OAuth

OAuth (اختصار لـ Open Authorization) هو بروتوكول معياري مفتوح يتيح للتطبيقات الخارجية الوصول إلى بيانات المستخدم على خدمة أخرى دون أن يضطر المستخدم إلى تسليم كلمة المرور الخاصة به. فبدلًا من مشاركة بيانات الاعتماد مباشرةً، يقوم المستخدم بالمصادقة لدى الخدمة الأصلية (مثل Google أو Stripe) ويمنح التطبيق الطالب رمز وصول محدودًا. ويحدد هذا الرمز بدقة ما يمكن للتطبيق فعله — قراءة جدول بيانات بعينه، أو الكتابة في مجلد معين، أو معالجة المدفوعات — ويمكن للمستخدم إبطاله في أي وقت. ويُعدّ OAuth 2.0 الإصدار الحالي الذي تستخدمه فعليًا جميع خدمات الويب الكبرى، وهو الأساس الذي تقوم عليه تدفقات "تسجيل الدخول باستخدام Google" و"اربط حسابك" التي باتت معيارًا قياسيًا على الويب.

من دون OAuth، سيتطلب ربط خدمتين مشاركة بيانات تسجيل الدخول مع التطبيق الخارجي — وهو خطر أمني جسيم يمنح ذلك التطبيق وصولًا كاملًا وغير مقيد إلى حسابك. ويحل OAuth هذه المشكلة عبر إنشاء نموذج تفويض محكوم؛ إذ يحصل التطبيق الخارجي فقط على الأذونات المحددة التي يحتاجها، وللمدة التي تسمح بها فقط. وإذا تعرّض التطبيق للاختراق، فإن المهاجمين يحصلون على رمز محدود بدلًا من كلمة المرور. وبالنسبة للناشرين الرقميين الذين يعتمدون على أدوات متعددة — منصات التحليلات، وخدمات التسويق عبر البريد الإلكتروني، ومعالِجات المدفوعات، وعمليات التكامل مع جداول البيانات — فإن OAuth هو الآلية التي تجعل هذه الاتصالات آمنة وقابلة للإدارة دون نسج شبكة من كلمات المرور المشتركة.

تستخدم FlipLink تفويضًا قائمًا على OAuth عند الاتصال بالخدمات الخارجية عبر ميزة [الأتمتة والتكاملات](/features/automation-and-integrations). وعند إعداد [تكامل Google Sheets](/integrations/google-sheets)، على سبيل المثال، تتم إعادة توجيهك إلى شاشة موافقة Google حيث تفوّض FlipLink بكتابة بيانات العملاء المحتملين في جدول بيانات محدد. وتستلم FlipLink رمز وصول ذا نطاق محدود — يستطيع الكتابة في ذلك الجدول لكنه لا يستطيع قراءة بريدك الإلكتروني، أو الوصول إلى ملفات Drive، أو تنفيذ أي إجراء خارج نطاق الإذن الممنوح. ويعمل [تكامل Stripe](/integrations/stripe) بطريقة مماثلة: فأنت تفوّض FlipLink بمعالجة المدفوعات نيابةً عنك عبر تدفق OAuth الخاص بـ Stripe، ولا تخزّن FlipLink كلمة مرور Stripe الخاصة بك ولا تراها. وتُخزَّن جميع الرموز بأمان ويمكن إبطالها سواء من لوحة تحكم FlipLink أو من إعدادات الخدمة الخارجية.

يُعرّف OAuth 2.0 عدة أنواع من أنماط المنح، يناسب كل منها سيناريو تكامل مختلفًا: - **منح رمز التفويض (Authorization Code Grant)**: التدفق الأكثر شيوعًا للتطبيقات التي تعمل على جانب الخادم. يُعاد توجيه المستخدم إلى خادم التفويض (مثل Google)، فيمنح الإذن، ويستلم رمز تفويض يستبدله التطبيق برمز وصول. وهذا هو التدفق الذي تستخدمه FlipLink في تكاملات Google Sheets و Stripe. - **منح بيانات اعتماد العميل (Client Credentials Grant)**: يُستخدم في الاتصال بين الخوادم حين لا يلزم تفاعل المستخدم. ويصادق التطبيق مباشرةً باستخدام بيانات الاعتماد الخاصة به. - **رموز التحديث (Refresh Tokens)**: رموز الوصول قصيرة العمر بحكم تصميمها (عادةً ساعة واحدة). ويتيح رمز التحديث للتطبيق طلب رمز وصول جديد دون الحاجة إلى إعادة تفويض المستخدم. ولهذا السبب تستمر تكاملات FlipLink في العمل دون اضطرارك إلى إعادة الربط كل يوم. ويحمل كل رمز نطاقًا محددًا — مجموعة من الأذونات تحدّ مما يستطيع التطبيق فعله. فالرمز الذي نطاقه "spreadsheets.write" لا يمكنه قراءة البريد الإلكتروني أو الوصول إلى ملفات خارج جدول البيانات المصرَّح به. ويُعدّ مبدأ الحد الأدنى من الصلاحيات هذا محوريًا في النموذج الأمني لـ OAuth.

OAuth آمن بحكم تصميمه، لكن سلامته تعتمد على التطبيق الصحيح من جانب جميع الأطراف المعنية: - **تخزين الرموز**: يجب تخزين رموز الوصول ورموز التحديث بأمان على جانب الخادم، ولا يجوز كشفها في كود العميل أو في عناوين URL. وتخزّن FlipLink جميع رموز التكامل مشفّرة على خوادمها. - **تحديد النطاق**: ينبغي للتطبيقات أن تطلب الحد الأدنى الضروري من الأذونات فقط. وتطلب FlipLink صلاحية الكتابة على جدول بيانات محدد، لا الوصول الواسع إلى حساب Google بأكمله. - **إبطال الرموز**: ينبغي للمستخدمين مراجعة التطبيقات التي تملك صلاحية الوصول إلى حساباتهم بصفة دورية. وتوفر كلٌّ من Google و Stripe لوحات تحكم يمكنك من خلالها رؤية التطبيقات المصرَّح لها وإبطالها. - **اشتراط HTTPS**: يجب أن تجري جميع تدفقات OAuth عبر HTTPS لمنع اعتراض الرموز أثناء عملية التفويض. وتفرض FlipLink استخدام HTTPS في جميع اتصالات API ونقاط استدعاء التكامل. - **خطر التصيّد الاحتيالي**: يلجأ المهاجمون أحيانًا إلى إنشاء شاشات تفويض مزيّفة تحاكي الخدمات الأصلية. تحقّق دائمًا من أنك على نطاق الخدمة الحقيقي (accounts.google.com، لا goog1e-auth.com) قبل منح الأذونات.

**ماذا يحدث إذا أبطلت رمز OAuth؟** يتوقف التكامل عن العمل فورًا. فعلى سبيل المثال، إذا أبطلت صلاحية وصول FlipLink إلى Google Sheets من إعدادات حسابك في Google، فلن تتم بعد ذلك مزامنة العملاء المحتملين الجدد إلى جدول البيانات. ويمكنك إعادة الربط في أي وقت عبر إعادة التفويض من لوحة تحكم FlipLink. **هل تخزّن FlipLink كلمة مرور Google أو Stripe الخاصة بي؟** لا. صُمّم OAuth خصيصًا لتفادي مشاركة كلمات المرور. وتستلم FlipLink فقط رمز وصول بأذونات محدودة. وتبقى كلمات مرورك حصرًا لدى Google و Stripe. **هل يمكنني تقييد ما تستطيع FlipLink الوصول إليه في حسابي على Google؟** نعم. خلال تدفق التفويض في OAuth، تعرض شاشة الموافقة بدقة الأذونات التي تطلبها FlipLink. ولا تطلب FlipLink سوى الحد الأدنى من النطاق الضروري — وهو عادةً صلاحية الكتابة على جدول بيانات واحد. ولا يمكنها الوصول إلى بريدك الإلكتروني أو تقويمك أو غير ذلك من خدمات Google.