مستقبل الهوية بلا كوكيز

كوكيز الطرف الثالث تحتضر أخيراً وفعلاً. قتلها Safari قبل سنوات، وتبعه Firefox، وأنهى Chrome استخدامها تدريجياً. أطّرت معظم التغطية ذلك بوصفه انتصاراً للخصوصية، وهو كذلك. لكنه كسر بهدوء أيضاً الكثير من الآليات المشروعة التي كانت تعمل على الكوكيز دون أن يفكّر فيها أحد ملياً — كشف الاحتيال، وتصفية البوتات، واستمرارية الجلسة، وتحليلات «هل هذا الزائر نفسه» الأساسية.

كانت غريزة الصناعة الأولى إيجاد شيء جديد يُخزَّن على جهاز المستخدم وتسميته بديلاً. وهذا درس خاطئ. لم تكن المشكلة في الكوكيز يوماً آلية التخزين؛ بل كانت المنطلق القائل إنك تعرّف شخصاً بزرع علامة عليه وقراءتها لاحقاً. تنطلق Tracio من منطلق مختلف تماماً: يمكنك فهم من يستخدم منتجاً دون تخزين أي شيء على جهازه على الإطلاق.

ماذا كانت الكوكيز تفعل فعلاً

كي تستبدل شيئاً، عليك أن تكون صادقاً بشأن ما كان يفعله. حملت الكوكيز بهدوء أربع مهام مختلفة على الأقل:

• كشف الاحتيال وإساءة الاستخدام — هل هذا الفاعل نفسه الذي جرّب للتو خمس بطاقات مسروقة؟
• تصفية البوتات — هل يوجد إنسان هنا أصلاً، أم متصفح بلا واجهة يشغّل سكربتاً؟
• استمرارية الجلسة — هل هذا الشخص نفسه الذي أضاف عنصراً إلى السلة قبل نقرتين؟
• التحليلات — كم عدد الزوار المتمايزين، العائدون مقابل الجدد؟

حين اختفت الكوكيز، انكسرت المهام الأربع دفعة واحدة، ومعظم الحلول «بلا كوكيز» لا تعالج سوى مهمة التحليلات. أما المشكلات الصعبة — الاحتيال والبوتات — فهي تحديداً الأكثر أهمية، لأن على الجانب الآخر خصماً يحاول بنشاط أن يهزمك.

الهوية من السلوك، لا من التخزين

تبني Tracio إشارتها من كيفية سلوك الجلسة والجهاز الذي تعمل عليه، لا من أي شيء تتركه وراءها. تغذّيها فئتان عريضتان من الإشارات.

الأولى سلوكية. يتفاعل الناس مع الشاشة بطرق متسقة على نحو لافت لدى الفرد، ويصعب تزييفها بإقناع على نحو لافت أيضاً: وتيرة الكتابة وإيقاعها، والأنماط الدقيقة لحركة الفأرة والتمرير، وكيف تصحّح خطأً، والتوقيت بين الإجراءات. لا يُخزَّن أي من هذا على الجهاز. بل يُلاحَظ في اللحظة ويُقيَّم في اللحظة.

والثانية خصائص الجهاز والبيئة — الإعدادات التي يكشفها المتصفح، مجمّعة في ملف تعريف. وهي بمفردها ضعيفة ويتشاركها مستخدمون كثيرون، لكنها بالاقتران مع السلوك تزداد حدّة بدرجة كبيرة.

القرار التصميمي الحاسم هو ما *لا* تفعله Tracio عمداً. فهي لا تبني ملف تعريف يتبع شخصاً من موقع إلى آخر. لا رسم بياني للهوية عبر المواقع، ولا معرّف مشترك يُباع لشبكات الإعلانات. تعيش الإشارة ضمن سياق شركة واحدة بعينها، تجيب عن أسئلة تلك الشركة وحدها — هل هذه الجلسة خطرة، هل هذا بوت، هل هذا المستخدم العائد الذي يدّعي أنه هو — ولا شيء أكثر من ذلك. وهذا ما يجعلها محترمة للخصوصية بحكم التصميم لا بحكم بيان صحفي. إنها متوافقة مع GDPR وCCPA جاهزة تماماً تحديداً لأنه لا يوجد تتبّع عبر المواقع بحاجة إلى التوفيق.

البوتات هي الاختبار الحقيقي

التحليلات تغفر الأخطاء؛ أما الاحتيال فلا. المكان الذي يجب أن تثبت فيه مقاربة بلا كوكيز جدارتها هو في مواجهة خصم، وأحدّ صورة لذلك الخصم هي البوت المتطور — متصفح بلا واجهة أو إطار أتمتة مبني خصيصاً ليبدو بشرياً.

هنا يتفوق السلوك على بصمة الجهاز. يستطيع البوت انتحال وكيل مستخدم، وتزييف دقة شاشة، وتدوير عناوين IP طوال اليوم. لكن ما يعجز عن تزييفه هو نسيج التفاعل البشري: التوقيت غير المنتظم قليلاً، ومسارات الفأرة غير المثالية، والتردد قبل النقر. الأنظمة القائمة على القواعد تنظر إلى ما *تدّعيه* الجلسة، وتُخدَع بسهولة. أما Tracio فتقيّم ما *تفعله* الجلسة حقاً، وهذه الدلائل أصعب تزويراً بكثير. تلك الأفضلية السلوكية هي ما يرفع دقة كشف البوتات إلى 99.2% في مواجهة حركة مرور مهندَسة لتمرّ كأنها حقيقية.

يعمل كشف الاحتيال بالطريقة نفسها، طبقةً أعلى. فبدل سماح/حظر ثنائي، تحصل كل جلسة على درجة خطورة مبنية من شذوذات سلوكية — نمط تفاعل لا يطابق المستخدم العائد الذي يدّعيها، أو إيقاع يبدو مكتوباً ببرنامج، أو عدم تطابق بين الجهاز والسلوك. تلك الدرجة هي الإشارة التي يتصرف بناءً عليها فريق مكافحة الاحتيال، وهي تلتقط الحسابات التي تجتاز كل فحص قائم على القواعد لأنه، على الورق، لا شيء فيها خاطئ.

كيف يبدو الدمج

رغم كل الآليات في الأسفل، فإن السطح الظاهر للمطور صغير عمداً. توفّر Tracio حزم SDK لـ JavaScript وPython وNode.js وGo، والحالة الشائعة هي استدعاء واحد يعيد تحديد الهوية، وحكماً على البوت، ودرجة خطورة معاً.

import { Tracio } from "@tracio/node";

const tracio = new Tracio(process.env.TRACIO_KEY);

const result = await tracio.evaluate({ sessionId, signals });
// {
//   returningUser: true,
//   isBot: false,
//   riskScore: 0.08   // 0 = trusted, 1 = hostile
// }

if (result.isBot || result.riskScore > 0.8) {
  return challenge();
}

يعود الرد في أقل من 100 مللي ثانية، وهو الرقم الذي يقرّر ما إذا كان هذا يمكن أن يقع في مسار تسجيل دخول أو دفع دون أن يصبح الجزء البطيء. ويعتمد التعرّف عبر الأجهزة على التقييم نفسه — إذ يُعرَف المستخدم العائد بكيفية سلوكه، فيصمد عبر متصفح جديد أو جهاز جديد، حيث لم تكن الكوكيز قادرة على ذلك أبداً.

البناء لعالم موجود بالفعل

الويب بعد الكوكيز لم يعد تنبؤاً؛ بل هو البيئة التي تطلق فيها منتجك اليوم. والفرق التي تتعامل مع ذلك بوصفه قصة خصوصية بحتة ستُفاجأ حين ترتفع معدلات الاحتيال لديها وتصبح حركة مرور البوتات غير مرئية. الإشارات التي حملتها الكوكيز لا تزال بحاجة إلى إجابة — لكنك ببساطة لم تعد قادراً على الإجابة عنها بتخزين شيء على المستخدم.

رهان Tracio أن السلوك أساس أفضل مما كان التخزين يوماً: أصعب في الانتحال، ومستحيل السرقة من جهاز لا يحمل شيئاً، وصادق بشأن الخصوصية لأنه لا يوجد فعلاً ما يتعقّب المستخدم أينما ذهب. وهذا ليس حلاً التفافياً لموت الكوكيز. بل هو ما كان ينبغي أن يكون الجواب منذ البداية.