كيف تعمل التوقيع الإلكتروني؟

المبدأ العام

التوقيع الإلكتروني ليس صورة. إنه إجراء تشفيري يربط أربعة عناصر لا يمكن فصلها: المستند وهوية الموقع ولحظة التوقيع وإثبات تقني بأنه لم يتم تعديل أي شيء بعد ذلك.

يعتمد هذا الإجراء على دعامتين: المصادقة للموقع وسلامة المستند.

الخطوة 1: مصادقة الموقع

تتعلق المصادقة بإنشاء رابط بين الشخص الذي يضع توقيعه وهوية قابلة للتحقق. توجد عدة تقنيات قابلة للدمج:

• عنوان بريد إلكتروني موثوق: يتم إرسال رابط فريد. فقط صاحب البريد الإلكتروني يمكنه النقر والتوقيع.

• رمز OTP (كلمة مرور لمرة واحدة): يتم إرسال رمز للاستخدام لمرة واحدة عبر رسالة نصية قصيرة. يدخل الموقع الرمز لإثبات أنه يمتلك فعلاً رقم الهاتف المرتبط.

• شهادة شخصية: للتوقيع المؤهل، تثبت شهادة صادرة عن مزود خدمات مؤهل هوية الموقع.

يختلف مستوى المتطلبات حسب مستوى التوقيع المستهدف — انظر الفروقات بين المستويات.

الخطوة 2: حساب بصمة التشفير

قبل التوقيع، تحسب المنصة بصمة (hash) للمستند. إنها سلسلة أحرف فريدة تمثل محتوى الملف. أي تعديل، حتى لحرف واحد، ينتج بصمة مختلفة تماماً.

البصمة تشبه التوقيع الرقمي للملف: إنها صغيرة الحجم (بضعة عشرات بايت) لكنها تضمن السلامة. إذا قام شخص ما بتعديل المستند بعد التوقيع، فإن البصمة لن تطابق — يصبح التوقيع غير صالح.

الخطوة 3: ربط الهوية والبصمة

تقوم المنصة بتشفير البصمة باستخدام مفتاح تشفيري مرتبط بهوية الموقع (عبر PKI للتوقيع المؤهل، أو عبر المنصة للتوقيع الإلكتروني المتقدم/البسيط). النتيجة هي رمز التوقيع: كائن رقمي يحتوي على:

• بصمة المستند

• معرف الموقع

• الختم الزمني الدقيق

• التوقيع التشفيري نفسه

يتم تضمين هذا الرمز في ملف PDF النهائي وفقاً لتنسيق PAdES (التوقيعات الإلكترونية المتقدمة للـ PDF)، وهو معيار أوروبي. عملياً، عند فتح ملف PDF موقع في Adobe Acrobat Reader، يتحقق القارئ تلقائياً من الرمز ويعرض "التوقيع صالح" إذا كان كل شيء مطابقاً.

الخطوة 4: الختم الزمني

الختم الزمني يربط التوقيع بلحظة دقيقة وقابلة للتحقق. يوفر الختم الزمني المؤهل الصادر عن مزود خدمات موثوق إثباتاً قانونياً بأن المستند كان موجوداً فعلاً في هذا التاريخ — حجة حاسمة في حالة الطعن على تاريخ الالتزام.

انظر الختم الزمني الإلكتروني لفهم الدور والمستويات المختلفة للختم الزمني.

الخطوة 5: التسجيل في سجل التدقيق

في كل خطوة من دورة التوقيع، تسجل المنصة حدثاً بختم زمني:

• إرسال الظرف

• الفتح من قبل الموقع (مع عنوان IP ووكيل المستخدم)

• إدخال رمز OTP

• التوقيع الفعلي

• الرفض المحتمل

• انقضاء الصلاحية

يشكل المجموع سجل التدقيق (audit trail). إنها الدليل العملياتي للعملية. يتم دمجها في ملف PDF النهائي والاحتفاظ بها لمدة 10 سنوات. انظر إثبات التوقيع الإلكتروني.

ما يحدث فعلياً من جانب الموقع

من وجهة نظر الموقع، التجربة بسيطة جداً:

• يتلقى بريداً إلكترونياً يحتوي على رابط.

• ينقر على الرابط ويفتح المستند في متصفحه.

• يقرأ، ثم ينقر على "توقيع".

• للتوقيع الإلكتروني البسيط: يدخل رمز SMS تلقاه على هاتفه.

• انتهى. يتلقى نسخة من ملف PDF الموقع.

لا توجد حسابات يجب إنشاؤها، لا توجد تطبيقات يجب تثبيتها، لا توجد شهادات يجب إنشاؤها (ما عدا التوقيع المؤهل). كل شيء يتم في 1 إلى 3 دقائق.

ما يحدث من جانب المرسل

يوجه المرسل العملية من لوحة التحكم الخاصة به:

• إيداع المستند (PDF، تحويل تلقائي إذا كان Word)

• إضافة المستقبلين وتحديد موضع حقول التوقيع

• اختيار مستوى التوقيع والترتيب (متوازي أو متسلسل)

• تكوين المتابعات التلقائية وتاريخ انقضاء الصلاحية

• الإرسال

في الوقت الفعلي، يرى كل ظرف ينتقل من حالة "مرسل" إلى "مفتوح" إلى "موقع". يمكن لـ webhooks أو تنبيهات الدفع أن ترفع هذه الأحداث إلى نظام إدارة العلاقات مع العملاء أو نظام إدارة الموارد البشرية.

لماذا يصعب تزوير التوقيع الإلكتروني

• البصمة التشفيرية: أي تعديل يبطل التوقيع

• المصادقة القوية: بدون الوصول إلى البريد الإلكتروني والهاتف (للتوقيع الإلكتروني البسيط)، من المستحيل التظاهر بأنك الموقع

• سجل التدقيق بختم زمني: كل خطوة متتبعة مع عنوان IP ووكيل المستخدم

• المفاتيح التشفيرية: لا يترك المفتاح الخاص للموقع (التوقيع المؤهل) أي جهاز مادي

• الأرشفة 10 سنوات: يبقى الدليل قابلاً للاستخدام وقتاً طويلاً بعد التوقيع

كيف يساعدك Certyneo

في Certyneo، يعمل كل خط الأنابيب التشفيري في الخلفية على خوادم أوروبية (ألمانيا، IONOS): إيداع PDF، حساب hash SHA-256، دمج رمز PAdES، الختم الزمني، حفظ سجل التدقيق في قاعدة بيانات PostgreSQL مشفرة. تستفيد من عملية توقيع إلكترونية متوافقة مع eIDAS دون الحاجة لفهم التفاصيل التقنية.

اكتشف حل التوقيع الإلكتروني من Certyneo

الأسئلة الشائعة

هل يمكنني التحقق من التوقيع دون المنصة التي أصدرته؟

نعم. ملف PDF موقع بتنسيق PAdES يمكن التحقق منه من قبل أي قارئ PDF متوافق (Adobe Reader, pdfsig, إلخ). حتى لو اختفت المنصة المصدرة، يبقى التوقيع قابلاً للتحقق.

ماذا يحدث إذا عدلت ملف PDF بعد التوقيع؟

يصبح التوقيع غير صالح. يعرض قارئ PDF تحذيراً "تم تعديل المستند منذ التوقيع" والبصمة لا تطابق بعد الآن.

ما هي مدة حياة التوقيع الإلكتروني؟

يبقى التوقيع صالحاً طالما أن الخوارزميات التشفيرية المستخدمة صالحة. لضمان الصلاحية طويلة الأجل، نستخدم تنسيقات PAdES-LTA (أرشيف طويل الأجل) التي تدمج أختام زمنية مؤهلة تتجدد دورياً.

هل يمكنني توقيع عدة مستندات في مرة واحدة؟

نعم. يمكن لظرف Certyneo أن يحتوي على عدة مستندات يتم توقيعها جميعاً بنقرة واحدة. يحتفظ كل مستند بصمته الخاصة لكن سجل التدقيق مشترك.

هل تكشف البصمة محتوى المستند؟

لا. البصمة اتجاه واحد: يمكن حساب البصمة من المستند، لكن لا يمكن استرجاع المستند من البصمة. هذه إحدى الخصائص الأساسية لوظائف التجزئة التشفيرية.

الخلاصة

التوقيع الإلكتروني هو إجراء تشفيري يربط بطريقة قابلة للتحقق موقع ومستند وتاريخ وموافقة. الموقع لا يحتاج لفهم أي من هذا — بالنسبة له، إنها نقرة ورمز SMS. بالنسبة لك، إنها دليل قوي مؤرشف قابل للاستخدام.

جرب Certyneo لإرسال وتوقيع ومتابعة مستنداتك عبر الإنترنت بكل بساطة وسرعة وأمان.