كيف يعمل التوقيع الإلكتروني؟

المبدأ العام

إن التوقيع الإلكتروني ليس صورة. إنه إجراء تشفيري يربط بين أربعة عناصر متلازمة: المستند، هوية الموقّع، لحظة التوقيع، وإثبات تقني بأن لا شيء قد تم تعديله بعد ذلك.

يقوم هذا الإجراء على ركيزتين: المصادقة على هوية الموقّع، وسلامة المستند.

الخطوة 1: مصادقة هوية الموقّع

تتمثل المصادقة في إثبات الرابط بين الشخص الذي يضع توقيعه وهوية قابلة للتحقق. توجد عدة تقنيات، يمكن الجمع بينها:

• بريد إلكتروني موثوق: يُرسل رابط فريد. لا يمكن سوى لصاحب البريد الإلكتروني النقر عليه والتوقيع.
• رمز OTP لمرة واحدة: يُرسل رمز صالح لاستخدام واحد عبر رسالة نصية قصيرة. يُدخله الموقّع لإثبات أنه فعلاً يمتلك رقم الهاتف المرتبط.
• شهادة شخصية: بالنسبة إلى التوقيع الإلكتروني المؤهل، تُثبت شهادة صادرة عن مزود خدمة مؤهل هوية الموقّع.

يختلف مستوى المتطلبات حسب مستوى التوقيع المستهدف — انظر الفروق بين المستويات.

الخطوة 2: حساب البصمة التشفيرية

قبل التوقيع، تحسب المنصة بصمة (hash) للمستند. وهي سلسلة فريدة من الرموز تمثل محتوى الملف. أي تعديل، ولو بحرف واحد فقط، ينتج بصمة مختلفة تمامًا.

البصمة أشبه بتوقيع رقمي للملف: إنها صغيرة الحجم (بضع عشرات من البايتات) لكنها تضمن سلامة المحتوى. فإذا قام أحد بتعديل المستند بعد التوقيع، لن تتطابق البصمة بعد ذلك — ويصبح التوقيع غير صالح.

الخطوة 3: ربط الهوية بالبصمة

تقوم المنصة بتشفير البصمة باستخدام مفتاح تشفيري مرتبط بهوية الموقّع (عبر بنية المفاتيح العمومية PKI في حالة التوقيع المؤهل، أو عبر المنصة في حالة التوقيع البسيط أو المتقدم). والنتيجة هي رمز التوقيع: كائن رقمي يحتوي في آن واحد على:

• بصمة المستند
• معرّف الموقّع
• الطابع الزمني الدقيق
• التوقيع التشفيري نفسه

يُدمج هذا الرمز في ملف PDF النهائي وفق تنسيق PAdES (PDF Advanced Electronic Signatures)، وهو معيار أوروبي. عمليًا، عند فتح ملف PDF موقّع في برنامج Adobe Acrobat Reader، يتحقق القارئ تلقائيًا من الرمز ويعرض عبارة "التوقيع صالح" إذا تطابقت كل العناصر.

الخطوة 4: وضع الطابع الزمني

يربط الطابع الزمني التوقيع بلحظة دقيقة وقابلة للتحقق. يوفر الطابع الزمني المؤهل الصادر عن مزود خدمة موثوق إثباتًا قانونيًا بأن المستند كان موجودًا فعلاً في ذلك التاريخ — وهي حجة حاسمة في حال النزاع حول تاريخ الالتزام.

انظر الطابع الزمني الإلكتروني لفهم دور الطوابع الزمنية ومستوياتها.

الخطوة 5: التسجيل في سجل التتبع

في كل مرحلة من دورة التوقيع، تسجل المنصة حدثًا مؤرَّخًا:

• إرسال المغلف
• فتح المستند من قبل الموقّع (مع عنوان IP ومعرّف المتصفح)
• إدخال رمز OTP
• التوقيع الفعلي
• الرفض المحتمل
• انتهاء الصلاحية

يشكل مجموع هذه الأحداث سجل التتبع (audit trail). وهو الإثبات التشغيلي للعملية. يُدمج في ملف PDF النهائي ويُحفظ لمدة 10 سنوات. انظر إثبات التوقيع الإلكتروني.

ما يحدث فعليًا من جهة الموقّع

من وجهة نظر الموقّع، التجربة بسيطة للغاية:

1. يستلم بريدًا إلكترونيًا يحتوي على رابط.
2. ينقر على الرابط ويفتح المستند في متصفحه.
3. يقرأ المستند، ثم ينقر على "توقيع".
4. بالنسبة للتوقيع المتقدم: يُدخل رمزًا يستلمه عبر رسالة نصية على هاتفه.
5. وهذا كل شيء. يستلم نسخة من ملف PDF الموقّع.

لا حاجة لإنشاء حساب، ولا لتثبيت تطبيق، ولا لتوليد شهادة (باستثناء التوقيع المؤهل). كل ذلك يتم في غضون دقيقة إلى ثلاث دقائق.

ما يحدث من جهة المُصدر

يدير المُصدر العملية من لوحة التحكم الخاصة به:

• إيداع المستند (PDF، مع تحويل تلقائي إذا كان بصيغة Word)
• إضافة المستلمين وتحديد مواضع حقول التوقيع
• اختيار مستوى التوقيع وترتيب التوقيع (متوازٍ أو تسلسلي)
• ضبط التذكيرات التلقائية وتاريخ انتهاء الصلاحية
• الإرسال

في الوقت الفعلي، يرى كل مغلف ينتقل من حالة "مُرسل" إلى "مفتوح" ثم "موقّع". يمكن لهذه الأحداث أن تُنقل عبر webhooks أو إشعارات فورية إلى نظام إدارة علاقات العملاء CRM أو نظام إدارة الموارد البشرية.

لماذا يصعب تزوير التوقيع الإلكتروني

• البصمة التشفيرية: أي تعديل يُبطل التوقيع
• المصادقة القوية: دون الوصول إلى البريد الإلكتروني والهاتف معًا (في حالة التوقيع المتقدم)، يستحيل انتحال هوية الموقّع
• سجل التتبع المؤرَّخ: كل مرحلة موثقة مع عنوان IP ومعرّف المتصفح
• المفاتيح التشفيرية: المفتاح الخاص بالموقّع (في التوقيع المؤهل) لا يغادر أبدًا جهازه المادي
• الأرشفة لمدة 10 سنوات: يبقى الإثبات قابلاً للاستخدام لفترة طويلة بعد التوقيع

كيف تساعدك Certyneo

لدى Certyneo، يعمل كامل مسار التشفير في الخلفية على خوادم أوروبية (ألمانيا، IONOS): إيداع ملف PDF، حساب بصمة SHA-256، دمج رمز PAdES، وضع الطابع الزمني، وحفظ سجل التتبع في قاعدة بيانات PostgreSQL مشفّرة. تستفيد من إجراء متوافق مع معيار eIDAS دون الحاجة إلى فهم التفاصيل التقنية.

اكتشف حل التوقيع الإلكتروني من Certyneo

الأسئلة الشائعة

هل يمكنني التحقق من توقيع دون استخدام المنصة التي أصدرته؟

نعم. يمكن التحقق من ملف PDF موقّع بتنسيق PAdES باستخدام أي قارئ PDF متوافق (Adobe Reader، pdfsig، إلخ). حتى لو اختفت المنصة المُصدرة، يبقى التوقيع قابلاً للتحقق.

ماذا يحدث إذا قمت بتعديل ملف PDF بعد التوقيع؟

يصبح التوقيع غير صالح. يعرض قارئ PDF تحذيرًا يفيد بأن "المستند قد تم تعديله منذ التوقيع" ولا تعود البصمة متطابقة.

ما هي مدة صلاحية التوقيع الإلكتروني؟

يبقى التوقيع صالحًا طالما أن الخوارزميات التشفيرية المستخدمة لا تزال معتمدة. ولضمان صلاحية طويلة الأمد، تُستخدم تنسيقات PAdES-LTA (الأرشفة طويلة الأمد) التي تدمج طوابع زمنية مؤهلة يتم تجديدها بشكل دوري.

هل يمكن توقيع عدة مستندات دفعة واحدة؟

نعم. يمكن لمغلف Certyneo أن يضم عدة مستندات تُوقَّع جميعها بنقرة واحدة. يحتفظ كل مستند ببصمته الخاصة، لكن سجل التتبع يبقى مشتركًا.

هل تكشف البصمة عن محتوى المستند؟

لا. البصمة هي دالة أحادية الاتجاه: يمكن حساب البصمة انطلاقًا من المستند، لكن لا يمكن استرجاع المستند انطلاقًا من البصمة. وهذه إحدى الخصائص الأساسية لدوال التجزئة التشفيرية.

الخلاصة

التوقيع الإلكتروني هو إجراء تشفيري يربط، بطريقة قابلة للتحقق، بين موقّع ومستند وتاريخ وموافقة. لا يحتاج الموقّع إلى فهم كل ذلك — فبالنسبة له، الأمر لا يتعدى نقرة ورمزًا يصله عبر رسالة نصية. أما بالنسبة لك، فهو إثبات قوي، محفوظ، وقابل للاستخدام عند الحاجة.

جرّب Certyneo لإرسال مستنداتك وتوقيعها ومتابعتها عبر الإنترنت بكل بساطة وسرعة وأمان.