مقدمة

يفتح البائع حسابًا للمشغل عبر بروتوكول HTTPS ويقدمه كدليل على أن خدمة البيع المتصلة محمية. لم يراجع المشتري بعد الصفحات بعد تسجيل الدخول، أو الموارد التي تُحمّلها تلك الصفحات، أو أي واجهة برمجة تطبيقات (API) مُقدمة بشكل منفصل. هذا النقص في الأدلة الافتراضي يتعلق بتغطية الشبكة، ولا يُثبت أن لدى المورد الحقيقي اتصالًا غير آمن.

الورقة غش OWASP لأمن طبقة النقليوصي التقرير، الذي نُشر في 11 أكتوبر 2026، باستخدام بروتوكول TLS لجميع الصفحات بدلاً من الشاشات الحساسة فقط. كما يُميّز بين معالجة HTTP من قِبل المتصفح ونقاط النهاية الخاصة بواجهة برمجة التطبيقات (API)، ويناقش أسماء الشهادات والجهات الموثوقة والمحتوى المختلط. تُتيح هذه الفروقات للمشترين طريقة عملية لتقييم نطاق مراجعة النقل.

يُمكن لبروتوكول TLS المُطبّق بشكل صحيح حماية سرية وسلامة البيانات، ومساعدة العميل على التحقق من هوية الخادم. وتشير الإرشادات المذكورة إلى أن بروتوكول TLS العادي من جانب الخادم لا يتحقق من هوية العميل إلا باستخدام شهادات العميل. وبالتالي، فإن الاتصال المحمي لا يُغني عن تسجيل دخول المُشغّل، أو صلاحياته، أو عمليات التحقق من سلامة العمليات التجارية.

يقارن هذا الدليل بين ثلاثة تنسيقات عامة لأجهزة WEIMI، ويطرح أسئلة لأي خدمة متصلة مُضمنة. لا يُجري الدليل أي فحص للأجهزة الطرفية، ولا يُغير أي إعدادات TLS، ولا يُصادق على أي عملية نشر. تستند القائمة المختصرة إلى قوائم الشركات المصنعة، وليس إلى اختبارات منتجات مستقلة أو تقييم أمني.

إجابة سريعة

اطلب قائمة ببيانات الاتصال قبل قبول عرض HTTPS التوضيحي.حدد اسم البوابة الإلكترونية والصفحات والموارد المحملة ونقاط نهاية الخدمة المقدمة، ثم حدد مسؤولية الأدلة والصيانة لكل مسار ضمن النطاق. لا تستنتج الأوامر عن بُعد أو واجهات برمجة التطبيقات من لغة البيع الذكي العامة؛ اذكر فقط الوظائف التي يقدمها المورد فعليًا.

بالنسبة لصفحات المتصفح، راجع ما إذا كان سير العمل بأكمله وموارده يستخدم بروتوكول نقل محمي. بالنسبة لنقاط النهاية المخصصة لواجهة برمجة التطبيقات فقط، يوصي المصدر المذكور بتعطيل بروتوكول HTTP غير المشفر؛ وفي حال تعذر ذلك، يوصي برفض الطلبات غير المشفرة بدلاً من إعادة توجيهها. لا ينبغي أن تحل تجربة إعادة التوجيه في المتصفح محل مراجعة واجهة برمجة التطبيقات.

اطلب اسم الشهادة ودليل الثقة لأسماء مضيفي الخدمة الحقيقية. لا تكفي لقطة شاشة لصفحة HTTPS واحدة لإثبات تكوين البروتوكول، أو تغطية أسماء أخرى، أو ملكية التجديد. اطلب من المزوّد المسؤول تقديم أدلة كافية للإصدار المنشور والعملاء المدعومين.

جدول المقارنة

يجب تحديد مكان واضح لكل نوع من أنواع الاتصال في عرض الأسعار وسجل الأدلة. هذه عمليات تدقيق خاصة بالمشتريات، وليست نتائج مُلاحظة لمورد معين.

من ينبغي عليه شراء هذا المنتج؟

استخدم هذا الدليل عندما يتضمن عرض الأسعار بوابة تشغيل، أو خدمة إدارة مخزون مستضافة، أو أي سير عمل متصل آخر. وهو مفيد لمشتري أساطيل المركبات الذين يقارنون نطاق خدمات الحوسبة السحابية بين عروض المعدات. تأكد أولاً من الوظائف ونقاط النهاية؛ فقد لا تتضمن بعض طلبات الأجهزة أي خدمة ويب خاصة بالمشغل على الإطلاق.

ينبغي على الفريق التجاري تحديد الخدمة المشمولة والجهة المستضيفة لها. وعلى المسؤول التقني مراجعة نقطة النهاية وشهادة الأمان. كما ينبغي على الجهة المشغلة تأكيد بيئة العميل المدعومة. وعلى المورّد تحديد مسؤولية الصيانة بدلاً من ترك جميع الاتصالات تحت مسمى "نظام سحابي" غامض.

يُعدّ كلٌّ من العرض التوضيحي الناجح في متاجر التجزئة وتسجيل الدخول الفعال مفيدين. فهما يُجيبان على أسئلة مختلفة، بدءًا من تغطية النقل الشاملة. تُساعد هذه النشرة الموجزة المشتري على إدراك هذا الفرق دون افتراض أن المورّد مُلزم بالكشف عن أسرار النظام أو منح فريق المشتريات صلاحيات إدارية.

كيف نقوم بتقييم آلات البيع الذكية

نستخدم بيانات المنتجات العامة المحفوظة والمراجعة بتاريخ 10 أكتوبر 2026 لثلاثة منتجات أصلية مدرجة في قاعدة بيانات WEIMI. نقارن إمكانية الوصول إلى المنتجات المعبأة، وخيارات التوزيع، ومساحة التخزين الإضافية. لا تُثبت أي من هذه الميزات تغطية بروتوكول TLS، أو إصدار البروتوكول المدعوم، أو إدارة الشهادات للخدمة المُقدمة.

أولاً، حدد عملية النشر الفعلية. سجّل اسم مضيف البوابة، ومزود الاستضافة، وأنواع العملاء، وعمليات التكامل المضمنة. استفسر عن الاتصالات التي يتحكم بها المورّد وتلك التي تخص مزودين آخرين. لا يُحدد ملصق الجهاز تلقائيًا الجهة المسؤولة عن بوابة المشغل.

ثانيًا، ارسم مسار المستخدم المعتاد. يشمل ذلك تسجيل الدخول، والمهام التي تظهر بعد تسجيل الدخول، والموارد التي تستخدمها تلك الصفحات. يجب أن تعكس الأدلة التطبيق الذي تم شراؤه وليس موقعًا تجريبيًا عامًا. تجنب التوسع في ذلك ليشمل زحفًا جماعيًا أو فحصًا أمنيًا غير مرغوب فيه.

ثالثًا، راجع نطاق واجهة برمجة التطبيقات (API) حيث تُقدَّم فعليًا. اطلب قائمة نقاط النهاية وسياسة النقل بشكل منفصل عن تجربة المتصفح. اطلب دليلًا من مزود معتمد، وليس تجربة من مشترٍ يرسل بيانات الاعتماد عبر اتصال غير مشفر.

أخيرًا، افصل أدلة التكوين عن الادعاءات التجارية. حماية TLS تتعلق بالنقل، ولا تُثبت سعة المنتج، أو دقة التعرف، أو وقت التشغيل، أو معدل تحويل المبيعات، أو صحة صلاحيات المشغل. اربط كل سؤال من أسئلة التشغيل بأدلته الخاصة.

عوامل الشراء الرئيسية

جميع الصفحات تندرج ضمن النطاق.توصي OWASP باستخدام بروتوكول TLS في جميع أنحاء التطبيق، وليس فقط في صفحة تسجيل الدخول. قد تتفاعل صفحة تبدو غير حساسة مع الجلسات أو تُحمّل تعليمات برمجية تؤثر على المستخدم. اطلب من مزود الخدمة تحديد سير العمل المشمول بالبروتوكول وإثبات التسليم الفعلي للنشر المتفق عليه.

يمكن للموارد أن تغير النتيجة.يشير المصدر إلى أنه لا ينبغي أن تتضمن صفحات TLS موارد مُحمّلة عبر بروتوكول HTTP غير المُشفّر، ويُلاحظ أن المتصفحات الحديثة تحظر المحتوى المختلط النشط. ولا يُغطي شريط عنوان HTTPS وحده جميع الموارد. اطلب من المُزوّد ​​مراجعة نطاق الموارد دون الادعاء بأن المشتري قد قام بذلك بالفعل.

تختلف طريقة التعامل بين المتصفح وواجهة برمجة التطبيقات.يتناول المصدر إعادة توجيه دائمة وفورية لحركة مرور المتصفح العامة، المدعومة ببروتوكول HSTS، ولكنه يوصي بأن تقوم نقاط النهاية المخصصة لواجهة برمجة التطبيقات فقط بتعطيل بروتوكول HTTP أو رفض الطلبات غير المشفرة بدلاً من إعادة التوجيه. سجّل الفئة التي تنتمي إليها كل نقطة نهاية فعلية، وراجع سياستها وفقًا لذلك.

يجب أن تتطابق أسماء الشهادات.يشترط المصدر أن يتطابق نطاق الشهادة مع الاسم المؤهل بالكامل للخادم، ويتناول حقل subjectAlternativeName المستخدم في المتصفحات الحديثة. اطلب تغطيةً للأسماء المستخدمة فعليًا في النشر، بما في ذلك أي صيغة www ذات صلة. إن وجود شهادة صالحة على اسم مضيف واحد لا يثبت شيئًا عن اسم مضيف آخر.

تعتمد الثقة على بيئة العميل.تحتاج الخدمات المتاحة عبر الإنترنت عمومًا إلى جهة إصدار شهادات موثوقة من قِبل أنظمة التشغيل والمتصفحات. يمكن استخدام جهة إصدار شهادات داخلية لتطبيق داخلي، ولكن يجب على العملاء الوثوق بالجهة المُصدرة. ينبغي على مزود الخدمة شرح آلية الثقة المقترحة؛ لا تُثبّت هذه المقالة أي مواد ثقة ولا تتجاوز أي تحذير.

إن سهولة استخدام الأحرف البديلة لها ثمنها.ينصح مشروع OWASP بتقييم الحاجة الحقيقية، ومستويات الثقة، والأنظمة التي تشترك في شهادة عامة. اطلب تحديدًا واضحًا لجهة الصيانة المسؤولة إذا تم اقتراح هذا النهج. الهدف هو مراجعة عملية النشر الفعلية بدلًا من رفض استخدام الشهادات العامة أو تأييده بشكل قاطع.

لا يمكن إثبات سياسة البروتوكول من خلال لقطة شاشة.يوصي المصدر الحالي باستخدام بروتوكول TLS 1.3 افتراضيًا، مع توفير TLS 1.2 للتوافق، وتعطيل إصدارات TLS وSSL الأقدم. اطلب من مزود الخدمة المسؤول تقديم دليل على إعدادات النشر الخاصة. لا تتناول هذه المقالة التفاوض على البروتوكولات، ولا تُبلغ عن الإصدارات المدعومة من أي نقطة نهاية حقيقية.

تستمر الصيانة بعد القبول.يدعو الدليل إلى تحديث مكتبات التشفير واختبار إعدادات الخادم. سجّل أسماء المسؤولين عن تجديد الشهادات وتحديث المكتبات ومراجعة تغييرات الإعدادات. لا يُعدّ وجود صفحة واحدة عاملة وقت تقديم عرض السعر دليلاً على تحديد هذه المسؤوليات.

أفضل آلات البيع الذكية

تُشكّل هذه المنتجات العامة قائمة مختصرة خاصة بكل مُصنِّع، مُخصصة لمختلف صيغ البيع بالتجزئة. اطلب معلومات حول التكوين النهائي للأجهزة ونطاق الخدمة المتصلة الفعلي. لم يتم التحقق من أي منتج أدناه من خلال نشر بروتوكول TLS في هذه المراجعة.

مقارنة الميزات

تساعد ميزات الأجهزة العامة في تحديد إعدادات البيع بالتجزئة، لكنها لا تحدد الجهة التي تستضيف الخدمة أو كيفية حماية كل مسار. يجب أن يتناسب طلب البرامج مع العرض الفعلي.

تحليل التكلفة والعائد على الاستثمار

بدل مراجعة الأدلة الافتراضية:بافتراض أن تجميع قائمة التوصيلات المعروضة يستغرق 55 دقيقة، ومراجعة أدلة النقل المقدمة من المزوّد تستغرق 45 دقيقة، وتوزيع مسؤوليات الصيانة يستغرق 35 دقيقة، فإن المجموع الكلي هو 135 دقيقة، أي ساعتان وربع. وبافتراض أن تكلفة الساعة 40 دولارًا أمريكيًا، فإن تكلفة العمالة الداخلية تبلغ 90 دولارًا أمريكيًا.

لنفترض أن تغييرًا لاحقًا في عملية النشر يتطلب مراجعة لمدة 30 دقيقة بنفس السعر، بتكلفة 20 دولارًا أمريكيًا. يبلغ إجمالي البدل التوضيحي 110 دولارات أمريكية. هذه افتراضات تخطيطية افتراضية، وليست تكاليف عمالة فعلية، أو أسعار شهادات، أو رسوم WEIMI، أو عرض سعر لتقييم أمني.

لا يشمل هذا الحساب تكاليف الاستضافة، وعمليات إصدار الشهادات، والتنفيذ، والاختبار الاحترافي. يُرجى الحصول على النطاق الفعلي والأسعار لهذه البنود. ولا يتوقع هذا الحساب أي خسائر ناتجة عن الاختراقات الأمنية، أو زيادة في المبيعات، أو استرداد تكلفة المعدات، كما أنه لا يقارن بين علامات الشهادات التجارية بناءً على القيمة الأمنية المفترضة.

يمكن للمقارنة التجارية تحديد أي مزود يقدم خدمات تتضمن الأدلة والصيانة المستمرة، وأي مزود يترك العمل للمشغل. استخدم هذه المسؤوليات مع التكاليف الفعلية. لا يزال عائد الاستثمار في قطاع التجزئة يتطلب قياس الطلب على الموقع، وهوامش الربح، وتكاليف إعادة التموين، وتكاليف الخدمة، بدلاً من الاعتماد على لقطة شاشة لبروتوكول HTTPS.

الخيار الأفضل حسب السيناريو

تم عرض عملية تسجيل الدخول فقط:احتفظ بهذه الملاحظة كنتيجة محدودة، واطلب تغطية ما بعد تسجيل الدخول والموارد. لا تُقدّمها كدليل كامل على الخدمة. ارسم خريطة لسير العمل الفعلي المُضمّن قبل تحديد ما إذا كانت هناك حاجة إلى مزيد من المراجعة.

يبدأ المتصفح على بروتوكول HTTP:اطلب من مزود الخدمة شرح سياسة إعادة توجيه المتصفح وسياسة HSTS الخاصة بالنشر. تجنب إدخال بيانات الاعتماد على مسار غير محمي. لا تدّعي هذه المقالة رصد أي عملية إعادة توجيه أو تهيئة HSTS لأي منتج.

يتضمن البرنامج واجهة برمجة تطبيقات (API):راجع سياسة النقل الخاصة بها كنقطة نهاية مخصصة لواجهة برمجة التطبيقات فقط عند الاقتضاء. اطلب أدلة موثقة حول كيفية التعامل مع الطلبات غير المشفرة. لا تُثبت عمليات إعادة توجيه المتصفح حماية بيانات الاعتماد أو البيانات المرسلة قبل إعادة التوجيه.

تستخدم خدمة داخلية مرجع مصدق خاص:يجب إنشاء ترتيبات الثقة المعتمدة وبيئة العميل المدعومة مع المسؤول الإداري. لا ينبغي تجاهل التحذير باعتباره إجراءً روتينياً في عمليات الشراء. أي تثبيت مطلوب يندرج ضمن عملية النشر المعتمدة.

تغييرات اسم مضيف الخدمة:أعد فتح مراجعة اسم الشهادة ونقطة النهاية. لا ينبغي نقل الشهادة أو حزمة الأدلة الخاصة بالاسم السابق تلقائيًا إلى الاسم الجديد. عيّن مسؤولًا عن التجديد وتغييرات التكوين ذات الصلة.

التطبيقات

أنشئ سجل اتصال يتضمن نقطة النهاية أو اسم المضيف الفعلي، والغرض، ونوع العميل، ومالك الخدمة، وعلاقة المصادقة، ودليل TLS، ونطاق اسم الشهادة، ومالك الصيانة. اترك الإدخالات غير المدعومة دون حل. هذا سجل شراء مقترح، وليس ميزة مضمنة في WEIMI.

اطلب من المورّد حزمة أدلة شاملة تغطي عملية النشر المُقدّمة. يمكن استخدام لقطات الشاشة الآمنة لدعم واجهة المستخدم؛ بينما تدعم أدلة التكوين أو التقييم المُصرّح به الخصائص التي لا يمكن إظهارها في لقطات الشاشة. سجّل التاريخ وإصدار النشر لضمان وضوح نطاق العمل.

حافظ على سرية المعلومات. لا يحتاج المشتري إلى مفاتيح خاصة أو بيانات اعتماد الجلسة أو روابط إعادة التعيين المباشرة لتحديد الملكية ومسؤوليات التكوين. استخدم ملخصات ومراجع آمنة. لا تقم بإجراء عمليات فحص غير مرغوب فيها أو تغيير إعدادات الخادم لسدّ ثغرة في عملية الشراء.

عند بدء التشغيل، تحقق من تطابق الوجهات والعملاء المعتمدين مع عرض الخدمة النهائي. حدد مسؤوليات المتابعة لتجديد الشهادات وصيانة المكتبة وتغييرات التكوين. شغّل الأجهزة بشكل منفصل من خلال الحزمة والآلية ونطاق التبريد المطلوب.

التعليمات

التوصية النهائية

ابدأ بجرد الاتصالات الفعلية. راجع جميع الصفحات والموارد المتاحة، وميّز بين التعاملات عبر واجهة برمجة التطبيقات فقط، وطابق أسماء الشهادات، وحدد مسؤولية الصيانة. يدعم مصدر OWASP هذا التقييم المحدد النطاق، ولكنه لا يُثبت أن أي خدمة بيع متصلة معينة قد اجتازته.

ثم اختر صيغة البيع بالتجزئة من خلال معلومات المنتج المتاحة للجمهور وأدلة التشغيل الفعلية. افصل حماية النقل عن تسجيل الدخول والأذونات والأداء التشغيلي. اطلب حزمة أدلة متناسبة من المزوّد قبل الموافقة على النطاق النهائي للخدمة المتصلة.