🧠 معلومة مهمة في الأمن السيبراني: و Authorization ؟
عندما تدخل إلى أي تطبيق أو موقع، تحدث خلف الكواليس عدة عمليات أمنية قد لا تراها كمستخدم.
ومن أهم المفاهيم التي يجب فهمها:
🔐 Authentication
🛡️ Authorization
رغم أن المصطلحين متشابهان، إلا أن لكل واحد منهما وظيفة مختلفة.
🔐 Authentication تعني التحقق من الهوية.
أي أن النظام يحاول الإجابة عن سؤال:
"من أنت؟"
عندما تدخل اسم المستخدم وكلمة المرور، أو تستخدم رمز ، فإن النظام يتحقق من أنك صاحب الحساب.
بعد نجاح هذه العملية، يعرف النظام هوية المستخدم.
لكن معرفة هوية المستخدم لا تعني أنه يستطيع الوصول إلى كل شيء.
وهنا يأتي دور:
🛡️ Authorization
وهي تحديد الصلاحيات التي يمتلكها المستخدم.
أي أن السؤال هنا:
"ماذا يسمح لك أن تفعل؟"
تخيل نظامًا داخل شركة.
هناك موظف عادي ومدير ومسؤول نظام.
قد يستطيع الثلاثة تسجيل الدخول بنجاح.
إذن Authentication نجحت.
لكن الصلاحيات مختلفة.
الموظف قد يستطيع قراءة بعض الملفات.
المدير قد يستطيع تعديلها.
أما مسؤول النظام فقد يستطيع إدارة المستخدمين وإعدادات النظام.
هذه هي Authorization.
ويمكن تبسيط الفرق بهذه الطريقة:
🔐
= ماذا يمكنك أن تفعل؟
وهذا المفهوم لا يقتصر على المواقع.
ستجده في تطبيقات الهاتف، وأنظمة الشركات، والخدمات السحابية، وقواعد البيانات، وواجهات API.
ومن الأخطاء الشائعة أن يركز المطور على حماية تسجيل الدخول وينسى اختبار الصلاحيات.
قد يكون المستخدم مسجلًا بشكل صحيح، ولكن التطبيق يسمح له بالوصول إلى بيانات لا تخصه.
لذلك عند بناء أي نظام، لا يكفي أن نسأل:
"هل المستخدم هو الشخص الصحيح؟"
بل يجب أن نسأل أيضًا:
"هل لديه الصلاحية لتنفيذ هذا الإجراء؟"
فهم هذا الفرق البسيط يعتبر من أساسيات بناء الأنظمة الآمنة.