رمز QR على الشهادة لا يثبت شيئاً (وما الذي يثبت فعلاً)

في مكان ما خلال السنوات الخمس الماضية صار رمز QR رمزاً للشهادة الموثوقة. تمسحه، فيُفتح شيء ما، ويطمئن الجميع. المعاهد تطبعه على كل شهادة. المشترون يطلبونه في كل مناقصة. مسؤولو التوظيف يعدّونه الفارق بين شهادة حقيقية وصورة جميلة.

لكنه ليس كذلك. رمز QR عنوان، لا أكثر. يمكن لأي شخص توليده في خمس ثوانٍ، ويمكنه أن يشير إلى أي مكان يختاره صاحبه. أما إن كانت الشهادة خلفه حقيقية فذلك يتوقف كلياً على ما يوجد في الطرف الآخر من ذلك العنوان، وفي معظم الأحيان ما يوجد هناك لا يثبت شيئاً على الإطلاق.

هذا المقال عن الفرق بين الرابط والإثبات، وكيف تميّز بينهما في أقل من دقيقة.

## ما هو رمز QR فعلاً

رمز QR هو عنوان إنترنت مطبوع على شكل نقش. يقرأ هاتفك النقش، ويستخرج العنوان، ويفتحه. هذه هي الآلية كلها. ليس للرمز رأي في صدق الصفحة التي يفتحها؛ لا يعرف من صنعها؛ ولا يحمل توقيعاً ولا سجلاً.

وهذا يعني أن الشهادة المزوّرة يمكن أن تحمل رمز QR يعمل بشكل ممتاز. يصنع المزوّر صفحة، يضع عليها اسم الخريج، يولّد رمزاً يشير إليها، ويطبع الرمز على الشهادة المزوّرة. تمسحه فيُفتح شيء ما. ويطمئن الجميع.

إذن السؤال ليس أبداً "هل تحمل رمز QR؟". السؤال هو "ماذا يفتح الرمز، ومن يتحكم في ذلك؟".

## أربعة أشياء تبدو كالتحقق وليست كذلك

**الرمز يفتح ملف PDF نفسه.** الحالة الأكثر شيوعاً. يشير الرمز إلى نسخة من الشهادة مستضافة في مكان ما. مسحه يثبت أن الملف موجود على الإنترنت. لا يثبت من وضعه هناك، ولا هل يعترف به المعهد، ولا هل أُلغي في العام الماضي. المزوّر يستطيع استضافة ملف PDF مثل أي شخص آخر.

**الرمز يفتح صفحة على موقع المعهد نفسه.** أفضل، وما زال ليس إثباتاً. الصفحة يكتبها المعهد ويعدّلها، فيمكن تغييرها وتأريخها بأثر رجعي وحذفها متى شاء، وتختفي يوم لا يُجدَّد الموقع. وعلى المتحقق أيضاً أن يعرف ما هو نطاق المعهد الحقيقي، والنطاق المشابه يكلّف بضعة دولارات. معظم من يمسحون رمزاً لا ينظرون إلى شريط العنوان.

**الرمز يفتح منشوراً على وسائل التواصل.** منشور لينكدإن يثبت أن شخصاً ما نشر. ولا يقول شيئاً عن الجهة المصدرة.

**الشهادة تحمل هولوغراماً أو ختماً أو علامة "موثّق" مطبوعة عليها.** أي عنصر بصري على المستند هو جزء من المستند. وكل ما يُطبع يمكن أن يُعاد طبعه. ومع أدوات التوليد الحديثة، صار الختم المقنع والتوقيع والتصميم يستغرق ثوانٍ، فلم يعد لتصميم الشهادة أي قيمة إثباتية على الإطلاق. إذا كان الإثبات على الورق، فلا يوجد إثبات.

لا شيء من هذا احتيال مقصود. إنه ما يفعله المعهد حين يريد أن يبدو حديثاً ولم يخبره أحد بما يتطلبه التحقق فعلاً.

## ما الذي يجب أن يتوفر في الإثبات

تكون الشهادة قابلة للتحقق حين يستطيع شخص غريب، لا علاقة له بالجهة المصدرة، أن يتأكد أن الجهة أصدرت هذا الادعاء فعلاً عن هذا الشخص، وأن الادعاء ما زال قائماً. ويترتب على ذلك خمسة أمور.

1. **سجل ليس هو المستند.** يعيش الإثبات في سجل محفوظ خارج ملف الشهادة وخارج موقع الجهة المصدرة القابل للتعديل، على منصة وظيفتها حفظ مثل هذه السجلات. يرى المتحقق السجل، لا نسخة من التصميم. التصميم يمكن إعادة طبعه؛ السجل لا.
2. **جهة مصدرة جرى التحقق من هويتها.** يجب أن تقول الصفحة من أصدر الشهادة، ويجب أن تكون تلك الهوية قد ثُبّتت من طرف غير الجهة نفسها، عبر التحقق من نطاق المنظمة أو هويتها التجارية. وإلا فإن "صادرة عن معهد كامبريدج" مجرد نص.
3. **حالة صادقة عبر الزمن.** الملغاة يجب أن تظهر ملغاة، لا أن تختفي. والمنتهية تظهر منتهية. والتصحيحات تظهر كتصحيحات. السجل الذي يمكن أن يتغير بصمت ليس سجلاً.
4. **صيغة يمكن للآلة فحصها.** الصفحة التي يقرؤها الإنسان لا تكفي؛ يجب أن يكون الادعاء متاحاً بصيغة مفتوحة يمكن لأي أداة تحقق جلبها واختبارها. وهذا ما تفعله الشارات المفتوحة Open Badges 2.0 بالضبط: تحمل الشارة تأكيداً مستضافاً، مرتبطاً بالجهة المصدرة والحاصل عليها، يمكن لأي أداة متوافقة التحقق منه دون الثقة بالصفحة التي جاء منها.
5. **سجل يعيش بعد الجهة المصدرة وبعد الاشتراك.** المعاهد تُغلق وتغيّر أسماءها وتتوقف عن الدفع للبرامج. والخريج ما زال يحتاج الإثبات بعد عشر سنوات. إذا كان يمكن إيقاف التحقق، فلم يكن إثباتاً قط، بل كان خدمة.

سرتيفادا مبنية على هذه الخمسة: كل شهادة تقود إلى سجل على المنصة لا إلى ملف؛ والجهات المصدرة تجتاز التحقق من الهوية قبل أن تظهر علامة التوثيق؛ والشهادات الملغاة والمنتهية تقول ذلك بوضوح؛ وكل شارة هي شارة مفتوحة صالحة بتأكيد مستضاف؛ و[التحقق مجاني ويبقى متاحاً للأبد](/blog/لماذا-التحقق-من-الشهادات-مجاني-للأبد).

## كيف تختبر أي شهادة في ستين ثانية

لمسؤولي التوظيف وموظفي القبول وكل من عليه أن يقرر هل يصدّق شهادة:

1. **امسح الرمز وانظر إلى شريط العنوان.** هل الصفحة على منصة تحقق مستقلة، أم على موقع الجهة نفسها، أم ملف؟ الأولى سجل. والأخريان نسخ.
2. **ابحث عن علامة توثيق الجهة المصدرة.** المنصات المستقلة تُظهر هل جرى تأكيد هوية الجهة. غياب العلامة يعني أن الاسم في الأعلى غير موثّق.
3. **ابحث عن الحالة والتواريخ.** السجل الحقيقي يذكر صالحة أو منتهية أو ملغاة، مع تاريخي الإصدار والانتهاء. الصفحة التي تعرض اسماً وتصميماً فقط هي ملصق.
4. **غيّر حرفاً واحداً في العنوان.** السجل له معرّف لا يمكن تخمينه؛ والمعرّف الخاطئ يجب ألا يعيد شيئاً. إذا فتحت العناوين المجاورة شهادات أشخاص آخرين أو أي شيء أصلاً، فإن "السجل" مجلد.
5. **اطلب الشارة.** لأي شهادة مهمة، اطلب من صاحبها نسخة الشارة المفتوحة وضعها في أداة تحقق عامة. الشارة الحقيقية تنجح. والصورة تفشل.

خمس خطوات، دقيقة واحدة، بلا حساب. الشهادة التي لا تصمد أمام ذلك لا ينبغي أن تُستخدم لاتخاذ قرار توظيف.

## كيف تضمن أن شهاداتك تنجح في الاختبار

للجهات المصدرة، الحل ليس رمز QR أفضل. الحل هو وضع سجل خلفه.

- أصدر عبر منصة يقود فيها رمز QR إلى سجل الشهادة، لا إلى ملف تستضيفه أنت.
- أتمّ التحقق من الجهة المصدرة لتظهر العلامة على كل صفحة تصدرها.
- اطبع رمز QR على النسخة الورقية أيضاً؛ عندها يشير الورق إلى الإثبات بدلاً من أن يتظاهر بأنه هو.
- فعّل الشارات المفتوحة للبرامج المهنية، مع كتابة المعايير فيها.
- توقف عن الدفع للهولوغرام والتذهيب. إنها تطمئن من لا يتحقق، ولا تعني شيئاً لمن يتحقق.

يمكنك أن ترى الفرق في [صفحة التحقق](/verify): افتح أي شهادة من سرتيفادا وجرّب الخطوات الخمس أعلاه. و[دليل إصدار الشهادات القابلة للتحقق](/blog/كيف-تصدر-شهادات-رقمية-قابلة-للتحقق) يشرح الإعداد من جهة المصدر.

## الخلاصة

رمز QR وعدٌ بأن هناك شيئاً يمكن فحصه. والسجل الذي خلفه هو الإثبات. معظم الشهادات اليوم تقطع الوعد وتتخطى الإثبات، ولم يكترث أحد حتى الآن لأن تزوير مستند جيد المظهر كان صعباً. لم يعد صعباً. من الآن فصاعداً، الشهادات الوحيدة التي تستحق الإصدار هي تلك التي يفتح مسح رمزها سجلاً يظل صامداً حتى لو احترق الورق.