صفحة التحقق من رسائل SMS للرد على دعوة تقديم العروض

عندما تقدم شركة ردًا على دعوة تقديم عروض عامة أو خاصة، تكون مسألة القيمة القانونية للملف المرسل محورية. يمكن الطعن في المستند الموقع إلكترونيًا دون آلية مصادقة قوية أمام المحكمة أو قد يرفضه المشتري العام. هنا بالضبط تأتي دور صفحة التحقق برمز SMS: هذه خطوة مصادقة بكلمة مرور لاستخدام واحد فقط (OTP) تعزز إثبات موافقة مقدم العرض، وتستوفي متطلبات لائحة eIDAS وتضمن التتبع الكامل لمسار التوقيع. في هذه المقالة، نوضح السبب والطريقة لتطبيق هذه الآلية في سير عمل الرد على دعوة تقديم عروضك، بما في ذلك المتطلبات التقنية والتكوين خطوة بخطوة وأفضل الممارسات الواجب اتباعها.

لماذا يجب دمج التحقق برمز SMS في ردك على دعوة تقديم عروض

القيمة الإثباتية في قلب المشتريات العامة

يفرض إطار المشتريات العامة الفرنسية أن تستوفي العروض المرسلة بطريقة رقمية المتطلبات التي يحددها المرسوم رقم 2016-360 بتاريخ 25 مارس 2016 المتعلق بالمشتريات العامة. منذ 1 أكتوبر 2018، أي استشارة يتجاوز قيمتها المقدرة 40000 يورو بدون ضرائب تتطلب رقمنة إلزامية عبر منصة إيداع معتمدة (ملف المشتري). في هذا السياق، التوقيع الإلكتروني المرتبط بآلية OTP عبر SMS يشكل توقيعًا إلكترونيًا متقدمًا بالمعنى المقصود في لائحة eIDAS، أي:

• مرتبط بالموقع بطريقة فريدة؛
• يسمح بتحديد هوية الموقع؛
• تم إنشاؤه من بيانات يمكن للموقع أن يستخدمها تحت سيطرته الحصرية؛
• مرتبط ببيانات الموقع بطريقة تسمح بكشف أي تعديل لاحق.

بدون هذا المستوى من المصادقة، قد تكون التوقيع البسيط (النقر أو تحديد صندوق) غير كافٍ لإلزام مقدم العرض قانونيًا، خاصة عندما يطلب المشتري توقيعًا متقدمًا أو مؤهلاً لبعض الأجزاء الحساسة.

تقليل مخاطر الطعن والمخالفات

يمكن إعلان ملف الرد على دعوة تقديم عروض غير منتظم إذا اعتبر جهاز المشتري أن هوية الموقع لم تُثبت بشكل كافٍ. تضيف صفحة التحقق من SMS عامل مصادقة ثان (2FA) الذي، في تركيبة مع الهوية المتحققة مسبقًا، يشكل دليلاً قويًا. في حالة نزاع أمام المحكمة الإدارية أو قاضي العقد، يشكل سجل التدقيق المؤرخ (الطابع الزمني، رقم الهاتف المقنع، عنوان IP، تجزئة المستند) دليلاً مقبولاً.

للذهاب أبعد من ذلك بشأن الأساسيات، الدليل الشامل للتوقيع الإلكتروني يشرح مستويات التوقيع المختلفة وتأثيراتها القانونية بموجب القانون الفرنسي والأوروبي.

المكونات التقنية لصفحة التحقق من SMS

هندسة OTP وقناة SMS

تعتمد صفحة التحقق برمز SMS على ثلاثة مكونات مترابطة:

1. مولد OTP (كلمة مرور لاستخدام واحد فقط): خوارزمية TOTP (OTP المستندة إلى الوقت، RFC 6238) أو HOTP (OTP المستندة إلى HMAC، RFC 4226) تولد رمزًا مكونًا من 6 أرقام، صالحًا عمومًا بين 5 و 10 دقائق.
2. بوابة SMS (SMS gateway): يقوم مشغل معتمد (على سبيل المثال Twilio، OVHcloud SMS، Brevo) بنقل الرمز إلى رقم هاتف مقدم العرض المسجل أثناء مرحلة الدعوة أو التسجيل.
3. واجهة إدخال آمنة: يجب أن تمتثل صفحة الويب المعروضة على مقدم العرض لمتطلبات WCAG 2.1 (إمكانية الوصول)، وأن تعرض بوضوح انقضاء صلاحية الرمز وأن تقترح آلية إعادة إرسال محدودة (مضادة للإساءة، بحد أقصى 3 محاولات).

من وجهة نظر الأمان، يجب التحقق من رقم الهاتف مقدمًا (التحقق أثناء الإعداد الأولي) وتخزينه بطريقة مشفرة في قاعدة البيانات، وفقًا لمتطلبات RGPD (المادة 32 بشأن أمان المعالجة).

التكامل في سير عمل التوقيع Certyneo

في منصة Certyneo، يتم إضافة صفحة التحقق من SMS مباشرة من واجهة تكوين مسار التوقيع. إليك الخطوات:

الخطوة 1 — إنشاء أو استيراد مستند الرد قم بتحميل ملخصك الفني أو وثيقة التزامك أو أي جزء آخر من أجزاء العرض. مولد العقود بالذكاء الاصطناعي من Certyneo يسمح أيضًا بملء مسبق لبعض المستندات القياسية.

الخطوة 2 — تكوين الموقعين أدخل الاسم واللقب وعنوان البريد الإلكتروني ورقم الهاتف المحمول (تنسيق E.164، على سبيل المثال +33 6 XX XX XX XX) لكل شخص مخول بتوقيع العرض. هذا الحقل إلزامي لتفعيل التحقق من SMS.

الخطوة 3 — تفعيل مصادقة OTP من SMS في قائمة "أمان المسار"، حدد الخيار "التحقق برمز SMS". يمكنك تحديد معاملات:

• مدة صلاحية الرمز (الموصى به: 5 دقائق)؛
• العدد الأقصى للمحاولات (الموصى به: 3)؛
• الرسالة المخصصة المرسلة إلى الموقع (ذكر دعوة تقديم العروض ورقم المرجع للاستشارة).

الخطوة 4 — تخصيص صفحة التحقق توفر واجهة Certyneo محرر صفحات "بدون كود" يسمح بإضافة شعار مؤسستك وعنوان الاستشارة وتعليمات واضحة لمقدم العرض. يعزز هذا التخصيص الثقة ويقلل من التخلي عن المسار.

الخطوة 5 — اختبر المسار في وضع الحماية قبل الإرسال الفعلي، استخدم وضع الاختبار في Certyneo لمحاكاة استقبال SMS وإدخال الرمز. تحقق من أن سجل التدقيق يلتقط بشكل صحيح: الطابع الزمني وتجزئة SHA-256 للمستند ورقم الهاتف المقنع وعنوان IP لجهاز المستخدم.

أفضل الممارسات للتكوين الأمثل

توقع القيود التشغيلية لمقدم العرض

في سياق دعوة تقديم عروض، قد يكون مقدم العرض شخصًا طبيعيًا أو ممثل قانوني لمؤسسة صغيرة ومتوسطة أو مجموعة مؤقتة من الشركات (GME) أو مجموعة كبيرة. يجب توقع عدة قيود تشغيلية:

• عدم توفر رقم الهاتف: إذا كان الموقع المعين في رحلة دولية، قد لا يصل SMS في الوقت المناسب. وفر خيار تفويض التوقيع مع إشعار مسبق.
• دوران المسؤولين: في المنظمات الكبيرة، قد يتغير المدير التنفيذي الموقع بين إرسال الدعوة وتاريخ انتهاء الإيداع. يجب أن يكون حقل "رقم الهاتف" قابلاً للتعديل من قبل مسؤول الحساب حتى 24 ساعة قبل الموعد النهائي.
• الوصول: قد يواجه بعض المستخدمين الذين يعانون من إعاقات صعوبات في إدخال رمز مؤقت. اقترح بديلاً صوتيًا (مكالمة آلية لقراءة الرمز) إن سمح بذلك البنية التحتية لديك.

الأرشفة وسجل التدقيق المتوافق

صفحة التحقق من SMS تشكل فقط جزءًا واحدًا من جهاز الإثبات. لكي يكون ملف كامل قابلاً للمعارضة، يجب أن تمتثل الأرشفة لمعيار ETSI EN 319 132 (XAdES) أو ETSI EN 319 122 (CAdES) حسب تنسيق التوقيع المختار. تُنشئ Certyneo تلقائيًا تقرير التوقيع بصيغة PDF/A يتضمن:

• قائمة الموقعين مع مستوى مصادقتهم؛
• الطوابع الزمنية المعتمدة (RFC 3161)؛
• سجل كامل لأحداث SMS (الإرسال والاستقبال المؤكد والإدخال الصحيح أو غير الصحيح).

يجب الاحتفاظ بهذا التقرير طوال فترة صلاحية العقد، بل وما بعده في حالة نزاع. بالنسبة للمشتريات العامة، يحدد قانون الشراء العام (المادة L. 2194-1 والمواد التالية) فترات احتفاظ قد تصل إلى 10 سنوات. الأسعار والخيارات المتعلقة بالأرشفة طويلة الأجل موضحة على صفحة أسعار Certyneo.

التكامل مع منصات الرقمنة (ملفات المشتري)

عندما يتم الرد على دعوة تقديم عروض عبر منصة تابعة لجهة خارجية (AWS Marchés، e-Attestations، Achat Public، Klekoon، وما إلى ذلك)، يمكن استخدام Certyneo مسبقًا للتوقيع والتحقق داخليًا من المستندات التكوينية للعرض قبل إيداعها على ملف المشتري. يتم بعد ذلك تحميل الملف الموقع (بصيغة XAdES أو PAdES) على المنصة، مصحوبًا بتقرير التوقيع Certyneo كدليل على المصادقة.

إذا كانت مؤسستك تستخدم بالفعل حلاً منافسًا، فإن صفحة الهجرة إلى Certyneo تشرح كيفية نقل مساراتك الموجودة دون فقدان البيانات أو انقطاع الخدمة.

الأمان و RGPD وإدارة بيانات الهاتفية

معالجة البيانات الشخصية لرقم الهاتف

رقم الهاتف المحمول يعتبر بيانات شخصية بالمعنى المقصود في المادة 4 من RGPD. استخدامه في سياق التحقق من OTP يتطلب:

• أساس قانوني واضح المعالم: تنفيذ العقد (المادة 6.1.b RGPD) أو المصلحة المشروعة (المادة 6.1.f RGPD) حسب العلاقة بين مصدر دعوة تقديم العروض ومقدم العرض؛
• إخطار مسبق لمقدم العرض بشأن استخدام رقمه (ذكر في شروط الخدمة أو في البريد الإلكتروني للدعوة)؛
• فترة احتفاظ محدودة: لا يجب الاحتفاظ بالرقم بعد انتهاء مسار التوقيع، إلا في حالة الأرشفة القانونية المبررة.

ستجد فريق الشؤون القانونية و DPO موارد إضافية في قاموسنا للتوقيع الإلكتروني، الذي يرجع إلى التعريفات الأساسية لـ RGPD المطبقة على مسارات التوقيع.

المقاومة للهجمات والمضادة للغش

التحقق من SMS معرض لبعض المتجهات الهجومية (تبديل SIM، اعتراض SS7). بالنسبة للأسواق عالية الأهمية (المبالغ > 500000 يورو بدون ضرائب)، توصي Certyneo بدمج OTP من SMS مع:

• التحقق من الهوية مسبقًا (KYC الموثقة أو IDnow)؛
• طابع زمني مؤهل يقدمه مزود خدمات الثقة (Trust Service Provider، TSP) معتمد eIDAS؛
• تنبيه في الوقت الفعلي في حالة تغيير رقم الهاتف في الـ 48 ساعة السابقة للتوقيع.

تنقل هذه التدابير الإضافية التوقيع إلى مستوى مؤهل eIDAS، الأعلى المعترف به من قبل اللائحة الأوروبية، وتشكل ضمانة قصوى للأسواق العامة الحساسة أو السرية.

الإطار القانوني الذي ينطبق على التحقق من SMS في دعوات تقديم العروض

لائحة eIDAS رقم 910/2014 ومستويات التوقيع الخاصة بها

تشكل اللائحة (EU) رقم 910/2014 من البرلمان الأوروبي والمجلس (eIDAS) أساس التوقيع الإلكتروني في أوروبا. وهي تميز بين ثلاثة مستويات:

• التوقيع الإلكتروني البسيط (المادة 3.10): بيانات بشكل إلكتروني مرفقة أو مرتبطة ببيانات أخرى، يستخدمها الموقع للتوقيع. قيمة قانونية محدودة للمشتريات العامة.
• التوقيع الإلكتروني المتقدم (المادة 3.11): يستوفي متطلبات المادة 26 من eIDAS، بما في ذلك تفرد الرابط مع الموقع وقابلية الكشف عن أي تعديل. يسمح التحقق من OTP من SMS، مقترنًا بتحديد هوية مسبق، بتحقيق هذا المستوى.
• التوقيع الإلكتروني المؤهل (المادة 3.12): تم إنشاؤه باستخدام جهاز إنشاء توقيع مؤهل، بناءً على شهادة مؤهلة يصدرها TSP معتمد. المستوى الوحيد الذي له تأثير قانوني معادل للتوقيع اليدوي في جميع الدول الأعضاء (المادة 25.2 eIDAS).

القانون المدني الفرنسي — المواد 1366 و 1367

تنص المادة 1366 من القانون المدني على أن "الكتابة الإلكترونية لها نفس القيمة الإثباتية للكتابة على ورق، بشرط أن يمكن تحديد هوية الشخص الذي تصدر عنه بشكل صحيح وأن يتم إنشاؤها والحفاظ عليها بطريقة تضمن سلامتها". تحدد المادة 1367 أن "التوقيع الإلكتروني يتكون من استخدام طريقة موثوقة للتحديد تضمن ارتباطه بالعمل الذي يرتبط به".

يساهم OTP من SMS بشكل مباشر في استيفاء شرط التحديد الموثوق به المنصوص عليه في المادة 1367، من خلال إنشاء رابط بين رقم الهاتف المسجل والعمل الموقع.

قانون الشراء العام

تفرض المواد R. 2132-7 والمواد التالية من قانون الشراء العام أن العروض المرسلة بطريقة إلكترونية يتم توقيعها بتوقيع إلكتروني متقدم على الأقل بناءً على شهادة مؤهلة. يندرج التحقق من SMS ضمن الجهاز المسموح بتحقيق هذا المستوى، شريطة أن يكون مسار التوقيع بأكمله موثقًا ومؤرشفًا.

RGPD رقم 2016/679 — حماية بيانات الهاتفية

تفرض المادة 32 من RGPD تدابير تقنية وتنظيمية مناسبة لضمان أمان البيانات المعالجة، بما في ذلك التشفير والكود الوهمي. يجب تشفير رقم الهاتف المستخدم لـ OTP من SMS أثناء الراحة وأثناء النقل (TLS 1.3 كحد أدنى). تفرض المادة 5.1.e تحديد الاحتفاظ: لا يمكن الاحتفاظ بالرقم إلا الوقت الضروري بدقة لتحقيق الغرض من المعالجة.

معايير ETSI الواجبة التطبيق

• ETSI EN 319 132 (XAdES): تنسيق توقيع XML متقدم، موصى به لقطع الأسواق العامة بتنسيق XML.
• ETSI EN 319 122 (CAdES): تنسيق توقيع CMS متقدم، مناسب للملفات الثنائية (PDF، ZIP).
• ETSI EN 319 102-1: إجراءات إنشاء والتحقق من التوقيعات الإلكترونية، بما في ذلك الطابع الزمني المؤهل RFC 3161.

عدم الامتثال لهذه المعايير يعرض المصدر أو مقدم العرض لمخاطر رفض العرض لعدم الانتظام الشكلي، أو عدم قابلية التوقيع للمعارضة في حالة نزاع تعاقدي.

سيناريوهات الاستخدام الملموسة

السيناريو 1 — مكتب هندسة يرد على سوق الهندسة المعمارية والاستشارات

مكتب هندسة متخصص في البنية التحتية، يضم حوالي 30 مهندسًا ويدير في المتوسط 15 إلى 20 ردًا على دعوات تقديم عروض سنويًا، يجب أن يوقع عدة مستندات تشكل عرضًا: وثيقة التزام وملخص تقني وشهادات الانتظام المالي والاجتماعي. قبل تطبيق التحقق من SMS، اعتمدت الإجراءات على تبادل ملفات PDF موقعة يدويًا وممسوحة ضوئيًا وأعيد إرسالها عبر البريد الإلكتروني، مما أدى إلى تأخيرات متوسطة من 48 إلى 72 ساعة لكل ملف.

من خلال تكوين مسار Certyneo مع التحقق من OTP من SMS لكل موقع داخلي (المدير التقني والمدير)، قلل المكتب هذا التأخير إلى أقل من ساعتين. يتم إرفاق تقرير التوقيع الذي تم إنشاؤه تلقائيًا بالملف المودع على ملف المشتري، مما يستوفي متطلبات التوقيع المتقدم. تقدّر الدراسات القطاعية الخاصة برقمنة B2B تقليل وقت معالجة الأعمال الإدارية بنسبة 60-70٪ عند الانتقال إلى التوقيع الإلكتروني مع المصادقة القوية.

السيناريو 2 — مجموعة مؤقتة من الشركات (GME) على سوق العمل

في إطار سوق عام للعمل (قطعة الحفر + قطعة الجسم الرئيسية)، تشكل شركتان مجموعة مؤقتة مشتركة. يجب على كل ممثل أن يوقع وثيقة التزام باسم شركته. تقع الشركتان في مدن مختلفة، وتاريخ الموعد النهائي لتقديم العروض هو 12:00.

بفضل ميزة التوقيعات المتوازية في Certyneo، يتلقى كلا الموقعين رابط دعوة عبر البريد الإلكتروني في نفس الوقت. يمكن لكل منهما الوصول إلى صفحة التحقق الخاصة به، وإدخال رمز OTP المستقبل عبر SMS في أقل من دقيقة، وتوقيع التوقيع الإلكتروني المتقدم. يتلقى منسق GME إشعارًا فوريًا بالإكمال ويمكنه تحميل الملف النهائي قبل الموعد النهائي. يوضح هذا السيناريو كيف يلغي التحقق من SMS خطر التأخير المرتبط بالتنسيق متعدد المواقع، وهي مشكلة تمثل حسب بعض الدراسات حوالي 30٪ من الإيداعات المتأخرة في الردود للمجموعات.

السيناريو 3 — سلطة إقليمية مصدرة لدعوة تقديم عروض

سلطة إقليمية بحجم متوسط (بين 50000 و 200000 نسمة) التي تريد ليس الرد على دعوة تقديم عروض بل إصدار واحدة، يمكنها أيضًا الاعتماد على التحقق من SMS لتأمين التوقيع الداخلي لأجزاء السوق (CCAP، CCTP، RC). قبل نشر الاستشارة على ملف المشتري، يجب على مدير الخدمات التقنية والمنتخب المختص بالعقود التوقيع المشترك على المستندات التكوينية.

من خلال نشر مسار Certyneo داخلي مع التحقق من OTP من SMS لكل موقع مؤسسي، تنشئ السلطة الإقليمية دليلاً على التحقق الإداري المسبق. هذا التتبع مفيد بشكل خاص عند عمليات مراقبة الشرعية التي تمارسها المحافظة أو في حالة تد