المصادقة الثنائية لحساب الأداء: تأمين الوصول إلى بوابة التاجر والموافقة المزدوجة

المصادقة الثنائية لحساب الأداء، بعد تفعيلها، تحمي مدخل بوابة التاجر، لكنها ليست سوى الطبقة الأولى. ففي ChariPay، تمرّ العمليات الصادرة التي تُطلقونها عبر ضوابط أخرى: إعادة المصادقة قبل كل عملية حساسة، ورمز لمرة واحدة يُصادِق على كل تحويل، وعدد الموافِقين الذي تحدّدونه، ومهلة أمان بعد إضافة مستفيد جديد، ورمزان لأداء فاتورة، وطالب وموافِق مختلفان للدفعات. أما سجل التدقيق فمسلسل: لا يمكن إعادة كتابة التاريخ. يصف هذا الدليل كل طبقة، وما تحميه، وما عليكم ضبطه من جهتكم، حتى مغادرة أحد المتعاونين.

لماذا يُحمى الوصول إلى بوابة التاجر بطبقات متعددة

ChariPay منصة دفع مغربية، مزوّد خدمات دفع (PSP) تشغّله Chari Money، مؤسسة أداء مرخَّصة من بنك المغرب. وChariPay ليس بنكًا: حساب الأداء الخاص بكم تمسكه Chari Money. إنه يكمّل بنككم ولا يعوّضه. لكن المال يخرج من بوابة التاجر: منها ترسلون تحويلات نحو أي RIB مغربي، وتؤدّون الفواتير لدى الدائنين المعتمدين، وتخضع فيها الدفعات لموافقة مزدوجة إن كنتم تديرون شبكة من التجار الفرعيين. فالوصول الضعيف الحماية لا يكلّف معطيات فحسب: بل قد يكلّف مالًا.

لا تكفي أي حماية وحدها: فكلمة المرور قد تتسرّب، والجلسة قد تبقى مفتوحة، والمتعاون قد يخطئ أو يتجاوز صلاحياته. ومن هنا الطبقات المتتالية، كل واحدة منها مصمَّمة لخطر محدد:

وتشكّل الأدوار طبقة مستقلة، تحدّد ما يراه كل شخص وما يستطيع فعله: تفصل أدوار بوابة التاجر بين الاطّلاع والفعل — مالك، مسيّر، أمين صندوق، محاسب. وتوزيعها مفصَّل في أدوار بوابة التاجر وصلاحياتها؛ أما هذا الدليل فيتناول الحمايات التي تُضاف إليها.

المصادقة الثنائية لحساب الأداء عند الدخول

تُفعَّل المصادقة الثنائية (TOTP) من إعدادات حسابكم: تطبيق مصادقة، ورمز من ستة أرقام، ورموز احتياطية تُحفظ في مكان آمن. وبعد تفعيلها تُطلب عند تسجيل الدخول؛ ويمكن لبوابة التاجر أن تفرضها أيضًا على المستعملين المخوَّلين بالعمليات الحساسة — الاسترداد، والتحويلات، وتدبير المستفيدين. أما الجلسات فمؤمَّنة.

ويدلّ TOTP على رمز مؤقت يحسبه تطبيق المصادقة انطلاقًا من سرّ ومن الوقت، على جهاز تحتفظون به معكم: وبعد تفعيل المصادقة الثنائية، لا تكفي كلمة مرور مسروقة وحدها للدخول.

ولا تنفع هذه الحماية إلا إذا بقيت شخصية. ثلاث عادات تجعلها فعّالة:

• شخص واحد، دخول واحد، ومصادقة ثنائية مفعَّلة. معرّف مشترك بين الزملاء، ولا أحد يعرف بعد ذلك من فعل ماذا.
• الجهاز الذي يولّد الرموز يبقى مع صاحبه، لا على مكتب مشترك أبدًا، والرموز الاحتياطية تُحفظ على حدة، بعيدًا عن متناول الآخرين.
• الجلسات تُغلق. على حاسوب مشترك — في الشبّاك أو مكتب الاستقبال — سجّلوا الخروج بعد الاستعمال.

إعادة المصادقة قبل كل عملية حساسة

لا يكفي أن تكونوا متصلين لكل شيء. فقبل كل عملية حساسة، تطلب منكم بوابة التاجر المصادقة من جديد. ولذلك لا تتيح جلسة فُتحت صباحًا وتُركت دون مراقبة، وحدها، إطلاق عملية حساسة بعد الظهر.

وأوضح مثال هو مفتاح API. تنشئونه بأنفسكم من بوابة التاجر بعد إعادة مصادقة؛ ولا يُعرض المفتاح كاملًا إلا مرة واحدة ولا يُرسل أبدًا بالبريد الإلكتروني. فإعادة المصادقة تؤكد أنكم أنتم من ينشئ هذا المفتاح، في تلك اللحظة بالذات؛ والعرض لمرة واحدة يمنع بقاءه مقروءًا في بوابة التاجر بعد ذلك. انسخوه مباشرة إلى خزنة الأسرار لديكم.

ويمكنكم تجربة هذه الحمايات الآن، دون أي مخاطرة: ابدؤوا في وضع الاختبار. ففي وضع الاختبار، يُنشأ مفتاح الاختبار بعد إعادة مصادقة ولا يُعرض إلا مرة واحدة. ثلاثة حقول (الاسم، والبريد الإلكتروني المهني، والمؤسسة)، ورابط تفعيل يصلكم بالبريد لاختيار كلمة المرور، ثم بوابة التاجر حيث تنشئون مفتاح الاختبار وتُجرون أول أداء ببطاقة الاختبار، دون أي مال حقيقي. الأمر مجاني، بلا حد زمني ودون موافقة تنتظرونها: والتحقق من مؤسستكم (KYB) لا يشترطه إلا الانتقال إلى الإنتاج.

الموافقة المزدوجة على التحويل: رمز لمرة واحدة وعدة موافِقين

يستدعي التحويل يقظة خاصة، لسبب بسيط: التحويل المنفَّذ لا يمكن إلغاؤه. ولذلك يجب أن تأتي المراقبة قبل الإرسال، لا بعده أبدًا.

كل تحويل يُرسَل من بوابة التاجر يُصادِق على إرساله رمز لمرة واحدة من ستة أرقام، يُرسَل بالبريد الإلكتروني إلى كل عنوان موافقة معيَّن في «Paramètres → Sécurité» (Settings → Security) — حتى خمسة عناوين، كل واحد منها لعضو في الفريق مخوَّل بالتحويلات —؛ وتحدّدون عدد الموافِقين المطلوب. وما دام لم يُضبط أي عنوان، لا يمكن إرسال أي تحويل. وهذا جوهر الموافقة المزدوجة: لا ينطلق التحويل إلا بعد موافقة العدد الذي حدّدتموه من الموافِقين. وبالنسبة إلى الإدارة المالية، ينظّم هذا الإعداد الفصل بين المهام: عيّنوا عناوين الموافقة الخاصة بالأشخاص المكلَّفين بالموافقة — المالك، والمسؤول المالي — وحدّدوا عدد الموافِقين المطلوب حسب قواعدكم الداخلية.

وحماية ثانية تستهدف حالة عالية الخطورة، أي الـRIB المجهول: تُطبَّق مهلة أمان بعد إضافة مستفيد جديد. فالمتسلّل الذي حصل على وصول لا يستطيع إضافة مستفيد وتحويل رصيدكم إليه في الحال. وحتى لا تعرقل هذه المهلة أي استحقاق، سجّلوا مورّديكم المعتادين مسبقًا.

وفي السندبوكس، يُقبل أي رمز من ستة أرقام: يمكن لفريقكم أن يتمرّن على الموافقة قبل الإنتاج. والدليل خطوة بخطوة — المستفيدون، وبيان الرسوم، والحالات — في التحويل من حساب الأداء.

رمزان لأداء فاتورة

يتبع أداء الفواتير لدى الدائنين المعتمدين المنطق نفسه في التأكيد الصريح. تختارون الدائن، وتُدخلون المرجع، وتحدّدون الفواتير غير المؤداة التي يُعثر عليها، ثم تؤكدون برمزين؛ ويُقتطع المبلغ من رصيدكم المتاح. وهذا التأكيد المزدوج يمنع أن تكفي نقرة واحدة لالتزام رصيدكم. ثم يُرسَل الإيصال عبر SMS. والدليل الكامل في أداء الفواتير من حساب الأداء.

الدفعات والتسويات وتجميد الحسابات: طالب وموافِق

بعض العمليات لا تقوم أبدًا على شخص واحد. تتطلب العمليات الحساسة — الدفعات، والتسويات، وتجميد الحسابات — طالبًا وموافِقًا مختلفين. وفي بوابة التاجر، يُطلق المالك أو مسيّر مخوَّل العمليات الصادرة: يقرأ المحاسب كل شيء دون أن يُطلق أي عملية، ويستخلص أمين الصندوق دون أن يرى الرصيد أو التحويلات.

ومن جهتكم، طبّقوا الفصل نفسه على ما يُطلقه فريقكم: حدّدوا من يُعدّ ومن يوافق، وتأكدوا ألا يجمع الشخص نفسه الدورين في الواقع، وعيّنوا بديلًا لفترات العطل، حتى لا يميل أحد إلى «المساعدة» بالالتفاف على القاعدة. وإن كنتم تديرون شبكة من التجار الفرعيين، فالموافقة المزدوجة نفسها تسري على دفعاتهم؛ وطريقة عملها موصوفة في التجميع والدفعات داخل الشبكة.

سجل التدقيق المسلسل

سجل التدقيق مسلسل تشفيريًا: لا يمكن إعادة كتابة التاريخ. فالسجل المسلسل يربط كل قيد بالقيد الذي قبله، بحيث يكسر تعديلُ قيد سابق السلسلة. ولذلك لا يمكن محو قيد مزعج بعد تسجيله.

ويندرج هذا السجل ضمن مجموعة أوسع من الضوابط التي تديرها المنصة: مراقبة مستمرة مع تنبيهات، وإخفاء المعطيات الحساسة في السجلات، وتصدير للمعطيات الشخصية مضبوط بصرامة. أما الواجهة الداخلية، من جهة Chari، فغير متاحة للتجار. والمحاسبة بالقيد المزدوج — سجل محاسبي داخلي متوازن باستمرار ويُطابَق يوميًا — معروضة في حماية أموال حساب الأداء.

أما أثركم أنتم فموجود في بوابة التاجر: تحمل كل حركة في الحساب مرجع البيع أو الاسترداد أو الدفعة التي تفسّرها، ويحتفظ تصدير CSV بهذه المراجع. وهو ما ستعيدون قراءته لمراقبة ما خرج من الحساب.

مغادرة متعاون والمراجعة الدورية للصلاحيات

مغادرة متعاون هي اللحظة التي تصبح فيها الصلاحيات المنسية خطرًا. في اليوم نفسه، دون انتظار:

1. 1اسحبوا وصوله إلى بوابة التاجر، أيًّا كان دوره.
2. 2دوّروا كل مفتاح API ربما اطّلع عليه: يمكن أن يتعايش مفتاحان مدة التدوير دون انقطاع، وهو ما يتيح استبدال المفتاح دون توقيف استخلاصاتكم. والطريقة في حماية مفاتيح API.
3. 3إن كان مطوّرًا، دوّروا أيضًا سرّ الويب هوك: خلال التدوير، تحمل كل عملية تسليم توقيعين، القديم والجديد، ريثما تنتقلون.
4. 4راجعوا عناوين الموافقة على التحويلات، إن كان له عنوان منها، وعيّنوا بديلًا: فمن دون أي عنوان مضبوط، لا يمكن إرسال أي تحويل.
5. 5أعيدوا قراءة المستفيدين المضافين حديثًا: فالإضافة التي لا يفسّرها أحد يجب التحقق منها قبل أي تحويل.

وبعيدًا عن المغادرات، خطّطوا لمراجعة الصلاحيات على فترات منتظمة — عند كل إقفال محاسبي مثلًا —: من يصل إلى بوابة التاجر، وبأي دور، ومن يوافق على التحويلات، وأي مفاتيح API موجودة، وأي مستفيدين مسجَّلون. والسيناريوهات التي تصدّها هذه الضوابط موصوفة في الاحتيال في الدفع الإلكتروني، ومجموع حمايات المنصة في صفحة الأمان والامتثال. وتندرج هذه التوصيات في الرقابة الداخلية: فهي ليست استشارة قانونية.

أسئلة شائعة

هل الدخول إلى بوابة التاجر محمي بالمصادقة الثنائية؟

نعم، بعد تفعيلها. تُفعَّل المصادقة الثنائية (TOTP) من إعدادات حسابكم: تطبيق مصادقة، ورمز من ستة أرقام، ورموز احتياطية تُحفظ في مكان آمن. وبعد تفعيلها تُطلب عند تسجيل الدخول؛ ويمكن لبوابة التاجر أن تفرضها أيضًا على المستعملين المخوَّلين بالعمليات الحساسة — الاسترداد، والتحويلات، وتدبير المستفيدين. ويجب أن يكون لكل شخص دخوله الخاص.

لماذا تطلب مني بوابة التاجر المصادقة من جديد قبل بعض العمليات؟

لأن الاتصال وحده لا يكفي لعملية حساسة: فبوابة التاجر تشترط إعادة المصادقة قبل كل واحدة منها. ولذلك لا تتيح جلسة متروكة مفتوحة، وحدها، إطلاق عملية حساسة. ومن أمثلة ذلك إنشاء مفتاح API، الذي لا تُعرض قيمته الكاملة بعد ذلك إلا مرة واحدة.

هل رمز التحقق من التحويلات إلزامي؟

نعم. كل تحويل يُرسَل من بوابة التاجر يُصادِق على إرساله رمز لمرة واحدة من ستة أرقام، يُرسَل بالبريد الإلكتروني إلى كل عنوان موافقة معيَّن في «Paramètres → Sécurité»، وتحدّدون عدد الموافِقين المطلوب. وما دام لم يُضبط أي عنوان، لا يمكن إرسال أي تحويل. وتسبق هذه المراقبة الإرسال، لأن التحويل المنفَّذ لا يمكن إلغاؤه. وفي السندبوكس، يُقبل أي رمز من ستة أرقام.

هل يمكن اشتراط عدة موافِقين على التحويل؟

نعم: تحدّدون عدد الموافِقين المطلوب. ويُرسَل الرمز لمرة واحدة بالبريد الإلكتروني إلى كل عنوان موافقة معيَّن في «Paramètres → Sécurité» — حتى خمسة عناوين، كل واحد منها لعضو في الفريق مخوَّل بالتحويلات. عيّنوا عناوين الأشخاص المكلَّفين بالموافقة: وهذا هو الفصل الكلاسيكي بين من يُعدّ ومن يوافق. كما تُطبَّق مهلة أمان بعد إضافة مستفيد جديد.

ما العمليات التي تتطلب طالبًا وموافِقًا مختلفين؟

تتطلب العمليات الحساسة — الدفعات، والتسويات، وتجميد الحسابات — طالبًا وموافِقًا مختلفين. وبالنسبة إلى التحويلات، يُصادِق رمز لمرة واحدة على كل تحويل، وتحدّدون عدد الموافِقين المطلوب. وفي بوابة التاجر، يُطلق المالك أو مسيّر مخوَّل العمليات الصادرة؛ ويقرأ المحاسب كل شيء دون أن يُطلق أي عملية.

هل يمكن تعديل سجل التدقيق؟

لا، لا يمكن تعديله. سجل التدقيق مسلسل تشفيريًا: لا يمكن إعادة كتابة التاريخ. فكل قيد مرتبط بالقيد الذي قبله، بحيث يكسر تعديلُ قيد سابق أو محوُه السلسلة. ويُضاف هذا السجل إلى ضوابط المنصة الأخرى، مثل المحاسبة بالقيد المزدوج المطابَقة يوميًا والمراقبة المستمرة مع التنبيهات.

ما المفاتيح والصلاحيات التي أراجعها عند مغادرة متعاون؟

اسحبوا وصوله إلى بوابة التاجر في اليوم نفسه، ودوّروا كل مفتاح API ربما اطّلع عليه — يتعايش مفتاحان مدة التدوير دون انقطاع —، ودوّروا سرّ الويب هوك إن كان مطوّرًا، وراجعوا عناوين الموافقة على التحويلات، وأعيدوا قراءة المستفيدين المضافين حديثًا. ودوّنوا هذه المراجعة في متابعتكم الخاصة.

الخطوة التالية

جرّبوا هذه الحمايات دون مخاطرة: ابدؤوا في وضع الاختبار، وأنشئوا مفتاح الاختبار بعد إعادة المصادقة، وفعّلوا المصادقة الثنائية من إعدادات حسابكم. ثم قرّروا مع فريقكم من يطلب ومن يوافق، وعيّنوا عناوين الموافقة على التحويلات قبل الانتقال إلى الإنتاج. وتوزيع الأدوار مفصَّل في أدوار بوابة التاجر وصلاحياتها.