قد يحمل عرضان الاسم نفسه: «اختبار اختراق تطبيق ويب». لكن أحدهما يفحص صفحات عامة فقط، والآخر يشمل وظائف الدخول وأدوار المستخدمين وواجهات الربط. لذلك لا تبدأ المقارنة بعدد صفحات التقرير أو اسم أداة الفحص؛ ابدأ بالأصول والعمليات والمخاطر التي تريد فهمها.
هذا دليل لشراء اختبار مصرح به وتقييم مخرجاته، وليس تعليمات لتنفيذ هجوم. حدد صاحب القرار التقني وممثل العمل والشركة المقترحة للاختبار، ثم راجعوا نطاقًا مكتوبًا قبل أي نشاط فعلي. لا يكفي امتلاك موقع لتفترض أن كل نظام متصل به يدخل تلقائيًا في الإذن أو في السعر.
ابدأ من قرار عمل يحتاج دليلًا
في مثال افتراضي لبوابة موردين، يقلق المالك من وصول مستخدم إلى مستندات جهة أخرى، ومن صلاحيات اعتماد الطلبات. هدفه ليس الحصول على عبارة «آمن»، بل فهم نتائج الاختبار في هذه العمليات وحدود ما لم يُختبر. إذا ركز العرض على الخادم فقط، فقد يبقى السؤال الذي يهم العمل بلا إجابة.
اكتب العمليات الحساسة بلغة العمل: إنشاء حساب مورد، مراجعة مستنداته، اعتماد طلبه، وإدارة صلاحيات الموظفين. اطلب من المختبر توضيح ما يدخل في نطاقه وكيف سيغطي الأدوار المتفق عليها، دون توجيهه إلى فحص جهات أو حسابات ليست مصرحًا بها.
موجز ترسله لطلب عرض قابل للمقارنة
يمكن أن يتضمن موجز بوابة الموردين الافتراضية البنود التالية، مع استبدالها ببيانات نظامك الحقيقية في قناة مناسبة:
- هدف الفحص: القرارات التي تحتاجها والمخاوف المرتبطة باستخدام التطبيق.
- الأصول المشمولة: التطبيقات والنطاقات وواجهات API والأجزاء المستثناة، بقائمة محددة.
- البيئة والنسخة: إنتاج أو تجربة، والاختلافات المعروفة بينهما وطريقة تعريف النسخة المختبرة.
- الأدوار والمدخلات: أنواع الحسابات التجريبية والوثائق والبيانات التي ستوفرها المؤسسة.
- التصريح والحدود: الجهة المخولة بالموافقة، وأي موافقات لازمة لخدمات أطراف أخرى.
- تنسيق العمل: النافذة المتاحة، وجهة الاتصال، وشروط التوقف والتصعيد عند ظهور أثر غير متوقع.
- التسليم: التقرير المطلوب وجلسة شرحه وطريقة حماية الأدلة ونقلها.
- المتابعة: مسؤولية الإصلاح وحدود إعادة الفحص ومدته ومخرجاته.
اطلب من كل شركة الرد على الموجز نفسه وتحديد افتراضاتها. إذا تعذر توفير حساب لدور مهم، يجب أن يظهر أثر ذلك في التغطية. لا تقبل علامة «مكتمل» تخفي أن جزءًا أساسيًا لم يكن متاحًا للاختبار.
اسأل عن المنهج والجهد دون اختزال الجودة في الأداة
هل العرض تقييم آلي، أم اختبار يتضمن تحليلًا يدويًا للوظائف والمنطق، أم مزيجًا له حدود واضحة؟ من سيجري العمل، وما خبرته ذات الصلة، وما الوقت المخصص له؟ اسأل عن المخرجات المتوقعة لكل نشاط بدل اعتبار اسم أداة أو إطار عمل دليلًا كافيًا على جودة التنفيذ.
يشرح NCSC أن تحديد النطاق والمهارات والتواصل والمتابعة عوامل مهمة في الاستفادة من الاختبار. استخدام مرجع معروف مثل OWASP يساعد في مناقشة التغطية، لكنه لا يثبت وحده أن الشركة طبقت كل ما فيه، ولا يمنحها اعتمادًا تنظيميًا. إذا كانت منشأتك تتطلب صفة محددة، فتحقق من الجهة المانحة ونطاق الصفة وسريانها بصورة مستقلة.
البيئة والتصريح يؤثران في معنى النتيجة
قد تكون بيئة التجربة مناسبة لتقليل أثر العمل، لكنها قد تختلف عن الإنتاج في الإعدادات أو الربط أو الصلاحيات. اطلب تسجيل الاختلافات التي تؤثر في الاستنتاج، وما إذا كان يلزم نشاط إضافي مصرح به لإغلاق الفجوة. لا تصف اختبار نسخة قديمة بأنه تقييم كامل لنسخة أحدث.
اتفق على جهة اتصال تستطيع اتخاذ قرار أثناء الفحص، وعلى كيفية التعامل مع ملاحظة حرجة أو تعطل غير متوقع. لا تترك قرار توسيع النطاق للمصادفة إذا ظهرت خدمة مترابطة خارجه؛ يُراجع التغيير والتصريح والوقت قبل إضافته، أو يُسجل استبعاده وحدوده بوضوح.
التقرير الجيد يخدم الإدارة وفريق الإصلاح
اطلب عينة تقرير منزوعة بيانات العملاء لتفهم أسلوب الشركة. تحتاج الإدارة ملخصًا يربط المخاطر بالعمل وحدود الفحص، ويحتاج الفريق التقني معلومات تساعده على فهم الملاحظة والتحقق منها ومعالجتها ضمن الوصول المصرح به. عدد الصفحات أو عدد الملاحظات ليس هدفًا يحدد قيمة التقرير.
توصي إرشادات تقارير OWASP بإظهار النطاق والقيود والنتائج وتوصيات المعالجة، مع مراعاة حماية المعلومات الحساسة. على مستوى الشراء، اسأل عن تعريف درجات الخطورة، والأدلة المناسبة، وتمييز الملاحظة المؤكدة عما يحتاج تحققًا، والطريقة الآمنة لتسليم التقرير ومن يحق له الوصول إليه.
الإصلاح وإعادة الفحص ليسا بندًا واحدًا
من سيعدل التطبيق؟ قد تكون شركة التطوير الحالية، وقد يشمل العرض مساعدة منفصلة. اطلب فصل الاختبار عن التنفيذ، مع بيان ما إذا كانت إعادة الفحص مشمولة وأي نتائج أو نسخ تغطيها. لا تفترض أن شراء تقرير يتضمن إصلاح كل ما يرد فيه.
في بوابة الموردين، افتح سجل متابعة لكل ملاحظة: المسؤول، والقرار، والنسخة التي تحتوي الإصلاح، ونتيجة إعادة الفحص. إذا عولج جزء فقط، ينبغي أن يصف السجل الحالة كما هي. شهادة إتمام النشاط لا تعني عدم وجود مخاطر أخرى أو ضمانًا أمنيًا دائمًا.
للبنية الأمنية الأوسع راجع قائمة مراجعة الأمن السيبراني. وعند مناقشة خدمات فحص أمان التطبيقات، أرفق الموجز وحدود التفويض والمخرجات المطلوبة. هكذا تستطيع مقارنة عرضين على السؤال نفسه: ما الذي سنعرفه بعد الاختبار، ومن سيتصرف بناء عليه؟
المصادر وحدود الدليل
فُتح في 3 نوفمبر 2026 دليل NCSC لاختبار الاختراق، المنشور في 2017 والمراجع في 2022، وقسم التقارير في OWASP WSTG 4.2. تُستخدم مبادئ الشراء والتقرير، دون نقل متطلبات اعتماد بريطانية إلى مصر أو الخليج. المثال افتراضي، ولا يثبت المقال اعتمادًا لنكست ويف أو لأي جهة. أُعد النص بمساعدة الذكاء الاصطناعي مع مراجعة المحتوى والمصادر.
