سجلات الخادم والخصوصيةمضيفك توقف عن التسجيل. خادمك لم يتوقف.

أنت الآن الجهة التي يُكتب إليها

القارئ الذي يريد أن يعرف من زار موقعك لا يبدأ من مضيفك. بل يبدأ منك أنت، لأنك الطرف الوحيد في السلسلة الذي له مصلحة مباشرة في الاحتفاظ بالسجل، ولديه عنوان قانوني يمكن أن يُكتب إليه، وليس لديه تقرير شفافية يُنشره لاحقًا.

هذه جملة محرجة أن تكتبها شركة استضافة، فإليك الحساب الذي يقف وراءها. يقول الجرد المنشور هنا إن سجلات وصول HTTP تُتلَف بمؤقّت مدته أربع وعشرون ساعة وإنه لا يوجد بعد ذلك أي سجل تاريخي للعناوين في أي مكان. أما خادم ويب قياسي على جهاز مستأجر منّا فيحتفظ بسجل وصوله الخاص نحو أسبوعين، وفي نسخة احتياطية ليلية لمدة عام، ولم يحدّد أحد أيًا من هذين الرقمين عن قصد. فاختيار المضيف بعناية يُبطله إعداد افتراضي لم يقرأه أحد.

ما الذي يحمله فعلًا سطر واحد من سجل الوصول

التنسيق الافتراضي في خادمَي الويب الشائعَين ثابت منذ خمسة وعشرين عامًا، ولا يكاد أحد يقرأه على أنه سجل عن شخص. يستحق الأمر أن تقرأه بهذه الطريقة مرة واحدة، لأن كل حقل أدناه إفصاح مستقل بذاته، وهذه الإفصاحات تتراكم.

سبعة حقول، في سطر واحد، يُكتب لكل طلب يُرسله المتصفح — وهو ما يعني عادةً ما بين عشرين وثمانين سطرًا لمجرد عرض صفحة واحدة. لم يكن أي من ذلك قرارًا. لكن كله سجل قائم.

تسعة مواضع تسجّل فيها منظومتك التقنية بيانات الزائر

يدور معظم الجدل حول التسجيل حول الصف الأول فقط. فهو الصف الذي يعرف الناس بوجوده، وهو أبعد ما يكون عن أكثر شيء إفصاحًا على الجهاز.

الصف الأخير هو الذي يُحبط معظم النوايا الحسنة. فتقصير تدوير السجل من أربعة عشر يومًا إلى يوم واحد يغيّر ما هو موجود على القرص، لكنه لا يغيّر شيئًا البتة في النسخة التي أُخذت الساعة الثالثة صباحًا والتي ستُحفظ لمدة عام. وحذف سجل سبق أن نسخته في مكان آخر ليس حذفًا، بل مجرد تغيير للموقع.

الحقلان اللذان يفصحان أكثر من العنوان نفسه

العنوان هو الحقل الذي يتجادل الجميع بشأنه، وهو صاحب أقصر عمر نافع: فهو يتغيّر، ويُتشارك، وعلى شبكة الجوّال ينتمي إلى شركة اتصالات لا إلى شخص. أما الحقلان المجاوران له فهما أسوأ منه بهدوء.

عنوان الإحالة يصف القارئ، لا الطلب

إنه يجيب عن سؤال لم تطرحه قط: أين كان هذا الشخص قبل ثانية واحدة. قد يكون ذلك رابط مستند خاص أُرسل إليه، أو نظام تذاكر داخلي، أو معاينة في برنامج بريد، أو صفحة في موقع لا يريد صاحبها ربطها بموقعك. وقد باتت المتصفحات تختصر المسار الآن حين تكون الوجهة أصلًا مختلفًا، وهذا مفيد — لكنه لا يفيد شيئًا في الروابط الداخلية داخل موقعك أنت، حيث لا يزال المسار الكامل يُرسَل ويُكتَب.

وكيل المستخدم هو بذرة البصمة الرقمية

بمفرده هو حشد من الناس. أما مقترنًا بعنوان، وترويسة لغة، وترتيب للطلبات، ومجموعة من الصيغ المقبولة، فهو غالبًا يشير إلى زائر واحد بعينه على مدى أسابيع — من دون ملف تعريف ارتباط، ومن دون موافقة، ومن دون أن يقرر أحد تتبّع أي شيء. وهذه هي الآلية التي تجعل عبارة “نحن لا نحتفظ إلا بسجلات الخادم” أضعف مما يظن قائلها.

الأسرار تنتهي في السجل لأنها كانت في عنوان URL

هذا هو الخلل الذي يستحق قراءة هذه الصفحة من أجله وحده، لأنه شائع، وصامت، وواقع بالكامل تحت سيطرتك. فكل ما يأتي بعد علامة الاستفهام هو جزء من سطر الطلب، وسطر الطلب هو ما يُكتب.

• روابط إعادة تعيين كلمة المرور. الرمز المخصص للاستخدام مرة واحدة في سلسلة الاستعلام يُسجَّل نصًا صريحًا في سجل الوصول، وفي النسخة الاحتياطية لسجل الوصول، وعند كل خادم وسيط بين القارئ وبينك.
• روابط الدعوة وإلغاء الاشتراك. الشكل نفسه، لكن بعمر أطول، وعادةً من دون انتهاء صلاحية على الإطلاق.
• معرّفات الجلسات المُمرَّرة في عنوان URL. نادرة في الشيفرة الحديثة، لكنها لا تزال موجودة في الشيفرة القديمة، وتعني استيلاءً كاملًا على الحساب لأي شخص يحوز الملف.
• مفاتيح API المُسلَّمة إلى المتصفح. المفتاح الموجود في سلسلة الاستعلام هو مفتاح في سجل، ومفتاح في عنوان إحالة يُرسل إلى طرف ثالث، ومفتاح في سجل تصفح القارئ.
• مربع البحث. بحث الموقع الذي يُرسِل بطريقة GET يكتب كل عبارة بحث كتبها أي شخص في موقعك يومًا، إلى جانب العنوان الذي كتبها.

الحل ليس إعداد تسجيل. بل انقل القيمة إلى ترويسة أو إلى متن الطلب، حيث لا يسجّلها أي تنسيق افتراضي، ثم دوِّر كل ما سبق أن كُتب. أما مرشّح السجلات الذي يحذف الرموز فهو عبء صيانة إضافي، وسيخطئ أول مرة يضيف فيها أحدهم معطى جديدًا.

ما الذي يمكن أن يُطالَب به منك، ومن يطالب به

الأدلة الأخرى هنا تتحدث عن أدوات قانونية تصل إلى شركة استضافة في ولاية قضائية اختيرت لهذا الغرض. أما الأداة القانونية التي تصل إلى سجلاتك أنت فأبسط من ذلك: إذ تُبلَّغ إليك أنت شخصيًا، أينما كنت، ولا يكون موقع الجهاز جزءًا من المسألة أصلًا.

• مطالبة مدنية في بلدك نفسه. فأي شخص يقاضي بشأن تعليق أو تسريب أو عملية شراء يطلب من مُشغِّل الموقع ما يحتفظ به. وهذا المُشغِّل هو أنت، وأسبوعا من سجلات الوصول أمر يسهل إلزامك بتقديمه.
• طلب من أحد القراء. بموجب قانون حماية البيانات الأوروبي، يجوز لأي شخص أن يسأل عمّا تحتفظ به عنه، والعنوان قابل لأن يكون بيانات شخصية: فقد قضت محكمة العدل الأوروبية بذلك عام 2016 في Case C-582/14، حيث اعتُبر عنوان ديناميكي يحتفظ به مُشغِّل موقع بيانات شخصية لأن مسارًا قانونيًا للوصول إلى المشترك كان قائمًا. كما يجب تبرير مدة الاحتفاظ أيضًا — إذ تنص Article 5(1)(e) على ألا تتجاوز المدة ما هو ضروري، و“أن الحزمة البرمجية جاءت مُعدَّة هكذا” ليس غرضًا مقبولًا.
• من يخترق الجهاز. إن أكثر من يُرجَّح أن يقرأ سجل الوصول لديك ليس محكمة على الإطلاق. فالسجلات نادرًا ما تكون مشفّرة، ونادرًا ما تُراقَب، وتكاد لا تُدرَج أبدًا في نموذج التهديد، وهي موجودة في مسار يمكن توقعه على كل خادم أُعدّ بالطريقة المعتادة.
• أي جهة تصل إليها نسخك الاحتياطية. فالنسخة المحفوظة خارج الموقع هي نسخة في شركة أخرى، تحت ولاية قضائية أخرى، وخاضعة لأدوات قانونية لم تطّلع عليها قط.

ولا شيء من ذلك استشارة قانونية، وهذه المنشأة ليست محاميك. إنه المنطق نفسه الخاص بالجرد، مُطبَّقًا على طرفك من الخط: فما لا يمكنك تقديمه لا يمكن مُطالبتك به، وكل ما عدا ذلك مسألة تتعلق بأي محكمة تسأل. أما كيف يجري ذلك على جانب الاستضافة فمشروح في ماذا يحدث فعليًا حين تطلب الشرطة من مضيف تسليم بيانات.

الاحتفاظ بأقل قدر ممكن دون أن تُصاب بالعمى

الدافع الفطري بعد قراءة كل هذا هو إيقاف التسجيل تمامًا، وهذه خطوة خاطئة: فالخادم الذي لا سجلات له لا يمكن تصحيح أخطائه، ولا يمكن تقييد معدل طلباته بشكل معقول، ولا يمكنه إخبارك بأنه يتعرض لاختراق الآن. الهدف ليس الصفر. بل الاحتفاظ بالجزء الذي يجيب عن سؤال تشغيلي، والتخلص من الجزء الذي لا يجيب إلا عن سؤال يخص شخصًا ما.

اثنان من هذه التغييرات الستة لا يكلّفان شيئًا البتة، ويلغيان معظم ما ورد في هذه الصفحة من مخاطر التعرّض. أما الأخير فهو ما لا يفكر فيه أحد، وهو السبب في أن التغييرات الخمسة الأخرى لا تفي بالغرض كاملًا.

الأطراف الثالثة التي تسجّل قرّاءك نيابة عنك

كل ما سبق يتعلق بملفات على جهاز تتحكم فيه أنت. لكن المتصفح الذي يحمّل صفحتك يفتح أيضًا اتصالًا بكل مصدر آخر تذكره الصفحة، وكل واحد من هذه المصادر يتلقى العنوان، ووكيل المستخدم، وعنوان إحالة يبيّن أيًا من صفحاتك كان يُقرأ — وذلك قبل الإجابة عن أي شريط موافقة، لأن الطلب يكون قد غادر بالفعل.

• خط يُقدَّم من جهة أخرى. سطر واحد في ورقة الأنماط يكفي لكشف هوية كل قارئ لكل صفحة إلى طرف ثالث، من أجل ملف كان بإمكانك استضافته في المجلد نفسه مع بقية الموقع.
• فيديو أو خريطة مضمَّنة. يُحمَّل بمجرد العرض، في كل صفحة يظهر فيها، سواء ضغط أحد زر التشغيل أم لا.
• أداة دردشة أو مدير وسوم. موجودة في كل صفحة بحكم التصميم، وقادرة على تحميل مزيد من الشيفرة التي لم تراجعها بنفسك.
• متتبع الأخطاء. أكثرها فائدة وأكثرها إفصاحًا: فهو موجود أصلًا ليرسل إليك حالة جلسة شخص آخر.
• شبكة CDN أمام الموقع بأكمله. هذا ليس حجة ضد استخدامها — فهي مقايضة معقولة — لكنها تظل شركة ترى كل طلب قبل أن تراه أنت، وتحتفظ بسجلاتها الخاصة، وتخضع لولايتها القضائية الخاصة.

استضافة العناصر الثلاثة الأولى ذاتيًا تستغرق عادةً عصرًا واحدًا من العمل، وتزيل من مراقبة الأطراف الثالثة أكثر مما يزيله أي إعداد على خادمك الخاص. وهي أيضًا الجزء الوحيد في هذه الصفحة الذي يحسّن ما يحصل عليه قرّاؤك فعلًا، لا ما قد تُلزَم بتقديمه فحسب، وهذا هو سبب البدء بها أولًا. أما القائمة المكافئة الموجَّهة نحو تعرّضك أنت لا تعرّض قرّائك ففي الأمور التسعة التي تكشف هوية موقع.

ما تستطيع هذه المنشأة فعله حيال ذلك، وما لا تستطيعه

رسم الحدود بصدق أجدى من أي طمأنة، فإليك الأمر من هذا الجانب.

• تُتلَف سجلات وصول HTTP الخاصة بنا بمؤقّت مدته أربع وعشرون ساعة، ولا يوجد سجل تاريخي للعناوين، ولا سجل لمكان تسجيل الدخول، ولا بصمة رقمية تنجو من ذلك. والقائمة الكاملة لما ينجو فعلًا منشورة في صورة جرد، ولا تتجاوز سبعة سجلات.
• ما يصل عبر إجراءات قانونية يُحصى في تقرير الشفافية، وما ينتج فعليًا عن أمر قانوني صحيح مكتوب سلفًا لا يُقرَّر في اللحظة نفسها.
• على خادم VPS أو خادم مخصص، توجد السجلات الموصوفة في هذه الصفحة داخل نظام التشغيل الخاص بك. نحن لا نقرأها، ولا نرسلها إلى أي مكان، ولا يمكننا أيضًا إعدادها نيابة عنك — فانفرادك بالخادم له وجهان، وهذا بالضبط هو المقصود منه.
• ما يمكننا تحمّله هو الطبقة التي تحتها: لا سجل هوية عند التسجيل، وتسوية على السلسلة فقط، وجهاز في ولاية قضائية اخترتها أنت بدلًا من تلك التي تقيم فيها الجهة المُصدرة لبطاقتك.

وهذه هي الجملة التي وُجدت هذه الصفحة من أجلها: أن تختار مضيفًا بناءً على ما يرفض الاحتفاظ به، ثم تحتفظ أنت بأسبوعين من الشيء نفسه، هو قرار خصوصية يُلغيه ملف إعداد واحد. والنصفان غير متكافئين في الجهد. فأحدهما استغرق أسبوعًا من القراءة، والآخر يستغرق عصرًا واحدًا فقط، ولم يكتمل إلا أحدهما.

مراجعة لسجلاتك الخاصة مدتها ساعة واحدة

لا شيء فيما يلي يحتاج إلى أداة عليك شراؤها، وكل خطوة تخبرك بشيء لم تخبرك به الخطوة التي قبلها.

1. اطبع سطرًا واحدًا من سجل الوصول الخاص بك، واقرأه بصوت عالٍ كما يقرأه شخص غريب، حقلًا حقلًا.
2. اسرد كل ملف داخل مجلد السجلات لديك، ثم ضع علامة على الملفات التي فتحتها خلال العام الماضي. أما غير المُعلَّمة فهي عبء خالص لا فائدة منه.
3. اقرأ إعدادات التدوير، ودوِّن عدد الأيام التي يحتفظ بها فعليًا، لا العدد الذي تتذكر أنك وافقت عليه.
4. استرجع نسخة الشهر الماضي الاحتياطية إلى مجلد مؤقت، وابحث فيها عن السجل الذي تعتقد أنه حُذف قبل أسبوعين.
5. ابحث في سجل الوصول لديك عن الكلمات token وreset وkey وsession وpassword. وكل ما تجده هو سر سبق أن كُتب على القرص، ويحتاج إلى تدوير لا إلى مجرد إصلاح.
6. افتح صفحتك الرئيسية ولوحة الشبكة في المتصفح مفتوحة، ودوِّن كل نطاق جرى الاتصال به وليس نطاقك أنت. فكل واحد منها شركة تحتفظ بقرّائك بحسب مدة احتفاظها الخاصة.
7. تحقق من الترويسة التي تحمل العنوان الحقيقي خلف الخادم الوسيط أو CDN لديك، وتأكد مما إذا كان الخادم الأصلي يدوّنها. فوجود CDN لا يمنع الخادم الأصلي من التسجيل؛ إنه فقط ينقل مكان الحقل.
8. افتح أحدث حدث في متتبع الأخطاء لديك، واحسب كم عدد التفاصيل الخاصة بقارئ حقيقي الموجودة في الحمولة.
9. حدِّد ثلاثة أرقام للاحتفاظ عن قصد — للأمان، وللتحليلات، وللنسخ الاحتياطية — ودوِّنها في مكان سيجده أي شخص يتعامل مع الخادم بعدك.
10. اكتب الجرد: ما الموجود، وأين، وإلى متى، وماذا ستقدّمه لو وصل أمر قانوني صحيح صباح الغد. وإذا كانت كتابة هذه الوثيقة تشعرك بعدم الارتياح، فهذه هي الساعة الأكثر فائدة في هذه القائمة.

الأسئلة التي يطرحها الناس فعليًا

كل سعر في هذا الكيان منشور بالكامل، في مكان واحد. اطّلع على الكتالوج بالكامل