Two hostnames, two scopes

نطاقان، نطاقا صلاحية

The marketing site you're reading now and the card checkout you'll see when you press Continue are deliberately on different hostnames. The marketing site is allowed to know about your SIM number and your top-up amount; it is not allowed to know about your card. The card checkout knows about your card and the order ID; it does not know your name, address, or any other piece of identifying data we don't strictly need.

الموقع التسويقي الذي تقرأه الآن وصفحة الدفع بالبطاقة التي ستراها عند الضغط على متابعة موجودان عمداً على نطاقين مختلفين. يُسمح للموقع التسويقي بمعرفة رقم شريحتك ومبلغ الشحن؛ لا يُسمح له بمعرفة بيانات بطاقتك. صفحة الدفع تعرف بطاقتك ورقم الطلب؛ ولا تعرف اسمك أو عنوانك أو أي بيانات تعريفية أخرى لا نحتاجها بشكل صارم.

What the recharge form sees

ما يراه نموذج الشحن

• The Bahraini SIM number, normalised to international format.
• The amount in BHD, rounded to three decimals.
• An order ID generated client-side at the moment you press Continue.
• An optional email address for the receipt.

• رقم الشريحة البحرينية، مُعيَّر بالصيغة الدولية.
• المبلغ بالدينار البحريني، مُقرَّب إلى ثلاث خانات عشرية.
• رقم طلب يُنشأ من جانب العميل لحظة الضغط على متابعة.
• عنوان بريد إلكتروني اختياري للإيصال.

What the card checkout sees

ما تراه صفحة الدفع بالبطاقة

• The same order ID.
• Card number, expiry, CVV — entered by you, sent directly to the card processor over a TLS-encrypted channel.
• The bank's 3-D Secure callback (if your bank requested step-up).

• نفس رقم الطلب.
• رقم البطاقة، تاريخ الانتهاء، CVV — تُدخلها أنت، وتُرسل مباشرة إلى معالج البطاقة عبر قناة مشفّرة بـ TLS.
• استجابة 3-D Secure من البنك (إذا طلب بنكك تحققاً إضافياً).

What never crosses between them

ما لا ينتقل بينهما أبداً

The card checkout never receives your SIM number. The recharge form never receives your card. The order ID is the only opaque token shared between them, and it is invalidated as soon as the recharge resolves into success or refund.

صفحة الدفع لا تستلم أبداً رقم شريحتك. نموذج الشحن لا يستلم أبداً بيانات بطاقتك. رقم الطلب هو الرمز المعتم الوحيد المشترك بينهما، ويُبطَل بمجرد أن تُحسم عملية الشحن إلى نجاح أو استرداد.

Logging policy

سياسة التسجيل

HTTP logs on both sites retain only the order ID, the timestamp, and a coarse status code. PANs, expiry dates, CVV values, OTP codes, names — none of these touch any log we keep. Logs are rotated weekly.

سجلات HTTP على كلا الموقعين تحتفظ فقط برقم الطلب والطابع الزمني ورمز حالة عام. أرقام البطاقات الكاملة، تواريخ الانتهاء، قيم CVV، رموز OTP، الأسماء — لا شيء من هذا يمس أي سجل نحتفظ به. تُدوَّر السجلات أسبوعياً.

Encryption in transit

التشفير أثناء النقل

Both hostnames serve TLS 1.3 only. TLS 1.2 is rejected. Older protocols are rejected. HSTS is enabled with a long max-age. Certificates are renewed automatically.

كلا النطاقين يخدمان TLS 1.3 فقط. يُرفض TLS 1.2. تُرفض البروتوكولات الأقدم. HSTS مفعّل بفترة max-age طويلة. تُجدَّد الشهادات تلقائياً.

What we do not claim

ما لا ندّعيه

We don't claim PCI DSS Level 1 — that's a certification specific to organisations that touch card data, and we offload that path to a partner that is certified at that level. We don't claim ISO 27001 either, because we don't have it. The badges in the footer are factual: PCI scope is delegated, TLS 1.3 is enforced, GDPR-style data minimisation is applied.

لا ندّعي PCI DSS Level 1 — هذه شهادة خاصة بالمؤسسات التي تتعامل مع بيانات البطاقات، ونحن ننقل هذا المسار إلى شريك حاصل على هذه الشهادة. لا ندّعي أيضاً ISO 27001، لأننا لا نملكها. الشارات في التذييل واقعية: نطاق PCI مُفوَّض، TLS 1.3 مفروض، تقليل البيانات بأسلوب GDPR مُطبَّق.

Reporting a security issue

الإبلاغ عن مشكلة أمنية

If you've found something off, write to security@bahrainagent.org with as much detail as you can share. We answer within one business day. Coordinated disclosure: please give us 30 days before publishing.

إذا وجدت شيئاً غير طبيعي، اكتب إلى security@bahrainagent.org بأكبر قدر من التفاصيل يمكنك مشاركتها. نردّ خلال يوم عمل واحد. الإفصاح المنسّق: يرجى منحنا ٣٠ يوماً قبل النشر.

Top up a SIM →اشحن شريحة ←