يرسل مستشار مستقل تقريرا نهائيا إلى عميل بالبريد الإلكتروني يوم جمعة. وبعد ثلاثة أشهر يسأل فريق المالية لدى العميل أي نسخة اعتُمدت، فتتحول المراسلات إلى بحث بين المرفقات. كان بوسع المستشار أن ينهي هذا البحث قبل أن يبدأ، بأن يعطي العميل وسيلة للتحقق من مستند موقع عبر الإنترنت دون أن يطلب المساعدة من أحد. يستعرض هذا المقال ما تقدمه شهادة المستند المختوم فعلا للشخص المستلم، استنادا إلى طريقة عمل المنتج اليوم، وأين يتوقف هذا العرض.
الجواب المختصر لمن يرسل الملف
عند تنزيل شهادة مستند مختوم، تحمل رمز QR أزرق. مسحه يفتح صفحة تحقق عامة في أي متصفح. لا يحتاج من يمسحه إلى حساب ولا إلى تسجيل دخول، وتعرض له الصفحة تفاصيل التوقيع فورا. هذا هو الجزء الذي يمكنك الاعتماد عليه وتسليمه إلى عميل. أما الجزء الذي ينبغي الحذر منه فهو ما تفحصه الصفحة، وأتناوله أدناه.
ما يحدث حين يمسح عميلك الرمز
يرمّز رمز QR عنوان ويب يشير إلى سجل مختوم محدد واحد: معرّف مجلد زائد معرّف نسخة. يفتح العنوان صفحة تسمى verify-certificate. هذه الصفحة مسار عام، فلا يحوّل التطبيق الزائر إلى شاشة تسجيل دخول، والطلب الذي يجريه لجلب الشهادة ليس خلف فحص تسجيل دخول كذلك. يستطيع عميل يتلقى بريدك على هاتفه أن يمسح الرمز من شاشة أو ورقة مطبوعة ويصل إلى النتيجة في ثوان.
ما يراه العميل على الصفحة
تفتح الصفحة بعبارة "Verification Successful" أو "Verification Failed". ويأتي النجاح مع سطر يقول إن المستند جرى التحقق منه ويحتوي على توقيعات رقمية صالحة. ويقول الفشل إن التحقق فشل أو لم تُعثر على توقيعات.
تحت ذلك، يُدرج كل توقيع مع نوعه وشارة "Valid". وفي التوقيع القياسي يرى العميل الجهة المصدرة (الاسم الشائع والمنظمة) والموقِّع وتاريخ التوقيع وتاريخ انتهاء شهادة التوقيع. وتُعرض شهادة PDF نفسها على الصفحة، مع زر لتنزيلها. ولا شيء على الصفحة يطلب من العميل تسجيل الدخول أو التسجيل أو إدخال بريد إلكتروني.
ما لا تقوله الصفحة لهم
كن دقيقا مع عميلك هنا، لأنه سيكرر ما تقوله له. يفتح رمز QR الشهادة التي تحتفظ بها المنصة لذلك السجل. وهو يؤكد أن توقيعات الشهادة صالحة. لكنه لا يقارن تلك الشهادة بالتقرير الموجود في بريد عميلك. ولا يبين من كتب التقرير ولا هل محتواه صحيح، والختم لا يبين أن الملف لم يتغير قبل ختمه. ما يدعمه أضيق، ومع ذلك مفيد: السجل المختوم موجود، ومن وقّعه، ومتى.
فحص الملف الذي يحمله العميل فعلا
لفحص ملف PDF نفسه، يستخدم العميل أداة التحقق العامة. يرفع ملف PDF الموقع، دون تسجيل أو تسجيل دخول. وهي تفحص سلسلة التوقيع، وجهة إصدار الشهادة، وانتهاء صلاحية الشهادة، وسلامة الختم الزمني، وتبين من وقّع ومتى وبأي شهادة. وإذا عُدّل المحتوى بعد التوقيع فإنها تقول ذلك. لا تُعالَج إلا بيانات وصفية للتوقيع، ولا يُخزَّن محتوى المستند. فالفحصان يجيبان عن سؤالين. تجيب صفحة QR عن "هل يوجد سجل مختوم صالح لهذا؟" وتجيب أداة التحقق عن "هل هذا الملف بعينه هو الملف الموقع؟"
أين يذهب الرابط في بريدك
رابط الشهادة يخص مستندا مختوما واحدا، ويُبنى من معرفات ذلك السجل. وسطر ثابت في توقيع بريدك سيشير إلى تسليم واحد فقط، فلا يناسب التوقيع. كما لم أجد شيئا في شيفرة المنتج يعد بمدة صلاحية أي رابط بعينه، لذلك لن أقول لعميل إنه يعمل إلى الأبد. ضع رمز QR أو رابط الشهادة في البريد الذي يسلّم كل ملف، بجانب جملة واحدة من السياق. أما عنوان أداة التحقق فهو صفحة عامة ثابتة واحدة لا تعتمد على أي سجل. وهذا يمكن أن يوضع في توقيعك في سطر واحد، مثل "تحقق من أي مستند موقع على swisstrustlayer.com/validate".
نص قصير يمكنك لصقه
في بريد التسليم، اكتب شيئا مثل: "التقرير المرفق مختوم. والشهادة مرفقة أيضا. امسح رمز QR الأزرق عليها، أو افتح الرابط أدناه، لترى الموقِّع وتاريخ التوقيع على صفحة عامة. وللتحقق من ملف PDF نفسه، ارفعه إلى أداة التحقق. لا حاجة إلى حساب في أي منهما." أضف الرابط وأرسل، واحتفظ بنفسك بالأصل المختوم وشهادته في أكثر من مكان، لأن الختم يغطي بصمة ولا يستطيع إعادة بناء ملف ضائع. وإذا سأل محامي عميلك يوما، فإن جواب "هل أستطيع التحقق من هذا بنفسي؟" موجود أصلا في البريد الذي أرسلته في ذلك اليوم.
العودة إلى بريد الجمعة
لنعد إلى المستشار وفريق المالية بعد ثلاثة أشهر. بدلا من التنقيب في المرفقات، يفتح مسؤول المالية بريد التسليم الأصلي، ويمسح الرمز على الشهادة، ويرى الموقِّع وتاريخ التوقيع على صفحة عامة، ثم يرفع ملف PDF إلى أداة التحقق ليتأكد أنه الملف الموقع. لم يضطر أحد إلى الاتصال بالمستشار. سُلِّم الإثبات مع الملف.
اختم تسليمك القادم على Swiss Trust Layer، واقرأ كيف تعمل خطوة الختم في صفحة كيف يعمل.
