عبدالله عبدالرحيم سنكر: OTP أو كلمة مرور أو الدخول عبر Apple و Google؟

أول شاشة يشوفها المستخدم بعد تحميل تطبيقك غالباً هي شاشة الدخول، وكثير من اللي يحذفون التطبيق في الدقيقة الأولى يحذفونه عندها. وصاحب المشروع يسأل: نخليها برقم الجوال ورمز تحقق؟ ولا إيميل وكلمة مرور؟ ولا زر «المتابعة عبر Apple»؟ عبدالله عبدالرحيم سنكر يقارن الطرق الثلاث هنا بعين المطوّر اللي يدفع ثمن كل قرار بعد الإطلاق: التكلفة، والأمان، وراحة المستخدم، وشروط المتاجر.

رمز التحقق OTP: المألوف عند الجمهور السعودي

في السعودية والخليج رقم الجوال هو الهوية الرقمية الأولى. الناس متعودة على رسالة فيها أربعة أو ستة أرقام من تطبيقات التوصيل والبنوك، فما تحتاج تشرح لهم شي. ما فيه كلمة مرور تنتسى، ولا شاشة «نسيت كلمة المرور»، والرقم نفسه قناة تواصل لو احتجتها. لكن الطريقة هذي لها فاتورة ولها مخاطر:

• كل رسالة لها سعر عند مزوّد الرسائل، والفاتورة تكبر مع كل دخول من جهاز جديد، مو مع كل مستخدم جديد فقط.
• احتيال ضخ الرسائل (SMS Pumping): بوتات تطلب رموزاً لأرقام دولية مرتفعة التكلفة، والمحتال يتقاسم العائد مع مشغّل الشبكة، وأنت تدفع. الحماية: حد أقصى للطلبات لكل رقم ولكل جهاز ولكل عنوان IP، وحصر الدول المسموحة إذا جمهورك محلي.
• الرسالة تتأخر أحياناً أو ما توصل، فيضغط المستخدم «إعادة الإرسال» خمس مرات ويطلع زعلان.
• الرقم ممكن ينتقل لشخص ثاني بعد إلغائه، أو يُسرق بتبديل الشريحة (SIM Swap)، فالرسالة وحدها ضعيفة للعمليات الحساسة مثل تحويل الأموال.

وإذا اخترته، فيه إعدادات ما تقبل التفاوض: الرمز يعيش دقائق قليلة، يُستخدم مرة وحدة، يُحفظ في السيرفر بدالة hash مو كنص صريح، ويُلغى بعد عدد محدود من المحاولات الخاطئة. وبديل يستحق التفكير: إرسال الرمز عبر قوالب المصادقة في واتساب للأعمال، لأن جمهورك أصلاً عايش هناك.

الإيميل وكلمة المرور: الأرخص تشغيلاً والأثقل على المستخدم

ما فيه تكلفة لكل دخول، والطريقة تشتغل في أي دولة وعلى أي جهاز، ولهذا تناسب لوحات التحكم وأنظمة الشركات اللي يدخلها الموظف من الكمبيوتر. المشكلة إن المستخدم العادي يكره يخترع كلمة مرور، وأغلب الناس يكررون نفس الكلمة في مواقع كثيرة، فلو تسرّبت من موقع ثاني صار حسابه عندك في خطر.

واللي يختارها يلتزم بأساسيات واضحة: كلمات المرور تُخزّن بخوارزمية مصمّمة لهذا الغرض مثل bcrypt أو Argon2، مو MD5 ولا SHA عادي. رابط الاستعادة لمرة وحدة ومدته قصيرة. ورسالة الخطأ ما تقول «الإيميل غير مسجّل» لأنها تكشف مين عنده حساب. والحقول تتعامل صح مع مدير كلمات المرور في الجوال. وإذا تقدر، أضف مفاتيح المرور (Passkeys)، لأنها تلغي كلمة المرور من الأساس وتعتمد على بصمة الوجه أو الإصبع.

الدخول عبر Apple و Google: ضغطة وحدة وشروط مكتوبة

زر «المتابعة عبر Google» أو «عبر Apple» أسرع طريق للتسجيل: ضغطة، وبصمة، وأنت داخل. ما تخزّن كلمات مرور، وما تدفع على رسائل، وجزء كبير من عبء الأمان على جوجل وآبل. لكن فيه تفاصيل تفاجئ اللي يبنيها أول مرة:

• إرشادات مراجعة آبل: إذا تطبيقك يقدّم الدخول عبر خدمة طرف ثالث مثل Google، لازم يقدّم معها خياراً يحفظ الخصوصية بنفس المستوى، و«تسجيل الدخول عبر Apple» هو الحل المعتاد. نسيانه سبب رفض متكرر.
• آبل تعطيك اسم المستخدم مرة وحدة فقط، أول ما يسجّل. إذا ما حفظته في تلك اللحظة ما يرجع لك.
• خيار «إخفاء بريدي» يعطيك إيميلاً وسيطاً من آبل بدل الإيميل الحقيقي. نظامك يتعامل معه كإيميل عادي، ولو بترسل له رسائل لازم تسجّل نطاق الإرسال عند آبل.
• المستخدم ممكن يدخل مرة بـ Google ومرة برقم جواله، فيطلع عندك حسابين لنفس الشخص. فكّر في ربط الحسابات من البداية.

والتحقق من توكن الدخول مكانه السيرفر، مو التطبيق. التطبيق يستلم التوكن ويرسله، والسيرفر يتأكد من توقيعه وتاريخ صلاحيته والجهة اللي أصدرته قبل ما يفتح أي جلسة.

الشرط اللي ينساه الكل: حذف الحساب

آبل تطلب من أي تطبيق يسمح بإنشاء حساب إنه يسمح بحذفه من داخل التطبيق نفسه، و Google Play يطلب رابطاً لحذف الحساب تصرّح به في نموذج أمان البيانات. يعني مهما كانت طريقة الدخول، خطّط لزر الحذف ولمسح البيانات فعلاً من السيرفر، مو مجرد تعطيل الحساب. ومع الدخول عبر Apple تحديداً، الحذف يشمل إلغاء التوكن عند آبل.

الخلاصة: أي طريقة لأي مشروع

عبدالله عبدالرحيم بن سنكر الكندي ما يعتمد طريقة وحدة لكل المشاريع. القاعدة اللي يمشي عليها في منصة أزهل الرقمية تبدأ من سؤالين: مين المستخدم؟ ووش يسوي داخل التطبيق؟

• تطبيق خدمي لجمهور سعودي (توصيل، حجوزات، متجر): رقم الجوال مع OTP كطريقة أساسية، ومعه Apple و Google للي يفضّلونها.
• نظام أعمال أو لوحة إدارة: إيميل وكلمة مرور مع تحقق بخطوتين عبر تطبيق مصادقة، لأن الموظفين يدخلون من أجهزة مختلفة.
• تطبيق محتوى أو أدوات لجمهور عالمي: Apple و Google أولاً، والإيميل خيار احتياطي.
• تطبيق ما يحتاج حساباً أصلاً: لا تضيف شاشة دخول. تطبيق «مَثابة» مثال على هذا: بلا حساب ولا تسجيل دخول، لأن الخدمة ما تحتاج تعرف مين أنت.

أحسن شاشة دخول هي اللي ما يحس فيها المستخدم. قبل ما تختار، اسأل: هل أحتاج أعرف هوية المستخدم فعلاً؟ وفي أي لحظة بالضبط؟ أحياناً الجواب الصح إنك تخليه يتصفح ويجرّب، وما تطلب منه الدخول إلا لما يبي يدفع أو يحفظ شي. وهذا القرار وحده يغيّر عدد اللي يكملون معك بعد أول دقيقة.