ويمي / الطلب ليس استرداداً
اتفق على التغييرات التي تطرأ قبل تقديم مُعرّف استرداد صالح.
يطلب أحد الموظفين استعادة كلمة مرور حسابه على بوابة البيع. تظهر الصفحة رسالة تفيد بقبول الطلب، لكن يتم إيقاف وصول الموظف فورًا. يتلقى موظف آخر رسالة مختلفة تفيد بعدم وجود حساب بهذا الاسم. شاهد المشتري نموذج إعادة التعيين يعمل، لكنه لم يراجع ما يظهره الطلب أو التغييرات التي طرأت عليه. هذا مثال افتراضي، وليس حادثة حقيقية مسجلة في WEIMI.
تتطلب عملية استعادة كلمة المرور خطوة أولى تستقبل الطلب دون اعتباره ملكية مؤكدة. وإلا، فقد يُجري شخصٌ يعرف مُعرّف حساب المُشغّل تغييرات قبل إتمام عملية الاستعادة. إن قدرة المُشغّل على مواصلة العمل وخصوصية وجود الحساب أمران منفصلان عن إمكانية إرسال بريد إلكتروني.
ال دليل OWASP لكلمة المرور المفقودة يفصل هذا التقرير، الذي تمت مراجعته في 11 أكتوبر 2026، مرحلة طلب إعادة تعيين كلمة المرور عن مرحلة التحقق منها. ويركز هذا الموجز على المرحلة الأولى فقط. ولا يُجري أي تغييرات على الحساب، ولا يستخدم أي مُعرّف إعادة تعيين حقيقي، ولا يتضمن أي اختبار مستقل لمنصة البيع.
استفسر عن كيفية استجابة خدمة الحساب المقدمة لطلب استعادة حساب موجود وآخر غير موجود. توصي OWASP برسالة موحدة وتوقيت استجابة موحد، مع إبلاغ طريقة الاستعادة عبر قناة جانبية بدلاً من استخدام صفحة الطلب كدليل للحسابات.
تأكد من أن مجرد طلب استعادة الحساب لا يؤدي إلى تغييره أو قفله. ويشير المصدر إلى ضرورة عدم تغيير الحساب حتى يتم تقديم رمز مميز صالح، ويحذر من أن قفل الحساب استجابةً لإساءة استخدام كلمة المرور المنسية قد يحرم المستخدمين الذين تم التعرف على هوياتهم من الوصول.
اطلب ضوابط متناسبة للحد من عمليات الإرسال الآلية المفرطة. يقدم مشروع OWASP أمثلة على ضوابط مثل تحديد معدل الإرسال، واختبار CAPTCHA، وغيرها، دون تحديد عتبة موحدة. اتفق على آلية التحكم الفعلية ومسار دعم المشغل. إن القدرة على تلقي رسالة استرداد واحدة لا تثبت حماية حالة الحساب أو معالجة إساءة استخدام الطلبات.
استخدم أسئلة قبول منفصلة لمراحل الطلب والتسليم وإعادة التعيين المُتحقق منها. لا تُحدد هذه المقالة عملية الاسترداد الكاملة.
| مرحلة أو مراقبة | ما يحدده | ما زال الأمر غير مؤكد |
|---|---|---|
| تم قبول الطلب | قامت الخدمة بمعالجة طلب الاسترداد المقدم. | ملكية الحساب، وتغيير كلمة المرور، والتعامل الآمن مع حالة الحساب. |
| تم تسليم رسالة القناة الجانبية | تم تزويد مسار التسليم الخاضع للرقابة بطريقة استرداد. | أمان الرموز، وسلوك إعادة التعيين الكامل، واستعادة الحساب في حالة اختراقه. |
| نفس الصياغة الظاهرة | تبدو الرسائل التي تم أخذ عينات منها متسقة. | توقيت الاستجابة والاختلافات الأخرى المتعلقة بوجود الحساب. |
| يستمر الوصول الحالي | لم يؤدِ الطلب الذي تم أخذ عينة منه إلى إيقاف سير العمل المصرح به بشكل واضح. | جميع أنواع الطلبات، وضوابط إساءة الاستخدام، وسياسة إعادة تعيين الجلسة التي تم التحقق منها لاحقًا. |
استخدم هذا الموجز عندما يتضمن عرض الأسعار حسابات تشغيل بشرية مزودة بخاصية استعادة كلمة المرور. وهو مناسب للمؤسسات التي يستخدم موظفوها بوابة إدارة آلات البيع أثناء عمليات إعادة التعبئة أو إعداد التقارير أو تقديم الخدمات. حدد خدمة الحساب الفعلية وما إذا كانت جهة أخرى مسؤولة عن الهوية.
ينبغي على مالك الحساب تحديد مسار الاسترداد المدعوم. كما ينبغي على مزود البرنامج شرح استجابات الطلبات، والتسليم، وحالة الحساب قبل التحقق. ويجب على قسم العمليات تحديد الإجراءات التي يتخذها المشغل عند عدم وصول رسالة أو ظهور طلبات غير مرغوب فيها متكررة. أما قسم المشتريات، فينبغي عليه تحديد نطاق العمل والجهة المسؤولة.
قد لا يتضمن عرض الأجهزة فقط أيًا من هذه الوظائف. ولا تُثبت شاشة الخزانة توفير بوابة تشغيل أو خدمة استعادة كلمة المرور. إذا كان شريك المنصة يُقدّم خدمة المصادقة، فوجه الطلب إليه واحتفظ بتوزيع المسؤوليات في عرض الأسعار.
تُشكّل المعدات الثلاثة المرشحة أدناه قائمة مختصرة للإدراج العام. لم نُقدّم طلبات حقيقية لإعادة تعيين كلمات المرور، ولم نفحص صناديق البريد، ولم نُغيّر حسابات المشغلين. فيما يلي عرض توضيحي مُقترح من قِبل مُزوّد الخدمة في بيئة مُصرّح بها بشكل منفصل باستخدام حسابات مُراقبة وقنوات تسليم تجريبية.
اتفق مع مالك الخدمة على حساب اختبار موجود ومعرّف اختبار غير موجود. سجّل استجابة الطلب المتوقعة لكليهما. يجب على أخصائي مزود الخدمة إجراء الحالات ومراجعة التوقيت في البيئة المحددة. لا يقدم هذا المقال أي معيار عالمي للتسامح الزمني الرقمي أو دليلاً على عدم إمكانية التمييز.
احتفظ بالرسائل وملاحظات الاستجابة وقيود المراجعة. تُعدّ الجملة المطابقة دليلاً مفيداً، لكنها لا تُغطي توصية المصدر بشأن التوقيت. يُؤخذ في الاعتبار تباين الشبكة وتصميم الاختبار؛ لذا، دع المُراجع المسؤول يُقرر ما إذا كانت الأدلة تدعم التنفيذ المُقترح.
راقب حساب الاختبار الحالي قبل وبعد الطلب غير المُؤكَّد. اطلب من المزوّد إثبات أن قبول الطلب وحده لا يُغيّر كلمة المرور، أو يُقفل الحساب، أو يُحدث أي تغيير آخر في حالته. هذا ليس طلبًا للكشف عن كلمات المرور أو رموز الاسترداد الحقيقية في سجل الشراء.
أخيرًا، راجع ضوابط إساءة الاستخدام المتفق عليها دون إغراق صندوق البريد أو نقطة النهاية الفعلية. احصل على بيانات التكوين وأدلة الاختبار المحدود من المزوّد. سجّل إصدار التطبيق، ومالك خدمة الحساب، ونطاق التسليم. لم يجتز أي جهاز مدرج هذا التمرين المقترح هنا.
عقد من مرحلتين. يجب الفصل بين طلب الاسترداد وإثبات السيطرة من خلال آلية الاسترداد. لا ينبغي وصف المرحلة الأولى بأنها تغيير كلمة المرور. يجب توثيق عملية القبول بحيث يتمكن المشتري من معرفة المرحلة التي أثبتها المزوّد بدقة.
يجب توحيد رسالة تأكيد وجود الحساب. توصي OWASP باستخدام نفس الرسالة للحسابات الموجودة وغير الموجودة. اسأل نفسك ما إذا كان أي تمييز مرئي للعميل يُضعف هذا الهدف. لا تعتمد على شاشة مطمئنة وحدها كدليل على صحة كل استجابة.
مراجعة التوقيت. يوصي المصدر أيضًا بتوحيد زمن الاستجابة، ويناقش أساليب مثل المعالجة غير المتزامنة أو منطق مماثل بدلاً من الخروج السريع في حالة معينة. ينبغي على المشتري طلب شرح من مالك التنفيذ وأدلة موثقة، بدلاً من تحديد عدد ثابت من المللي ثواني لكل نظام.
مسار قناة جانبية. يجب إبلاغ طريقة الاسترداد عبر القناة المُهيأة. تأكد من الجهة المسؤولة عن التسليم والإجراءات التي يتخذها المشغل في حال عدم توفرها. لا يضمن وصول رسالة إلى قناة اختبار التحقق من صحة جميع متطلبات الرمز المميز أو تاريخ انتهاء الصلاحية أو التخزين للمرحلة اللاحقة.
لا يجوز تغيير الحساب قبل الأوان. يجب الاستفسار عن الحالة التي يمكن تغييرها قبل تقديم رمز مميز صالح. يتضمن المصدر صراحةً قفل الحساب كأحد المخاوف. لا ينبغي تعطيل الوصول الحالي لمجرد طلب شخص ما استعادته، إلا إذا كانت هناك عملية محددة ومبررة بشكل منفصل خارج نطاق هذا الطلب العادي.
يجب تطبيق ضوابط إساءة الاستخدام دون فرض حظر تلقائي عند الطلب. قد يؤدي الإفراط في إرسال الطلبات إلى إغراق قنوات التسليم. توصي الإرشادات المذكورة بضوابط مثل تحديد معدل الطلبات أو غيرها من التدابير، وتحذر من الحظر الناتج عن هجمات نسيان كلمة المرور. اطلب من مزود الخدمة شرح الضوابط المختارة وآليات دعم المشغل.
تبقى عملية الاسترداد الكاملة منفصلة. تتطلب المعرّفات المُنشأة إجراءات أمان، وربطًا بالمستخدم، واستخدامًا لمرة واحدة، وتاريخ انتهاء صلاحية مناسبًا وفقًا للمصدر. لا تتناول هذه المقالة هذه التفاصيل من خلال عرض توضيحي لصفحة الطلب. احتفظ بها كمتطلبات استرداد لاحقة بدلًا من افتراض أن التسليم يُثبتها.
تصعيد الاختراق. يختلف مسار العمل بين استعادة كلمة المرور المنسية العادية والاشتباه في اختراق الحساب. يشير المصدر إلى أن إعادة تعيين كلمة المرور وحدها قد لا تُعيد التحكم في حال تغيير الجلسات النشطة أو معلومات الاسترداد. حدد مسؤول التصعيد دون الادعاء بأن هذا الموجز الخاص بمرحلة الطلب يُكمل تلك المراجعة.
تدعم قوائم الشركات المصنعة الثلاث هذه قائمة مختصرة للأجهزة. يُقصد بـ "الأفضل" ملاءمة المنتج والشكل المقترح، رهناً بتوفر عرض سعر. لا تُؤيد OWASP هذه المنتجات، ولا تُحدد الأوصاف العامة سلوك استعادة كلمة المرور.
الاعتراف بالبضائع المعبأة
يصف نظام الرؤية الذكية ذو الباب الواحد تقنية التعرف على الكاميرا، وخمسة مستويات للأرفف، وخمسة سلال، مع خيار شاشة علوية أو صندوق إضاءة. تأكد من نظام التبريد ونطاق التعرف على المخزون. يخزن هذا النظام سلعًا معبأة متوافقة، ولا يُستخدم لتحضير العصائر الطازجة. في حال توفير حسابات للمشغلين، حدد خدمة الحساب قبل تحديد متطلبات الاسترداد.
توزيع تشكيلة من الوجبات الخفيفة والمشروبات
يتميز جهاز WM22 بشاشة لمسية مقاس 21.5 بوصة، ونظام إدارة المخزون، ونظام تبريد. تتوفر خيارات لآليات التخزين الحلزونية، والناقلة، والدفع المباشر، والتعليق؛ يُرجى التأكد من الآلية المُختارة في العرض. لا يُحدد نظام إدارة المخزون طريقة استرداد مُعينة. يُرجى طلب معلومات تفصيلية عن البوابة الإلكترونية ونطاق خدمة الحساب.
محطة موسعة وواضحة
يُظهر إعلان الخزانة المزدوجة شاشة عرض رئيسية للمنتج بالإضافة إلى مساحة تخزين حلزونية إضافية مرئية. لا يُستدل على وجود برامج مشتركة، أو نظام تبريد مستقل، أو شاشة ثانية، أو سعة تخزين إضافية. في حال إدارة شريك المنصة للحسابات، يُرجى تحديد مسؤول الاسترداد والاحتفاظ بالأدلة الخاصة بتلك الخدمة المُقدمة.
قارن تنسيق المعدات باستخدام القائمة، ثم اطلب دليل خدمة الحساب فقط للبرنامج الذي تم توفيره بالفعل.
| مُرَشَّح | أساس الإدراج العام | نطاق التعافي قيد التأكيد |
|---|---|---|
| ثلاجة ذكية بباب واحد مزودة بتقنية الذكاء الاصطناعي للمشروبات المعبأة | التعرف على الكاميرا، خمسة مستويات للأرفف وخمس سلال؛ خيار الشاشة العلوية/صندوق الإضاءة. | ما إذا كانت حسابات المشغلين موجودة ومن يوفر مسار الاسترداد الخاص بهم. |
| آلة بيع الوجبات الخفيفة والمشروبات WM22 | شاشة لمس مقاس 21.5 بوصة، ونظام إدارة المخزون، ونظام تبريد، وآليات اختيارية. | الاستجابات المطلوبة، وملكية التسليم، وحالة الحساب قبل التحقق. |
| خزانتان، خيارات أكثر: محطة بيع الوجبات الخفيفة والمشروبات | شاشة عرض رئيسية ومنطقة عرض إضافية مرئية للمخزون الحلزوني. | مسؤوليات شركاء المنصة ودعم تصعيد عمليات الاسترداد. |
لا تتضمن الأدلة المذكورة أسعارًا موثقة للآلات، أو رسوم مراجعة خدمة الحساب، أو تكاليف حوادث الاسترداد. ما يلي هو تخطيط افتراضي للعمالة، وليس عائدًا مُقاسًا على الاستثمار، أو عرض أسعار من مزود الخدمة، أو ضمانًا لتجنب فترات التوقف.
بافتراض تخصيص عشرين دقيقة لتوثيق الطلب ومسار التسليم، وأربعين دقيقة لمراجعة الردود المُراقبة وحالة الحساب، وثلاثين دقيقة لتسجيل ضوابط إساءة الاستخدام ودعم الملكية، فإن إجمالي الوقت المُفترض هو تسعون دقيقة. وبافتراض معدل أجر ساعة عمل قدره 34 دولارًا أمريكيًا، فإن التكلفة التقريبية هي 51 دولارًا أمريكيًا.
بالنسبة لتغيير مستقبلي منفصل، لنفترض أن قناة التسليم المعدلة تحتاج إلى عشرين دقيقة للمراجعة. بنفس المعدل، ستكلف هذه العملية حوالي 11.33 دولارًا أمريكيًا. هذا مجرد حساب تخطيطي افتراضي ولا يحدد الجهد الفعلي للتنفيذ أو موثوقية التسليم.
استخدم عروض أسعار فعلية لخدمات الهندسة والتقييم المستقل والتوصيل. لا تحسب قيمة تجنب اختراق الحساب أو زيادة مبيعات البيع الآلي بناءً على هذا المثال البسيط للعمالة. تتمثل نتيجة الشراء في عقد استرداد محدد للمرحلة الأولى ومالك مُعيّن.
| مهمة توضيحية | افتراض صريح | تكلفة العمالة 34 دولارًا أمريكيًا في الساعة |
|---|---|---|
| طلب المستندات ومسار التسليم | 20 دقيقة. | حوالي 11.33 دولارًا أمريكيًا. |
| مراجعة الردود وتحديدها | 40 دقيقة. | حوالي 22.67 دولار أمريكي. |
| احتفظ بضوابط إساءة الاستخدام والملكية | 30 دقيقة. | 17 دولارًا أمريكيًا؛ إجمالي 51 دولارًا أمريكيًا. |
| مراجعة منفصلة للقناة المستقبلية | 20 دقيقة. | حوالي 11.33 دولارًا أمريكيًا؛ لم يتم قياس تكلفة التوصيل. |
مشروع تجريبي للمشروبات المعبأة مع عدد قليل من حسابات المشغلين. يُنصح باستخدام ثلاجة مزودة بتقنية الذكاء الاصطناعي لعرض المخزون والتعرف عليه. تأكد من أن خدمة الإدارة توفر إمكانية الاسترداد، مع الحفاظ على مسار دعم واضح. لا يعني صغر حجم الفريق أن تغييرات الحسابات في مرحلة الطلب غير ضارة.
أسطول متنوع مع فريق إعادة التموين. يُرجى مراجعة WM22 للاطلاع على تفاصيل الحزم وآلية التسعير. استفسر عن كيفية عمل طلب الاسترداد أثناء استمرار الموظفين المُصرّح لهم في أداء مهامهم. افصل دعم استعادة كلمة المرور المفقودة عن تغييرات الحساب المُؤكدة وإمكانية تسجيل الدخول العادية.
محطة تُدار عبر شريك منصة. يُرجى مراعاة استخدام نظام الكابينة المزدوجة لتلبية احتياجات التسويق المادي. حدد الشريك المسؤول عن الاستجابة للطلبات والتسليم ومكافحة إساءة الاستخدام. لا يُغني عرض توضيحي للكابينة عن أدلة استرداد الخدمة.
في حالات نسيان كلمات المرور الروتينية، يجب أن يتلقى المشغل وصفًا دقيقًا لمرحلة الطلب دون أن تتحول الصفحة إلى دليل للحسابات الموجودة. توفر القناة الجانبية المُهيأة طريقة الاسترداد؛ ولا ينبغي اعتبار الطلب نفسه دليلاً على ملكية مُثبتة.
في حالة تكرار رسائل الاسترداد غير المرغوب فيها، حدد الجهة المسؤولة عن التحقيق وضوابط إساءة الاستخدام المطبقة. تجنب إغراق قنوات الاختبار أو الإنتاج عمدًا لجمع الأدلة. يمكن لمراجعة محددة من جانب المزوّد أن تعالج هذا المطلب دون التسبب في المشكلة التشغيلية التي تهدف إلى تقييمها.
في حالة انتقال الموظفين، يجب التمييز بين استعادة حساب شخص موجود وبين إعادة تعيين صلاحيات الوصول أو سحبها. لا يُعدّ نموذج استعادة كلمة المرور بديلاً عن عملية إدارة الحسابات المعتمدة في المؤسسة. لا تُغيّر هذه المادة أي هوية أو صلاحيات.
في حالة الاشتباه بالاختراق، استخدم مسار التصعيد المحدد. قد تتطلب الجلسات النشطة وجهات اتصال الاسترداد وطرق المصادقة متعددة العوامل مراجعة منفصلة حسب المصدر. لا يضمن عرض توضيحي في مرحلة الطلب استعادة التحكم الكامل في الحساب.
لا. مرحلة الطلب وإعادة التعيين المُؤكَّدة خطوتان مختلفتان. تنصّ معايير OWASP على أنه لا ينبغي تغيير الحساب إلا بعد تقديم رمز مميز صالح. يجب أن يصف الردّ بدقة المرحلة التي تم الوصول إليها.
توصي الإرشادات المذكورة برسالة موحدة للحسابات الموجودة وغير الموجودة، وتوقيت استجابة موحد للحد من عمليات الحصر. وينبغي على المشتري طلب أدلة لكلا الجانبين.
لا. يتناول المصدر أيضًا وقت الاستجابة. ينبغي للمراجعة المُحكمة أن تُراعي سلوك الاستجابة الفعلي ونطاق التوقيت بدلاً من اعتبار لقطة شاشة واحدة دليلاً كاملاً.
تحذر منظمة OWASP من إغلاق الحسابات استجابةً لإساءة استخدام كلمات المرور المنسية، لأن أسماء المستخدمين المعروفة قد تُستخدم حينها لمنع الوصول. لذا، يجب اتخاذ قرارات منفصلة بشأن ضوابط إساءة الاستخدام والاستعادة الموثقة.
لا تُثبت قوائمهم العامة هذه الضوابط. تأكد من خدمة الحساب الفعلية ومالكها في عرض الأسعار، ثم اطلب دليلاً على التكوين المُقدّم.
لا. تقترح المقالة عرضًا توضيحيًا مُرخصًا بشكل منفصل مع حسابات مُراقبة وقنوات تسليم تجريبية. لم يتم تغيير أي كلمة مرور أو رابط إعادة تعيين أو صندوق بريد أو حالة حساب.
قبول استعادة كلمة المرور كعملية مرحلية. طلب أدلة على اتساق استجابات الطلبات وتوقيتها، وتسليمها عبر القنوات الجانبية، وضوابط إساءة الاستخدام، وعدم تغيير حالة الحساب قبل التحقق الصحيح. يجب إبقاء أمان الرمز المميز، وسياسة الجلسة، واستعادة البيانات في حالة الاشتباه بالاختراق، ضمن نطاقات مراجعة منفصلة.
اختر الأجهزة المناسبة للمخزون والموقع، ثم تأكد من خدمة الحساب ومالكه. لا تتضمن أي من القوائم المختارة ضوابط استرداد. يُعد سجل الشراء المفيد عقدًا دقيقًا في مرحلة الطلب مدعومًا بأدلة موثقة، وليس ادعاءً عامًا بأن استرداد جميع الحسابات آمن.
شارك نطاق المنتجات، وشكل الخزائن، وسير عمل حسابات المشغلين التي يحتاجها مشروعك. اطلب من WEIMI تحديد خدمة الإدارة المقدمة والجهة المسؤولة عن الاسترداد. اطلب عرضًا توضيحيًا متفقًا عليه لمرحلة الطلب ومسار الدعم قبل الموافقة على نطاق البرنامج.
