الرمز لمرة واحدة (OTP)

ماذا يعني «الرمز لمرة واحدة»؟

الرمز لمرة واحدة، أو OTP (One-Time Passcode، ويُسمى أيضًا كلمة المرور لمرة واحدة)، رمز قصير يُستخدم مرة واحدة ويُرسل إلى هاتف الشخص أو بريده، فيدخله ليثبت أنه يسيطر على هذه القناة. وفي التوقيع الإلكتروني، يضيف التحقق بالرمز خطوة ثانية قبل أن يتمكن الموقّع من عرض المستند أو توقيعه، فلا يكفي رابط مُعاد توجيهه وحده.

المسار بسيط. يضيف المرسل رقم هاتف أو يعتمد على بريد الموقّع، فينقر الموقّع على رابط التوقيع، وترسل المنصة رمزًا، غالبًا من ستة أرقام، تنتهي صلاحيته خلال دقائق. وبعد إدخال الرمز تُفتح الجلسة ويُدوَّن حدث التحقق في سجل التدقيق. وإذا كان الرمز خاطئًا أو منتهي الصلاحية، يطلب الموقّع رمزًا جديدًا.

تخيّل فريق موارد بشرية يرسل خطابات عرض وظيفي إلى مرشحين. يذهب الرابط بالبريد، لكن الفريق يضيف رمزًا برسالة نصية إلى رقم جوال المرشح المذكور في طلب التوظيف. الآن، حتى لو أُعيد توجيه البريد إلى زميل، فلن يستطيع التوقيع إلا من يحمل ذلك الهاتف، ويُظهر السجل العاملين معًا.

يتعامل بعض الناس مع الرمز لمرة واحدة كدليل على الهوية. وهو ليس كذلك تمامًا؛ بل يثبت السيطرة على رقم هاتف أو بريد في لحظة معيّنة. وتبديل شرائح SIM واختراق صناديق البريد مخاطر حقيقية وإن كانت غير شائعة. وفي أغلب مستندات الأعمال يكفي هذا المستوى من الضمان، لكنه أضعف من التحقق من وثيقة الهوية أو التحقق القائم على المعرفة.

الرمز لمرة واحدة شكل من أشكال التحقق من هوية الموقّع، وهو عادةً الخطوة التالية بعد رابط البريد العادي. ويتكامل بشكل طبيعي مع سجل التدقيق، الذي يسجّل وقت إرسال الرمز ووقت التحقق منه.

بعض النصائح العملية تجعل الرموز أكثر سلاسة. استخدم القناة التي يتفقدها الموقّع فعلًا: رقم الجوال لمن هم في تنقل دائم، والبريد لمن يعملون على مكاتبهم. اجعل مدة الصلاحية معقولة حتى لا يسابق الموقّعون الوقت، وسهّل طلب رمز جديد. وقد تتأخر الرسائل إلى الأرقام الدولية، لذا يستحق البريد أن يكون بديلًا. وأخيرًا، أخبر الموقّعين في رسالتك أن رمزًا سيصلهم، لتبدو الخطوة الإضافية متوقعة لا مريبة.

رأينا: الرمز عبر الرسائل النصية أو البريد هو النقطة المثلى للمستندات التي تستحق قدرًا أكبر من اليقين، كخطابات العرض الوظيفي أو تفويضات الدفع. فهو يضيف ثواني لا دقائق، والموقّعون يفهمونه أصلًا من تطبيقات البنوك.

لا يرسل eSignSimple رموزًا لمرة واحدة بعد؛ فالرموز عبر الرسائل النصية والبريد ضمن خطتنا المستقبلية. اليوم يتلقى الموقّعون رابطًا فريدًا بالبريد، ولا يحتاجون إلى حساب، ويُسجَّل كل إجراء مع التوقيت وعنوان IP وبيانات الجهاز في سجل التدقيق.

«الرمز لمرة واحدة»: مثال واقعي

وسيط تأمين يرسل نموذج تعديل وثيقة تأمين عبر منصة توقيع إلكتروني تدعم الرموز عبر الرسائل النصية. عندما ينقر العميل على رابط التوقيع، ترسل المنصة رمزًا من ستة أرقام إلى رقم الهاتف المسجل، ويجب على العميل إدخاله قبل عرض النموذج. لا يقدّم eSignSimple اليوم التحقق بالرمز لمرة واحدة ولا عبر الرسائل النصية؛ بل يُتحقق من الموقّعين عبر رابط فريد يُرسل إلى بريدهم الإلكتروني.

ما المصطلحات ذات الصلة؟

• سجل التدقيق: تاريخ مؤرَّخ لكل إجراء على مستند موقّع إلكترونيًا: الإرسال والفتح والتوقيع، مع عنوان IP والجهاز.
• التوثيق عن بُعد عبر الإنترنت (RON): التوثيق عن بُعد عبر الإنترنت (RON) يتيح لكاتب عدل معتمد توثيق مستند خلال جلسة صوت وصورة مباشرة باستخدام توقيعات وأختام إلكترونية.
• التحقق من هوية الموقّع: التحقق من هوية الموقّع هو الطريقة التي تتأكد بها منصة التوقيع الإلكتروني من أن من يوقّع المستند هو الشخص الذي أُرسل إليه.
• التحقق القائم على المعرفة (KBA): التحقق القائم على المعرفة (KBA) يثبت هوية الموقّع بطرح أسئلة مستمدة من السجلات العامة والائتمانية لا يعرف إجاباتها إلا هو.