v3.1.0

NexusLink v3.1.0 — ملاحظات الإصدار / Release Notes

التاريخ: 2026-10-29 · أول minor بعد ختم M4 (إيقاع minor المعتمد في ROADMAP) —
يجمع عقود ما بعد الوسم §41–§49 فوق 3.0.0: النقل المشفر الذاتي · إكمال اللغات ·
سلسلة التوقيع النائمة · تعبئة Flathub · الازدواجية الصادقة للترخيص · المساعدة
عن بعد · إدارة الأسطول · وضع الطوارئ · المرحّل الذاتي — إغلاق آخر ثغرة في
وعد «بلا سحابة»: وصول عبر الإنترنت عبر مرحّل يملكه المالك حصرًا.
أساس E2E: 1080 → 1316 (ست بوابات عقود جديدة + انحدارات كاملة).
Date: 2026-10-29 · The first minor after the M4 seal (the ROADMAP's monthly
cadence) — bundles the post-tag contracts §41–§49 on top of 3.0.0: self-owned
TLS · complete languages · dormant signing chain · Flathub packaging · honest
license dual-licensing · remote assist · fleet management · emergency mode ·
the self-hosted relay — closing the last hole in the "no cloud" promise:
internet access through a relay the owner alone owns.
E2E baseline: 1080 → 1316 (six new contract gates + full regressions).

ملاحظة تعاقدية / Contract note: الإصدار موحّد 3.1.0 حرفيًا في كل المنصات
(tauri.conf.json/Cargo.toml/pubspec/package.json) وفي env.VERSION بسير الإصدار
وفي ملف المحدّث latest.json — مسار الترقية الموقّع 3.0.0→3.1.0 يحفظ كل الإعدادات
والبيانات.
Contract note: the version is exactly 3.1.0 on every platform
(tauri.conf.json/Cargo.toml/pubspec/package.json), in the release workflow
env.VERSION, and in the updater manifest latest.json — the signed
3.0.0→3.1.0 upgrade path preserves all settings & data.

---

العربية

NexusLink v3.1.0 — إصدار «ما بعد الختم»: كل بند محلي قابل للتنفيذ في الخارطة
أُغلق بعقده، والوعد التأسيسي («محليًا، خاصًا، بلا وسيط») اكتمل حتى طبقة الوصول
نفسها — مرحّل ذاتي تملكه أنت بدل نفق سحابي تجاري.

جديد

المرحّل الذاتي (عقد §49 — النواة المحلية لـ E4) — وصول عبر الإنترنت بلا أي
وسيط سحابي: خادم مرحّل صفر-تبعيات صفر-تخزين يعمل على خادم المالك (VPS/منزلي)
أنبوب تمرير أعمى بين الجهاز البعيد والمركز؛ المركز يتصل به خارجيًا (لا فتح منافذ
في بيت المالك) والهاتف/المتصفح يصلان إليه فيصلان المركز عبر مسار لا تلمسه أي
سحابة. النواة النقية: اشتقاق غرفة HMAC-SHA256 وإثبات دخول بزمن-ثابتة (السر لا
يسافر في أي إطار أبدًا) وتراجع إعادة اتصال حتمي 250ms×2ⁿ بسقف 16s. ترويسة شدّ
x-nexuslink-relay تُخضع النفق لحواجز §37/§38/§40 كاملة (تشدد أبدًا ولا ترخي
أبدًا) والإدارة /api/relay بملف حالة ذرّي 0600 (حذفه = قطع فوري) وسجل §39
ببصمة السر لا السر — بطاقة إعدادات كاملة و18 مفتاح i18n في المعاجم الخمسة.

وضع الطوارئ الذكي (عقد §48) — القفل النهائي بيد المالك حصرًا: POST
/api/security/emergency بحرس loopback يقتضي PIN بمطابقة زمن-ثابتة وكلمة «اقتل»
الحرفية؛ الأثر داخل الطلب نفسه: تدوير رمز §37 فورًا + قائمة قتل دائمة تواجه أي
إعادة اتصال بالقتل قبل أي مصافحة + تصعيد ذاتي محلي يعمل بلا شبكة (نواة نقية
حتمية الترتيب). مطلب «حزمة تتخفى على الهاتف المسروق» رُفض ومُوثق بثلاث حجج
(تقنيًا/قانونيًا/هويًا) — والهدف الحقيقي منجز بالوكيل المسبق التثبيت بنمط Find
My الشريف.

إدارة الأسطول (عقد §47) — مخطط السياسة v2 بتوافق رجعي كامل: قفل الإعدادات
انتقائيًا وإجبار تدوير رمز الوصول بإعلان صاخب لا قطع ذاتي وتعطيل القدرات الثلاث
عند نقاطها وختم الإصدار الأدنى إعلانًا — مولّد تقارير الامتثال (JSON كامل + PDF
إنجليزي صفر-اعتماد — تصدير محلي حصرًا) وحزم MDM التعريفية الثلاث (ADMX لويندوز ·
plist لماك · managed config لأندرويد) تكتب المخطط نفسه حرفيًا.

المساعدة عن بعد برمز قصير (عقد §46 — سيناريو العائلة) — اقتران بلا مسح QR:
رمز عددي ستّي مشتق حتميًا من سر آخر QR بـHMAC-SHA256 (بلا حالة ولا تخزين)؛ الطريق
كامل: طلب الهاتف → طلب معلق بلا تسجيل → موافقة صريحة من مالك سطح المكتب →
جلسة مرئية → قطع بضغطة يبطل الاقتران.

النقل المشفر الذاتي (عقد §41) — TLS/WSS في البوابة OFF بالتصميم بفشل-مغلق
إقلاعي (نصف متغيري الشهادة يرفض الإقلاع) وبصمة في health — النواة المحلية لـ E4
التي بنى عليها المرحّل §49 فوقها.

اللغات والثقة والتوزيع (عقود §42–§45) — المعاجم الأربع كاملة 100% بلا بقايا
عربية والحارس يفرض التطابق آليًا (أساس هذا الإصدار 3,725 مفتاحًا ×5 لغات) ·
سلسلة التوقيع النائمة (استيراد PFX محارس بالسر + بوابتا Apple تكتبان المتغيرات
عند الوجود حصرًا + تحقق Authenticode داخل CI — تتفعل لحظة وضع الشهادات في
الأسرار بلا تحرير workflow) · ملفات meta الكاملة لمراجعة Flathub في
packaging/flathub/ · الازدواجية الصادقة للترخيص (نواة مغلقة © CTO-DRS +
المجموعة المفتوحة MIT بحارس انجراف 44 فحصًا).

الاكتشاف (SEO/AIO) — NexusLink مرئي لجوجل ومحركات البحث وإجابات الذكاء
الاصطناعي: رأس كامل بcanonical وOpen Graph وTwitter Cards وأربعة أنواع JSON-LD
صادقة وrobots.txt يرحب بزواحف البحث وزواحف AI وllms.txt بمعيار llmstxt.org
ومفتاح IndexNow — وموقع Pages الرسمي حي مع ملكية Google Search Console.

إصلاحان من بوابة الإصدار (اكتُشفا بالفحص الكامل قبل الوسم) — ① قناع الطابع
الزمني الحي: Date.now() & 0xffffffff في JS يُعيد Int32 بإشارة سالبة في نصف
نوافذ الزمن فيكسر writeUInt32BE — عولج بـ>>> 0 في جسر NexusLive
(remote-bridge وremote-service) وفي بوابة الفحص نفسها (نفس درس §48: قنبلة
موقّتة بالحظ الزمني) · ② سجل الإصدارات في /api/version: كان الواصل للشبكة
يعود بسجل أفقر من الأوفلاين (GitHub عليه إصدار منشور واحد بعد تنظيف الوسوم)
— صار اتحادًا: البعيد يفوز حرفيًا عند التعارض والمحلي يضمن التاريخ الغني
(1.0→…→الحالي) في كل حالات الشبكة.

حدود صادقة

ما يبقى خارجيًا بقرار المالك حصرًا: شهادة Windows OV ($200–400/سنة — النواة
نائمة جاهزة) · حساب Apple Developer ($99/سنة) · حساب Flathub وفتح الطلب · نطاق
رسمي ($10/سنة) وشهادات الإنترنت العام للمرحّل (Caddy/Let's Encrypt — نمط §41.ب)
· بناء وكيل Flutter الحقيقي على جهاز المالك (مواصفة §49.هـ/§46.د) · النشر الفعلي
MDM والمدقق SOC 2 وعقد OEM · v1 من المرحّل يمرر HTTP/REST حصرًا (قنوات المقبس
الحية محلية — بند توسعة معلن) والمرحّل يرى البيانات الوصفية لا محتوى القنوات
المعمّاة.

التثبيت

المنصة	الحزمة
Windows	NexusLink_3.1.0_x64-setup.exe (NSIS) · MSI · ZIP محمول
macOS	NexusLink_3.1.0_aarch64.dmg
Linux	NexusLink_3.1.0_amd64.deb · *.AppImage
Android	NexusLink-3.1.0-release.apk (الوكيل)

الترقية من 3.0.0 آلية عبر المحدّث الموقّع (أو التثبيت فوق القديم يحفظ البيانات).

---

English

NexusLink v3.1.0 — the "post-seal" release: every locally-executable item in
the roadmap closed under its contract, and the founding promise ("local,
private, no middleman") completed down to the access layer itself — a
self-hosted relay you own instead of a commercial cloud tunnel.

What's new

The self-hosted relay (contract §49 — E4's local core) — internet access
with zero cloud middlemen: a zero-dependency, zero-storage relay server that
runs on the owner's own box (VPS/home), a blind pipe between the remote device
and the hub; the hub connects out to it (no open ports in the owner's home)
and the phone/browser reach the hub through a path no cloud ever touches. The
pure core: HMAC-SHA256 room derivation, constant-time entry proof (the secret
never travels in any frame), deterministic reconnect backoff 250ms×2ⁿ capped
at 16s. The severity header x-nexuslink-relay subjects the tunnel to the
full §37/§38/§40 barriers (always tightens, never loosens), administration via
/api/relay with an atomic 0600 state file (delete = instant cut) and §39
audit entries carrying the secret's fingerprint, never the secret — full
settings card and 18 i18n keys across all five dictionaries.

Smart emergency mode (contract §48) — the final lock, owner-only: POST
/api/security/emergency behind loopback guards requiring a constant-time PIN
match and the literal word "kill"; the effect happens inside the request:
immediate §37 token rotation + a persistent kill list that meets any
reconnect with kill-before-handshake + a local self-escalation core that
works with no network (deterministic ordering). The "stealth package on a
stolen phone" request was rejected and documented with three arguments — the
true goal ships as the honest pre-installed agent, Find-My style.

Fleet management (contract §47) — policy schema v2 with full backward
compatibility: selective settings locks, forced access-token rotation via
loud announcement (never silent self-cutoff), capability kill-switches at
their points, and minimum-version stamping as announcement — plus the
compliance report generator (full JSON + zero-dependency English PDF — local
export only) and the three MDM definition packs (Windows ADMX · macOS plist ·
Android managed config) writing the identical schema.

Short-code remote assist (contract §46 — the family scenario) — pairing
without QR scanning: a deterministic six-digit code derived from the latest
QR secret via HMAC-SHA256 (stateless, storage-free); the full path: phone
request → pending request (no logging) → explicit owner approval →
visible session → one-press cutoff that revokes the pairing.

Self-owned transport (contract §41) — TLS/WSS in the gateway, OFF by
design with boot fail-closed (half the certificate variables present = refuse
to boot) and a health fingerprint — E4's local core that §49's relay builds
upon.

Languages, trust & distribution (contracts §42–§45) — all four remaining
dictionaries 100% complete with zero Arabic leftovers and an enforced parity
guard (this release's baseline: 3,725 keys ×5 languages) · the dormant
signing chain (secret-guarded PFX import + Apple gates writing variables only
when present + in-CI Authenticode verification — activates the moment
certificates land in secrets, zero workflow edits) · complete Flathub review
metadata in packaging/flathub/ · the honest license dual-licensing (closed
core © CTO-DRS + MIT open set with a 44-check drift guard).

Discovery (SEO/AIO) — NexusLink is visible to Google, search engines, and
AI answers: full head with canonical, Open Graph, Twitter Cards, four honest
JSON-LD types, a robots.txt welcoming search and AI crawlers, llms.txt per
the llmstxt.org standard, and an IndexNow key — the official Pages site live
with verified Google Search Console ownership.

Two fixes from the release gate (caught by the full pre-tag check) —
① the live timestamp...

NexusLink v3.0.0 — الثقل المؤسسي (§38–§40)

NexusLink v3.0.0 — ملاحظات الإصدار / Release Notes

التاريخ: 2026-10-22 · إصدار M4 «الثقل المؤسسي» بعقد الترقيم المعتمد: «3.0 = M4» —
يجمع ثلاثة عقود مغلقة فوق 2.0.0 (§38 النشر المؤسسي · §39 أدلة شهادات الثقة ·
§40 وضع OEM «خصوصية افتراضية») — نوى M4 المحلية القابلة للتنفيذ مكتملة كلها —
فحوص M4 الحية: ‏85×2 مرتين متتاليتين (26 + 20 + 39) بلا انحدار على أساس 1080.
Date: 2026-10-22 · The M4 "enterprise weight" release under the adopted
numbering contract: «3.0 = M4» — bundles three closed contracts on top of
2.0.0 (§38 enterprise deployment · §39 trust-certificate evidence · §40 OEM
privacy-by-default) — all locally-executable M4 cores complete —
live M4 checks 85×2 twice in a row (26 + 20 + 39), zero regression on the 1080 baseline.

ملاحظة تعاقدية / Contract note: الإصدار موحّد 3.0.0 حرفيًا في كل المنصات
(tauri.conf.json/Cargo.toml/pubspec/package.json) وفي env.VERSION بسير الإصدار
وفي ملف المحدّث latest.json — مسار الترقية الموقّع 2.0.0→3.0.0 يحفظ كل الإعدادات والبيانات.
Contract note: the version is exactly 3.0.0 on every platform
(tauri.conf.json/Cargo.toml/pubspec/package.json), in the release workflow
env.VERSION, and in the updater manifest latest.json — the signed
2.0.0→3.0.0 upgrade path preserves all settings & data.

---

العربية

NexusLink v3.0.0 — إصدار الثقل المؤسسي: جهاز «قابل للإدارة» و«مولد أدلة»
و«مولود خاص» — الإدارة المركزية والسجل التدقيقي ووضع OEM «خصوصية افتراضية»،
وكل ذلك على الجهاز نفسه بلا خدمة سحابية ولا بايت يغادر الشبكة المحلية.

جديد

النشر المؤسسي (عقد §38 — M4.1) — مخطط سياسة مركزية v1 صفر-مخطط: حقل
remoteAccess ‏(force-on/force-off) وحقل blockedBridges بقائمة جسور
مغلقة؛ حل مسارَي موثق (NEXUSLINK_POLICY_FILE ثم بجانب ملف الاقتران ثم
.zstate/enterprise-policy.json) وكاش mtime بفرض لحظي في البوابة (فرض
force-off قبل حسم الرمز + بوابة policyBridgeGate على HTTP وWS + policyManaged
في health) وفي المسارات (/api/remote-access تلميح سياسة وقفل أفعال التعارض)؛
تقرير امتثال حلقي /api/enterprise/compliance ببصمة ملف السياسة (sha256:16)؛
بطاقة إعدادات صادقة تخفي الأزرار المتعارضة بدل تعطيلها صامتًا؛ ودليل النشر
docs/enterprise-deploy.md مع قوالب MDM جاهزة (مسارات + أوامر صامتة لكل منصة

• تحقق بالبصمة) — الجهاز «قابل للإدارة» من وحدة MDM واحدة بلا لمسة يد.

أدلة شهادات الثقة (عقد §39 — M4.2) — سجل تدقيقي مؤسسي على الجهاز: JSONL
إلحاقي بسلسلة بصمات (h = sha256:16 للسطر وprev بصمة سابقه — كشف تعديل
رجعي لا منعه، نموذج الجهاز المحلي الصادق)؛ كاتب واحد حصرًا (خادم الويب) بطابور
داخلي وتحقق سلسلة كامل قبل كل إلحاق وfsync — الدليل قبل السرعة؛ سلسلة
مكسورة = سجل متجمد (لا إلحاق فوق دليل مكسور إطلاقًا)؛ أحداث مغلقة المجموعة:
أفعال الاقتران ببصمات لا رموز، ورفوض الإدارة بسببية كاملة (دليل أمني بحد
ذاته)، ورصد انتقالات السياسة from→to (إدارة التغيير)؛ نقطة عرض حلقي
/api/enterprise/audit تعيد صحة السلسلة بإعادة بناء كل بصمة وbrokenAt
ورأس السجل — منظر لا إجراء؛ ودليل جمع للأدلة بيد المدقق الخارجي مع سكربت
تحقق بايثون مستقل — الجهاز «مولد أدلة» جاهزة ليد المدقق (الشهادة نفسها —
SOC 2 Type I — تبقى قبولًا خارجيًا بقرار المالك).

وضع OEM «خصوصية افتراضية» (عقد §40 — M4.3) — علم بيئي واحد
NEXUSLINK_OEM_PRIVACY=1 تضعه صورة النظام (systemd/launchd/خدمة ويندوز)
فيولد الجهاز «مولودًا خاصًا»: بلا سياسة صالحة = الخارج مرفوض كليًا ولو برمز
اقتران صحيح (HTTP وWS) وكل الجسور محجوبة دفاعًا ثانيًا، وفشل-مغلق (ملف تالف
لا يفتح جهازًا مولودًا خاصًا — عكس الفشل-الآمن نحو المستخدم المتعمد في وضع
§38)، والتخفيف حصرًا بملف سياسة §38 صالح (مسار MDM — قفل التخفيف الذاتي
عمدًا)؛ بلا علم: السلوك التاريخي حرفيًا صفر تغيير؛ التوصيف كامل في تقرير
الامتثال والبطاقتين والانتقالات موثقة في سجل §39 — فوق قالب
privacy-first.json الجاهز، بلا مخطط جديد ولا ملف جديد (نمط §37/§38: مصدر
حقيقة واحد).

حدود صادقة بصدق الوثائق — ما يبقى خارجيًا بعد هذا الإصدار (قبول مؤسسي
بقرار المالك حصرًا): النشر الصامت الفعلي على 50 جهازًا (E1)؛ مدقق SOC 2
والشهادة (E2)؛ عقد OEM وخطوط الإنتاج (E3)؛ والنفق والنطاق وTLS للوصول عبر
الإنترنت بعقد مؤسسي أول يحدد المتطلبات (E4 — حد §36.هـ.1 الخارجي). النوى
المحلية الأربعة لهذه البنود منجزة ومفحوصة (§38 + §39 + §40 + WEB §36/PAIR §37).

التوثيق المرفق — docs/enterprise-deploy.md موسع (§9–§11: جمع الأدلة
للمدقق + الدوران اليدوي + وضع العلم لكل منصة) وdocs/MASTER-PLAN.md §5.ب
محدث (E1–E4 بنوى محلية منجزة) وقوالب data/enterprise/ جاهزة للنشر
(privacy-first لـ OEM + field-kiosk).

التثبيت

المنصة	الحزمة
Windows	NexusLink_3.0.0_x64-setup.exe (NSIS) · MSI · ZIP محمول
macOS	NexusLink_3.0.0_aarch64.dmg
Linux	NexusLink_3.0.0_amd64.deb · *.AppImage
Android	NexusLink-3.0.0-release.apk (الوكيل)

الترقية من 2.0.0 آلية عبر المحدّث الموقّع (أو التثبيت فوق القديم يحفظ البيانات).

---

English

NexusLink v3.0.0 — the enterprise-weight release: a device that is
"manageable", "evidence-generating", and "born-private" — central policy
management, a tamper-evident audit trail, and OEM privacy-by-default, all
on-device with no cloud service and no byte leaving the local network.

What's new

Enterprise deployment (contract §38 — M4.1) — a zero-schema central
policy schema v1: a remoteAccess field (force-on/force-off) and a
blockedBridges list; documented dual-path resolution
(NEXUSLINK_POLICY_FILE, then beside the pairing file, then
.zstate/enterprise-policy.json) with mtime caching and live enforcement in
the gateway (force-off applied before token decision + policyBridgeGate
on HTTP and WS + policyManaged in health) and in the routes
(/api/remote-access policy hints and conflict-action locks); a loopback
compliance report /api/enterprise/compliance with the policy file
fingerprint (sha256:16); an honest settings card that hides conflicting
buttons instead of silently disabling them; and the deployment guide
docs/enterprise-deploy.md with ready MDM templates (paths + silent
commands per platform + fingerprint verification) — the device is
"manageable" from a single MDM unit, zero manual touches.

Trust-certificate evidence (contract §39 — M4.2) — an on-device
enterprise audit trail: append-only JSONL with a hash chain
(h = sha256:16 per line, prev the previous fingerprint — retroactive
tampering is detected, not prevented; the honest local-device model); a
single writer (the web server) with an internal queue, full chain
verification before every append, and fsync — evidence before speed; a
broken chain freezes the log (never append over broken evidence); a closed
event set: pairing actions with fingerprints (never tokens), admin denials
with full reasons (security evidence in itself), and policy transitions
from→to (change management); a loopback view /api/enterprise/audit
re-verifying the whole chain and reporting brokenAt and the head — a view,
never an action; plus an evidence-collection guide for the external auditor
with an independent Python verification script — the "evidence-generating"
device is auditor-ready (the certificate itself — SOC 2 Type I — remains an
external acceptance by the owner).

OEM privacy-by-default (contract §40 — M4.3) — a single environment
flag NEXUSLINK_OEM_PRIVACY=1, set by the system image
(systemd/launchd/Windows service), makes the device "born-private": with no
valid policy, all external access is rejected — even with a valid pairing
token (HTTP and WS) — and every bridge is blocked as a second defense;
fail-closed (a corrupt file never opens a born-private device — the inverse
of §38's deliberate user-mode fail-open toward the user); mitigation
exclusively via a valid §38 policy file (the MDM path — self-mitigation
locked by design); without the flag: the historical behavior, literally
unchanged; fully described in the compliance report and both settings cards,
with transitions recorded in the §39 log — built on the ready
privacy-first.json template with no new schema and no new file (the
§37/§38 pattern: one source of truth).

Honest boundaries, as documented — what remains external after this
release (enterprise acceptance, owner decision only): the actual silent
deployment on 50 devices (E1); the SOC 2 auditor and certificate (E2); the
first OEM contract and production lines (E3); and the tunnel/domain/TLS for
internet access, whose requirements are defined by a first enterprise
contract (E4 — the external side of §36.هـ.1). The local cores of all four
items are shipped and tested (§38 + §39 + §40 + WEB §36/PAIR §37).

Install

Platform	Package
Windows	NexusLink_3.0.0_x64-setup.exe (NSIS) · MSI · portable ZIP
macOS	NexusLink_3.0.0_aarch64.dmg
Linux	NexusLink_3.0.0_amd64.deb · *.AppImage
Android	NexusLink-3.0.0-release.apk (agent)

Upgrading from 2.0.0 is automatic via the signed updater (or install over
the old build — data is preserved).

Full Changelog: v2.0.0...v3.0.0