التشفير على جهة العميل مقابل التشفير على جهة الخادم للتحميلات

لماذا تهم خيارات التشفير للمستندات المحمَّلة

إذا كان تطبيقك يسمح للناس بتحميل ملفات، فأنت لا تخزن "مستندات" فقط. غالبًا ما تخزن هوية ثانية للمستخدم: عقود موقعة، صور جوازات السفر أو رخص القيادة، استمارات طبية، ونتائج مختبر. الملفات صغيرة لكن المخاطر المرتبطة بها كبيرة.

تسرّب عقد قد يسبب عواقب قانونية ومالية: تصبح الأسعار عامة، تُنسخ التواقيع، وتتحول النزاعات إلى حالة فوضى. صورة هوية مسروقة قد تؤدي إلى سرقة هوية واستيلاء على حسابات. المستندات الطبية قد تكشف تفاصيل صحية خاصة لم يتوقع الأشخاص مشاركتها خارج دائرة صغيرة. خطأ واحد يمكن أن يضر بالثقة لسنوات.

الفرق بين الفرق التقنية والفرق الأمنية كبير عندما يقول الفريقون "تخزين مُشفَّر". أحيانًا يقصدون أن اتصال التحميل مشفَّر (HTTPS). أحيانًا يقصدون أن الملف مشفَّر على القرص (تشفير أثناء السكون). وأحيانًا يقصدون أن الملف يُشفَّر قبل مغادرة جهاز المستخدم، فلا يرى الخادم النص الواضح (تشفير جهة العميل). هذه المعاني ليست قابلة للاستبدال؛ كل منها تحمي من حالات فشل مختلفة.

خيارات الأمان تؤثر أيضًا على سهولة الاستخدام والدعم اليومي. مزيد من الخصوصية قد يعني مزيدًا من العوائق: خطوات إضافية لعرض ملف، مشاركة أصعب، بحث ومعاينات محدودة، واستعادة مؤلمة عند فقدان جهاز أو مفتاح. الوصول الأسهل يتيح الفهرسة، فحص مضاد الفيروسات، المعاينات، وإعادة تعيين كلمات المرور، لكنه يزيد مما يمكن لخادمك (وأي جهة تخترقه) رؤيته.

تخيل عيادة صغيرة ترفع بطاقات تأمين وملفات طبية بصيغة PDF. يحتاج الموظفون إلى العثور على الملف الصحيح بسرعة، لكن العيادة تريد أيضًا تقليل الأضرار إذا تم اختراق حساب إداري. "النموذج الصحيح" يعتمد على أي فشل سيؤذي أكثر، وما مقدار الإزعاج الذي سيتحمّله المستخدمون.

تعريفات سريعة: التشفير على جهة العميل مقابل الخادم

السؤال العملي بسيط: متى يُشفَّر الملف، ومن يمكنه فك تشفيره لاحقًا؟

التشفير على الخادم يعني أن الملف يصل إلى الباكند بشكل قابل للقراءة، وخادمك يقوم بتشفيره قبل الحفظ. هذا هو التشفير أثناء السكون: إذا سرق شخص ما قرصًا أو حصل على وصول خام إلى دلو تخزين، فإنه يرى بيانات مشفَّرة. في هذه الحالة يمكن للخادم فك تشفير الملف عندما يحتاج.

التشفير على جهة العميل يعني أن الملف يُشفَّر على جهاز المستخدم (المتصفح أو الجوال) قبل الرفع. يخزّن الخادم فقط نصًا مشفّرًا. في التشغيل الطبيعي، لا يستطيع الخادم قراءة المستند ما لم يكن لديه أيضًا مفتاح فك التشفير.

ملكية المفاتيح هي خط الفصل الحقيقي:

• مع التشفير على الخادم، تُدار المفاتيح بواسطة الباكند (غالبًا عبر خدمة إدارة مفاتيح)، ويقوم الباكند بفك تشفير الملفات للمستخدمين المصرح لهم.
• مع التشفير على جهة العميل، تُسيطر المفاتيح المستخدم أو جهازه أو سر محفوظ لدى العميل، والباكند يطبّق سياسات التخزين والوصول.

في كلا النموذجين، لا بد من المصادقة والصلاحيات. التشفير لا يغني عن ضوابط الوصول.

يستخدم الناس أيضًا مصطلح "التشفير من الطرف إلى الطرف" ليعني: الملف يُشفَّر على جهاز المرسل، يبقى مشفَّرًا على الخادم، ولا يُفك تشفيره إلا على جهاز المستلم المصرح. هذا قد يحسّن السرية، لكنه يجعل المعاينات على الخادم، البحث النصي الكامل، فحص الفيروسات، واستعادة سهلة أكثر صعوبة ما لم تغير نموذج التهديد.

نماذج التهديد: ما الذي تحاول منعه فعلاً

التشفير يساعد فقط عندما تكون واضحًا بشأن المخاطر التي تريد تقليلها. "لا أحد سوى المستخدم المقصود يستطيع قراءة الملف" يؤدي إلى اختيارات مختلفة عن "تقليل الأضرار إذا تسرب التخزين".

التهديدات الشائعة للتطبيقات التي تخزن عقودًا أو هويات أو مستندات طبية تشمل:

• كلمات المرور المسروقة أو المعاد استخدامها (استيلاء على الحساب)
• وصول داخلي أوسع من اللازم (الدعم، المدراء، المقاولون)
• اختراق حساب سحابي أو إعداد دلو تخزين بشكل خاطئ
• خلل أو تسريب يكشف قواعد البيانات أو النسخ الاحتياطية
• برمجيات خبيثة على جهاز المستخدم

كما يساعد فصل أماكن التعرض:

• أثناء النقل: الملف أثناء تحركه من الجهاز إلى الخادم
• أثناء السكون: تخزين الكائنات، صفوف قواعد البيانات، النسخ الاحتياطية، السجلات
• أثناء العرض/المعالجة: المعاينات، OCR، البحث، التحويلات

الفرق الأساسي هنا: مع التشفير على الخادم، يستطيع نظامك فك التشفير، لذا يمكنه عرض معاينات، الفحص، والفهرسة. مع التشفير على جهة العميل، يخزن الخادم نصًا مشفَّرًا ولا يستطيع قراءة المحتوى دون مفاتيح المستخدم. هذا يقلل عادة من دائرة الضرر عند اختراق الخادم أو وصول داخلي مسيئ.

التشفير لا يمنع كل شيء. إذا كان الجهاز مُصابًا، قد تلتقط البرمجيات الخبيثة الملف قبل التشفير أو بعد فك التشفير. إذا تمكن شخص ما من عرض مستند، فلا يزال بإمكانه تصوير الشاشة، إعادة المشاركة، أو الطباعة.

ما الذي يحميه كل نموذج (وما الذي لا يحميه)

طريقة مفيدة للمقارنة هي السؤال: من يمكنه رؤية الملف بنص واضح في أي نقطة؟ هذا الجواب يشكل تأثير الاختراق، مخاطر الداخل، وأمان النسخ الاحتياطية.

مع التشفير على الخادم، يمكن لاختراق الخادم أن يعرض الكثير. عادةً لدى الباكند إمكانية الوصول إلى مفاتيح فك التشفير (أو يمكنه طلبها) لأنه يحتاج إلى إنشاء معاينات، تشغيل فحص مضاد الفيروسات، دعم البحث، أو التعامل مع المشاركة. في أسوأ الحالات، مهاجم يحصل على البيانات المخزنة والوصول إلى المفاتيح يمكنه فك تشفير كل شيء.

مع التشفير على جهة العميل، المهاجم الذي يخترق البنية التحتية عادةً ما يحصل على كتل مشفّرة. بدون مفاتيح المستخدمين، تصبح تلك الكتل أقل فائدة بكثير.

تظهر الفروق بوضوح في وصول الداخل. مع التشفير على الخادم، موظف متمتع بامتيازات، مدير سحابة، أو حساب دعم مخترق يمكنه غالبًا الوصول إلى المستندات عن طريق انتحال التطبيق أو استعلام التخزين. مع التشفير على جهة العميل، يمكن لبنيتك تخزين وتحريك الملفات دون قراءتها ما لم تُقدَّم المفاتيح.

التشفير على جهة العميل لا يصلح جهازًا مخترقًا. للتحميلات عالية المخاطر مثل الهويات والملفات الطبية، أمان الجهاز وحماية الحساب مهمان بقدر تشفير التخزين.

راقب أيضًا التسريبات خارج "مخزن الملفات":

• النسخ الاحتياطية واللقطات التي تلتقط ملفات مفكوكة التشفير أو مفاتيح
• السجلات التي تسجل أسماء الملفات أو البيانات الوصفية أو النص المستخرج
• الصور المصغّرة، المعاينات، وفهارس البحث
• التصدير إلى البريد الإلكتروني أو الدردشة أو أدوات التذاكر
• الملفات المؤقتة المُنشأة أثناء الرفع أو التحويل

مقايضات تجربة المستخدم التي يلاحظها المستخدمون فورًا

الفرق الأكبر ليس في الرياضيات، بل فيما يستطيع المستخدمون فعله بسهولة وما الذي يصبح صعبًا.

التشفير على الخادم غالبًا ما يكون غير مرئي. يسجّل المستخدم دخوله، يرفع الملف، ويشاهد المعاينة فورًا. يمكن للدعم إعادة ضبط الوصول. عادة يمكن للمشرفين إعادة تعيين الصلاحيات عندما يغيب شخص ما.

التشفير على جهة العميل يغيّر عملية الانضمام والعمل اليومي. قد يحتاج المستخدمون إلى عبارة مرور أقوى، مفتاح محلي مخزّن على جهاز، أو خطوة إلغاء قفل إضافية. تغيير الأجهزة، مسح المتصفح، أو إعادة تثبيت التطبيق يمكن أن يكسر الوصول ما لم تخطط لنسخ المفتاح واستعادته.

استعادة الحساب هو المكان الذي يفاجأ فيه الفريقون. إذا كان المستخدم وحده يمتلك مفتاح فك التشفير، فإن "نسيت كلمة المرور" قد تتحول إلى "فقدت الوصول". يمكنك إضافة مفتاح استرداد أو مسار إيداع (escrow)، لكن عليك أن تكون صادقًا حول ما يعنيه ذلك وتوضيح ذلك للمستخدمين.

المشاركة تصبح أعقد أيضًا. مع التشفير على الخادم، المشاركة غالبًا ما تكون مسألة أذونات. مع التشفير على جهة العميل، المشاركة غالبًا تنطوي على مشاركة مفاتيح أيضًا، مع تساؤلات عن الإبطال وماذا يحدث للنسخ القديمة.

ميزات البحث والراحة قد تُجبر على فك التشفير في مكان ما. البحث النصي الكامل، المعاينات، وOCR أسهل عندما يمكن للخادم قراءة الملف. إذا أردت خصوصية شبيهة بالتشفير من الطرف إلى الطرف، فقد تحتاج إلى OCR جهة العميل، فهرسة محلية، أو قبول بحث محدود (مثل الأسماء والوسوم فقط).

مثال: تقوم عيادة بتحميل ملفات مختبر وتريد OCR لإيجاد أسماء المرضى داخل المسحات. التشفير على الخادم يدعم OCR والبحث بسرعة. التشفير على جهة العميل يدفع هذا العمل إلى أجهزة المستخدمين، وهو أبطأ وأكثر صعوبة للدعم عبر الويب والجوال.

احتياجات حسب نوع المستند: عقود، هويات، وسجلات طبية

الخيار الأفضل يعتمد أقل على نوع الملف وأكثر على سير العمل: من يحتاج قراءته، بسرعة كم، كم مرة، ولأي مدة.

العقود

العقود غالبًا تتضمن مراجعة، تعديلات، موافقات، ومسارات تدقيق. الفرق تريد أيضًا بحثًا موثوقًا، مشاركة، وقواعد احتفاظ.

إذا كان تطبيقك يدعم مراجعة تعاونية داخل المنتج، فالتشفير على الخادم غالبًا ما يكون الافتراضي العملي لأن النظام يمكنه عرض معاينات، تشغيل البحث، وفرض الوصول بناءً على الأدوار دون مطالبة المستخدمين بإدارة المفاتيح.

يمكن أن يناسب التشفير على جهة العميل إذا كان التطبيق بمثابة خزنة، مثل تخزين نسخ PDFs موقعة نهائية لمجموعة تنفيذية صغيرة. المقايضة هنا هي ضعف الراحة المدمجة ما لم تضف أدوات على جهة العميل.

الهويات (جوازات السفر، رخص القيادة)

الهويات عالية الخطورة لكنها غالبًا قصيرة العمر. العديد من الفرق تحتاجها فقط لفترة قصيرة للتحقق من الشخص ثم حذفها. سير العمل هو عرض سريع وقواعد تعامل صارمة، لا تعاون.

النهج الشائع هو التشفير على الخادم مع تحكم وصول صارم، سجلات تدقيق قوية، واحتفاظ قصير. التشفير على جهة العميل مناسب إذا لم يجب على موظفي الدعم أن يروا الهويات على الإطلاق، لكن حينها تحتاج إلى طريقة أخرى لإكمال التحقق.

المستندات الطبية

السجلات الطبية تحمل توقعات خصوصية أقوى. المستخدمون يفترضون غالبًا أن أقل قدر من الناس ممكن هم من يراها.

التشفير على جهة العميل قد يقلل التعرض إذا تم اختراق الخادم أو إساءة استخدام وصول المدراء. لكنه قد يخلق أيضًا مشاكل حقيقية في تجربة المستخدم والتشغيل: إعادة ضبط كلمات المرور، تغيير الأجهزة، والوصول الطارئ تصبح معقّدة.

قبل الاختيار، ارسم خريطة لكل نوع مستند إلى سير العمل:

• من يجب أن يقرأه (ومن أين)
• مدى السرعة المطلوبة لفتحه
• مدة الحفظ المطلوبة
• أي ميزات منتج مهمة (معاينة، بحث، حذف تلقائي)

كيف تختار: عملية قرار خطوة بخطوة

ابدأ بكتابة ما تخزنه ومن يتعامل معه. مجلد بعنوان "uploads" ليس سياسة.

الخطوة 1: رسم خريطة الوصول، ليس مجرد "المستخدمون"

سجّل الأدوار وأجب عن سؤالين: من يجب أن يكون قادرًا على فتح الملف، ومن يجب ألا يكون قادرًا على فتحه (بما في ذلك المدراء)؟ أدرج الاحتفاظ أثناء ذلك.

الخطوة 2: اختر افتراضات التهديد لديك

كن صريحًا بشأن ما تدافع عنه.

• إذا كان خطر الداخل أولوية، يصبح التشفير على جهة العميل أكثر جاذبية.
• إذا كان فقدان الجهاز وإعادة ضبط كلمات المرور شائعًا، ستدفع ثمنًا في تعقيد الاستعادة.

ثم اختبر التجربة:

1. الاستعادة والدعم: ماذا يحدث عندما ينسى شخص كلمة المرور أو يفقد هاتفه؟ إذا كان يجب استعادة الوصول، قد لا يناسبك التشفير الخالص على جهة العميل.

2. الميزات الضرورية: هل تحتاج معاينات، بحث، OCR، التوقيع الإلكتروني، أو معالجة عبر API؟ العديد من هذه تكون أسهل عند فك التشفير على الخادم في مكان ما.

3. التدقيق والامتثال: هل تحتاج سجلات واضحة لمن شاهد ماذا ومتى؟ كلا النموذجين يمكنهما تسجيل الوصول، لكن التصاميم الخاصة بالتشفير على جهة العميل تحتاج عناية إضافية لتفادي نتائج "لا نستطيع مساعدتك".

معظم الفرق تنتهي إلى نهج هجين: التشفير على الخادم لمعظم المستندات، والتشفير على جهة العميل لمجموعة صغيرة من التحميلات التي لا يجب أن يراها الموظفون أبدًا.

أخطاء شائعة وفخاخ تجنبها

أكبر فخ هو اعتبار التشفير القصة الكاملة. الخصوصية والامتثال تعتمد أيضًا على من يمكنه الوصول للبيانات، كيف يُوافق على الوصول، ما الذي يُسجل، مدة الاحتفاظ، وكيف تُعالج طلبات الحذف.

ثاني أكبر خطأ هو بناء التشفير على جهة العميل بدون خطة استعادة. إذا فقد مستخدم جهازه، نسي عبارة المرور، أو ترك الشركة، هل يمكنك استعادة الوصول دون خرق وعد الأمان؟ "لا يمكننا مساعدتك" قد يكون مقبولًا لخزنة شخصية، لكنه يفشل عادة في تطبيقات الأعمال.

تؤدي هذه الأخطاء إلى تسريبات وحلول التهرب حقيقية:

• منح المدراء طريقًا مخفيًا "لعرض كل شيء"، أو السماح للدعم بانتحال المستخدمين بدون سجلات صارمة وموافقة شخص ثانٍ.
• فك التشفير في المتصفح أو التطبيق وترك نسخ خلفية (معاينات مخزنة، تنزيلات مؤقتة، مزامنة مجلدات).
• إرسال المستندات "الآمنة" عبر قنوات غير آمنة لاحقًا (إرسال PDFs عبر البريد، لصق لقطات شاشة في الدردشة، إرفاق ملفات لتذاكر الدعم).
• جعل المسار الآمن صعبًا لدرجة أن المستخدمين ينتقلون إلى محركات خاصة أو يلتقطون صورًا للشاشة.
• الافتراض أن "مشفر أثناء السكون" يفي تلقائيًا بمتطلبات الموافقة، سجل الوصول، الاحتفاظ، وإبلاغ عن الاختراق.

مثال: عيادة تشفّر استمارات الدخول، ثم يقوم الموظفون بتصدير تقرير فواتير الذي ينشئ مجلدًا محليًا غير مشفَّر. يتم حفظ ذلك في نسخة احتياطية مشتركة. يحدث التسريب في سير العمل، ليس في التشفير.

قائمة فحص سريعة قبل الالتزام

اكتب جملة بسيطة: من يجب أن يكون قادرًا على قراءة هذه الملفات، ومن يجب ألا يكون قادرًا، حتى لو حصل أحدهم على خوادمك.

ثم تحقق:

• من يستطيع فك التشفير، ومتى؟ قوّم الأدوار والظروف بدقة. إذا كانت السياسة تقول "فقط الرافِع"، لا تضف طريقًا خلفيًا عبر مفاتيح مشتركة.
• هل يمكنك إبطال الوصول بسرعة؟ إنهاء خدمات الموظفين هو الاختبار الحقيقي. قرر ما إذا كان الوصول مرتبطًا بحساب، جهاز، أو مجموعة.
• ماذا يحدث بعد فقدان الجهاز أو إعادة ضبط كلمة المرور؟ إذا تحتاج استعادة، احمها بموافقات قوية.
• هل تحتاج معاينات، فحص فيروسات، أو OCR؟ إن كانت الإجابة نعم، خطط أين يحدث فك التشفير ومن يمكنه تشغيله.
• هل سجلاتك التفصيلية كافية؟ حدّد ماذا يعني "تمت المشاهدة" مقابل "تم التنزيل"، وسجّل المستخدم والوقت والجهاز والسبب.

سيناريو مثال: فريق صغير يخزن هويات وملفات طبية

عيادة صغيرة لديها تطبيق حيث يحمّل الموظفون إحالات المرضى (PDF) وصور بطاقات التأمين. الهدف هو نقل المستندات إلى الأشخاص المناسبين بسرعة، بينما تقليل الضرر الناتج عن الأجهزة الضائعة، حسابات مخترقة، أو أخطاء سحابية.

نهج عملي واحد هو التشفير على الخادم مع أدوار صارمة. تُشفَّر الملفات أثناء السكون، ويتم التحكم في الوصول عبر الأذونات: موظف الاستقبال يمكنه الرفع، الفواتير يمكنها عرض الهويات، والأطباء يمكنهم عرض الإحالات. هذا الأسلوب أسهل في اليوم إلى اليوم لأن الموظفين يمكنهم فتح المستندات على سطح المكتب أو الجوال دون خطوات إضافية، ويمكن للمشرفين إعادة تعيين الوصول أثناء الغيابات.

نهج آخر يستخدم التشفير على جهة العميل لأكثر العناصر حساسية. يُشفَّر الملف على الجهاز قبل الرفع، فيخزّن الخادم نصًا مشفَّرًا. هذا يقلل أثر اختراق الخادم وإساءة استخدام الداخل، لكنه يغيّر العمليات:

• إعادة ضبط كلمات المرور تستعيد الوصول بسهولة مع التشفير على الخادم؛ مع التشفير على جهة العميل قد يُفقد الوصول ما لم تُحمى المفاتيح احتياطيًا بأمان.
• دوران الموظفين أبسط مع التشفير على الخادم؛ مع التشفير على جهة العميل تحتاج خطة لنقل أو إيداع المفاتيح حتى تظل الوثائق متاحة.

يشعر المستخدمون بالاحتكاك حول المشاركة، الوصول من الجوال، والاستعادة بعد فقدان الهاتف. هذه التفاصيل تهم بقدر نموذج التشفير نفسه.

الخطوات التالية: قرّر، وثّق السياسة، ونفّذ

ابدأ بكتابة افتراضات التهديد بلغة بسيطة. اختر أبسط نهج يلبّي مخاطرك، ثم شدده فقط حيث تبرره المستندات فعلاً.

ضع القرار في مجموعة قواعد داخلية قصيرة يتبعها الناس:

• أنواع الملفات المسموح بها وأين تُخزن
• من يمكنه الوصول والموافقة على المشاركة، وكيف تُوافق تلك الطلبات
• قواعد الاحتفاظ والحذف
• كيف تعمل الاستعادة بعد إعادة ضبط كلمة المرور وفقدان الجهاز
• كيف تُتعامل مع التصدير (تنزيلات، بريد إلكتروني، مراسلة)، ومتى تُمنع

ثم صمّم التنفيذ حول تلك القواعد: فحوصات الأدوار، الإجراءات المسجلة (عرض، تنزيل، مشاركة)، معاينات آمنة، وتعامل دقيق مع المفاتيح.

إذا كنت تبني على منصة بدون كود مثل AppMaster (appmaster.io)، فالمفيد هو نمذجة الأدوار وتدفقات الموافقة مبكرًا، ثم التعديل مع تغير المتطلبات دون إعادة كتابة التطبيق بأكمله. الجزء المهم هو جعل المسار الآمن هو المسار السهل للمستخدمين الحقيقيين.