الجواب القصير. صلاحيات التطبيق ليست شاشة دخول: بل خمس طبقات. هوية لكل شخص، بلا حساب مشترك، تعطي اسماً لكل فعل. وأدوار، مسيّر ومندوب وأمين مخزن ومحاسب ومقدّم خدمة ووكيل ذكاء اصطناعي، يُكتب كل منها من جملة للمسيّر. وقواعد للسطور: زبائنه، مستودعه، وكالته، سقف تخفيضه؛ مرفوض افتراضياً ومسموح بقاعدة، وتطبقها القاعدة والخادم لا الواجهة وحدها. وموافقات: ما يتجاوز حداً يذهب إلى هاتف من يستطيع أن يقول نعم. وسجل للإضافة فقط يحفظ من ومتى ومن أين والقيمة قبل والقيمة بعد والمرفوضات والقراءات الحساسة. والمعطى «المخفي» ليس مخفياً على الشاشة: لا يُرسل أصلاً. ومغادرة موظف فعلٌ لا نسيان. ستة أسابيع، تُبنى مع التطبيق لا بعده.
هذا الدليل موجّه إلى المسيّر في الجزائر الذي أعار كلمة مروره لثلاثة أشخاص، وإلى المؤسس المقيم في فرنسا الذي يدير فريقاً لا يراه، وإلى من يقارن عروضاً يكون فيها «تسيير المستعملين» سطراً واحداً. لا يعيد كيف يدخل زبون، الموصوف في دليل OTP، ولا كيف تُعزل شركتان في SaaS، الموصوف في دليل تعدد المستأجرين؛ بل يصف ما يحدث داخل شركة واحدة، بين موظفيها.
ما تقوله الأرقام
التحكم في الوصول هو أول ثغرات التطبيقات، وبفارق. ترتيب 2025 للمخاطر العشرة عند OWASP، المرجع المفتوح لأمن التطبيقات، يُبقي التحكم المعطوب في الوصول في المرتبة الأولى: وُجد شكل منه في 100 % من التطبيقات المختبَرة، بمعدل وقوع متوسط 3,74 % وأكثر من 1,8 مليون حالة مسجَّلة. وقائمة أشكاله تُقرأ كجرد لما نستلمه: وصول يُمنح للجميع بدل أن يُرفض افتراضياً، تجاوز بتعديل العنوان، رؤية حساب الغير بتغيير معرّفه، أفعال تعديل بلا فحص. وما يفرضه ذلك: السؤال ليس «هل نحن معنيون» بل «أين».
والعلاجات مكتوبة وبسيطة الصياغة. الصفحة نفسها عند OWASP تبدأ بـ: «ما عدا الموارد العلنية، الرفض افتراضياً»؛ ثم بناء التحكم في الوصول مرة واحدة وإعادة استعماله في كل مكان، وفرض مالك لكل سجل، وتسجيل إخفاقات التحكم في الوصول والتنبيه، وإبطال الجلسات عند الخروج. وتصف وثائق PostgreSQL الأداة التي تجعلها قابلة للتطبيق: سياسات أمن على مستوى السطور، تقيّد لكل مستعمل السطور التي يستطيع استعلام قراءتها أو تعديلها؛ وحين تُفعَّل بلا سياسة «تُستعمل سياسة رفض افتراضي»، ويمكن أن تختلف للقراءة والإدراج والتعديل والحذف. وما يفرضه ذلك: قاعدة «زبائنه فقط» تعيش في القاعدة لا في شاشة.
وما ليس مكتوباً في أي مكان: أدواركم. لا معيار يقول هل يرى أمين مخزنكم أسعار البيع ولا من أي مبلغ يطلب التخفيض موافقتكم؛ هذا يُقرَّر معكم، بجملة لكل دور. وما لم نجده: قياس علني للتسريبات الداخلية في الشركات الجزائرية؛ وما نراه في التطبيقات التي نستلمها أن التسريبات الستة الموصوفة أدناه عادات لا هجمات، وتوجد في أغلبها.
البيانات نفسها، خمسة أدوار
الصلاحيات لا تُفهم على مخطط بل على شبكة: المعطيات الستة نفسها، كما يراها خمسة أدوار.
المسيّر يعدّل كل شيء تقريباً على الشركة كلها، وتصديراته مسجَّلة كغيره. المندوب يرى أسعار البيع ورصيد زبائنه لا زبائن غيره؛ يمنح تخفيضاً حتى سقفه؛ وسعر الشراء والهامش ليسا مخفيين على شاشته، بل لا يُرسلان إلى هاتفه، وهي الطريقة الوحيدة كي لا يكونا فيه. أمين المخزن يعدّل مخزون مستودعه، يرى أسعار البيع، ولا يرى أسعار الشراء ولا الأرصدة. المحاسب يرى كل شيء للقراءة ويستطيع التصدير؛ ولا يحذف شيئاً.
وكيل الذكاء الاصطناعي هو العمود المنسيّ: الذي يجيب الزبائن على WhatsApp، الموصوف في الدليل المخصص، دور كغيره بحقوق أقل من الشخص الذي يساعده. يقرأ ما يلزمه ليجيب، يقترح تخفيضاً دون أن يمنحه، لا يرى الهامش أبداً ولا يصدّر شيئاً؛ وأفعاله تحمل اسمه في السجل. تُكتب الشبكة في الأسبوع الأول معكم، وتخدم ثلاث مرات: تقول للمطورين ما يبنون، وهي سيناريو القبول، وهي الوثيقة التي تُعاد قراءتها حين يطلب أحد حقاً إضافياً.
صلاحيات التطبيق، في خمس طبقات
خلف الشبكة خمس طبقات، والوسطى هي الأكثر غياباً.
الهوية: شخص واحد وحساب واحد، يدخل برقم هاتفه برمز أو مفتاح دخول، على أجهزة معروفة، بجلسة تنتهي؛ لا كلمة مرور تُعار، فلا حساب مشترك. الأدوار تقول ما تراه كل وظيفة وتفعله، لكل شاشة ولكل فعل؛ يمكن لشخص أن يحمل دورين، ولا يُلوى دور لإرضاء أحد. قواعد السطور تقول *أيّها*: زبائنه، مستودعه، وكالته، بحدود، سقف تخفيض ومبلغ أقصى؛ تطبقها القاعدة والخادم مع كل طلب، لأن قاعدة لا توجد إلا في الواجهة تُتجاوز بتغيير رقم في العنوان.
الموافقات تمنع الحد من تعطيل العمل: التخفيض فوق السقف، إلغاء فاتورة، التصدير، الحذف، تذهب إلى من يستطيع أن يقول نعم على هاتفه، بالإشعار الموصوف في دليل الإشعارات، ويعود الجواب بضغطة. السجل يكتب من ومتى ومن أين والقيمة قبل والقيمة بعد والسبب والموافِق، وكذلك المرفوضات وقراءات البيانات الحساسة؛ وهو للإضافة فقط، بعيد عن أدوار العمل، منسوخ على حدة كما ينص دليل الاستضافة، ويُقرأ: مراجعة أسبوعية وتنبيهات على غير المعتاد.
«المعطى المخفي ليس مخفياً على الشاشة: لا يُرسل أصلاً، وهي الطريقة الوحيدة كي لا يكون هناك.»
«من غيّر هذا السعر؟»
السجل ليس للمراقبة: بل للجواب عن سؤال دقيق، في دقيقة، بعد ستة أشهر.
14:02، كريم، مندوب، يحاول تخفيضاً بـ 10 % على الطلبية 1042 من هاتفه: مرفوض، سقفه 5 %. والمحاولة تُكتب؛ وهي أنفع سطر في السجل، لأنها تقول أين وُضع حد خطأً أو من يختبره. 14:02، يذهب طلب الموافقة إلى المسيّر مع الطلبية والزبون والسبب المُدخل. 14:05، يوافق المسيّر بضغطة؛ واسمه والساعة مرفقان بالقرار. 14:05، ينتقل السعر من 4 800 إلى 4 320 ديناراً؛ والقيمة القديمة تُحفظ ولا شيء يُمحى.
14:06، يقرأ وكيل الذكاء الاصطناعي السعر الجديد ليجيب الزبون على WhatsApp: قراءة معطى حساس فعل، وله سطر. وبعد ستة أشهر، لسؤال «من غيّر هذا السعر» جواب في خمسة سطور، باسمين وساعتين وسبب والقيمتين. وما يحفظه السجل لكل سطر: الشخص لا الحساب، الساعة والجهاز، قبل وبعد، السبب، ما رُفض، وما قُرئ. وقاعدة بلا استثناء: تُضاف سطور، ولا يُعدَّل سطر ولا يُحذف، حتى من المسيّر.
ستة طلبات صلاحية، والقاعدة التي تُكتب
ستة طلبات نسمعها من مسيّرين، والقاعدة التي يصيرها كل منها.
المندوب، «ألا يرى إلا زبائنه ولا هوامشي»: سطور مرشَّحة على محفظته من القاعدة، سعر الشراء والهامش لا يُرسلان أبداً، تخفيض حتى سقفه وموافقة فوقه؛ وهو دور مندوب تطبيق الميدان. أمين المخزن، «أن يسيّر المخزون دون رؤية الأسعار»: مخزون مستودعه للكتابة، سعر البيع للقراءة، سعر الشراء مخفي، الجرد يتحقق منه شخص ثانٍ. المحاسب الخارجي، «أن يرى كل شيء ولا يمسّ شيئاً»: قراءة فقط، تصدير مسموح ومسجَّل، لا حذف، ووصول يُراجَع كل سنة.
رئيس الوكالة، «أن يدير وكالته لا الأخريات»: كل شيء على وكالته، لا شيء على الأخريات، ومجاميعه مرئية للإدارة في لوحة القيادة لا العكس. مقدّم الخدمة، «أن يصلح دون أن يحتفظ بوصول»: وصول اسمي محدود في الزمن والنطاق، يُقطع آلياً في التاريخ. وكيل الذكاء الاصطناعي، «أن يجيب الزبائن دون أن يعرف كل شيء»: دور خاص، قراءة الضروري، أفعال تحت سقف، لا الهامش ولا التصدير أبداً. وكل سطر يبدأ بجملة من المسيّر؛ وإن لم يُكتب طلب في جملة فالدور مقطَّع خطأً.
«أنفع سطر في السجل محاولة مرفوضة: تقول أين وُضع حد خطأً، أو من يختبره.»
ستة تسريبات صلاحية
ستة تسريبات نجدها في التطبيقات التي نستلمها؛ لا واحد منها هجوم، وكلها عادات.
الموظف المغادر: غادر منذ ثلاثة أشهر وحسابه ما زال يعمل على هاتفه؛ المغادرة فعل واحد، جلسات تُقطع وأجهزة تُزال وزبائن يُعاد إسنادهم، ومراجعة شهرية تسرد الحسابات الخاملة. الحساب المشترك: ثلاثة أشخاص يستعملون حساب المسيّر والسجل يقول «المسيّر» في كل مكان؛ حساب لكل شخص، دخول بالهاتف، وتفويض مكتوب بدل المشاركة. الرقم المغيَّر في العنوان: يستبدل المندوب 1042 بـ 1043 فيرى طلبية غيره؛ قاعدة السطر تُتحقَّق في الخادم وفي القاعدة مع كل طلب، والرفض يُسجَّل.
تصدير القاعدة كلها: قائمة الزبائن تخرج في ملف ثم إلى منافس؛ التصدير محجوز ومحدود ومسجَّل بتنبيه، والواجهة تعرض ولا تعطي كل شيء. الكل مدير: للسرعة نال كل واحد كل الحقوق «مؤقتاً»؛ الأدوار تُكتب في الأسبوع الأول، والحقوق تُضاف بطلب، وتُراجَع كل فصل. السجل القابل للتعديل: من غيّر السعر يستطيع أن يمحو السطر؛ السجل للإضافة فقط، بعيد عن أدوار العمل، منسوخ على حدة. الثلاثة الأولى تظهر في السجل إن قرأه أحد؛ والثلاثة الأخيرة تُقرَّر في الأسبوع الأول.
رأيناه في مكان آخر: OWASP وPostgreSQL، وما ينتقل
مصدران يقولان الجوهر. يقول ترتيب OWASP إن التحكم المعطوب في الوصول هو الخطر الأول وإنه وُجد بشكل أو بآخر في كل التطبيقات المختبَرة؛ وما ينتقل هو توصيته الأولى، الرفض افتراضياً، والأقل اتباعاً، تسجيل المرفوضات. وتقول وثائق PostgreSQL إن القاعدة تستطيع تقييد السطور لكل مستعمل ولكل نوع عملية، وترفض كل شيء حين لا توجد سياسة؛ وما ينتقل هو أن قاعدة مكتوبة في قاعدة البيانات تحمي كل الشاشات، ومنها ما سيُضاف بعد سنتين ووكيل الذكاء الاصطناعي الذي سيُوصل بها.
وما لا تقوله هذه المصادر: أدواركم وسقوفكم ومن يوافق على ماذا؛ والأسبوع الأول من المشروع يجيب، بجملة لكل دور والشبكة أمام أعينكم.
قواعد وصول يصمد
ست قواعد تُكتب في الأسبوع الأول. شخص واحد وحساب واحد؛ لا حساب مشترك، ولا استثناء للمسيّر. مرفوض افتراضياً: الحق موجود لأن قاعدة تمنحه. القاعدة تعيش في قاعدة البيانات والخادم لا في الواجهة. مخفي يعني غير مُرسَل. ما يتجاوز حداً يطلب موافقة لا تحايلاً. السجل للإضافة فقط ويُقرأ: قبل، بعد، مرفوضات، قراءات حساسة، مراجعة أسبوعية.
قاعدة سابعة تخص عرض السعر: «تسيير المستعملين والأدوار» ليس متطلباً بل سطر؛ المتطلب يُكتب «شبكة أدوار متحقَّق منها؛ حساب لكل شخص؛ قواعد سطور للمحفظة والمستودع والوكالة مطبَّقة في القاعدة؛ سقوف وموافقات مسرودة؛ بيانات مخفية غير مُرسَلة؛ سجل للإضافة فقط بالقيم قبل وبعد والمرفوضات؛ مغادرة بفعل واحد؛ قبول يحاول فيه كل دور ما لا يحق له»، ويُتحقَّق منه كما يوصي دليل دفتر الشروط. وعرض السعر الذي يسعّر «شاشة إدارة» سعّر شاشة لا تحكّماً.
ست شركات، والقاعدة التي نكتبها أولاً
ست شركات نجهّزها كثيراً، ولكل منها أول قاعدة تُختار.
- الموزّع وبوابته، الموصوفان في الدليل المخصص. كل مندوب يرى محفظته، سعر الشراء لا يُرسل لأحد في الميدان، وللتخفيض سقف لكل دور.
- شبكة الوكالات. كل وكالة ترى نفسها؛ الإدارة ترى مجاميع الجميع؛ ورئيس وكالة لا يرى صندوق الأخرى.
- المصحة والعيادة، الموصوفتان في دليل العيادة. الممارس يرى مرضاه، الاستقبال يرى المواعيد بلا الملف، وكل فتح لملف يُسجَّل.
- المدرسة الخاصة. الأستاذ يرى أقسامه، الإدارة ترى المدفوعات، الولي يرى ولده؛ ولا قائمة تلاميذ تُصدَّر بلا أثر.
- الشركة المُدارة من فرنسا. المؤسس لا يرى فريقه: السجل والموافقات على هاتفه هي ما يعطيه التحكم، دون اتصال كل مساء.
- ناشر SaaS، الموصوف في دليل تعدد المستأجرين. العزل بين الزبائن أولاً، ثم أدوار لكل زبون يضبطها بنفسه، ووصول دعم الناشر محدود في الزمن ومسجَّل.
تقويم 2027
التقويم تقويم تحكم كامل في الوصول في ستة أسابيع، يُبنى مع التطبيق.
الأسبوع 0 إلى 1 يكتب الأدوار: جملة من المسيّر لكل دور، شبكة من يرى ويعدّل ماذا، السقوف ومن يوافق؛ موقَّعة. الأسبوع 1 إلى 2 يبني الهوية والجلسات: حساب لكل شخص، دخول بالهاتف، أجهزة معروفة، انتهاء، ومغادرة بفعل واحد. الأسبوعان 2 إلى 4 يبنيان قواعد السطور، المحفظة والمستودع والوكالة والسقوف، في القاعدة وفي الخادم، باختبارات وصول متقاطعة آلية: كل دور يحاول قراءة وتعديل ما يخص غيره.
الأسبوع 4 إلى 5 يبني الموافقات والسجل: الطلب الذي يصل هاتف الموافِق، والسجل للإضافة فقط بالقيم قبل وبعد. الأسبوع 5 إلى 6 هو القبول والمراجعة: كل دور يحاول ما لا يحق له، أمامكم، وتُسلَّم شاشة مراجعة الوصول بتنبيهاتها. وتنضم هذه الاختبارات إلى ما يُشغَّل مع كل تسليم، وفق دليل التسليم؛ وحين تأتي البيانات من نظام قديم تُنشأ الحسابات أثناء الاسترجاع الموصوف في دليل استرجاع البيانات.
ما يُفشل التحكم في الوصول
أنظمة التحكم في الوصول التي نستلمها فشلت دائماً تقريباً لأحد هذه الأسباب.
- أدوار بلا قواعد سطور. للمندوب الدور الصحيح، ويرى زبائن الجميع.
- القاعدة في الواجهة فقط. الزر مخفي؛ والعنوان يعمل.
- المعطى مخفي لكنه مُرسَل. الهامش في جواب الخادم؛ يكفي أن تنظر.
- حساب المسيّر معار. السجل موجود ولم يعد يقول شيئاً.
- حدود بلا موافقة. الموظفون المعطَّلون يطلبون كلمة مرور غيرهم.
- السجل الذي لا يقرؤه أحد. كل شيء مكتوب فيه؛ ولم ينظر أحد منذ سنة.
- المغادرة المنسية. لا إجراء؛ والحساب يعيش شهوراً بعد صاحبه.
أسئلة شائعة
الأسئلة التي نتلقاها من مسيّرين ومؤسسين وفرق تقارن عروض الأسعار.
- كيف أمنع مندوباً من رؤية زبائن غيره وهوامشي؟
- بقاعدة سطور مطبَّقة في قاعدة البيانات: استعلاماته لا تعيد إلا زبائن محفظته، أياً كانت طريقة طلبه. وبأن سعر الشراء والهامش لا يُرسلان إلى هاتفه؛ فمعطى مخفي على الشاشة فقط يُعثر عليه بالنظر إلى ما يجيب به الخادم.
- كيف أعرف من عدّل سعراً أو ألغى فاتورة؟
- بسجل للإضافة فقط يكتب لكل تعديل الشخص والساعة والجهاز والقيمة قبل والقيمة بعد والسبب والموافِق. وهذا يفترض حساباً لكل شخص: مع حساب مشترك، السجل موجود ولا يقول شيئاً. والمحاولات المرفوضة فيه أيضاً.
- ماذا يحدث حين يغادر موظف الشركة؟
- فعل واحد: تُقطع جلساته على كل أجهزته، يُعطَّل حسابه، يُعاد إسناد زبائنه وملفاته، ويبقى كل ما فعله في السجل باسمه. ومراجعة شهرية تسرد الحسابات الخاملة، لحالة مغادرة لم يُبلَّغ عنها.
- هل لوكيل الذكاء الاصطناعي وصول إلى كل بياناتنا؟
- لا: هو دور كغيره بحقوق أقل من الشخص الذي يساعده. يقرأ ما يلزمه ليجيب، يتصرف تحت سقف، لا يرى الهامش أبداً ولا يصدّر شيئاً؛ وأفعاله وقراءاته للبيانات الحساسة في السجل باسمه. وقواعد السطور نفسها تنطبق عليه.
- ألن تعطّل الحدود العمل؟
- لا إن كان لها مخرج: ما يتجاوز حداً، تخفيض فوق السقف أو إلغاء أو تصدير، يذهب طلب موافقة إلى هاتف من يستطيع أن يقول نعم، ويعود الجواب بضغطة. وحدٌّ بلا موافقة يدفع الموظفين إلى استعارة حساب غيرهم.
- كم من الوقت لبناء الأدوار والسجل؟
- ستة أسابيع، مع بناء التطبيق: واحد لكتابة الأدوار والشبكة، واحد للهوية والجلسات، اثنان لقواعد السطور في القاعدة، واحد للموافقات والسجل، واحد للقبول يحاول فيه كل دور ما لا يحق له. وإضافتها لاحقاً تفرض فتح كل شاشة من جديد.