نشر سيادي يُحدّد نطاقه ضمن مشروع خاص.

مشروع مع فريق أمن العميل. وليس برنامجاً قابلاً للتنزيل.

يُحدّد نطاق النشر السيادي ويُسعّر ويُنفّذ كمشروع تطبيق خاص: على بنية العميل، وفي ولايته القضائية، ووفق ضوابطه الأمنية، مع خطة تعزيز أمني وتحقق يتفق عليها مع فريقه الأمني. لا يوجد مُثبّت ذاتي الخدمة ولا نسخة تجريبية، لأن هذا النوع من العملاء لا ينبغي أن يعتمد عليهما.

نصرّح بالحدود ولا نتركها للاستنتاج. لا نُسوّق هذا النشر على أنه مفصول تماماً عن الشبكات: في أوضاع الختم الزمني المتصلة الموضحة أدناه، يخرج من المحيط شيء واحد، هو بصمة SHA-256 للسجل تُرسل إلى جهة مستقلة للختم الزمني. وهذا الخروج مقصود، لأن طابعاً زمنياً يصدره المشغّل لنفسه لا يثبت الكثير لطرف آخر. ويمكن لعميل يشترط عزلاً حقيقياً تشغيل النشر مع إيقاف الختم الزمني المستقل، وعندها يُخفّض مستوى الادعاء وفقاً لذلك كتابةً. ولا يُترك أثر أي من الوضعين ليُكتشف لاحقاً.

كل اعتماد على خدمة خارجية خيار. ولكل وضع أثر معلن.

بُنيت وظائف المنصة المتصلة بالخارج خلف واجهات واضحة: واجهة مشتركة وموصلات مسمّاة واختيار مُهيّأ. وفي النشر السيادي تُضبط كل وظيفة، بحسب المشروع، على الإيقاف أو خدمة يوفرها العميل أو خدمة تديرها إكسيدرا غيت. ويسجّل الجدول ما يعنيه كل وضع لادعاءات السجل، لأن تهيئة غير موثّقة الادعاءات ستبتعد عن وصفها التسويقي خلال أشهر.

يُذكر ذلك لكل تهيئة على حدة، لأنه لا يصح إلا بحسبها: عندما يكون التحقق والفحص والبريد في وضع العميل أو متوقفاً، والختم الزمني متوقفاً أو داخل الموقع، فلا يخرج مستند أو مفتاح أو حدث من محيط العميل في التشغيل المعتاد. وكل وحدة تُنقل إلى خدمة تُدار خارجياً تضيف بالضبط تدفق البيانات الخارجي المذكور في صفها، ولا شيء سواه.

الختم الزمني المستقل هو الخيار الذي يحمل عبء الإثبات. ويُختار عن قصد.

تُوقّع كل حزمة أدلة وتُربط بسلسلة تجزئة في جميع الأوضاع. والاختلاف بينها في الطابع الزمني: من يصدره، وما يخرج من المحيط للحصول عليه، وما يمكن للسجل الادعاء به بصدق بعد ذلك. يُحسم الوضع كتابةً ضمن المشروع قبل تشغيل أي شيء. الوضع المتصل هو الافتراضي لأنه يحافظ على ادعاء الوقت المستقل دون إلزام العميل بشراء خدمة ثقة بنفسه؛ ويمكن للعميل الذي يفضّل مزوّده المؤهل اختيار الوضع الثاني.

• الافتراضي

  متصل: تختمه زمنياً جهة تحددها إكسيدرا غيت. هذا هو الوضع الافتراضي. التدفق الوحيد إلى الخارج هو بصمة SHA-256 تُرسل للختم الزمني وفق RFC 3161. يظل ادعاء الوقت المستقل صحيحاً بالكامل، ويوصف النشر بأنه متصل لكنه خاص، ولا يوصف أبداً بأنه معزول. الجهة المحددة مستقلة عن إكسيدرا غيت، وإكسيدرا غيت ليست بنفسها مقدماً مؤهلاً لخدمات الثقة. وحيث يتطلب المشروع قرينة التوقيت المؤهل في الإطار الأوروبي، تُشترى الطوابع عند نقطة الخدمة المحددة من مقدم مؤهل، ولا نصدرها بأنفسنا، ويُسجّل في المشروع اسم المقدم وحالته.

• مقدم خدمة ثقة مؤهل يختاره العميل

  تختمها زمنياً جهة مؤهلة يتعاقد معها العميل. الخيار الأعلى مستوى. تُرسل البصمات إلى مقدم خدمة الثقة الخاص بالعميل. وفي الإطار الأوروبي، يحمل الطابع الزمني المؤهل قرينة قانونية لا يحملها الطابع العادي (eIDAS، المادة 41(2))؛ ويحافظ العميل الذي لديه مقدم مؤهل بالفعل على تلك الميزة ضمن علاقته التعاقدية معه، خارج إكسيدرا غيت.

• داخل الموقع

  ختم زمني داخل محيط العميل. لا يخرج شيء. ويُخفّض الادعاء كتابةً وفي السجل نفسه: يصدر الطابع الزمني عن المشغّل الذي يتحكم أيضاً في مخزن الأدلة، لذلك يكون توقيت السجل داخلياً مع بقائه قابلاً للفحص الخارجي من حيث الصيغة، ولا يُسوّق أبداً على أنه مختوم زمنياً من جهة مستقلة.

• متوقف

  بلا ختم زمني. تبقى الحزم موقّعة ومتصلة بسلسلة تجزئة، ويتوقف مستوى الادعاء عند هذا الحد: سلامة المحتوى وترتيبه مع تاريخ وفق ساعات المشغّل نفسه. نعرض هذا الوضع لأن اشتراطات العزل الحقيقي موجودة، ونصفه بصراحة حتى يعرف العميل بالضبط ما تنازل عنه باختياره.

في النشر السيادي، تحكم ضوابطك أنت.

تجيب المنصات السحابية عن سؤال الأمن بشهاداتها هي، لأنها تحتفظ ببياناتك. هنا تعمل المنصة داخل محيطك: تُسلّم التحديثات كحزم موقّعة يراجعها فريقك الأمني ويوافق عليها قبل نشرها، ويبقى نطاق التدقيق لديك. وفي التهيئة الافتراضية، يكون التدفق المعتاد الوحيد إلى الخارج بصمة مستند تُرسل للختم الزمني المستقل. نصرّح بذلك ولا نخفيه.

سجل التدقيق العادي جدول يستطيع مديره إعادة كتابته. أما هذا فيكشف إعادة الكتابة.

يسأل فريق الأمن في أي نظام أدلة عما يستطيع مسؤولوه فعله به. وفي معظم المنصات، يتكون مسار التدقيق من صفوف قاعدة بيانات يمكن لمن يملك صلاحيتها تعديلها لاحقاً دون أثر. هنا يُرتّب كل إجراء في سلسلة تجزئة: يتضمن كل مُدخل بصمة سابقه، ويُوقّع السجل باستخدام Ed25519، وفي الأوضاع المتصلة يُربط بطوابع زمنية مستقلة وفق RFC 3161. ويؤدي تعديل مُدخل أو حذفه لاحقاً إلى كسر التسلسل، ويكشف فحص التحقق هذا الكسر بصرف النظر عمن أجرى التعديل أو صلاحياته.

هذا وعد أضيق عمداً من المصطلح الشائع في القطاع، لكنه أقوى لأنه قابل للاختبار. لا يمنع شيء هنا صاحب صلاحية داخلية واسعة من التصرف؛ ولا يستطيع نظام صادق أن يعد بذلك. ما تفعله بنية الأدلة هو جعل التعديل بأثر رجعي قابلاً للكشف والنسبة: يمكن إثبات شكل السجل قبل التعديل، ويتوقف السجل الذي عُبث به عن اجتياز التحقق. القابلية للكشف خاصية يمكن إظهارها عند الطلب؛ أما استحالة التعديل فهي مجرد ادعاء.

تبقى بنية الأدلة نفسها تحت سيطرة العميل.

في كل وضع: محرك التوقيع الداخلي، دون مورّد توقيع إلكتروني خارجي في أي نقطة من المسار؛ وصلاحيات وصول لكل مستند وشخص مع عزل المستأجرين على مستوى الصفوف؛ وسجل التدقيق المرتبط بسلسلة تجزئة؛ وحزم أدلة بصيغ معيارية، تستخدم SHA-256 للبصمات وEd25519 للتواقيع ورموز RFC 3161 حيث يتضمنها الوضع، ويمكن فحصها دون اتصال بأدوات معيارية مجانية؛ وقناة تحديث يوافق فيها فريق الأمن لدى العميل على كل تحديث قبل تطبيقه.

تسعة قطاعات تجعل أطرها التنظيمية الحاجة ملموسة.

تشرح كل صفحة الوضع التنظيمي لقطاعها مع مصادر أولية، وما يغيّره النشر السيادي فيه، والتهيئة المحتملة للخيارات، وما لا تحله إكسيدرا غيت. وضعنا هذا القسم الأخير في كل صفحة عن قصد.