يبدأ كل عميل جديد بالطريقة نفسها: ينشئ أحد أفراد فريقك حسابه، ثم يجب أن يخبره أحد بكلمة المرور. وفي الوكالة أو لدى مزود الخدمات المُدارة أو في فريق SaaS يرافق عملاءه خطوة بخطوة عند البدء، تتكرر هذه اللحظة عشرات المرات في السنة، ورسالة الترحيب التي تحمل بيانات الدخول من أكثر مصادر التسريب ثباتًا في هذا المجال.
مشاركة بيانات الدخول لمرة واحدة عند تهيئة العملاء تضع مكان تلك الرسالة رابطًا يُحذف نهائيًا عند فتحه أول مرة. والطريقة التالية تأخذ دقيقة لكل عميل، وتصلح لتسجيل الدخول الأول ولتعليمات التهيئة السرية على حد سواء، وتترك سجلًا يمكنك الرجوع إليه لاحقًا.
ما الذي تحمله رسالة الترحيب وما الذي لا تحمله؟
تجمع التهيئة نوعين من المعلومات، ففرزهما قبل أن تكتب أي شيء.
| يوضع في الرسالة العادية | يوضع في رابط لمرة واحدة |
|---|---|
| ملاحظة الترحيب، وموعد الاجتماع الأول، وجهة التواصل | كلمة المرور الأولى أو رمز الوصول |
| مقالات المساعدة العامة وعنوان URL لتسجيل الدخول | مفاتيح API، وأسرار webhook، ورموز التكامل |
| ما الذي سيتلقاه العميل ومتى | الإجراءات الداخلية، وعناوين URL الخاصة بالإدارة، وكل ما لا تريد أن يُعاد توجيهه |
| اسم المستخدم (وحده) | أي عبارة مرور أو رمز استرداد |
والقاعدة العملية: إذا كانت نسخة معاد توجيهها من الرسالة ستتيح لأحد أن يتصرف باسم العميل، فمكان ذلك السطر هو الرابط.
الطريقة خطوة بخطوة
- أنشئ حساب العميل بتسجيل دخول خاص به والدور الذي يحتاجه. وإذا كانت منصتك تدعم ذلك، فاجعل كلمة المرور الأولى مؤقتة حتى يضطر العميل إلى تغييرها عند أول تسجيل دخول.
- تحقق من جهة التواصل. استخدم الاسم والعنوان الواردين في الاتفاقية الموقعة أو في الاجتماع الأول. وإذا طُلبت بيانات الدخول من عنوان جديد، فتأكد هاتفيًا مع الشخص الذي تعرفه مسبقًا.
- أنشئ الرابط لمرة واحدة. الصق كلمة المرور وحدها في أداة الروابط السرية. يُشفَّر النص في متصفحك قبل تخزينه، وتُحذف النسخة المخزنة نهائيًا عند أول فتح، وتنتهي صلاحية الرابط في الوقت الذي تحدده إذا لم يفتحه أحد.
- اضبط انتهاء الصلاحية على المدة الفعلية. ساعة واحدة إذا كنت معه في مكالمة، و24 ساعة إذا كان سيفتحه لاحقًا. واجعل حد المشاهدات مرة واحدة.
- أضف عبارة مرور (في حساب Pro) إذا كان الوصول بصلاحيات الإدارة، وأرسلها برسالة نصية أو اقرأها له في المكالمة.
- أرسل الرابط في رسالة الترحيب مع اسم المستخدم وعنوان URL لتسجيل الدخول وسطر واحد يوضح أن الرابط يُفتح مرة واحدة وتنتهي صلاحيته في وقت محدد. فلا تحتوي الرسالة الآن على أي شيء يستطيع مهاجم استخدامه.
- تأكد من الوصول، لا من القيمة. اطلب من العميل تسجيل الدخول وتغيير كلمة المرور. وإذا أظهر الرابط أنه فُتح قبل أن يصل إليه العميل، فأعد تعيين بيانات الدخول وأرسل رابطًا جديدًا.
- سجّل التسليم: العميل، والحساب، ومن استلمه، ومتى، ومتى استُبدلت كلمة المرور المؤقتة. ولا تسجل كلمة المرور أبدًا.
ومن الأنماط التي نراها كثيرًا لدى مزودي الخدمات المُدارة: تُرسل كلمة مرور الإدارة المؤقتة في رابط مفعّل فيه الحذف بعد القراءة تنتهي صلاحيته بعد ساعة واحدة، مع عبارة مرور تُرسل برسالة SMS، ثم يُظهر سجل التدقيق في خطة Pro الدقيقة التي فتح فيها العميل الرابط. وهذا السجل هو الدليل حين يسأل العميل من كان لديه وصول ومتى.
كيف تشارك تعليمات التهيئة السرية برابط لمرة واحدة؟
بيانات الدخول هي الحالة الواضحة، لكن التهيئة تشمل أيضًا مواد ليست كلمات مرور ولا ينبغي مع ذلك أن يُعاد توجيهها: عنوان URL لوحدة تحكم الإدارة ورمز الوصول الأولي إليها، وخطوات ربط مزود الدفع لدى العميل بمفتاح فعلي، ودليل تشغيل للتكامل الذي تبنيه له، أو إجراء خاص بالعميل فيه تفاصيل داخلية.
شارك تعليمات التهيئة السرية برابط لمرة واحدة بالطريقة نفسها، مع ثلاثة تعديلات:
- اكتب التعليمات بالترتيب الذي سينفذها به العميل، مع ذكر البوابة أو التطبيق الرسمي في كل خطوة، حتى لا يحتاج إلى أسئلة متابعة بالبريد الإلكتروني يقتبس فيها المحتوى من جديد.
- أبقِ الأجزاء الدائمة خارج الرابط. فالرابط الذي يُحذف نهائيًا عند أول فتح لا يصلح لمرجع سيعود إليه العميل. ضع الدليل الدائم في بوابة العملاء أو مركز المساعدة لديك، واستخدم الرابط لمرة واحدة للجزء السري فقط: الرمز، أو المفتاح، أو عنوان URL الداخلي.
- أرفق ملفًا حين يكون المحتوى مستندًا. من حساب LinkPilot مسجَّل الدخول يمكنك إرفاق ما يصل إلى ثلاثة ملفات حجم كل منها 9 MB، تُشفَّر في متصفحك قبل الرفع وتُحذف بعد تنزيل واحد. وملف PDF بخطوات الإعداد الخاصة بالعميل يقع بسهولة ضمن هذا الحد.
أخبر العميل في الاجتماع الأول بمن سيرسل الرابط وبالموعد التقريبي، حتى لا يبدو رابط غير مألوف من نطاقك محاولة تصيّد، وحتى لا يفتحه على جهاز مشترك قبل أن يكون مستعدًا.
التوسع عبر عملاء كثيرين
تحتاج الوكالة التي لديها عملاء كثيرون إلى أن تصمد هذه الطريقة حين ينتقل العمل من مدير حساب إلى آخر.
- حساب لكل عميل، وبيانات دخول لكل شخص. فحسابات الدخول المشتركة من نوع «agency@» لا يمكن تدقيقها ولا إزالتها إزالة نظيفة. وتمنح خطط Agency في LinkPilot كل عميل مساحة عمل معزولة بأعضائها ونطاقها، فيكون الوصول لكل عميل على حدة من أساس التصميم.
- اضبط انتهاء الصلاحية افتراضيًا، لا حسب التقدير في كل مرة. تستقر معظم الفرق على 24 ساعة لروابط التهيئة وساعة واحدة للمكالمات المباشرة.
- احفظ السجل في نظام إدارة علاقات العملاء (CRM)، لا في سلسلة الرسائل: التاريخ، والمستلم، وأي بيانات دخول، ومتى استُبدلت.
- غيّر بيانات الدخول عند تغيّر جهة التواصل. حين تغادر جهة التواصل الرئيسية لدى العميل، ينتهي وصولها ويُعاد تعيين أي بيانات دخول تلقتها، حتى لو استمرت العلاقة مع العميل.
متى لا يكون الرابط الأداة المناسبة؟
الرابط لمرة واحدة يوصل قيمة مرة واحدة. وهو ليس مكانًا لتخزين أي شيء، ولا بديلًا عن التحكم السليم في الوصول. فإذا احتاج فريق العميل إلى وصول مستمر إلى بيانات دخول، فمكانها مدير كلمات مرور يملكه العميل. وإذا كانت منصتك تدعم دعوة العميل بالبريد الإلكتروني ليضع كلمة مروره بنفسه، فاستخدم ذلك واستغنِ عن تسليم بيانات الدخول تمامًا. الرابط مخصص للفجوة بين الحالتين، ولكل تهيئة توجد فيها هذه الفجوة اليوم.