التحقق من هوية المستخدم في التطبيقات السعودية: متى تحتاج نفاذ وما البدائل

إذا كنت تبني تطبيقاً أو منصة تخدم مستخدمين في السعودية، فالقرار الذي يواجهك ليس تقنياً في أوله. التحقق من هوية المستخدم قرار عن الرحلة قبل أن يكون قراراً عن الأداة: تحدد أولاً أي خطوة في منتجك تحتاج إلى معرفة أن المستخدم هو من يدّعي فعلاً، ثم تختار ما يثبت ذلك. أغلب المنتجات تضع هذا السؤال في غير موضعه: تطلب تحققاً حكومياً كاملاً من زائر لم يجرّب الخدمة بعد، ثم تمرّ عملية التعاقد أو السحب من غير أي تحقق.

هذا المقال يجمع ما تنشره الجهات الرسمية السعودية عن النفاذ الوطني الموحد (نفاذ) وعن مسار الربط معه، وما لا تنشره، والبدائل التي تستطيع التسجيل فيها بنفسك اليوم. كل رقم وشرط فيه مأخوذ من مصدر رسمي اطُّلع عليه في 21 سبتمبر 2026.

ابدأ من الخطوة التي تستحق التحقق

قاعدة العمل في القطاع المالي تعطيك مسطرة جيدة حتى لو لم تكن بنكاً. قواعد مؤسسة النقد العربي السعودي لفتح الحسابات عن بُعد للأشخاص الطبيعيين، المحدَّثة بالتعميم رقم 472021863 بتاريخ 25/09/2025، تضع المسؤولية على البنك في «التحقق من هوية العملاء باستخدام مستندات أو بيانات أو معلومات من مصدر موثوق ومستقل». المبدأ هنا أوسع من القطاع المصرفي: كلما زاد ما يخسره طرف ثالث إن انتحل شخص صفة غيره، ارتفعت الحاجة إلى مصدر مستقل بدل إقرار المستخدم عن نفسه.

هذا الجدول تطبيق للمبدأ نفسه على منتجات أقل تنظيماً:

لاحظ أن التحقق في ثلاثة من هذه الصفوف يقع بعد التسجيل بوقت طويل. تأجيله إلى لحظته الطبيعية يبقي باب الدخول مفتوحاً، ويجعل عدد عمليات التحقق التي تدفع مقابلها أصغر كثيراً.

خدمتان تحت اسم واحد

يشيع الحديث عن نفاذ كأنه زر تسجيل دخول. في دليل خدمات سدايا هما خدمتان مستقلتان لكل منهما بطاقة وتاريخ إطلاق:

(المصدر: بطاقتا الخدمتين في دليل خدمات سدايا، اطُّلع عليهما في 21 سبتمبر 2026.)

الفصل بينهما هو ما يهمك عملياً. الأولى تجيب عن سؤال «من يدخل الآن؟»، والثانية عن سؤال «هل هذا الشخص حاضر ويوافق على هذه العملية تحديداً؟». منتج يحتاج الثانية عند التعاقد قد لا يحتاج الأولى عند التسجيل إطلاقاً.

الجهة المشغّلة واحدة في الحالتين: نفاذ مبادرة من مركز المعلومات الوطني، وصفحة المنصة تنصّ في تذييلها على أن التطوير والتشغيل لدى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وصفحة المركز على موقع سدايا تذكر أنه مرتبط تنظيمياً بالهيئة، وأنه مالك ومشغّل الشبكة الحكومية الآمنة ومستضيف قناة التكامل الحكومية.

ما تنشره سدايا عن طلب الربط، وما لا تنشره

بطاقتا الخدمتين تذكران الفئة المستهدفة صراحةً: أفراد، وأعمال، وجهات حكومية، ومنشآت تجارية، وجمعيات خيرية، ومنشآت صغيرة ومتناهية الصغر. أي أن الباب ليس حكومياً فقط.

وتحت بند المستندات المطلوبة تنشر سدايا أربعة شروط للجهة الراغبة في الربط:

1. أن يُقدَّم الطلب عبر «القنوات الرسمية لدى الهيئة السعودية للبيانات والذكاء الاصطناعي».
2. أن تُعبَّأ النماذج التي تزوّدك بها الهيئة لاستكمال الطلب.
3. أن تُوقَّع الاتفاقية وكل مستند تطلبه الهيئة.
4. أن يكون لدى المستخدم النهائي حساب مفعّل على أبشر، ولا شيء سوى ذلك.

الشرط الرابع هو الخبر الجيد: لا تحتاج أن يسجّل مستخدموك في شيء جديد. أما الشروط الثلاثة الأولى فتعني أن الربط اتفاقية موقَّعة مع جهة حكومية، لا مفتاح تنشئه بنفسك من لوحة تحكم.

القنوات الرسمية المنشورة على صفحة المساعدة والدعم في منصة نفاذ هي مركز الاتصال 8001221111، والبريد Support@nic.gov.sa، وحساب @NIC_Care على منصة إكس. الصفحة نفسها تحدد مهلة معالجة قدرها 15 يوم عمل، لكنها تصفها بأنها مهلة معالجة البلاغات والاستفسارات والشكاوى، لا مدة اعتماد طلب ربط.

وهنا يجب أن أكون صريحاً معك في ما لم أجده منشوراً، لأن الخلط بينه وبين المعلوم يكلّف وقتاً حقيقياً في التخطيط:

• لا توثيق تقني عام. لا يوجد دليل مطوّرين منشور لنفاذ ولا بيئة اختبار معلنة ولا وصف رسمي للبروتوكول أو للحقول المعادة. ما تقرؤه في مدوّنات شركات البرمجة عن تدفقات وأسماء نقاط نهاية لا يستند إلى وثيقة يمكن الرجوع إليها. عامله كفرضية حتى تصلك الوثيقة من الجهة نفسها بعد التعاقد.
• لا شروط أهلية منشورة. لا تذكر البطاقة نشاطاً معيناً ولا حداً أدنى لحجم المنشأة ولا اشتراط سجل تجاري سعودي.
• لا كلفة منشورة على الجهة. كلمة «مجاني» في البطاقة تخص المستفيد النهائي. لا تبنِ ميزانيتك على افتراض أن الربط بلا مقابل، وعامله كبند مفتوح إلى أن تصلك الاتفاقية، شأنه شأن بقية البنود المتحركة في تقدير تكلفة تطبيق جوال في السعودية.
• لا تعريف منشور لمستويات التوثق. دراسة الحالة التي قدّمها المشغّل إلى مرصد ابتكار القطاع العام في منظمة التعاون الاقتصادي والتنمية تذكر أن في التطبيق ثلاثة مستويات، وأن الهيئة الوطنية للأمن السيبراني صنّفت حساسية الخدمات لتحديد المستوى المناسب لكل خدمة. تعريف كل مستوى غير منشور، فلا تصمّم شاشاتك على افتراض مستوى بعينه.

الدراسة نفسها تذكر قيداً يهم كل من يبني منتجاً بين الشركات: توثيق الهوية الاعتبارية للمنشآت ما زال تحدياً قائماً، و«من دون حوكمة سليمة للهويات الاعتبارية لن تكون خدمات الهوية الرقمية للكيانات الاعتبارية ممكنة». بعبارة عملية: نفاذ يخبرك من هو الشخص، ولا يخبرك أنه مخوَّل عن الشركة. صلاحية التمثيل تحتاج مصدراً آخر.

ما يمر به المستخدم، وأين تنكسر التجربة

دليل المستخدم الرسمي لمنصة نفاذ يصف التدفق وحالات الخطأ معاً، وهذه الحالات هي ما يجب أن تصمّم له شاشاتك:

• المستخدم يدخل رقم هويته أو إقامته عندك، فيظهر لديك رقم طلب، ويصله تنبيه في تطبيق نفاذ.
• يفتح التطبيق فيجد عدة أرقام، وعليه اختيار الرقم المطابق لما يراه على شاشتك. اختيار الرقم الخطأ يُنهي المحاولة، ويُطلب منه العودة إليك وبدء طلب جديد.
• المهلة 60 ثانية من لحظة تقديم الطلب. تجاوزها يعني طلباً جديداً من عندك.
• ثم رمز شخصي من ستة أرقام أنشأه عند أول تفعيل، أو التقاط السمات الحيوية بحسب نوع الطلب.
• المسار البديل داخل نفاذ نفسه: رقم الهوية وكلمة مرور حساب أبشر، ثم رمز تحقق يصل إلى الجوال المسجّل في أبشر.

ثلاثة أشياء تترتب على هذا مباشرة. الأول أن رقم الطلب يجب أن يكون ظاهراً وكبيراً وواضحاً على شاشتك، لأن المستخدم يقارنه بأرقام أخرى تحت ضغط الوقت. الثاني أن شاشة الانتظار تحتاج عدّاداً تنازلياً وزر «أرسل طلباً جديداً»، لا رسالة «جارٍ التحقق» تدور إلى ما لا نهاية. والثالث أن كل خطوة تحقق تحتاج طريق خروج: ماذا يحدث لمن تعطّل تطبيقه أو انقطع اتصاله أو لم يستطع إكمال التقاط الوجه؟ لا ينشر المشغّل أي نسبة نجاح، فلا تفترض أن هذه الخطوة تنجح دائماً، واحتفظ بمسار بشري أو مؤجَّل.

ميزتان في وصف تطبيق نفاذ على متجر التطبيقات تستحقان انتباه من يصمم رحلة التسجيل. الأولى «خدمة التوثيق لمرة واحدة»، التي تتيح للفرد توثيق هويته لإتمام طلب تحقق بالسمات الحيوية من دون أن يكون لديه حساب هوية رقمية مسجّل مسبقاً؛ أي أن غياب الحساب لا يمنع بالضرورة مستخدماً جديداً من إتمام التحقق. والثانية «الإيقاف المؤقت للهوية الرقمية»، وهي حالة يستطيع المستخدم تفعيلها بنفسه، ويجدر بمنتجك أن يفرّق بينها وبين الفشل التقني في رسالة الخطأ التي يراها.

بدائل تعمل اليوم بينما تنتظر

إذا كان الربط المباشر غير متاح لمشروعك الآن، أو كان جدولك لا يحتمل انتظار اتفاقية، فهذه مسارات رسمية بمصادر منشورة:

واثق، للتحقق من المنشآت والوثائق. بوابة مطوّري واثق تتيح التسجيل الذاتي: تنشئ حساباً وتفعّله عبر البريد، وتختار باقة، وتنشئ تطبيقاً وتحدد الخدمات، ثم تحصل على مفتاح الأمان وتبدأ الربط، مع بيئة اختبارية متاحة لبعض الخدمات. الخدمات المنشورة تشمل بيانات السجل التجاري وعقود الشركات من وزارة التجارة، والوكالات العدلية والصكوك العقارية من وزارة العدل، والعنوان الوطني من البريد السعودي، وبيانات الموظفين من التأمينات الاجتماعية، وبيانات الكيانات الأجنبية المستثمرة من وزارة الاستثمار. هذا هو الجواب العملي عن سؤال «هل هذا الشخص مخوَّل عن هذه الشركة؟» الذي لا يجيب عنه نفاذ.

يقين من شركة علم، للتحقق من بيانات الأفراد. الملف التعريفي للخدمة يذكر التحقق من بيانات الأشخاص والمركبات والتابعين، وباقات للاستعلام الفوري وللدفعات وللطروحات، وباقة «رواد» موجَّهة لرواد الأعمال والشركات الناشئة. ويقين معروف تنظيمياً لا تجارياً فقط: قواعد ساما تسمح للبنك بالاستفادة منه كخيار إضافي للتحقق الإلكتروني من هوية العملاء، وتشترط الحصول على موافقة العميل مسبقاً قبل الاطلاع على بيانات هويته إلكترونياً، ودون أي رسوم إضافية عليه. خذ هذا الشرط كقاعدة تصميم عامة: الموافقة قبل الاستعلام، ونصّها مكتوب في شاشتك.

بوابة شركاء توكلنا، إن كان الوصول إلى المستخدمين هو هدفك. بطاقة خدمة «الخدمات المدمجة» في دليل سدايا تصفها بأنها مجانية ومفتوحة للشركات والمؤسسات والقطاع الخاص، وتنشر مسارها: بوابة المطوّرين، ثم بناء الخدمة، ثم التجربة والاعتماد، ثم المراجعة، ثم الإطلاق. والتسجيل يتطلب بيانات الجهة ومدير حساب وخطاب تفويض له وموافقة على الشروط.

الجوال ورمز التحقق، مع توثيق مؤجَّل. يظل هذا خياراً محترماً لمعظم المنتجات، بشرط ألا تسمّيه تحققاً من الهوية. هو يثبت السيطرة على رقم، لا أكثر. اربطه بتحقق أقوى عند الخطوة التي تستحقه.

وإن كان منتجك مالياً أو خاضعاً لإشراف، فانتبه إلى قاعدة مُلزِمة: ساما تُلزم المؤسسات المالية بقبول الهوية الإلكترونية من منصة أبشر للعملاء الحاليين في العمليات التي لا تتطلب أخذ نسخة منها. رفض الهوية الرقمية وطلب صورة من البطاقة ليس خياراً محايداً في هذه الحالة.

ما تخزّنه بعد التحقق، وما لا تخزّنه

نجاح التحقق لا يعني أنك صرت مخوَّلاً بالاحتفاظ بكل ما وصلك. المادة التاسعة عشرة من اللائحة التنفيذية لنظام حماية البيانات الشخصية تُلزم جهة التحكم بجمع الحد الأدنى اللازم من البيانات الشخصية لتحقيق الغرض من المعالجة، وبالاحتفاظ بالحد الأدنى اللازم منها.

ترجمة ذلك إلى قرارات في قاعدة بياناتك: خزّن نتيجة التحقق وتاريخها ومعرّفاً داخلياً للعملية، لا صور الوجه ولا البصمات، وهي أصلاً لا تصلك لأن الالتقاط والمطابقة يجريان داخل تطبيق نفاذ. وإن لم يكن رقم الهوية نفسه لازماً لتشغيل الخدمة أو لالتزام نظامي عليك، فلا تحتفظ به لمجرد أنه مرّ من أمامك.

التحقق حلقة واحدة في سلسلة التزامات أطول تشمل الموافقة والإفصاح وحقوق صاحب البيانات والتصرف عند التسرّب، وقد فصّلناها في دليل حماية بيانات العملاء والامتثال.

قبل أن تكتب سطر كود

• حدّد الخطوة الواحدة التي يقع فيها الضرر الحقيقي، وضع التحقق عندها لا عند باب التسجيل.
• افصل «من أنت» عن «هل توافق على هذه العملية»، فلكل منهما خدمة مختلفة.
• صمّم حالات الفشل أولاً: انتهاء المهلة، الرقم الخطأ، انقطاع الاتصال، الهوية الموقوفة مؤقتاً.
• إن كان منتجك بين الشركات، خطّط لمصدرَي تحقق: الفرد من جهة، وصلاحيته عن المنشأة من جهة أخرى.
• قدّم طلب الربط مبكراً عبر القنوات الرسمية، وابنِ نسخة أولى تعمل ببديل، لأن الاتفاقيات لا تلتزم بجدول تطويرك.
• اكتب سياسة الاحتفاظ قبل أول عملية تحقق، لا بعد أول تدقيق.

في سنابل نبني تطبيقات ومنصات لعملاء في مصر والخليج، وأصعب سؤال في مشاريع كهذه هو ترتيب الرحلة قبل اختيار الأداة. لو كانت لديك فكرة منتج يخدم السوق السعودي، اعرضها على فريق سنابل: نعود إليك خلال يوم واحد بخطة مبدئية وتقدير لمدة التنفيذ وكلفته، بلا مقابل وبلا أي التزام عليك.

المصادر

• النفاذ الوطني الموحد — حول المنصة والمساعدة والدعم
• دليل خدمات سدايا — خدمة الوصول إلى الخدمات الحكومية والخاصة وخدمة التحقق من خلال السمات الحيوية والخدمات المدمجة في بوابة شركاء توكلنا
• دليل المستخدم لمنصة النفاذ الوطني الموحد (PDF)
• مركز المعلومات الوطني — سدايا
• اللائحة التنفيذية لنظام حماية البيانات الشخصية (PDF)
• قواعد ساما لفتح الحسابات عن بُعد للأشخاص الطبيعيين وقبول الهوية الرقمية من أبشر وتوكلنا ويقين للتحقق من الهوية
• بوابة مطوّري واثق وقائمة الخدمات
• يقين — شركة علم (PDF)
• دراسة حالة تطبيق نفاذ — مرصد ابتكار القطاع العام (OECD OPSI)
• تطبيق نفاذ على App Store