ما ستتعلمه
الخدمة التي تبيعها هي تنفيذ مناسب ونتيجة مفهومة وتسليم يمكن للعميل تشغيله. في هذا الدرس تتدرب على محادثة العميل وعرض وظيفة بسيطة وكتابة مقترح قابل للمراجعة. الناتج المطلوب صفحة تحدد ما ستنفذه، وكيف يقبله العميل، ومن يملك الحساب والمشروع، وما المسؤوليات الأمنية التي ستظل قائمة.
جهز نفسك قبل أول مقابلة
تحتاج فهما لتسجيل الدخول المستضاف وبيانات كل مستخدم، وللفرق بين معرفة المستخدم ومنحه صلاحية لتنفيذ إجراء. راجع توثيق Gammal Tech وجهز مثالا يحفظ تفضيلات وهمية. إذا كان التحقق من حسابك لم يكتمل، يمكنك إعداد شرح ورقي مكتوب عليه بوضوح أنه تصور للخطوات، وليس نظاما يعمل بالفعل.
أنت تقدم اكتشاف الاحتياج والتنفيذ والاختبار والصيانة التي تتفق عليها. موقع العميل أو سيرفره القائم يتصل بواجهة API مستضافة لدى Gammal Tech. لا تقدم العرض باعتبارك ستثبت منصة Gammal Tech على سيرفر العميل. وقد يظل هناك سيرفر لتنفيذ منطق عمل موثوق أو تكاملات أخرى.
ابدأ بالمشكلة التي يدفع العميل لحلها
جرب هذا السؤال: «أي جزء في موقعك يستهلك وقتا متكررا: دخول المستخدمين، أم تذكر اختياراتهم، أم تشغيل خلفية خاصة بالموقع؟» اسمع الإجابة ثم اسأل عن المسؤول وعدد مرات المشكلة وأثرها. لا تبدأ بوعد بتوفير نسبة معينة قبل معرفة ما يصرفه العميل وما يمكن إيقافه فعلا.
بعدها قل: «أقدر أقيّم هل تسجيل الدخول وبيانات المستخدم المستضافة يناسبان هذا الجزء. لو مناسبين، أنفذ الربط وأوثق الأعمال التي ستتوقفون عن تشغيلها محليا، والأعمال التي ستبقى عندكم مثل نشر الموقع وحسابات الموظفين والصلاحيات.»
اختم الفهم بسؤال مباشر: «المطلوب الآن أن يتذكر كل متعلم اختياراته، وليس إنشاء قاعدة مشتركة للموظفين. هل فهمت المطلوب بشكل صحيح؟» التصحيح في هذه اللحظة يوفر إعادة عمل وخلافا بعد التسليم. اكتب الإجابة ولا تعتمد على ذاكرتك وحدها.
نفذ عرضا قصيرا وحدوده ظاهرة
- عرّف المثال: وضح أن أسماء الموضوعات والتفضيلات وهمية وليست بيانات عميل حقيقي.
- اعرض حالة الخروج: اشرح أن الدخول يبدأ من ضغطة المستخدم، لا بنافذة مفاجئة عند فتح الصفحة.
- استخدم حسابك المصرح به: لا تعرض مستندات الهوية أو بيانات الجلسة أو معلومات دخول لوحة التحكم.
- احفظ تفضيلا بسيطا ثم استرجعه: اعرض النتيجة المفهومة، وليس رموزا أو سجلات تشخيص خاما.
- اشرح حدود القيمة: التفضيل قابل لتعديل المستخدم، فلا يمنحه صلاحية مشرف ولا يثبت أنه دفع.
- اعرض ورقة التسليم: بين مكان المسؤوليات ومعايير القبول وخطوات الدعم.
لا تشغل إشعارات مدفوعة أو معاملات مالية لمجرد إضافة حركة للعرض. استخدم رسما أو شاشة توضيحية معلنة للميزات الاختيارية إلى أن يعتمد العميل نطاقها وتكاليفها. الهدف أن يفهم العميل الوظيفة والقيمة، لا أن يشاهد أزرارا كثيرة دون معرفة ما وراءها.
تدرب على الاعتراض دون توسيع الوعد
| سؤال العميل | رد مناسب | الدليل التالي |
|---|---|---|
| هل سنحتاج أمنا سيبرانيا بعدها؟ | نعم، مع تقليل تشغيل وظائف خلفية محددة وتوضيح ما يبقى. | قائمة مسؤوليات قبل التنفيذ وبعده |
| ماذا لو اخترق الموقع؟ | قاعدة البيانات الغائبة عنه لا تنسخ منه، لكن الكود الخبيث قد يستغل بيانات أو جلسات متاحة للصفحة. | خطة حماية الواجهة والتعامل مع الحوادث |
| هل حقل المستخدم يحدد الصلاحية؟ | القرار المهم يحتاج مرجعا موثوقا خارج قيمة يعدلها المستخدم. | تصميم الصلاحيات |
| كم سنوفر؟ | نحسب المصروفات الملغاة والعمل الباقي والاستخدام والانتقال. | ورقة حساب بافتراضات مكتوبة |
توضح إرشادات OWASP للصلاحيات الفرق بين إثبات الهوية وقرار السماح بالفعل. استخدم المبدأ لتحسين تصميمك، دون تقديم المرجع باعتباره شهادة لاعتماد مشروعك.
كوّن باقات لخدمتك بمخرجات محددة
باقة دراسة الاحتياج: خريطة العمل الحالية وحصر البيانات وتقييم الملاءمة والمسؤوليات والتقدير. يقبلها العميل عندما يستطيع تحديد ما ينتقل وما يبقى والأسئلة المفتوحة. وقد تكون النتيجة أن جزءا معينا لا يناسب نقله بهذا التصميم.
باقة التنفيذ: مسار الدخول والتفضيلات المتفق عليه، وملفات المصدر، ووصف الإعدادات، ونتائج اختبار ببيانات وهمية، ودليل تشغيل. حدد الصفحات والأجهزة التي ستختبرها. إضافة المدفوعات أو صلاحيات الموظفين أو تكامل جديد تحتاج نطاقا مستقلا.
باقة الصيانة: حدد مراجعة الواجهة والمكتبات وفحص التكامل ومراجعة الاستهلاك وطريقة الدعم. اكتب زمن الاستجابة الذي تستطيع الالتزام به. هذه باقات لعملك المهني وليست خطط اشتراك مفترضة لدى Gammal Tech أو خدمة مراقبة أمنية مستمرة.
افصل أتعابك عن الاستضافة والاستهلاك. وإذا أضيف الدفع لاحقا، راجع رسوم المعاملات والسحب بشكل مستقل. المثال التالي لا يتضمن مدفوعات أو ذكاء اصطناعيا، لذلك لا تسعره كما لو كان متجرا إلكترونيا.
مثال مكتمل للنطاق مع حقول تجارية تحسم قبل التوقيع
العميل الافتراضي: استوديو تدريب في مصر. الهدف: تذكر موضوع التعلم وطريقة العرض لكل متعلم عائد. المشمول: موقع HTTPS واحد، ودخول مستضاف، وتفضيلات لكل مستخدم، ورسائل خروج وأخطاء واضحة، وجلسة تسليم وملفات المصدر. خارج المرحلة: المدفوعات والذكاء الاصطناعي وسجلات الموظفين المشتركة وصلاحيات الدورات المدفوعة.
الملكية: العميل يتحكم في حسابه المتحقق منه ومشروعه، والمطور يسلم الملفات والتعليمات. يدخل العميل معلوماته الخاصة بنفسه. لا تعتمد الخطة على مشاركة كلمة مرور أو ميزة تفويض غير موثقة.
القبول: نجاح حالات الدخول والحفظ وإعادة التحميل والخروج ببيانات وهمية، وتوثيق المشروع والنطاقات الصحيحة، وقدرة العميل على الوصول لتعليمات الدعم. الحقول التجارية: أكمل أجرك وتوقع الاستخدام والتواريخ ووقت الاستجابة وآلية طلب التغيير. لا تطلب توقيعا على هذه الحقول وهي فارغة.
اعتماد التنفيذ: يراجع العميل الهدف والمشمول والمستبعد والمسؤوليات والتكلفة وأدلة القبول معا. سجل أي مطلب لم يحسم قبل أن يوافق الطرفان على بدء العمل.
اختبر فهم العميل قبل اعتبار العرض جاهزا
اطلب من زميل تمثيل العميل وطرح سؤالين من الجدول. قدم شرحا في دقيقتين وعرضا في خمس دقائق. بعده اطلب منه أن يصف ما سيتسلمه وما سيظل مسؤوليته. إذا فهم أن الشركة لم تعد تحتاج حماية، عدل العبارة التي أوصلت هذا المعنى.
سلم في نهاية التمرين المقترح وخطوات العرض وأدلة وعودك. الخطأ الشائع هو بيع اختفاء كل العمل الأمني بينما القيمة الحقيقية هي تشغيل أبسط لوظائف مناسبة. يضع دليل NIST للشركات الصغيرة اختيار المورد ضمن إدارة مخاطر أوسع، وهو منظور مفيد عند مناقشة المشروع.
أسئلة شائعة
هل أستطيع تقديم هذه الخدمة قبل أن أصبح خبير أمن؟
قدم فقط العمل الذي تستطيع تنفيذه بكفاءة وصفه بدقة. تعلم ربط API لا يساوي التأهل لبيع اختبار اختراق أو استجابة للحوادث أو ضمان أمان شامل.
هل أضع مشاريع العملاء في حسابي؟
يجب أن يتحكم العميل في حسابه ومشروعه. لا تشارك بيانات الحساب، ولا تجمع مبيعات العميل من خلال حسابك الشخصي المتحقق منه.
مراجع الدرس
تمت مراجعة التوثيق في 12 أكتوبر 2026. راجع التوثيق الحالي قبل تنفيذ مشروع عميل أو تحديد أسعاره.