الأمان المؤسسي — حماية في كل طبقة.
حين تبني خدمات التوقيع القانوني على منصّتنا، فإنك تأتمننا على وثائق حسّاسة وهويّات حقيقية. و«وثائق» جهة توثيق وإثبات للمعاملات والعقود، قائمة على مبدأ الدفاع في العمق: تشفير لكل اتصال، ومصادقة بأقل امتياز، وتقليل صارم للبيانات، وحجّية قانونية مصرية موثّقة، وجاهزية نستهدف فيها 99.9%.
الدفاع في العمق، لا طبقة واحدة.
لا نعتمد على وسيلة حماية واحدة، بل تتضافر طبقات متعدّدة: التشفير، والمصادقة، وتقليل البيانات، والحجّية القانونية، فلا يكفي اختراق إحداها لتعريض وثائقك أو بيانات موقِّعيك للخطر.
سرّية
تمرّ كل بياناتك عبر قناة مشفَّرة بـTLS 1.2+. ولا يصل إليها إلا حامل مفتاح صالح أو صاحب دور مصرَّح به.
سلامة
لكل مستند بصمة HMAC-SHA256 في عقود المنصّة (و SHA-256 في ملفات PDF المرفوعة)، وسجل تدقيق زمنيّ لا يقبل التلاعب. وأي تعديل، ولو في بِت واحد، يُخِلّ بتطابق البصمة فيُكشَف فورًا عند التحقّق.
توافر
نستهدف جاهزية 99.9% بنسخ احتياطي منتظم خارج الخادم وخطة استجابة للحوادث، مع صفحة حالة عامة تعرض الوضع لحظيًّا.
مُشفَّر في النقل، موقَّع عند الإتمام.
نحمي البيانات أثناء عبورها الشبكة وأثناء تسليم الأحداث إلى خوادمك. ونختم كل مستند مكتمل ببصمة وتوقيع رقمي يكشفان أي تعديل لاحق.
التشفير أثناء النقل
يمرّ كل اتصال بواجهاتنا البرمجية وصفحات التوقيع عبر TLS 1.2 فأحدث حصرًا، فلا تنتقل أي بيانات حسّاسة عبر قناة غير مشفّرة.
محضر موقّع لكل عقد
عند اكتمال التوقيع نُنشئ محضرًا ونوقّعه توقيعًا غير متماثل بخوارزمية Ed25519. ويستطيع أي طرف التحقّق منه بمفتاحنا العام المنشور، دون الرجوع إلينا.
بصمة سلامة المستند
لكل مستند بصمة رقمية HMAC-SHA256 في عقود المنصّة (و SHA-256 في ملفات PDF المرفوعة)، تُثبَّت في سجل التدقيق وشهادة الإتمام، فتكشف أي تعديل لاحق مهما كان طفيفًا.
إشعارات موقّعة
يُوقَّع كل إشعار حدث نرسله إلى خوادمك بترويسة Wthaiq-Signature عبر HMAC-SHA256 بمفتاحك السرّي، مع طابع زمني يتيح التحقّق من حداثته.
إدارة المفاتيح
نفصل مفاتيح التوقيع ومفاتيح الربط البرمجي (API) عن بيانات الاستخدام، وندير كلًّا منها بدورة حياة واضحة تشمل الإنشاء والتدوير والإبطال، دون أن تظهر في السجلّات.
ختم زمني معتمد
تُصدر جهة ختم زمني (TSA) ختمًا وفق RFC 3161 يُثبت وقت التوقيع، ويُحفظ مع محضر كل مستند مكتمل، ويُدمَج داخل التوقيع الرقمي بصيغة PAdES عند التوقيع بالتوكن.
HMAC-SHA256 على «الطابع الزمني + جسم الطلب الخام»، ثم قارِن الناتج بالتوقيع المستلَم مقارنةً ثابتة الزمن عبر hash_equals، وارفض أي طلب يتجاوز فارقه الزمني 300 ثانية.هويّة صارمة، وأقل امتياز.
لا يصل أحد إلى بياناتك إلا بمفتاح صالح ودور محدَّد: مفاتيح للأنظمة، ودخول لأعضاء فريقك بلا كلمة مرور، وأدوار مضبوطة بدقة.
مفاتيح API: سرّي وعام
نوعان منفصلان: sk_… سرّي بصلاحيات كاملة يُستخدَم على الخادم فقط، وتُحتسَب رسوم إرسالاته فعليًّا ما لم يكن مفتاح تجربة (sk_test_) لا يخصم رصيدًا ولا يُرسل رسائل. و pk_… عام يمكن كشفه في المتصفّح بأمان، مقصور على نطاقاتك (allowed_origins) ومحدود بمجموعة ثابتة من المسارات. ويُحدَّد نوع المفتاح من بادئته وحدها.
أقل امتياز
يُمنَح كل مفتاح ودور أدنى الصلاحيات اللازمة لأداء مهمّته، بلا امتيازات زائدة، فتنحصر آثار أي مفتاح مسرَّب في أضيق الحدود. وتستطيع تقييد كل مفتاح سرّي بعناوين IP أو نطاقات عناوين محدّدة، فيُرفض كل طلب يرد من عنوان آخر بالرمز 403 ip_not_allowed.
تدوير المفاتيح
دوّر المفتاح من لوحة المطوّرين فيصدر مفتاح جديد فورًا، ويبقى المفتاح السابق صالحًا 24 ساعة ثم يتوقّف تلقائيًّا، فتنقل خادمك بلا انقطاع. وإن كان المفتاح قد تسرّب فأوقفه فور التدوير.
تتبّع استخدام المفاتيح
يحمل كل مفتاح اسمًا وبادئة تميّزه وتاريخ آخر استخدام last_used_at، فتراقب المفاتيح النشطة والخاملة وتُبطل المشبوه منها فورًا.
دخول الفريق بلا كلمة مرور
يدخل أعضاء فريقك إلى لوحة المطوّرين برمز تحقّق لمرّة واحدة OTP يُرسَل إلى بريدهم الإلكتروني، فلا توجد كلمات مرور دائمة يمكن أن تُسرَّب أو يُعاد استخدامها.
أدوار الفريق
وزّع الصلاحيات على أدوار واضحة، فيرى كل عضو ما يخصّ دوره فقط ولا يتجاوزه.
توثيق الحساب قبل الإرسال الحيّ
لا يرسل الحساب طلبات حيّة قبل اعتماد توثيق شركته: تأكيد هوية ممثّلها، ثم مراجعة مستنداتها، فيعرف كل موقّع مَن يطلب توقيعه. والطلب المرفوض يعود بالرمز 403 kyb_required.
رابط العودة على دومين مقبول
لا يُحوَّل الموقّع بعد التوقيع إلا إلى رابط https على دومين أثبتَّ ملكيته وقبله فريق وثائق، ويُعاد فحص الرابط عند كل فتح لصفحة التوقيع. والعودة للعرض وحده: النتيجة تُعتمد من الإشعار الموقَّع لا من معاملات الرابط.
الدومين لحساب واحد
الدومين الذي أثبت حساب ملكيته أو قُبل له لا يضيفه حساب آخر، وتُغلق عند إثبات الملكية طلبات الحسابات الأخرى على الدومين نفسه. فلا يستعمل حسابٌ دومين غيره في رابط العودة ولا في مفاتيحه العامّة.
sk_… أسرار تُحفَظ على الخادم وحده. وللتوقيع المدمج في واجهتك استخدم مفتاحًا عامًّا pk_… مقصورًا على نطاقك، أو اطلب رمز جلسة قصير الأمد من خادمك عبر signing_session بدلًا من كشف المفتاح.نخزّن أقل ما يلزم، ولا نزيد عليه.
نلتزم بمبادئ حماية البيانات: لا نجمع إلا ما تحتاجه الخدمة، ونحدّد لكل نوع من البيانات مدّة احتفاظ، ونوقّع اتفاقية معالجة البيانات عند الطلب.
عزل بيانات كل حساب
ترتبط مستنداتك بحسابك وحده، فلا يستعرضها حساب آخر ولا يبحث فيها. ولا يصل الموقّع إلا إلى المستند المطلوب توقيعه.
تقليل البيانات
في تأكيد هوية الموقّع نخزّن نتيجة التحقّق من الهوية وقرارها (مقبول/مرفوض)، لا صور الهوية الخام، فنحتفظ بالحدّ الأدنى الذي يُثبت الحجّية القانونية.
سياسة الاحتفاظ
لكل نوع من البيانات مدّة احتفاظ محدّدة تتناسب مع غرضه القانوني، وعند انتهاء الغرض تُحذَف البيانات أو تُجرَّد مما يدلّ على أصحابها، وفق سياسة معلنة.
اتفاقية معالجة البيانات (DPA)
نوفّر للعملاء المؤسسيين عند الطلب اتفاقيةً لمعالجة البيانات، تحدّد دورَي المتحكّم والمعالِج والتزامات كلٍّ منهما.
توافق مع مبادئ حماية البيانات
نبني عملنا على مبادئ حماية البيانات الشخصية: تحديد الغرض، وتقليل البيانات، والأمان، وحقوق أصحاب البيانات. ونلتزم بالتوافق مع المتطلّبات السارية.
المعالجون الفرعيون
نستعين بعددٍ محدود من المعالجين الفرعيين الموثوقين، ونكشف عنهم بشفافية مع الغرض الدقيق لكلٍّ منهم.
تأكيد الهوية بمستند رسمي ومطابقة حيّة للوجه، ونستقبل منه قرار التحقّق لا صور الهوية الخام.
معالجة مدفوعات الاشتراكات بأمان دون أن تمرّ بيانات البطاقات عبر خوادمنا.
ختم زمني معتمد وفق RFC 3161 يُثبت لحظة التوقيع ويُحفظ مع محضر الأدلّة، ويُدمج داخل التوقيع الرقمي عند التوقيع بالتوكن.
حجّية مبنيّة على القانون المصري.
لا يكفي أن يكون التوقيع سليمًا تقنيًّا؛ بل يجب أن يصمد أمام القضاء والجهات الرقابية. و«وثائق» جهة توثيق وإثبات للمعاملات والعقود، تعمل في إطار قانوني مصري صريح.
قانون التوقيع الإلكتروني
يستند العمل إلى قانون التوقيع الإلكتروني المصري رقم 15 لسنة 2004 ولائحته التنفيذية، تحت إشراف هيئة تنمية صناعة تكنولوجيا المعلومات (ITIDA).
توقيع بتوكن العميل
لسنا جهة تصديق إلكتروني، ولا نُصدر شهادات. فمَن يوقّع بتوكنه الخاص، ندمج توقيعه داخل الملف ونحفظه مع سلسلة شهاداته وختمه الزمني، أمّا الشهادة فصادرة عن جهته المرخّصة، لا عنّا.
توقيع PAdES حتى LTA
نطبّق مستويات PAdES كاملةً على النسخة المدمَجة، بدءًا من B، ثم T بالختم الزمني، ثم LT بمواد التحقّق، وصولًا إلى LTA بختم أرشيفي تبقى معه الحجّية سنواتٍ طويلة.
سجل تدقيق لا يقبل التلاعب
يُسجَّل كل حدث بوقت وقوعه، من الفتح والعرض إلى التحقّق والتوقيع، مع عنوان IP ووكيل المستخدم، في سجلٍّ لا يقبل التعديل بأثر رجعي.
بصمة رقمية تكشف التعديل
بصمة HMAC-SHA256 في عقود المنصّة (و SHA-256 في ملفات PDF المرفوعة) مثبّتة في كل مستند موقّع، فأي تعديل لاحق يُخِلّ بتطابق البصمة ويظهر فورًا بالحالة modified عند التحقّق العلني.
تحقّق علني بالمرجع
لكل مستند مكتمل مرجع تحقّق عامّ WTQ-XXXXXXXXXXXX يتيح لأي طرف التأكّد من سلامته وأطرافه عبر صفحة التحقّق دون الحاجة إلى حساب.
صُمِّمت لتبقى متاحة.
نستهدف جاهزية 99.9% بنسخ احتياطي خارج الخادم وخطة استجابة للحوادث. وبآلية التراجع المرن يستمر التوقيع حتى عند تعطّل أي خدمة مساندة.
نأخذ نسخة كاملة من قاعدة البيانات ونرفعها إلى تخزين سحابي منفصل عن الخادم، فلا يطال أيُّ عطل في الخادم هذه النسخة.
نفحص سلامة كل ملف فور إنشائه، ونستبعد الملف الناقص قبل رفعه. كما تتيح أداة تحقّق عند الطلب استيراد النسخة إلى قاعدة بيانات منفصلة، ومقارنة جداولها وصفوفها بالأصل.
خطة استجابة موثّقة تحدّد الأدوار ومسارات التصعيد بوضوح، وتشمل إخطار العملاء المتأثّرين وتحليل كل حادث جوهري بعد وقوعه.
إذا تعذّرت خدمة الختم الزمني أو خدمة التحقّق طويل الأمد (LTV) مؤقتًا، يستمر التوقيع بأدنى مستوى صالح، ويُسجَّل المستوى الذي بلغه فعلًا.
ضوابط الأمان بنظرة واحدة.
ملخّص للضوابط الجوهرية وحالة كلٍّ منها: «مفعّل» أي قائم اليوم، و«نلتزم به» أي مبدأ نطبّقه ونعمل على توثيقه، و«هدف» أي نسبة نسعى إليها ولا نضمنها، و«عند الطلب» أي متاح للعملاء المؤسسيين.
| الفئة | الضابط | الحالة |
|---|---|---|
| التشفير | TLS 1.2+ أثناء النقل لكل الاتصالات | مفعّل |
| التشفير | محضر موقّع بـEd25519 لكل عقد مكتمل | مفعّل |
| التشفير | إشعارات الأحداث الآلية موقّعة بـHMAC-SHA256 | مفعّل |
| السلامة | بصمة رقمية لكل مستند (HMAC-SHA256 لعقود المنصّة، و SHA-256 لملفات PDF المرفوعة) مع سجل تدقيق | مفعّل |
| الوصول | مفاتيح ربط برمجي منفصلة (سرّي/عام) مع التدوير | مفعّل |
| الوصول | تقييد المفتاح السرّي بعناوين IP محدّدة | مفعّل |
| الوصول | دخول الفريق بلا كلمة مرور برمز تحقّق لمرّة واحدة | مفعّل |
| الوصول | أدوار فريق بأقل امتياز | مفعّل |
| الخصوصية | عزل بيانات كل حساب عن غيره | مفعّل |
| الخصوصية | تقليل البيانات (قرار تأكيد هوية الموقّع لا صور هويته الخام) | مفعّل |
| الخصوصية | توافق مع مبادئ حماية البيانات الشخصية | نلتزم به |
| الخصوصية | اتفاقية معالجة البيانات | عند الطلب |
| القانون | قانون التوقيع الإلكتروني رقم 15 لسنة 2004 (ITIDA) | مفعّل |
| القانون | دمج توقيع توكن العميل داخل الملف وحفظه | مفعّل |
| القانون | توقيع PAdES حتى مستوى LTA | مفعّل |
| الموثوقية | جاهزية 99.9% | هدف |
| الموثوقية | نسخ احتياطي خارج الخادم بفحص سلامة لكل نسخة | مفعّل |
| الموثوقية | صفحة حالة عامة بفحص آلي ذاتي | مفعّل |
| الحوكمة | إفصاح مسؤول عبر security@wthaiq.com | مفعّل |
وجدت ثغرة؟ أبلِغنا أولًا.
نرحّب بجهود الباحثين الأمنيين ونقدّرها. فإن اكتشفت ثغرة، تواصل معنا مباشرةً قبل نشر أي تفاصيل عنها، ونلتزم بمعالجتها بجدّية وضمن مهلة استجابة معلنة.
راسِلنا على البريد المخصّص، وأرفِق خطوات إعادة إنتاج الثغرة وأثرها المتوقّع.
لا تنشر تفاصيل الثغرة علنًا قبل إصلاحها، ولا تستغلّ بيانات مستخدمين حقيقيين أثناء البحث.
نؤكّد استلام بلاغك ضمن مهلة الاستجابة، ونعمل على الإصلاح ثم نُبلغك، ونقدّر لك إفصاحك المسؤول.
أسئلة الأمان قبل الاعتماد علينا.
من يستطيع الوصول إلى بياناتنا؟
لا يصل إلى بياناتك إلا من يملك مفتاحًا صالحًا أو دورًا مصرَّحًا به. تمرّ كل البيانات عبر قناة مشفَّرة بـTLS 1.2+، ونحكم الوصول إليها بمبدأ أقل امتياز عبر مفاتيح API ودخول بشري بلا كلمة مرور. وترتبط مستنداتك بحسابك وحده، فلا يستعرضها حساب آخر.
هل تحتفظون بصور الهوية الخاصة بالموقّعين؟
لا. نطبّق تقليل البيانات: نخزّن نتيجة التحقّق من الهوية وقرارها (مقبول أو مرفوض والمستوى) عبر مزوّد متخصص للتحقق من الهوية، لا صور الهوية الخام. ما يلزم للحجّية القانونية هو إثبات أنّ التحقّق تمّ ونتيجته، وتقليل ما نحتفظ به يقلّل ما يمكن أن يُفقد أو يُساء استخدامه.
كيف أتحقّق أنّ حدث الـWebhook قادم منكم فعلًا؟
كل حدث يحمل ترويسة Wthaiq-Signature بصيغة t=<طابع زمني>,v1=<توقيع>. احسب HMAC-SHA256 على النص «الطابع الزمني + نقطة + جسم الطلب الخام» بسرّ نقطة النهاية whsec_. ثم قارِن النتيجة بمقارنة ثابتة الزمن. وارفض أي طلب يتجاوز فارقه الزمني 300 ثانية. راجِع تفاصيل التنفيذ في صفحة الـWebhooks.
ما مستوى الجاهزية الذي تلتزمون به، وكيف أتابعه؟
نستهدف جاهزية 99.9%، وهي نسبة نسعى إليها لا نضمنها. ونسندها بنسخ احتياطي خارج الخادم وخطة استجابة للحوادث. وعند تعذّر خدمة الختم الزمني مؤقتًا يستمر التوقيع بدرجة أدنى، ويُسجَّل المستوى الذي بلغه فعلًا. تابِع نتيجة الفحص الآلي وسجلّ الأعطال عبر صفحة الحالة العامة.
هل توقيعاتكم مقبولة قانونًا في مصر؟
نعم. يستند العمل إلى قانون التوقيع الإلكتروني المصري رقم 15 لسنة 2004 ولائحته التنفيذية تحت إشراف ITIDA. ونحن جهة توثيق وإثبات، لا جهة إصدار شهادات تصديق. أقوى ما نقدّمه بأنفسنا هو التوقيع بتأكيد الهوية مع سجل تدقيق وبصمة تكشف أي تعديل. ومَن يوقّع بتوكنه، ندمج توقيعه داخل الملف حتى مستوى PAdES-LTA. لتفصيل مستويات الحجّية راجِع صفحة المصداقية.
ابنِ على بنية تثق بها.
تابِع جاهزيتنا لحظيًّا على صفحة الحالة، أو تواصل مع فريقنا لطلب اتفاقية معالجة البيانات أو لأي استفسار أمني يخصّ مؤسستك.