PCI DSS في المغرب: معيار وليس ترخيصًا، وما يعنيه للتجار
PCI DSS في المغرب للتجار: الفرق بين المعيار والترخيص، وما تغطيه شهادة ChariPay من المستوى 1، ونطاقكم حسب طريقة الدمج التي تختارونها.
PCI DSS في المغرب ليس ترخيصًا: إنه معيار أمن بيانات البطاقات الذي ينشره PCI Security Standards Council، ويمكن لمنصة دفع أن تحصل على شهادة مطابقة له. والسؤال الحقيقي بالنسبة إلى التاجر هو سؤال النطاق. فإذا أدخل زبونكم بطاقته في صفحة دفع مستضافة، داخل نطاق حاصل على الشهادة، فلن تروا أبدًا رقم بطاقة. وإذا بنيتم نموذج البطاقة الخاص بكم، دخلتم نطاق الامتثال الخاص ببيانات البطاقات. يشرح هذا الدليل الفرق، وما لا تقوم به شهادة المنصة بدلًا منكم، والأسئلة التي تطرحونها على مستشاركم.
ما هو PCI DSS؟
PCI DSS هو معيار أمن بيانات البطاقات الذي ينشره PCI Security Standards Council، وقد وُضع، كما يصفه المجلس، لتعزيز أمن بيانات حسابات بطاقات الدفع وتشجيع الاعتماد الواسع لتدابير متّسقة لأمن البيانات في العالم كله. والمستوى الأول هو الأكثر تطلبًا.
احتفظوا بأمرين من هذا التعريف. أولًا، ليس نصًا قانونيًا مغربيًا: فهو لا يرد في القانون 103-12، وليس بنك المغرب من ينشره. ثانيًا، يتعلق بموضوع محدد هو بيانات بطاقات الدفع: أما باقي بيانات زبنائكم فتخضع لإطار آخر.
ترخيص PCI DSS أم شهادة: مفهومان مختلفان
عبارة «ترخيص PCI DSS» تخلط بين مفهومين ليس لهما المصدر نفسه ولا الموضوع نفسه. ففي المغرب، الترخيص بالمعنى القانوني هو ما يمنحه بنك المغرب لمؤسسة كي تزاول نشاطها. أما PCI DSS فمعيار، ويمكن لمنصة أن تحصل على شهادة مطابقة له.
لنأخذ حالتنا مثالًا. ChariPay منصة دفع مغربية، مزوّد خدمات دفع (PSP) تشغّله Chari Money، مؤسسة أداء مرخَّصة من بنك المغرب. والمفهومان حاضران فيها، يحملهما طرفان مختلفان:
| الترخيص | شهادة PCI DSS | |
|---|---|---|
| الطبيعة | إذن قانوني بمزاولة النشاط | مطابقة لمعيار أمن بيانات البطاقات |
| من يمنحه أو ينشره | بنك المغرب، في إطار القانون 103-12 | ينشر المعيارَ PCI Security Standards Council |
| ما يغطيه | المؤسسة وحقها في مزاولة النشاط | أمن بيانات البطاقات في المنصة |
| من يحمله في ChariPay | Chari Money، مؤسسة الأداء التي تشغّل ChariPay | المنصة، الحاصلة على شهادة PCI DSS المستوى 1 تُجدَّد كل سنة |
ولا ينتقل أيٌّ منهما إلى مؤسستكم: فما يعنيكم مباشرة هو نطاقكم أنتم في ما يخص بيانات البطاقات.
مع الصفحة المستضافة، يُدخل زبونكم بطاقته في نطاق حاصل على الشهادة
ومن جهتكم، يبقى المسار بسيطًا. تتحول الطلبية إلى جلسة: تنشئون الجلسة من جهة الخادم، وتعيدون توجيه المشتري إلى صفحة الدفع المستضافة — بالبطاقة مع 3-D Secure —، وتتلقون النتيجة عبر ويب هوك موقَّع. ورابط الدفع يتبع المنطق نفسه: يدفع الزبون في صفحة تستضيفها ChariPay.
يُدخل زبونكم بطاقته في صفحة الدفع المستضافة، داخل نطاق حاصل على شهادة PCI DSS المستوى 1: لا ترون أبدًا رقم بطاقة، ويُختصر استبيان التقييم الذاتي الخاص بكم تبعًا لذلك — وهو ما يُؤكَّد مع مستشاركم أو جهة الاقتناء لديكم. ومن جهة المنصة، أرقام البطاقات لا تُكتب أبدًا في قاعدة البيانات.
عمليًا، ما تقرؤونه بعد الأداء هو حالة ومبلغ — عبر GET /v1/payment-sessions/{sessionId} بالنسبة إلى الجلسة — وmetadata الخاصة بكم، التي تعود كما هي في الحدث: ولا رقم بطاقة أبدًا. فلا سبب إذن لأن يحتوي خادمكم أو قاعدة بياناتكم أو رسائل التأكيد أو أداة الدعم لديكم على رقم بطاقة.
تأكدوا من ذلك بأنفسكم: ابدؤوا في وضع الاختبار. ثلاثة حقول (الاسم، والبريد الإلكتروني المهني، والمؤسسة)، ورابط تفعيل يصلكم بالبريد لاختيار كلمة المرور، ثم بوابة التاجر حيث تنشئون مفتاح الاختبار بعد إعادة مصادقة، وتدفعون ببطاقة الاختبار المقدَّمة دون أي مال حقيقي. الأمر مجاني، بلا حد زمني ودون موافقة تنتظرونها؛ والتحقق من مؤسستكم (KYB) لا يشترطه إلا الانتقال إلى الإنتاج.
مع نموذج البطاقة الخاص بكم، يتغيّر النطاق
تريد بعض الشركات أن يبقى إدخال البطاقة داخل واجهتها. يتيح لكم الدفع المباشر بناء نموذج البطاقة الخاص بكم: التحقق من الجلسة، وإرسال بيانات البطاقة، وعودة 3-D Secure، وحالة الأداء. ولا تُوثَّق هذه النداءات بمفتاح API الخاص بكم بل بالجلسة ومفتاح التحقق لمرة واحدة (vk) — فلا ترسلوا مفتاح API إليها أبدًا — وهي تُدخلكم في نطاق الامتثال الخاص ببيانات البطاقات. وفي الدفع المباشر، خادمكم هو الذي ينفّذ نداءات /checkout/*، من خادم إلى خادم؛ وفي صفحة الدفع المستضافة، تنفّذها صفحة الدفع الخاصة بـChariPay نفسها.
ولا يكون لهذا الاختيار معنى إلا إذا كان لديكم سبب محدد لعدم استعمال الصفحة المستضافة. ويلخّص الجدول ما يتغيّر:
| الصفحة المستضافة | نموذج البطاقة الخاص بكم | |
|---|---|---|
| أين تُدخل البطاقة | في صفحة الدفع التي تستضيفها ChariPay | في نموذجكم، على موقعكم أو تطبيقكم |
| رقم البطاقة | لا ترونه أبدًا | يجمع نموذجكم بيانات البطاقة، ويرسلها خادمكم |
| توثيق النداءات | مفتاح API الخاص بكم، من جهة الخادم، لإنشاء الجلسة | مفتاح API الخاص بكم لإنشاء الجلسة، ثم، لنداءات /checkout/*، الجلسة ومفتاح التحقق لمرة واحدة (vk)، لا مفتاح API أبدًا |
من ينفّذ نداءات /checkout/* | صفحة الدفع الخاصة بـChariPay | خادمكم، من خادم إلى خادم |
| 3-D Secure | في الصفحة المستضافة | عودة 3-D Secure تُدار في مساركم |
| النطاق | استبيان تقييم ذاتي مختصر، يُؤكَّد مع مستشاركم أو جهة الاقتناء لديكم | تدخلون نطاق الامتثال الخاص ببيانات البطاقات |
أما التنفيذ التقني، نداءً نداءً، فمفصَّل في مقالنا عن الدفع المباشر. وقبل الذهاب إليه، اعرضوا تغيّر النطاق على مستشاركم: فهو من سيخبركم بما يعنيه نموذجكم لمؤسستكم.
ما لا تقوم به شهادة ChariPay بدلًا منكم
تتعلق شهادة PCI DSS من المستوى 1 بالمنصة. فهي لا تنتقل إلى مؤسستكم ولا تغطي ما يجري لديكم. والنطاق الحاصل على الشهادة هو حيث يُدخل زبونكم بطاقته؛ ولا يمتد إلى موقعكم، ولا إلى حواسيبكم، ولا إلى صندوق رسائل خدمة الزبناء لديكم.
يبقى إذن من جهتكم:
- موقعكم: الصفحات التي تقود إلى الأداء، وعناوين العودة والإشعار؛
- صلاحيات الوصول: من يدخل إلى بوابة التاجر، وبأي دور؛
- مفاتيح API: أين تُحفظ، ومن يستطيع قراءتها؛
- ما يتلقاه فريقكم عبر الرسائل: قد يرسل زبون مستعجل بطاقته في صورة أو نصًا صريحًا، وهكذا قد تدخل بيانات البطاقات، عرَضًا، إلى مؤسسة لم تكن تحتاج إليها قط.
وما تقوم به المنصة من جهتها — المحاسبة بالقيد المزدوج، والموافقة المزدوجة، وسجل التدقيق، والمصادقة القوية — مفصَّل في صفحة الأمان والامتثال.
الممارسات الجيدة لـPCI DSS لدى التاجر
بعض القواعد البسيطة تُبقي بيانات البطاقات خارج مؤسستكم:
- 1لا تطلبوا أبدًا رقم بطاقة بالبريد الإلكتروني أو الهاتف أو الرسائل، ولا تقبلوه. أرسلوا بدلًا من ذلك رابط دفع: يدفع الزبون في الصفحة المستضافة، وتتلقون أنتم الحالة.
- 2إذا أرسل زبون بطاقته من تلقاء نفسه، فلا تنسخوها في أي مكان ولا تُدخلوها بأنفسكم: أجيبوه برابط دفع، واشرحوا له أن البطاقة لا تُدخل إلا في صفحة الدفع.
- 3عاملوا مفاتيح API معاملة الأسرار: المفتاح سرّ، لا يوضع أبدًا في المتصفح، ولا في تطبيق محمول، ولا في مستودع git، ولا في لقطة شاشة. والتفاصيل في حماية مفاتيح API.
- 4احموا الوصول إلى بوابة التاجر: تُفعَّل المصادقة الثنائية (TOTP) من إعدادات حسابكم، وبعد تفعيلها تُطلب عند تسجيل الدخول؛ وتُشترط إعادة المصادقة قبل كل عملية حساسة؛ وأعطوا كل شخص أضيق دور يكفيه.
- 5صرّحوا بعناوين `https://` للعودة والإشعارات: فـAPI ترفض أي عنوان آخر.
وموضوعان مجاوران يستحقان قراءة مستقلة: عمليات النصب التي تستهدف التاجر، من لقطة الشاشة المزيفة إلى الاسترداد الكاذب، في الاحتيال في الدفع الإلكتروني؛ والمعطيات الشخصية لزبنائكم، التي تخضع لإطار غير PCI DSS، في المعطيات الشخصية والقانون 09-08.
الأسئلة التي تطرحونها على مستشاركم أو جهة الاقتناء لديكم
لا نستطيع أن نقول لكم أي استبيان ينطبق على مؤسستكم: فذلك يتوقف على طريقة الدمج، وعلى نشاطكم، وعلى الجهة التي تطلبه منكم. إليكم الأسئلة التي تُطرح، دون جواب جاهز:
- 1أي استبيان تقييم ذاتي ينطبق على طريقة الدمج الحالية لديّ — الصفحة المستضافة، وروابط الدفع؟
- 2ما الذي يتغيّر إذا بنيت نموذج البطاقة الخاص بي؟
- 3ما الإثباتات التي عليّ الاحتفاظ بها، وكم مرة أحدّثها؟
- 4هل يمكن أن تتلقى أدواتي الخارجية — المراسلة، وأداة الدعم، وCRM — بيانات بطاقات، وماذا أفعل إن حدث ذلك؟
- 5من المسؤول عن هذه الأسئلة داخل مؤسستي؟
يُختصر استبيانكم مع الصفحة المستضافة — وهو ما يُؤكَّد مع مستشاركم أو جهة الاقتناء لديكم. وفي كل ما يخص التزاماتكم الخاصة، مستشاركم وحده من يستطيع إبداء الرأي: هذا المقال ليس استشارة قانونية.
أسئلة شائعة
هل أحتاج إلى ترخيص PCI DSS للبيع عبر الإنترنت في المغرب؟
PCI DSS ليس ترخيصًا: إنه معيار لأمن بيانات البطاقات ينشره PCI Security Standards Council. وفي المغرب، الترخيص القانوني هو ما يمنحه بنك المغرب لمؤسسة؛ وفي ChariPay تحمله Chari Money. أما ما يعنيكم فهو نطاقكم: مع الصفحة المستضافة يُختصر، وهو ما يُؤكَّد مع مستشاركم أو جهة الاقتناء لديكم.
هل يجب أن يكون متجري الإلكتروني مطابقًا لـPCI DSS؟
يتوقف ذلك على المكان الذي تُدخل فيه البطاقة. مع صفحة الدفع المستضافة، يُدخل زبونكم بطاقته داخل نطاق حاصل على شهادة PCI DSS المستوى 1، ولا ترون أبدًا رقم بطاقة، ويُختصر استبيان التقييم الذاتي الخاص بكم تبعًا لذلك — وهو ما يُؤكَّد مع مستشاركم أو جهة الاقتناء لديكم. ويبقى موقعكم وصلاحياتكم ومفاتيحكم على مسؤوليتكم.
ماذا يعني PCI DSS المستوى 1؟
PCI DSS هو معيار أمن بيانات البطاقات الذي ينشره PCI Security Standards Council، والمستوى الأول هو الأكثر تطلبًا. ومنصة ChariPay حاصلة على شهادة PCI DSS المستوى 1 تُجدَّد كل سنة. وهذه الشهادة تخص المنصة: فهي لا تنتقل إلى مؤسستكم ولا تُغني عن الممارسات الجيدة من جهتكم.
هل أرى أرقام بطاقات زبنائي؟
لا، إذا استعملتم الصفحة المستضافة أو رابط دفع: يُدخل الزبون بطاقته في صفحة الدفع، وتقرؤون أنتم حالة الأداء ومبلغه. ومن جهة المنصة، أرقام البطاقات لا تُكتب أبدًا في قاعدة البيانات. ويختلف الأمر إذا بنيتم نموذج البطاقة الخاص بكم: فأنتم تدخلون حينها نطاق الامتثال الخاص ببيانات البطاقات.
هل يغيّر بناء نموذج البطاقة الخاص بي التزاماتي؟
نعم، يتغيّر النطاق. يتيح لكم الدفع المباشر بناء نموذجكم؛ وينفّذ خادمكم نداءاته /checkout/*، من خادم إلى خادم، وتُوثَّق بالجلسة ومفتاح التحقق لمرة واحدة (vk)، لا بمفتاح API أبدًا؛ وهي تُدخلكم في نطاق الامتثال الخاص ببيانات البطاقات. ولا يكون لهذا الاختيار معنى إلا إذا كان لديكم سبب محدد لعدم استعمال الصفحة المستضافة.
هل يمكنني تلقّي رقم بطاقة بالبريد الإلكتروني أو واتساب لأستخلص المبلغ بنفسي؟
لا تفعلوا. فرقم البطاقة الذي يصل عبر رسالة يدخل مؤسستكم دون أي حماية، وحامل البطاقة هو من يؤكد الأداء لدى بنكه عبر 3-D Secure، لا أنتم. أرسلوا بدلًا من ذلك رابط دفع بالبريد الإلكتروني أو واتساب: يُدخل الزبون بطاقته في الصفحة المستضافة، مع 3-D Secure، ولا ترون أنتم سوى حالة الأداء.
من يستطيع تأكيد استبيان PCI DSS الذي ينطبق على نشاطي؟
مستشاركم أو جهة الاقتناء لديكم، لأن الجواب يتوقف على طريقة الدمج وعلى نشاطكم. حضّروا وصفًا لمسار الأداء لديكم — الصفحة المستضافة، والروابط، والنموذج الخاص — وقائمة الأدوات التي تتلقى رسائل الزبناء؛ ودوّنوا كذلك من يصل لديكم إلى بوابة التاجر وإلى مفاتيح API. ومستشاركم وحده من يستطيع إبداء الرأي.
الخطوة التالية
تأكدوا بأنفسكم مما يتلقاه خادمكم بعد الأداء، حالةٌ لا رقم بطاقة أبدًا: ابدؤوا في وضع الاختبار، ثم ادفعوا ببطاقة الاختبار في الصفحة المستضافة. وبعد ذلك اعرضوا نطاقكم على مستشاركم أو جهة الاقتناء لديكم لتأكيده. أما ما تقوم به ChariPay من جهتها، فتلخّصه صفحة الأمان والامتثال.
Sources
- PCI Security Standards Council — PCI DSS — اطُّلع عليه في 2 أكتوبر 2026
- بنك المغرب — القانون رقم 103-12 المتعلق بمؤسسات الائتمان والهيئات المعتبرة في حكمها، صيغة محيَّنة في 31 مارس 2022 (PDF بالفرنسية) — اطُّلع عليه في 2 أكتوبر 2026
بقلم فريق ChariPay.