كيف تُحمى بياناتك ورموز قسائمك

1. ما الذي نحتفظ به، ولأي مدة

تمرّ عبر هذه الخدمة أربعة أنواع من المواد الحساسة: رموز القسائم، ووثائق الهوية والبيانات المقروءة منها، وسجل الطلب، وسجل التدقيق الذي يدوّن من اطّلع على ماذا. ويتضمن سجل الطلب علامة القسيمة التجارية، والقيمة الاسمية، وجهة الدفع التي زوّدتنا بها، ونتيجة التحقق، والأختام الزمنية المحيطة بها.

ولكلٍّ منها عمر مختلف. ورمز القسيمة أقصرها عمرًا. فهو قائم من لحظة إرسالك إياه حتى تسوية الطلب، ثم يُتلَف. أما ما عداه فسجلات، والسجلات تُحفَظ خمس سنوات، لأن المشغّل في هذا المجال يجب أن يكون قادرًا على إعادة بناء ما فعله ولماذا فعله.

ولا نحتفظ بأي شيء يتيح خروج المال من حساباتك. فجهة الدفع عنوان لا بيانات اعتماد: عنوان محفظة، أو IBAN، أو عنوان PayPal. ونحن لا نطلب رقم بطاقة، ولا كلمة مرور للخدمات المصرفية عبر الإنترنت، ولا رمزًا سريًا، ولا رمزًا لمرة واحدة يرسله إليك مصرفك. ومن يطلب منك واحدًا من هذه باسمنا فليس منّا.

2. رمز القسيمة، من الإرسال إلى الإتلاف

يسلك الرمز مسارًا واحدًا، وهو مسار قصير.

1. أنت ترسله. ينتقل الرمز من متصفحك إلى خوادمنا عبر اتصال مشفَّر. ويُكتب في نموذج الطلب على هذا الموقع ولا مكان سواه.
2. يُشفَّر فور وصوله. يُشفَّر الرمز قبل كتابته في وحدة التخزين. ولا يُكتب في سجل تطبيق، ولا في تقرير خطأ، ولا في نسخة احتياطية لسجل، ولا في رسالة بريد إلكتروني.
3. مشغّل واحد يتولّى الطلب. الرمز قابل للقراءة من المشغّل الذي يعالج ذلك الطلب، وطوال مدة بقاء الطلب مفتوحًا فقط. وهو غير مرئي لبقية الموظفين، وغير مرئي على أي شاشة يمكنك الوصول إليها.
4. كل قراءة تُدوَّن. في كل مرة يُفكّ تشفير الرمز ويُعرض، يُضاف قيد إلى سجل التدقيق: أي مشغّل، وأي طلب، وفي أي وقت.
5. المشغّل يتحقق منه لدى الجهة المُصدِرة. يجري التحقق على يد شخص، هاتفيًا أو عبر قناة الجهة المُصدِرة نفسها، قبل تحرّك أي مال. وتعرض صفحة كيف نتحقق من القسيمة هذه الخطوة بالتفصيل.
6. شخصان لا شخص واحد ينجزان التسوية. لا يجوز أن يكون المشغّل الذي يعتمد الطلب هو المشغّل نفسه الذي يفرج عن الدفعة.
7. الرمز يُتلَف. بمجرد تسوية الطلب، يُحذف الرمز من وحدة التخزين. والباقي هو سجل الطلب، لا الرمز الذي موّله.

أمرٌ واحد هنا يستحق كلامًا صريحًا: هناك إنسان يقرأ رمزك فعلًا. فالتحقق يعني تلاوة الرمز على الجهة المُصدِرة، ولا سبيل إلى غير ذلك. والسؤال ليس هل يراه أحد. السؤال هو كم عدد من يرونه، ولأي مدة، وبأي تدوين — والأجوبة: شخص واحد، وحتى التسوية، وكل اطّلاع مسجَّل.

3. التشفير أثناء التخزين، وما لا يفعله

التشفير أثناء التخزين يعني أن ما يقبع في وحدة التخزين نصٌّ مشفَّر. فنسخة من قاعدة البيانات، أو ملف نسخ احتياطي، أو قرص يُنتزع من جهاز، كلها غير قابلة للقراءة من دون المفتاح، والمفاتيح محفوظة بمعزل عن البيانات التي تحميها، فالحصول على أحدهما ليس حصولًا على الآخر.

هذا كل ما يفعله، ويجدر التوضيح بشأن ما يتركه على حاله.

التشفير أثناء التخزين لا يحمي البيانات أثناء الاستعمال. فالتطبيق العامل لا بد أن يكون قادرًا على فك تشفير الرمز كي يعرضه على المشغّل الذي يتحقق منه، ومن ثمّ فإن مهاجمًا يسيطر على التطبيق العامل يكون داخل الحدّ نفسه الذي يقع فيه التطبيق. وهو لا يحمي من شخص لديه وصول مشروع يسيء استعمال ذلك الوصول. ولا يفعل شيئًا البتة حيال ما جرى للرمز قبل أن يصل إلينا.

هذه الثغرات هي سبب وجود الضوابط الأخرى. فتضييق الوصول، وتدوين كل قراءة، وقصر العمر، ووجود شخصين على المال، ليست زينة حول التشفير. بل هي الأجزاء التي تغطي ما لا يستطيع التشفير تغطيته.

4. لماذا نحتفظ ببصمة رقم الوثيقة لا بالرقم نفسه

لأننا نحتاج إلى التعرّف على الوثيقة مرة أخرى من دون الاحتفاظ بالرقم الذي يعرّفها.

البصمة نتاج عملية حسابية أحادية الاتجاه. فرقم الوثيقة نفسه يُنتج البصمة نفسها دائمًا، ولا يمكن ردّ البصمة إلى الرقم. وهذا يكفي للعمل الذي نحتاج إليه فعلًا: أن نرى أن جواز السفر نفسه قُدّم على حسابين مختلفين، أو أن وثيقة رفضناها من قبل قد عادت، أو أن الوثيقة المحفوظة في الملف هي الوثيقة التي أمامنا.

وثمة هجوم بديهي على هذه الفكرة، ويجدر بنا تسميته. فرقم الوثيقة قصير ويتبع صيغة يمكن توقّعها، ومن ثَمّ يستطيع من يملك جدولًا من البصمات المجردة أن يمرّ على كل رقم ممكن، ويحسب بصمة كلٍّ منها، ويبحث عن تطابق. ولهذا تتضمن العملية الحسابية قيمة سرية محفوظة بمعزل عن قاعدة البيانات. ومن دونها، فإن جدول بصمات مسروقًا ليس إلا جدول قيم لا تعني شيئًا.

والبصمة ليست القصة كاملة، لأن صورة الوثيقة نفسها لا تزال موجودة. وذلك موضوع القسم التالي.

5. كيف تُحفَظ وثائق الهوية وكيف تُقدَّم

تُحفَظ خارج الجذر المتاح على الويب، وهذا هو الجزء العملي من الجواب.

خادم الويب ينشر الملفات من دليل واحد. وأي شيء داخل ذلك الدليل يفصله عن العلنية عنوانٌ واحد مُخمَّن أو مسرَّب، مهما كانت النية. ووثائق الهوية ليست في ذلك الدليل. ولا يشير إليها أي عنوان ويب، فلا عنوان يمكن مشاركته أو إعادة توجيهه أو فهرسته أو تخمينه بالقوة الغاشمة.

ولمعاينة وثيقة، يجب أن يكون الموظف مسجَّل الدخول، ويمرّ الطلب عبر مسار يتحقق من الجلسة، ويتحقق مما إذا كان ذلك الشخص مخوّلًا برؤية تلك الوثيقة، ويكتب قيدًا في سجل التدقيق، ثم بعد ذلك فقط يعيد الصورة. ويُكتب القيد سواء قرأ أحد السجل يومًا أم لم يقرأه. والملفات مشفَّرة أثناء التخزين كذلك.

ولا نستعمل روابط يتعذّر تخمينها للوثائق. فالرابط الذي يعمل لكل من يحوزه هو رابط يعمل لكل من يُعاد توجيهه إليه، بما في ذلك بالخطأ. فكل معاينة تمرّ عبر المسار الموثَّق الخاضع للتدقيق، وإلا فلا تحدث.

أما لماذا تُطلب الوثائق أصلًا فمسألة منفصلة، تجيب عنها سياسة التحقق من الهوية. والوثائق تُحفَظ للعملاء الذين يبلغ حجمهم التراكمي على مدى اثني عشر شهرًا متجددة EUR 1,000. ودون ذلك المبلغ يتعامل العميل باسم كامل وبلد إقامة مُصرَّح بهما، ولا توجد وثيقة تُخزَّن.

6. سجل التدقيق، ولماذا هو للإضافة فقط ومسلسل بالبصمات

يدوّن سجل التدقيق من اطّلع على ماذا، وهو مبني بحيث لا يمكن حذف القيود أو تعديلها في صمت.

الإضافة فقط تعني أن القيود تُضاف ولا تُحدَّث ولا تُحذف أبدًا. ولا يوجد في التطبيق مسار اعتيادي يعدّل سطرًا ماضيًا، لأن قيمة السجل في أنه يقول ما حدث لا ما كان أحدهم يفضّل أن يكون قد حدث.

والتسلسل بالبصمات يعني أن كل قيد يحمل بصمة محسوبة على محتواه هو مع بصمة القيد الذي سبقه. فتتشكل القيود سلسلةً. وإذا غُيِّر سطر واحد لم تعد بصمته مطابقة، ولم تعد كل بصمة بعده مطابقة أيضًا. ويمكن إعادة حساب السلسلة من طرفها إلى طرفها والتحقق منها.

وهذا لا يجعل العبث مستحيلًا. فمن يملك وصولًا عميقًا بما يكفي يستطيع إعادة كتابة السلسلة كاملة من نقطة التغيير فصاعدًا. لكن ما يجعله عسيرًا هو العبث الصامت — تعديل واحد هادئ لا يترك أثرًا — لأن التعديل الواحد ليس شكلًا ممكنًا للضرر.

وما يدخل في السجل يشمل كل اطّلاع على رمز قسيمة، وكل معاينة لوثيقة هوية، وكل اعتماد، وكل إفراج عن أموال، وأحداث الجلسات، وقرارات الامتثال. والسجل جزء من سجل الخمس سنوات.

7. أربع أعين على التسوية

لا يجوز أن يكون المشغّل الذي يعتمد الطلب هو المشغّل نفسه الذي يفرج عن ماله. شخصان، وحسابان، وقيدان في سجل التدقيق.

والسبب ضيّق وعملي. فحساب موظف واحد مخترَق، أو حساب واحد غير أمين، لا يستطيع تحريك المال وحده. يستطيع أن يبلغ بالطلب حافة التسوية، وعندها يتوقف، أمام شخص آخر عليه أن ينظر فيه.

وثمة قاعدة ثانية إلى جانبها: قضية امتثال مفتوحة تجمّد التسوية. فما دامت القضية مفتوحة، لا يُفرَج عن شيء في ذلك الطلب — لا من الشخص الذي أثار القضية ولا من أي شخص آخر. التجميد سهل، أما رفعه فيقتضي إغلاق القضية بشروطها هي.

المال الذي يستطيع شخص واحد تحريكه وحده هو مال يستطيع خطأ واحد تحريكه.

8. الجلسات، ولماذا يمكن إبطالها

الجلسة هنا سجل على خادمنا، لا تذكرة قائمة بذاتها يحملها متصفحك. فملف تعريف الارتباط في متصفحك يحمل معرّفًا عشوائيًا لا يعني شيئًا بذاته؛ والمعنى يقيم عندنا، مرتبطًا بذلك المعرّف.

ولهذا التصميم خاصية واحدة تفوق سواها أهمية: لأن السجل سجلنا، نستطيع إنهاءه. فتسجيل الخروج ينهي الجلسة بدل أن يطلب من متصفحك نسيان شيء ما. وتغيير كلمة مرورك ينهي الجلسات الأخرى على حسابك. وحين يفقد موظف صلاحية الوصول، تنتهي جلساته عند تلك اللحظة، لا متى كانت التذكرة ستنتهي صلاحيتها. والتذكرة القائمة بذاتها لا يمكن استرجاعها بعد إصدارها؛ فهي تبقى صالحة حتى ينفد وقتها، وذلك هو السلوك الخاطئ في اليوم الذي تحتاج فيه إلى زوالها.

ويوسَم ملف تعريف ارتباط الجلسة بحيث لا تستطيع نصوص الصفحة قراءته، وبحيث لا يُرسَل إلا عبر اتصال مشفَّر، وبحيث لا تستطيع مواقع أخرى دفع متصفحك إلى إرساله. وتنتهي الجلسات بعد مدة من الخمول، وتنتهي مرة أخرى عند حدّ مطلق بصرف النظر عن النشاط. وجلسات الموظفين خاضعة لحدود أضيق من جلسات العملاء، ووصول الموظف إلى الطلب ينتهي بانتهاء الطلب.

9. ما تقع حمايته عليك

بعض هذا لا ينفع إلا إذا أدّيت ما عليك.

• استعمل كلمة مرور لا تستعملها في أي مكان آخر. فكلمة المرور المعادة في مواضع أخرى ليست أكثر أمانًا من أضعف موقع يحتفظ بها، ولا يستطيع أي ضابط لدينا التمييز بين كلمة مرور صحيحة وأخرى مسروقة.
• احمِ حساب البريد الإلكتروني المرتبط بحسابك هنا. فهو مسار الاسترداد، وهذا ما يجعله أليَن سبيل إلى الدخول. وفعِّل أي عامل تحقق ثانٍ يوفّره مزوّد بريدك.
• أرسل الرمز مرة واحدة، في نموذج الطلب، على هذا الموقع. ولا ترسله أبدًا في رسالة بريد إلكتروني، أو رسالة محادثة، أو لقطة شاشة، أو مكالمة هاتفية — ولا حتى إلينا.
• انظر إلى شريط العنوان قبل أن تكتب رمزًا، وادخل إلى الموقع من علامة مرجعية خاصة بك لا من رابط أرسله إليك أحد.
• لن يطلب أحد هنا كلمة مرورك. ولن يطلب منك أحد هنا شراء قسيمة وتلاوة رمزها. ولن يهاتفك أحد هنا ليطلب منك نقل مالك حفاظًا على سلامته. وصفحة من لا يطلب القسائم أبدًا تستحق القراءة قبل أن تحتاج إليها.
• إن ظننت أن شخصًا آخر قد وصل إلى حسابك، فاكتب إلى [email protected] فورًا. وإن ظننت أنك تعرّضت للاحتيال، فاكتب إلى [email protected].

10. ما لا يحمي منه هذا كله

رمز غادر يديك من قبل. يستطيع إنفاق رمز القسيمة كل من قرأه. فإن كنت قد أعطيته لأحد قبل مجيئك إلى هنا، فلا يستطيع التشفير عندنا استرجاعه، وقد يجد التحقق أن القيمة قد ذهبت. وتشرح صفحة لقد أرسلت رمز قسيمة بالفعل ما الذي لا يزال ممكنًا فعله.

عميل يُخدَع فيرسل الرمز بنفسه. كل ضابط وُصف أعلاه يتصرف تصرفًا صحيحًا في هذه الحالة، وهذا ما يجعلها عسيرة. فالشخص الصحيح مسجَّل الدخول، على حسابه هو، بوثيقته هو، حائزًا قسيمة اشتراها بنفسه. ويؤكد التحقق أن القسيمة سليمة. لكنه لا يستطيع تأكيد سبب بيعك إياها. والمحتالون يلقّنون الناس هذا بعينه — دائرة الضرائب التي يجب سدادها اليوم، وفنيّ الدعم الذي وجد فيروسًا، والشخص الذي تحدثه منذ أسابيع ولديه طارئ في الخارج. أسئلتنا وفحوصنا تلتقط بعض ذلك. ولا تلتقطه كله. وإذا سألك مشغّل عن سبب البيع، فليس ذلك تطفلًا، وجواب صادق قصير هو أسرع طريق للمرور. وتعرض صفحة عمليات الاحتيال بالقسائم أنماط ذلك.

جهازك أنت. البرمجيات الخبيثة على حاسوبك أو هاتفك ترى ما تراه أنت، بما في ذلك الرمز وأنت تكتبه.

نسخة مزيفة مقنعة من هذا الموقع. الاتصال المشفَّر يخبرك بأن الاتصال خاص. ولا يخبرك بمن يقف على طرفه الآخر.

نحن. لا يستطيع أي مشغّل أن يَعِد بصدق بأن أنظمته لن تُخترق أبدًا، ولن نكون أول من يفعل ذلك. وما نستطيعه هو الحدّ من مدى بلوغ الاختراق: رموز لا تعيش إلا وقتًا قصيرًا، ووصول مضيَّق إلى شخص واحد ومسجَّل، ومفاتيح محفوظة بمعزل عن البيانات، وسجل يقاوم التعديل الصامت، وشخصان لازمان للإفراج عن المال.

11. ما لا ندّعيه

لا نحمل أي شهادة أمنية، ولا يُدَّعى شيء من ذلك في أي موضع من هذه الصفحة. ولم يكتمل أي تدقيق مستقل لهذه الأنظمة. ولا يُبلَّغ عن أي نتيجة اختبار اختراق. ولا تُلمِّح صياغة أي مما ورد هنا إلى أي معيار. وإن تغيّر ذلك، فستذكر هذه الصفحة اسم الشهادة أو المعيار أو الشركة، والتاريخ.

ولا يخضع هذا النشاط للترخيص، ولا يُدَّعى أي ترخيص.

تصف هذه الصفحة كيف بُنيت الخدمة لتعمل. وهي لا تصف تاريخًا، لأنه لا يوجد تاريخ بعد. ولا ينبغي أن يُقرأ شيء هنا على أنه ادعاء بشأن أحجام جرت معالجتها، أو عمليات احتيال جرى منعها، أو عملاء جرت خدمتهم.

ولا نخدم فرنسا، ولا الولايات القضائية الخاضعة لدعوة FATF إلى اتخاذ إجراء، ولا الولايات القضائية الخاضعة لعقوبات شاملة، ولا الأسواق التي لا نحمل فيها ترخيصًا محليًا.

12. إبلاغنا بوجود خلل

إن وجدت خللًا في هذا الموقع، فاكتب إلى [email protected] بتفصيل يكفي لإعادة إنتاجه. نحن لا ندير برنامج مكافآت مدفوعة على الثغرات ولن نتظاهر بغير ذلك. وما سنفعله هو أن نقرأ ما ترسله، ونتصرف بناءً عليه، وألا نرسل خلفك محاميًا لأنك أبلغت بحسن نية.

وللاشتباه في احتيال على طلب، اكتب إلى [email protected]. وللأسئلة عمّا نحتفظ به عنك وما يمكنك أن تطلب منّا فعله به، انظر الخصوصية أو اكتب إلى [email protected]. وللشكوى من طريقة معالجة أمر ما، اكتب إلى [email protected]. والأسئلة العامة تذهب إلى [email protected].

تعمل VoucherPay LLC من الولايات المتحدة في 1801 Peninsula Verde Dr.