تسجيل دخول |
| أيقونات المساعد / الويدجت | رفض SVG (رفع أو رابط) مع فحص محتوى للملفات متعددة الصيغ |
| Custom CSS | تعقيم ونطاق تحت #srv-aichatbot قبل الحفظ والإخراج |
| إجراءات الحساب | نطاقات مجموعات المنتجات الحساسة تفشل مغلقة عند سوء الضبط؛ OTP للإجراءات الحساسة |
انظر أيضاً المظهر ومساعد المبيعات.
عناصر تحكم ذات صلة
- إدارة مزوّدي الذكاء الاصطناعي — التعامل مع مفاتيح API (تُخزَّن مشفَّرة ولا تُعرض مجدداً بعد الحفظ)
- الإعدادات العامة — المفتاحان الرئيسيان Enable chatbot / Enable external-site embed، وإجراءات الحساب المضبوطة بصلاحيات التي تتطلب أيضاً رموز تأكيد لمرة واحدة للعمليات الحساسة، والمقيَّدة بـمعرّفات مجموعات المنتجات (وليس مجموعات العملاء) ضمن Action policies
- التضمين الخارجي — قائمة سماح مصادر CORS التي تحمي نقطة نهاية التضمين
استكشاف الأخطاء
| المشكلة | الحل |
|---|---|
| عميل شرعي يُحظر بشكل متكرر | ارفع Messages per IP / 5 min أو Messages per session / min |
| حظر عنوان IP لمكتب/شبكة كاملة بسبب مستخدم واحد مسيء | فكّر في رفع حد المعدل لكل IP بدلاً من حد المعدل لكل جلسة، لأن عنوان IP مشترك لمكتب يخدم جلسات كثيرة |
| مجموعة عملاء ما زالت ترى الويدجت بعد تعطيلها | تأكد من عضوية العميل في المجموعة المحددة داخل WHMCS، ومن عدم تقديم صفحة مخزَّنة مؤقتاً |