التحقق من هوية الموقّع

ماذا يعني «التحقق من هوية الموقّع»؟

التحقق من هوية الموقّع مجموعة الفحوص التي تستخدمها خدمة التوقيع الإلكتروني للتأكد من أن الشخص الذي يفتح المستند ويوقّعه هو الموقّع المقصود. وتتراوح هذه الفحوص بين رابط بريد إلكتروني فريد في أخف المستويات، والتحقق من الهوية الرسمية في أثقلها، والمستوى المناسب يعتمد على حجم ما هو على المحك.

الطريقة الأكثر شيوعًا تعتمد على البريد الإلكتروني: يذهب رابط التوقيع إلى عنوان واحد، فيكون الوصول إلى هذا البريد هو الدليل الأول على الهوية. وفوق ذلك، يمكن للمنصات إضافة رمز لمرة واحدة يُرسل برسالة نصية أو بالبريد، أو رمز وصول يُشارك عبر قناة أخرى، أو أسئلة التحقق القائم على المعرفة، أو مسح لهوية مصوّرة يُقارن بصورة ذاتية. وكل خطوة إضافية ترفع مستوى الضمان، وترفع أيضًا احتمال أن يتخلى موقّع شرعي عن العملية.

لنأخذ مصممًا مستقلًا يرسل اتفاقية مشروع إلى عميل جديد. رابط عبر البريد مع سجل تدقيق متين يكفي عادةً؛ فإذا أنكر العميل الصفقة لاحقًا، يُظهر السجل البريد الذي أُرسل إليه الرابط، ووقت فتحه، وعنوان IP والجهاز، ولحظة التوقيع. أما جهة إقراض تتعامل مع قرض كبير، فمن المعقول أن تريد أكثر، كرمز لمرة واحدة أو تحقق من الهوية.

من المفاهيم الخاطئة المتكررة أن التوقيع الإلكتروني لا يكون صحيحًا إلا إذا خضع الموقّع لتحقق قوي من الهوية. فالقانون الأمريكي، بموجب قانوني ESIGN وUETA، يركّز على نية التوقيع وعلى إمكانية نسبة التوقيع إلى شخص، ويمكن إثبات هذه النسبة بأدلة عادية. التحقق الأقوى يسهّل إثبات النسبة، لكنه ليس شرطًا للصحة.

يعمل التحقق من هوية الموقّع جنبًا إلى جنب مع سجل التدقيق الذي يسجّل الأدلة، ويرتبط بطرق محددة مثل الرمز لمرة واحدة والتحقق القائم على المعرفة، ولكل منهما مدخل خاص في هذا المسرد.

عند اختيار المستوى، اطرح سؤالين عمليين: كم سيكلّفك أن يوقّع شخص باسم غيره، وما احتمال ذلك بالنظر إلى من تتعامل معه؟ عقد مع عميل قديم يحمل مخاطر مختلفة تمامًا عن أول معاملة مع غريب عبر الإنترنت. وجوابك هو ما يجب أن يحدد الفحوص، لا الإعدادات الافتراضية للمزوّد.

رأينا: اجعل التحقق متناسبًا مع المخاطر، لا مع قلقك. ففي العقود اليومية، يحقق رابط فريد مع سجل تدقيق شامل التوازن الصحيح؛ أما تكديس العقبات فيعاقب الموقّعين الصادقين في الغالب.

يتحقق eSignSimple اليوم من هوية الموقّعين عبر رابط فريد يُرسل إلى بريدهم الإلكتروني، ولا يحتاج الموقّعون إلى حساب. ويُسجَّل كل حدث مع التوقيت وعنوان IP وبيانات الجهاز، ويحصل الملف النهائي على بصمة SHA-256 يمكنك التحقق منها في صفحة التحقق العامة لدينا. أما الرموز عبر الرسائل النصية أو البريد والتحقق من الهوية فهي ضمن خطتنا المستقبلية.

«التحقق من هوية الموقّع»: مثال واقعي

مكتب محاسبة يرسل خطابات تكليف إلى عملائه. يتلقى كل عميل رابط توقيع فريدًا على بريده الإلكتروني، ويسجّل سجل التدقيق عنوان IP والجهاز. وفي خطاب تكليف روتيني، يكفي هذا التحقق القائم على البريد عادةً. يعتمد eSignSimple على روابط البريد الإلكتروني، ولا يقدّم اليوم رموزًا عبر الرسائل النصية ولا رموز وصول ولا تحققًا من الهوية.

ما المصطلحات ذات الصلة؟

• سجل التدقيق: تاريخ مؤرَّخ لكل إجراء على مستند موقّع إلكترونيًا: الإرسال والفتح والتوقيع، مع عنوان IP والجهاز.
• التوثيق عن بُعد عبر الإنترنت (RON): التوثيق عن بُعد عبر الإنترنت (RON) يتيح لكاتب عدل معتمد توثيق مستند خلال جلسة صوت وصورة مباشرة باستخدام توقيعات وأختام إلكترونية.
• التحقق القائم على المعرفة (KBA): التحقق القائم على المعرفة (KBA) يثبت هوية الموقّع بطرح أسئلة مستمدة من السجلات العامة والائتمانية لا يعرف إجاباتها إلا هو.
• الرمز لمرة واحدة (OTP): الرمز لمرة واحدة (OTP) رمز قصير يُرسل إلى الموقّع برسالة نصية أو بالبريد، ويجب إدخاله قبل فتح المستند أو توقيعه.