تأمين حسابكم في MyHissab بالمصادقة الثنائية وكلمة مرور قوية

يحتوي حساب MyHissab على فواتيركم وعملائكم ومبالغكم المحصَّلة ومستنداتكم الثبوتية: أي ما يكفي لإعادة تكوين سنة كاملة من النشاط. يشرح هذا الدليل كيفية حمايته، من اختيار كلمة المرور إلى تفعيل المصادقة الثنائية، وما يبقى فعله إذا ضاع هاتفكم. في النهاية، يصمد حسابكم أمام كلمة مرور مخمَّنة أو مسروقة، وتعرفون كيف تستعيدون بياناتكم مهما حدث.

لماذا يستحق حساب الفوترة الحماية

لنأخذ أمين قاسي، مطوّر في الجزائر العاصمة. يجمع حسابه 38 فاتورة صادرة منذ جانفي، أي 1 460 000 دج من رقم الأعمال المفوتر، ونحو عشرين بطاقة عميل مع أرقام تعريفهم الجبائي (NIF)، وصور مستنداته الثبوتية للدفع، وملخّصه السنوي. من يصل إلى هذا الحساب يستطيع قراءة كل ذلك، وتحميل ملفات PDF، ومراسلة عملائه، أو ببساطة حذف البيانات.

الخطر ليس نظريًا. معظم الاختراقات لا تأتي من ثغرة تقنية، بل من كلمة مرور أعيد استعمالها في موقع آخر تسرّبت بياناته، أو من بريد إلكتروني مزيّف يطلب "تأكيد" بيانات الدخول. تقوم الحماية على عدة طبقات، كل واحدة مستقلة عن الأخرى.

كلمة مرور طويلة وفريدة، وبريد إلكتروني موثَّق

كلمة المرور

يشترط MyHissab 12 حرفًا على الأقل ويرفض كلمات المرور الواردة في تسريبات البيانات المعروفة. هذا حد أدنى، لا هدف: كلما طالت كلمة المرور، زادت مقاومتها. أبسط طريقة هي تركيب جملة من أربع أو خمس كلمات لا رابط بينها، مفصولة برقم أو رمز. جملة من عشرين حرفًا تُحفظ أسهل من سلسلة من ثمانية رموز، وهي أمتن بكثير.

قاعدتان أهم من كل شيء:

• فريدة. كلمة مرور حساب الفوترة يجب ألا تُستعمل في أي مكان آخر. إذا تسرّبت بيانات موقع آخر، لا يتأثر حسابكم.
• لا تُشارَك أبدًا. لا مع شريك، ولا مع محاسب، ولا عبر رسالة. إذا احتاج أحد إلى الاطلاع على فواتيركم، فإن فضاء العميل أو نسخة احتياطية مصدَّرة تلبّي الحاجة دون منح الوصول إلى حسابكم.

مدير كلمات المرور (مدير المتصفح أو تطبيق مخصص) يولّد هذه الكلمات ويحفظها عنكم. وهي الطريقة الأريح للالتزام بقاعدة "كلمة مرور واحدة لكل موقع".

البريد الإلكتروني الموثَّق

عند التسجيل، يكفي البريد الإلكتروني وكلمة المرور، لكن يجب توثيق العنوان بالنقر على الرابط المستلَم قبل التمكن من استعمال الحساب. هذه الخطوة ليست شكلية: فهذا العنوان هو الذي سيستقبل روابط إعادة تعيين كلمة المرور. اختاروا عنوانًا تتحكمون فيه على المدى الطويل، محميًا هو أيضًا بكلمة مرور فريدة، وبمصادقة ثنائية إذا كانت خدمة بريدكم توفّرها. صندوق بريد ضعيف الحماية يُبطل كل الجهود المبذولة على الحساب نفسه.

تفعيل المصادقة الثنائية

تضيف المصادقة الثنائية (2FA) دليلًا ثانيًا عند تسجيل الدخول: رمز من 6 أرقام يولّده تطبيق على هاتفكم ويتجدّد باستمرار. فلا تعود كلمة المرور المسروقة كافية. يعتمد MyHissab معيار TOTP، الذي يدعمه أي تطبيق مصادقة متوافق مع TOTP؛ ولا يُفرض أي تطبيق بعينه.

احسبوا ثلاث دقائق، والهاتف في اليد:

1. ثبّتوا، إن لم يكن ذلك قد تم، تطبيق مصادقة متوافقًا مع TOTP على هاتفكم.
2. في MyHissab، افتحوا الملف الشخصي، ثم قسم المصادقة الثنائية، وابدؤوا التفعيل: تُطلب منكم كلمة المرور مجددًا.
3. يظهر رمز QR على الشاشة، مصحوبًا بـ ثمانية رموز استرداد. انسخوا هذه الرموز فورًا، قبل المضي قدمًا. ثم، في تطبيق المصادقة، اختاروا إضافة حساب وامسحوا رمز QR. يظهر إدخال جديد مع رمز من 6 أرقام.
4. أدخلوا هذا الرمز في MyHissab لتأكيد أن الاقتران يعمل. ما لم يتم هذا التأكيد، لا تكون المصادقة الثنائية مفعَّلة؛ وبمجرد تأكيدها، تختفي رموز الاسترداد من الشاشة.
5. إذًا لا تُعرض رموز الاسترداد إلا مرة واحدة فقط. اطبعوها أو دوّنوها على ورق، واحفظوها خارج الإنترنت، مثلًا مع وثائق بطاقة المقاول الذاتي. لا تصوّروها بالهاتف نفسه المستعمل للمصادقة. وإن لم تنسخوها، فإن إعادة توليد رموز الاسترداد (مع طلب كلمة المرور مجددًا) تعرض رموزًا جديدة، مرة واحدة فقط أيضًا.
6. أنهوا العملية، ثم سجّلوا الخروج وعاودوا الدخول مرة واحدة للتحقق من أن كل شيء يعمل وأنتم ما زلتم أمام الشاشة.

تسجيل الدخول بعد ذلك

يتم تسجيل الدخول على مرحلتين: البريد الإلكتروني وكلمة المرور، ثم الرمز المكوّن من 6 أرقام المقروء في تطبيق المصادقة. يتغيّر الرمز بانتظام؛ إذا رُفض الرمز الذي أدخلتموه، انتظروا الرمز التالي وتحققوا من أن ساعة هاتفكم مضبوطة تلقائيًا، لأن حساب الرمز يعتمد على الوقت.

هاتف ضائع أو معطّل أو مستبدَل

هنا تأتي فائدة رموز الاسترداد. بدل الرمز المكوّن من 6 أرقام، أدخلوا أحد رموز الاسترداد المحفوظة خارج الإنترنت. بعد تسجيل الدخول، اذهبوا إلى الملف الشخصي لتعطيل المصادقة الثنائية (ستُطلب منكم كلمة المرور مجددًا)، ثم أعيدوا تفعيلها من الهاتف الجديد: يُولَّد رمز QR جديد ورموز استرداد جديدة، ولا تعود الرموز القديمة صالحة.

بدون رموز استرداد وبدون هاتف، لا يمكنكم تسجيل الدخول بأنفسكم؛ ولا يبقى سوى الاتصال بالفريق عبر صفحة الاتصال، دون ضمان للاسترجاع. هذا هو كل سبب وجود الخطوة 5.

ما يقوم به التطبيق من أجلكم

تُطبَّق ثلاث حمايات دون أي إعداد، ولفضاء العميل قواعده الخاصة.

طلب كلمة المرور مجددًا للعمليات الحساسة

تعطيل المصادقة الثنائية أو تغيير عنوان البريد الإلكتروني للحساب هما العمليتان اللتان يحاولهما المتطفّل أولًا من جلسة تُركت مفتوحة. يطلب MyHissab كلمة المرور مجددًا لتفعيل المصادقة الثنائية أو تعطيلها، وإعادة توليد رموز الاسترداد، وتغيير عنوان البريد الإلكتروني. فجلسة منسيّة على حاسوب مقهى إنترنت لا تسمح إذًا بالسيطرة على الحساب.

تغيير كلمة المرور يُخرج الأجهزة الأخرى

نسيتم تسجيل الخروج من حاسوب ليس لكم؟ غيّروا كلمة المرور من جهازكم الخاص: تُغلق كل الجلسات الأخرى. هذا هو رد الفعل الواجب عند أدنى شك، حتى قبل محاولة فهم ما حدث.

الوثائق الخاصة لا يُوصَل إليها إلا بعد تسجيل الدخول

الصور المرفقة بالفواتير ومستندات الدفع الثبوتية (صورة أو PDF) ليست ملفات عامة: فهي لا تُقدَّم إلا لمستخدم موثَّق ومخوَّل على هذا الحساب. الرابط المنسوخ في بريد إلكتروني لا يجعلها متاحة لطرف ثالث. وعلى العكس، الصفحة العامة للمنتج التي تُفتح عبر رمز QR مصمَّمة للمشاركة: فهي لا تعرض السعر ولا المخزون.

فضاء العميل: وصول لكل عميل على حدة

يتيح فضاء العميل لكل واحد من عملائكم الاطلاع على فواتيره وملفات PDF الخاصة بها، والتواصل معكم. يسجّل كل عميل دخوله ببريده الإلكتروني الخاص وكلمة مروره الخاصة، اللذين أنشأهما عند تسجيله عبر الرابط أو رمز QR الذي ترسلونه إليه (صالح 30 يومًا، وقابل لإعادة التوليد). ولا يرى سوى وثائقه.

لا تنشئوا أبدًا حساب عميل "عامًا" مشتركًا بين عدة عملاء، ولا تسلّموا أبدًا بيانات دخولكم الخاصة "لكسب الوقت". طريقة عمل البوابة مفصَّلة في دليل فضاء العميل.

التعرّف على رسائل التصيّد الاحتيالي

يقوم التصيّد الاحتيالي (phishing) على تقليد خدمة معروفة لحملكم على إدخال بيانات دخولكم في صفحة مزيّفة. بعض العلامات، تنطبق على MyHissab كما على بنككم أو بريدكم الإلكتروني:

• لا تطلب أي خدمة جادة كلمة المرور عبر البريد الإلكتروني. الرسالة التي تطلب منكم "تأكيد كلمة المرور"، أو الرد بإدخالها، أو كتابتها في صفحة مرفقة هي رسالة مزيّفة، مهما كانت درجة الاستعجال المعلَنة.
• انظروا إلى العنوان الحقيقي للرابط، لا إلى النص المعروض. على الحاسوب، مرّروا المؤشر فوق الرابط دون النقر؛ وعلى الهاتف، اضغطوا عليه ضغطة مطوّلة. نطاق يشبه الأصلي (حرف زائد، شرطة، امتداد مختلف) هو العلامة التقليدية.
• احذروا الاستعجال: "تعليق الحساب خلال 24 ساعة"، "فاتورة غير مدفوعة"، "تحقق إلزامي". الخوف يدفع إلى النقر.
• عند الشك، لا تستعملوا الرابط. افتحوا التطبيق بكتابة العنوان بأنفسكم في المتصفح وتحققوا من داخل حسابكم. إذا كانت رسالة حقيقية بانتظاركم، فسترونها.

إذا أدخلتم كلمة المرور في صفحة مشبوهة، غيّروها فورًا من التطبيق (سيتم تسجيل الخروج من الجلسات الأخرى)، ثم تحققوا في الملف الشخصي من أن البريد الإلكتروني والمصادقة الثنائية لم يُعدَّلا.

النسخة الاحتياطية، خط الدفاع الأخير

لا توجد حماية مطلقة، والأمان يشمل أيضًا الخطأ البشري: عميل حُذف سهوًا، حاسوب مسروق، حساب أصبح متعذَّر الوصول. النسخة الاحتياطية الكاملة، المولَّدة من النسخ الاحتياطية، تنتج أرشيف ZIP يحتوي على عملائكم وعروض أسعاركم وفواتيركم (مع ملفات PDF الخاصة بها) ومنتجاتكم وسلاسل الترقيم وملخّصًا بصيغة PDF. يُحتفظ بالأرشيف 30 يومًا بعد الطلب؛ والرابط المستلَم عبر البريد الإلكتروني صالح 12 ساعة، ويتوفر رابط جديد في أي وقت في صفحة النسخ الاحتياطية خلال هذه الأيام الثلاثين. حمّلوا واحدة بانتظام (في نهاية كل شهر مثلًا، أو بعد سلسلة كبيرة من الفواتير) واحفظوها في غير حاسوب العمل: قرص خارجي، أو مساحة تخزين عبر الإنترنت محمية هي أيضًا بكلمة مرور فريدة.

تحتوي النسخة الاحتياطية على كل بيانات الفوترة الخاصة بكم. عاملوا الأرشيف بنفس العناية التي تعاملون بها الحساب نفسه. محتوى الأرشيف والخطوات الواجب اتباعها موصوفة في دليل النسخ الاحتياطي وتصدير البيانات. وإن كنتم في البداية، فدليل أول فاتورة هو نقطة الانطلاق المناسبة قبل ملء الحساب.

الأخطاء الشائعة

• تفعيل المصادقة الثنائية دون تدوين رموز الاسترداد. لا تُعرض إلا مرة واحدة. وهاتف يضيع بعد ستة أشهر يصبح عندها مشكلة حقيقية.
• حفظ رموز الاسترداد في الهاتف نفسه. إذا ضاع الهاتف، ضاعت الرموز معه. الورق، المحفوظ على حدة، يبقى الأكثر أمانًا.
• إعادة استعمال كلمة مرور البريد الإلكتروني. فهذا بالضبط العنوان الذي يستقبل روابط إعادة التعيين. يجب أن تكون الكلمتان مختلفتين.
• البقاء متصلين على حاسوب مشترك. سجّلوا الخروج؛ وفي حال النسيان، غيّروا كلمة المرور، فذلك يغلق الجلسات الأخرى.
• تسليم بيانات الدخول لطرف ثالث ليطّلع على الفواتير. نسخة احتياطية مصدَّرة أو فضاء العميل يلبّيان الحاجة دون تعريض الحساب للخطر.
• تأجيل النسخة الاحتياطية "إلى وقت لاحق". اربطوها بموعد ثابت، مثلًا عند تحضير تصريحكم الضريبي.

أسئلة شائعة

هل المصادقة الثنائية إلزامية؟ لا، هي اختيارية وتُفعَّل من الملف الشخصي. ويُنصح بها بشدة بمجرد أن يحتوي الحساب على بيانات حقيقية: فهي تجعل كلمة المرور المسروقة عديمة الفائدة وحدها. وإن أصبحت مزعجة، فيمكن تعطيلها في المكان نفسه، بعد إدخال كلمة المرور.

أي تطبيق مصادقة أختار؟ أي تطبيق متوافق مع TOTP، على هاتفكم المعتاد. رمز QR الذي يعرضه MyHissab يتبع هذا المعيار. فضّلوا تطبيقًا يحمي بياناته ويحتفظ بنسخة احتياطية منها، مما يسهّل الانتقال إلى هاتف جديد، دون أن يغنيكم ذلك أبدًا عن رموز الاسترداد.

ماذا يحدث إذا فقدت هاتفي ورموز الاسترداد معًا؟ لن تتمكنوا من تسجيل الدخول بأنفسكم. السبيل الوحيد المتبقي هو الاتصال بالفريق عبر صفحة الاتصال، دون ضمان للاسترجاع ولا مهلة موعودة. ولتجنّب الوصول إلى ذلك أبدًا: نسختان ورقيتان من رموز الاسترداد، في مكانين مختلفين، ونسخة احتياطية حديثة لا تعتمد، من جهتها، على الوصول إلى الحساب.