كيف تحمي سمعتك مفاتيح ربط حسابات عملائها: تشفير منفصل لكل منشأة

تحمي سمعتك ربط حسابك بـ Google بخمس طبقات يمكن التحقق منها في الكود: صلاحية واحدة هي business.manage، وتشفير الرمز بمعيار AES-256-GCM بمفتاح مشتق لكل منشأة بمعيار HKDF، وحفظه في الخادم فقط فلا يصل إلى المتصفح، وجلسات دعم تُعاينك بلا تعديل أو تُسجَّل كل خطوة فيها بسبب مكتوب، وفصل يلغي الرمز عند Google ويمسحه من قاعدتنا.

هذه صفحة للمشتري الذي يسأل: ماذا يحدث لربط حسابي بـ Google بعد أن أمنحه لسمعتك؟ كل ما يلي وصف لما يفعله كود الخادم، لا وعود تسويقية، ولا نذكر شهادات ولا تدقيقاً خارجياً لا نملك أن نثبته هنا.

ماذا يعطي الربط لسمعتك؟

عندما تربط ملف نشاطك في Google بسمعتك، تحصل المنصة على رمز يسمح لها بقراءة تقييماتك ونشر الردود التي تعتمدها. هذا الرمز من أكثر البيانات حساسية، فلا يكفي أن يُفصل بين المنشآت بالاستعلامات وحدها.

1. تمنحه عبر شاشة Google نفسها بصلاحية واحدة

• يبدأ الربط بتحويلك إلى صفحة الموافقة عند Google، فتسجّل الدخول عندها، ولا تمر كلمة مرور حساب Google بسمعتك.
• تطلب سمعتك لربط الملف التجاري صلاحية واحدة هي «إدارة الملف التجاري» (business.manage) ولا تطلب صلاحيات إضافية. ويضبط الطلب إعداد عدم ضم صلاحيات سبق منحها لتطبيقات أخرى.
• تُحمى الخطوة بمعرّف حالة (state) عشوائي وبمفتاح تحقق PKCE، وكلاهما صالح عشر دقائق فقط، ويحفظ الخادم بصمة معرّف الحالة لا نصه.
• إن اخترت تسجيل الدخول إلى سمعتك بحساب Google فذلك مسار منفصل يطلب هويتك الأساسية فقط (openid وemail وprofile)، لا إدارة ملفك.

2. يُشفَّر بمفتاح خاص بمنشأتك

يُشفَّر الرمز قبل حفظه في قاعدة البيانات بمعيار AES-256-GCM. والمفتاح لا يُحفظ مع الرمز، بل يُشتق عند الحاجة بمعيار HKDF-SHA256 من مفتاح رئيسي محفوظ في إعدادات الخادم السرية لا في قاعدة البيانات، ويدخل في الاشتقاق معرّف منشأتك. النتيجة:

• لكل منشأة مفتاح مختلف. مفتاح منشأة لا يفتح رمز منشأة أخرى.
• لكل عملية تشفير قيمة عشوائية جديدة (IV) من 12 بايت، تُحفظ مع النص المشفر.
• المفتاح المشتق غير قابل للتصدير من الذاكرة (non-extractable) في واجهة التشفير التي يوفرها Cloudflare Workers.
• قراءة صف الرمز من قاعدة البيانات وحده لا تكفي لفك تشفيره، فالمفتاح الرئيسي ليس فيها.

ويُفحص تكامل النص عند فك التشفير بخاصية AES-GCM، فأي تغيير فيه يفشل الفك.

3. يبقى في الخادم ولا يصل إلى المتصفح

الرمز المشفر لا يُقرأ إلا في دالة تحميل داخل الخادم، حين تلزم المنصة جلب تقييماتك أو نشر رد اعتمدته. وفي الكود الحالي لا يوجد مسار يقرأ الرمز المشفر ويعيده للمتصفح؛ فالواجهة تتلقى حالة الربط فقط (مرتبط أو غير مرتبط)، ولا شيفرة في الواجهة تتعامل مع الرمز. ويجدد الخادم رمز الوصول عند Google بنفسه حين ينتهي.

4. دعم الفريق لا يغيّر شيئاً دون أثر

قد يحتاج مالك المنصة إلى الدخول إلى حسابك لمساعدتك. للدخول وضعان:

• «معاينة»: يرى الصفحات كما تراها، وأي طلب تعديل يُرفض في الخادم برمز 403 (`support_session_read_only`)، ولا يُحفظ شيء.
• «دعم وإصلاح»: لا يبدأ إلا بسبب مكتوب (ثلاثة أحرف على الأقل)، ويُسجَّل السبب مع بداية الجلسة ونهايتها. ويُسجَّل كل طلب تعديل (نوعه ومساره) في سجل منشأتك باسم المالك قبل أن ينفَّذ.
• مدة الجلسة ستون دقيقة.
• ثم هناك أفعال لا تنفَّذ من أي جلسة دعم، بل لصاحب الحساب وحده: ربط Google وفصله، والدفع والاشتراك وإلغاؤه، وتغيير كلمة مرور المالك، وإرسال دعوات الفريق، وطلب حذف الحساب، والموافقة على النشر في استوديو النشر.

5. الفصل يلغي الرمز ويمحوه

حين تفصل ربط Google (وهذا لدور المالك أو المدير فقط) تطلب سمعتك من Google إنهاء الصلاحية الممنوحة، ثم تمحو النص المشفر وقيمة IV من قاعدة البيانات وتسجّل الفصل في سجل منشأتك. وإن رفضت Google طلب الإنهاء لا يمنع ذلك الفصل من أن يتم عندنا. وتستطيع كذلك إلغاء صلاحية سمعتك في أي وقت من إعدادات حساب Google نفسه.

سجل لما يحدث

• يُسجَّل حفظ ربط Google وفصله في سجل المنشأة، باستثناء التجديد الساعي الآلي للرمز حتى لا يطغى على أفعال الأشخاص.
• كل جلسة دعم تُسجَّل بدايتها ونهايتها وسببها.

وما حول ذلك

• كلمات مرور الحسابات لا تُحفظ نصاً، بل مجزأة بمعيار PBKDF2 بمئة ألف دورة، وهو أقصى ما تقبله بيئة Cloudflare Workers.
• الاتصال بالمنصة عبر HTTPS فقط: يحوّل الخادم أي طلب HTTP إلى HTTPS.
• لضوابط الرد بالذكاء الاصطناعي وما يُنشر منها وحده اقرأ ضوابط الرد بالذكاء الاصطناعي.
• لدينا اختبار آلي يجرّب معرّفات منشأة بصلاحيات منشأة أخرى ويتأكد أنه لا يغيّر شيئاً من بياناتها ولا يعرض نصوصها.

ما لا ندّعيه

• ليس «تشفيراً لا يعرف الخادم مفتاحه»: المنصة تستطيع فك الرمز لأنها تحتاجه لجلب تقييماتك ونشر ردودك. ومن يملك المفتاح الرئيسي وقاعدة البيانات معاً يستطيع فكه.
• لا نذكر هنا شهادة اعتماد أمني ولا تقرير تدقيق خارجي، ولا نصف الحماية بأنها «بمستوى البنوك»، ولا نعد بأن التسريب مستحيل. التشفير يقلل أثر تسرب البيانات ولا يلغي احتماله.
• التشفير بمفتاح لكل منشأة يخص رمز ربط Google. أما بقية بيانات منشأتك كالتقييمات وإعدادات الردود فتُحمى بفصل الاستعلامات بين المنشآت وبصلاحيات الحسابات.
• مفاتيح المنصة نفسها (مثل مفتاح مزوّد الذكاء الاصطناعي) تُحفظ مشفّرة بمفتاح المنصة لا بمفتاح منشأة.

أسئلة تسألها لأي منصة تطلب ربط حسابك

1. ما الصلاحية التي تطلبها بالضبط؟ هل تطلب أكثر مما تحتاج؟
2. كيف يُخزَّن الرمز؟ وهل مفتاح التشفير واحد للجميع أم لكل عميل؟
3. هل يستطيع موظفو المنصة الدخول إلى حسابي؟ وهل يُسجَّل ذلك؟ وهل يستطيعون ربط حسابي بـ Google أو فصله؟
4. ماذا يحدث للرمز عند الفصل؟ هل يُلغى عند Google ويُمحى عندكم؟
5. هل تعرض شهادات أو تقارير تدقيق يمكنني الاطلاع عليها؟ وما حدودها؟

وللمقارنة بين طرق الربط عند المنصات المختلفة بمصادرها المعلنة افتح صفحة المقارنة.