التوقيع عبر نفاذ يعني أن يُتحقق من هوية الموقّع من خلال منظومة النفاذ الوطني الموحد قبل إتمام التوقيع الإلكتروني، فيرتبط التوقيع بهوية رقمية وطنية مصدرها السجلات الرسمية. ويجيب ذلك عن السؤال الأول في أي نزاع: هل الموقّع هو الشخص المعني فعلاً؟ لكن نفاذ يثبت هوية صاحب الحساب الذي وافق على الطلب، ولا يثبت وحده صلاحية الموقّع أو سلامة المستند بعد التوقيع، ولهذا يعمل إلى جانب ضوابط أخرى كسجل التدقيق والتوقيع الرقمي.

نكتب هذا المقال لمسؤولي الامتثال والمخاطر والشؤون القانونية الذين يعتمدون التحقق عبر نفاذ في التوقيع الإلكتروني. نشرح كيف يعمل التحقق عبر نفاذ عند التوقيع، وما الذي يثبته وما لا يثبته، وأنماط الاحتيال التي تستهدفه، وكيف تُبنى ضوابط متكاملة حوله.

ملخص سريع

• نفاذ منظومة وطنية للتحقق من الهوية الرقمية، وليس جهة إصدار شهادات توقيع.
• التحقق عبر نفاذ يربط التوقيع بصاحب الهوية الذي وافق على الطلب من حسابه أو تطبيقه.
• نفاذ لا يثبت وحده صلاحية الموقّع ولا يمنع التعديل اللاحق على المستند، فيُكمَّل بسجل التدقيق والتوقيع الرقمي.
• أكثر أنماط الاحتيال شيوعاً حول نفاذ تعتمد على خداع صاحب الحساب ليوافق على طلب لم يبدأه.
• في ساين إت، نتحقق من الموقعين عبر نفاذ وأبشر وواثق، ونوفر سجل تدقيق يوثق من وقّع ومتى ومن أي جهاز.

ما نفاذ وكيف يعمل في التوقيع؟

نفاذ هو منظومة النفاذ الوطني الموحد التي تديرها الهيئة السعودية للبيانات والذكاء الاصطناعي بالتعاون مع وزارة الداخلية، وتتيح التحقق من هوية المواطنين والمقيمين رقمياً للوصول إلى الخدمات الحكومية والخاصة.

وقد أعلنت الهيئة السعودية للبيانات والذكاء الاصطناعي أن المنظومة نفذت أكثر من 3 مليارات عملية تحقق منذ إطلاقها، وتخدم أكثر من 23.5 مليون مستخدم، وترتبط بأكثر من 530 منصة وتطبيق حكومي وخاص. وهذا الانتشار يجعلها المرجع الأوسع للتحقق من الهوية في المملكة.

عند التوقيع، تسير العملية عادة كالتالي: يفتح الموقّع رابط المستند، ويختار التحقق عبر نفاذ، فيصله طلب على تطبيق نفاذ يطلب منه اختيار رقم يطابق ما يظهر على الشاشة والتحقق بالسمات الحيوية. وبعد قبوله الطلب، تتلقى منصة التوقيع تأكيد الهوية، ويُتاح للموقّع إتمام التوقيع، ويُسجَّل ذلك في سجل التدقيق.

ما الذي يثبته التحقق عبر نفاذ وما الذي لا يثبته؟

يثبت التحقق عبر نفاذ أن صاحب الهوية الرقمية المسجلة رسمياً هو من وافق على طلب التحقق في لحظة محددة، لكنه لا يثبت وحده أن هذا الشخص يملك صلاحية التوقيع، ولا أن المستند بقي كما هو بعد التوقيع.

هذا التمييز مهم لمسؤول الامتثال. فنفاذ يحل مشكلة الهوية، وهي أصعب مشكلات التوقيع عن بُعد. لكن الإثبات الكامل يحتاج إلى عناصر أخرى تكمله.

للتوسع في الفرق بين التحقق من الهوية والتوقيع الرقمي، راجع مقال الفرق بين التوقيع الرقمي والشهادة الرقمية.

ما أنماط الاحتيال التي تستهدف التحقق عبر نفاذ؟

أكثر أنماط الاحتيال شيوعاً لا تخترق نفاذ تقنياً، بل تخدع صاحب الحساب ليوافق بنفسه على طلب لم يبدأه، عبر مكالمة أو رسالة تنتحل جهة موثوقة.

يتصل المحتال بالضحية مدعياً أنه من جهة حكومية أو بنك أو شركة، ويطلب منها قبول طلب سيصلها على تطبيق نفاذ "لتحديث البيانات" أو "استلام مبلغ". وحين توافق، يكون المحتال قد بدأ عملية باسمها. وتحذر الجهات المختصة باستمرار من قبول أي طلب نفاذ لم يبدأه صاحب الحساب.

في سياق التوقيع، يعني ذلك أن نفاذ يرفع كلفة الانتحال كثيراً، لكنه لا يلغي دور الوعي. ولهذا تُكمَّل الضوابط التقنية بإجراءات تقلل فرص الخداع.

كيف تحمي المنشأة موقّعيها من هذا النمط؟

تحمي المنشأة موقّعيها بثلاثة إجراءات: أن يبدأ الموقّع عملية التوقيع بنفسه من رابط وصله عبر قناة يعرفها، وأن تُوضَّح في الرسالة طبيعة المستند والجهة المرسلة، وأن يُذكَّر الموقعون بعدم قبول أي طلب نفاذ لم يبدؤوه. وفي العقود الحساسة، يُستحسن تأكيد هوية الطرف الآخر عبر قناة مستقلة قبل الإرسال.

كيف يعمل نفاذ مع بقية ضوابط التوقيع؟

يعمل نفاذ حلقةً أولى في سلسلة ثقة متكاملة: يتحقق من الهوية، ثم يحفظ سجل التدقيق مسار التوقيع، ويكشف التوقيع الرقمي أي تعديل، ويستند ذلك كله إلى مقدم خدمات ثقة مرخص.

في ساين إت، نتيح التحقق من الموقعين عبر نفاذ وأبشر وواثق، إضافة إلى رموز التحقق عبر البريد الإلكتروني والرسائل النصية وواتساب للمستندات الأقل حساسية. ونعمل مقدمَ خدمات ثقة مرخصاً من هيئة الحكومة الرقمية، ونوفر سجل تدقيق يوثق من وقّع ومتى ومن أي جهاز، ونستضيف البيانات داخل المملكة.

متى يكون التحقق عبر نفاذ ضرورياً؟

يكون التحقق عبر نفاذ مناسباً بل ضرورياً للمستندات التي تحمل قيمة مالية أو أثراً نظامياً أو مخاطر نزاع، بينما قد تكفي رموز التحقق للإقرارات منخفضة المخاطر.

عقود الموردين والعملاء ذات القيمة، وقرارات المجالس، واتفاقيات السرية، والموافقات على معالجة بيانات حساسة، كلها مستندات قد تُطلب دليلاً، وربطها بالهوية الوطنية يقوي موقف المنشأة. أما إقرار الاطلاع على سياسة عامة أو موافقة روتينية، فقد يكفيها رمز تحقق مع سجل تدقيق. ويُحدد ذلك في سياسة داخلية بالتنسيق مع الشؤون القانونية.

ما الأخطاء الشائعة في الاعتماد على نفاذ؟

أكثر الأخطاء شيوعاً اعتبار نفاذ ضماناً كاملاً. التحقق عبر نفاذ يثبت الهوية، لكن المنشأة التي تكتفي به دون سجل تدقيق أو توقيع يكشف التعديل قد تجد نفسها عاجزة عن إثبات أن المستند الذي بين يديها هو ما وقّعه الطرف الآخر فعلاً.

ومنها الخلط بين الهوية والصلاحية. فنجاح التحقق عبر نفاذ يعني أن فلاناً وقّع، لكنه لا يعني أنه مفوض بإلزام شركته. وفي العقود مع الشركات، يحسن التحقق من التفويض أو السجل التجاري، ويمكن الاستفادة من خدمات التحقق المؤسسي مثل واثق.

ويقع بعض الفرق في خطأ إرسال روابط التوقيع دون سياق واضح. فحين يصل الموقّع رابط مجهول المصدر يطلب منه التحقق عبر نفاذ، قد يتردد أو يقع في فخ رسالة مشابهة لاحقاً. والرسالة الواضحة من جهة معروفة جزء من حماية الموقّع.

وأخيراً، يُغفل أحياناً حفظ نتيجة التحقق ضمن سجل المستند. فإذا لم يُسجَّل أن الهوية تم التحقق منها عبر نفاذ وفي أي وقت، ضاعت قيمة التحقق عند الحاجة إلى إثباته.

كيف تعتمد المنشأة التحقق عبر نفاذ في سياستها؟

ابدأ بتحديد المستندات التي تحتاج إلى تحقق عبر نفاذ، ثم اختر منصة مرخصة تحفظ نتيجة التحقق في سجل التدقيق، وأضف ضوابط الصلاحية والتوعية.

ولربط التحقق بمسار العقد كاملاً، راجع مقال إدارة العقود من المسودة إلى الأرشيف.

أسئلة شائعة

الخاتمة

التحقق عبر نفاذ يجيب عن أصعب سؤال في التوقيع عن بُعد: من وقّع؟ لكنه حلقة في سلسلة ثقة لا تكتمل إلا بسجل تدقيق يحفظ المسار، وضوابط تكشف التعديل، وتحقق من صلاحية الموقّع، ووعي يحمي من الخداع. والمنشأة التي تبني هذه الحلقات معاً تحصل على توقيع يصمد أمام المراجعة والنزاع.