التعريف المختصر
سؤالان يجب أن يجيب عنهما أي تطبيق فيه حسابات: من أنت؟ وهذه المصادقة، وماذا يُسمح لك؟ وهذا التفويض (Authorization). موظف الاستقبال في عيادة قد يسجل دخوله بنجاح، لكنه لا يجب أن يرى التقارير المالية. الخلط بين السؤالين سبب ثغرات كثيرة.
شرح مبسط
طرق إثبات الهوية تقوم على ثلاثة أشياء: شيء تعرفه (كلمة مرور)، أو شيء تملكه (جوالك الذي يصله الرمز)، أو شيء منك (بصمة أو وجه). الطرق الشائعة في التطبيقات:
| الطريقة | مناسبة لـ | انتبه إلى |
|---|---|---|
| رقم الجوال ورمز OTP | عملاء متاجر وعيادات ومطاعم | تكلفة كل رسالة، وتحديد عدد المحاولات |
| البريد وكلمة المرور | لوحات الإدارة والموظفين | تخزين كلمة المرور مشفرة لا كنص |
| رابط دخول بالبريد | خدمات لا يُدخل إليها يوميًا | تأخر البريد أو وصوله للمزعج |
| Google أو Apple | تطبيقات تريد تسجيلًا بنقرة | يحتاج إعداد حساب مطور لدى كل منهما |
بعد نجاح الدخول ينشئ الخادم جلسة (Session): رمز يُحفظ في متصفح المستخدم يقول «هذا الشخص تحقق منه»، حتى لا يكتب كلمة المرور مع كل صفحة. الجلسة يجب أن تنتهي بعد مدة، وأن تُلغى عند الخروج.
أخطر خطأ في التطبيقات المبنية بسرعة: إخفاء صفحة الإدارة عن القائمة فقط دون حمايتها في الخادم. إذا كتب أي شخص الرابط مباشرة يدخل. الحماية الحقيقية أن يرفض الخادم كل طلب لا يحمل جلسة صالحة بالصلاحية المطلوبة.
مثال من السوق السعودي
عيادة أسنان في الرياض تريد بوابة للمرضى يرون فيها مواعيدهم وخطة العلاج. الأنسب للمرضى الدخول برقم الجوال ورمز تحقق، لأن أغلبهم لن يتذكر كلمة مرور لموقع يزوره مرتين في السنة. أما الأطباء وموظفات الاستقبال فيدخلون ببريد وكلمة مرور قوية، ولكل دور صلاحياته: الاستقبال يرى المواعيد ولا يرى الملاحظات الطبية، والطبيب يرى ملفات مرضاه فقط. ولأن البيانات صحية، تُحمى بعناية أكبر من موقع تعريفي. وفي الجهات التي تحتاج تحققًا رسميًا من الهوية الوطنية تُستخدم خدمة النفاذ الوطني (نفاذ)، وربطها يتطلب موافقات خاصة. مقارنة الخيارات بالتفصيل في دليل خيارات تسجيل الدخول.
كيف يظهر في أوترا
في أوترا تبني واجهة خلفية وقاعدة بيانات لمشروعك، وهذا ما يحتاجه أي نظام حسابات: جدول للمستخدمين وخادم يتحقق منهم. تصف في طلبك طريقة الدخول التي تريدها والأدوار وصلاحية كل دور، وإن احتجت مزود رسائل لرمز التحقق تضيف مفتاحه في «البيانات السرية». وعلى مستوى المنصة نفسها، المتصفح المباشر في أوترا لا يكتب كلمات مرورك ولا يكمل تسجيل الدخول بحسابات Google أو Apple نيابة عنك؛ هذه الخطوة تبقى لك. وقبل الإطلاق راجع أمان التطبيقات المبنية بالذكاء الاصطناعي.
أضف لبوابة العيادة تسجيل دخول للمرضى برقم الجوال ورمز تحقق، ودخولًا للموظفين بالبريد وكلمة مرور، مع دورين: استقبال يرى المواعيد فقط، وطبيب يرى ملفات مرضاه. احمِ كل صفحات الإدارة من الخادم.
مصطلحات ذات صلة
- المتغيرات السرية: مفاتيح الجلسات ومزود الرسائل.
- الواجهة الخلفية: المكان الذي تتم فيه المصادقة فعلًا.
- قاعدة البيانات: حيث تُحفظ الحسابات وكلمات المرور المشفرة.
- SSL: لا تسجيل دخول آمن بدون https.