انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
الامتثال والحوكمة

PCI DSS 6.4.3 و11.6.1: أمن النصوص البرمجية في صفحات الدفع

شرح المتطلبين 6.4.3 و11.6.1 في PCI DSS 4.0: جرد النصوص البرمجية والتفويض والسلامة وتنبيهات العبث، وكيف يساعد Cloudflare Page Shield.
بقلم Vigilbaseنُشر في
اقرأ الدليلمزيد من المواضيع

يحمي المتطلبان 6.4.3 و11.6.1 في PCI DSS صفحات الدفع في التجارة الإلكترونية من النصوص البرمجية المستخدمة في سرقة بيانات البطاقات (skimming). يشترط المتطلب 6.4.3 وجود طريقة للتأكد من أن كل نص برمجي في صفحة الدفع مفوَّض، وطريقة لضمان سلامته، وجردًا لجميع النصوص البرمجية مع مبرر مكتوب لكل منها. ويشترط المتطلب 11.6.1 وجود آلية لكشف التغيير والعبث تنبّه فريقك إلى أي تغييرات غير مصرح بها في ترويسات HTTP المؤثرة في الأمن وفي محتوى النصوص البرمجية لصفحات الدفع، كما يستقبلها متصفح المستهلك. كان المتطلبان من أفضل الممارسات حتى 31 مارس 2025، وأصبحا إلزاميين منذ ذلك التاريخ. ويمكن لميزة client-side security من Cloudflare، المعروفة سابقًا باسم Page Shield، أن تساعدك على استيفائهما، ويمكن لـVigilbase تشغيلها على حساب Managed Cloudflare.

ماذا يشترط المتطلبان 6.4.3 و11.6.1 في PCI DSS؟

وفق إرشادات مجلس معايير أمن صناعة بطاقات الدفع (PCI SSC)، صُمّم المتطلب 6.4.3 لمنع هجمات سرقة بيانات البطاقات قبل وقوعها، ويضمن المتطلب 11.6.1 رصد التغييرات غير المصرح بها وإطلاق التنبيهات بشأنها. ويركز المتطلبان معًا على أن تكون النصوص البرمجية في صفحات الدفع مفوَّضة ومفحوصة السلامة ومراقَبة من العبث، إلى جانب ترويسات HTTP المؤثرة في الأمن التي تحمي الصفحة.
1.التفويض (6.4.3): طريقة تؤكد أن كل نص برمجي في صفحة الدفع مفوَّض. وتوضح إرشادات PCI SSC أن التفويض يمكن أن يتم قبل إضافة النص البرمجي أو تغييره، أو في أقرب وقت ممكن بعد التغيير.
2.السلامة (6.4.3): طريقة تضمن سلامة كل نص برمجي. لا يفرض PCI DSS آلية بعينها، وتذكر إرشاداته Content Security Policy وSubresource Integrity على سبيل المثال.
3.الجرد (6.4.3): جرد لجميع النصوص البرمجية مع مبرر مكتوب، تجاري أو تقني، يوضح سبب الحاجة إلى كل منها. ويشمل النصوص البرمجية المحمّلة من بيئتك ومن أطراف ثالثة ورابعة.
4.كشف العبث (11.6.1): آلية تنبّه الموظفين إلى أي تعديل غير مصرح به، بما في ذلك مؤشرات الاختراق والتغييرات والإضافات والحذف، في ترويسات HTTP المؤثرة في الأمن وفي محتوى النصوص البرمجية لصفحات الدفع كما يستقبلها متصفح المستهلك.
5.التكرار (11.6.1): تعمل الآلية مرة أسبوعيًا على الأقل، أو بالتكرار الذي يحدده تحليل مخاطر موجَّه وفق المتطلب 12.3.1. ويوصي PCI SSC بالمراقبة المتكررة أو الآنية متى أمكن ذلك.
6.لا يطلب المتطلب 11.6.1 تثبيت برامج على أجهزة عملائك أو متصفحاتهم، بل يطلب كشف أي نشاط غير متوقع للنصوص البرمجية في الصفحات التي تقدمها.

متى أصبح المتطلبان 6.4.3 و11.6.1 إلزاميين؟

قدّم الإصدار PCI DSS v4.0، الصادر في مارس 2022، المتطلبين بوصفهما متطلبين جديدين يُعدّان من أفضل الممارسات حتى 31 مارس 2025. وأضاف الإصدار PCI DSS v4.0.1، وهو مراجعة محدودة صدرت في يونيو 2024، ملاحظات حول نطاق التطبيق على النصوص البرمجية في صفحات الدفع من دون تغيير ذلك التاريخ، وأُوقف العمل بالإصدار v4.0 في 31 ديسمبر 2024. ومنذ 31 مارس 2025 أصبح المتطلبان 6.4.3 و11.6.1 إلزاميين ويجب مراعاتهما بالكامل في أي تقييم لـPCI DSS. ويتوقع المتطلب 12.10.5 أيضًا أن تشمل خطة الاستجابة للحوادث لديك التنبيهات الصادرة عن آلية كشف التغيير والعبث في صفحات الدفع.

ما الصفحات والنصوص البرمجية المشمولة بالنطاق؟

يعتمد النطاق على طريقة جمع صفحة الدفع لديك لبيانات البطاقات. ويحدد الملحق الإرشادي الصادر عن PCI SSC في مارس 2025 الجهة المسؤولة عن كل نص برمجي.
1.إذا كنت تستضيف نموذج الدفع بنفسك، فأنت مسؤول عن كل نص برمجي في صفحات الدفع لديك. ويكون مزود خدمة الدفع مسؤولًا عن أي نصوص برمجية يضيفها لخدماته.
2.إذا كنت تضمّن نموذج مزود خدمة الدفع داخل إطار iframe، فإن الصفحة التي تتضمنه تبقى ضمن النطاق. أنت مسؤول عن النصوص البرمجية في تلك الصفحة الأم، والمزود مسؤول عن النصوص البرمجية داخل إطار iframe الخاص به.
3.عندما ينشئ نص برمجي إطار iframe أو ينفّذ إعادة توجيه، ينطبق المتطلبان 6.4.3 و11.6.1 على ذلك النص البرمجي.
4.في تطبيقات الصفحة الواحدة تبقى النصوص البرمجية في الذاكرة أثناء تنقل العملاء بين الواجهات، لذلك تنطبق المتطلبات على كل واجهة في التطبيق، لأن أيًا منها قد يؤثر في نموذج الدفع المضمَّن.
5.بالنسبة إلى التجار الذين يستخدمون حل 3-D Secure (3DS)، لا تحتاج النصوص البرمجية الخاصة بـ3DS إلى التحقق وفق المتطلب 6.4.3، أما أي نص برمجي يُشغَّل لغرض آخر فيحتاج إليه.
6.إذا تولى مزود خدمة الدفع جمع المدفوعات بالكامل، كأن يكون ذلك عبر رابط دفع على موقعه الإلكتروني، فلا يقع على التاجر أي التزام بموجب المتطلبين 6.4.3 و11.6.1.

ما الذي تغيّر بالنسبة إلى التجار الذين يستخدمون SAQ A؟

لا يتضمن نموذج SAQ A الخاص بالإصدار PCI DSS v4.0.1، في مراجعته r1، المتطلبين 6.4.3 و11.6.1. وبدلًا من ذلك، يجب على التاجر الذي تتضمن صفحته نموذج دفع مضمَّنًا من مزود خدمة دفع أن يؤكد أن موقعه غير معرّض لهجمات النصوص البرمجية التي قد تؤثر في أنظمة التجارة الإلكترونية لديه. وتوضح الأسئلة الشائعة رقم 1588 الصادرة عن PCI SSC أن التاجر يمكنه تأكيد ذلك إما باستخدام تقنيات مثل تلك الواردة في المتطلبين 6.4.3 و11.6.1، ينشرها التاجر أو طرف ثالث، وإما بالحصول على تأكيد من مزود خدمة الدفع الملتزم بـPCI DSS بأن الحل المضمَّن يحمي صفحة الدفع من هجمات النصوص البرمجية عند تطبيقه وفق التعليمات. ولا ينطبق هذا المعيار على التجار الذين يعيدون توجيه العملاء إلى المزود أو يسندون عمليات الدفع إليه بالكامل. ويحدد البنك المستحوذ أو علامات الدفع نموذج SAQ الذي تستخدمه، وتوضح الأسئلة الشائعة رقم 1331، المؤرخة في أغسطس 2026، أنه لا ينبغي استخدام معايير الأهلية في SAQ دليلًا لتحديد نطاق التطبيق في تقرير الامتثال (Report on Compliance) ما لم يوافقوا على ذلك.

ما الأدلة التي يبحث عنها المقيّمون؟

تتمثل الاختبارات المتوقعة للمتطلب 6.4.3 في فحص السياسات والإجراءات، ومقابلة الموظفين المسؤولين، وفحص سجلات الجرد، وفحص إعدادات الأنظمة. أما في المتطلب 11.6.1 فيفحص المقيّمون إعدادات النظام والتهيئة الخاصة بالآلية، وصفحات الدفع الخاضعة للمراقبة، ونتائج المراقبة، ويقابلون الموظفين المسؤولين، ويفحصون تحليل المخاطر الموجَّه إذا كنت تستخدمه. وتبدو حزمة الأدلة العملية على النحو التالي:
1.جرد للنصوص البرمجية لكل صفحة دفع وكل صفحة أم، مع مسؤول ومبرر تجاري أو تقني لكل نص برمجي.
2.سجلات توضح كيفية تفويض كل نص برمجي، بما في ذلك التغييرات التي اعتُمدت في أقرب وقت ممكن بعد حدوثها.
3.طريقة ضمان السلامة التي تستخدمها، مثل قائمة سماح في Content Security Policy أو قيم التجزئة أو Subresource Integrity أو مراقبة الصفحات، مع إعداداتها.
4.إعدادات كشف العبث، بما يوضح الصفحات وترويسات HTTP المؤثرة في الأمن التي تخضع للتقييم وعدد مرات تقييمها.
5.سجل التنبيهات وما اتُّخذ بشأن كل تنبيه، مع ربطه بخطة الاستجابة للحوادث لديك.
6.سياسات وإجراءات وأدوار ومسؤوليات موثقة للمتطلبين 6 و11، وتحليل المخاطر الموجَّه إذا كنت لا تُجري التقييم أسبوعيًا.

كيف تساعد client-side security من Cloudflare (سابقًا Page Shield)

غيّرت Cloudflare اسم Page Shield إلى client-side security في مارس 2026، وأصبحت سياسات Page Shield تُسمّى content security rules. وعند تفعيل المراقبة تضيف Cloudflare ترويسة Content-Security-Policy-Report-Only إلى عينة من استجابات HTML، فتُبلغ متصفحات الزوار عن النصوص البرمجية والاتصالات التي تحمّلها كل صفحة. وتحوّل Cloudflare هذه التقارير إلى قائمة بالنصوص البرمجية التي تعمل في صفحاتك. وتذكر صفحة Cloudflare الخاصة بـPCI DSS أنك تحتاج إلى Client-Side Security Advanced، وهو الإضافة التي كانت تُعرف سابقًا باسم Page Shield، للمساعدة في استيفاء المتطلبين 6.4.3 و11.6.1.
1.الجرد: مراقبة النصوص البرمجية متاحة في جميع الخطط. وتضيف خطة Business وما فوقها مراقبة الاتصالات وملفات تعريف الارتباط، وإسناد الصفحات الذي يوضح أين ظهر النص البرمجي أول مرة، وتنبيهات للموارد الجديدة والنطاقات الجديدة.
2.التفويض: مع Advanced تحوّل content security rules قائمة السماح لديك إلى ترويسات Content Security Policy. القاعدة ذات الإجراء Log تُبلغ عن المخالفات من دون حظر، وعند تحويلها إلى Allow تحظر الموارد غير الموجودة في القائمة. وتظهر التغييرات على سياسات Page Shield، التي أصبحت الآن content security rules، في سجلات التدقيق في Cloudflare.
3.السلامة: يضيف Advanced كشف تغييرات الشيفرة، وكشف النصوص البرمجية والاتصالات الخبيثة استنادًا إلى معلومات التهديدات والتعلّم الآلي. وتدعم content security rules مصادر التجزئة (hash) ولا تدعم قيم nonce.
4.التنبيهات: تُطلق تنبيهات الموارد الجديدة وتغييرات الشيفرة يوميًا، أو فورًا عند ضبطها بمرشّح منطقة، وتنبيهات النطاقات الجديدة كل ساعة. ويضيف Advanced تنبيهات الموارد الخبيثة. وتصل التنبيهات عبر البريد الإلكتروني أو webhooks أو خدمات الإشعار المتصلة.
5.ويتيح Advanced أيضًا ما يصل إلى خمس قواعد content security rules وأربع مهام Logpush.
6.ما يبقى على عاتقك: تصف وثائق Cloudflare مراقبة النصوص البرمجية والاتصالات وملفات تعريف الارتباط. ويشمل المتطلب 11.6.1 أيضًا ترويسات HTTP المؤثرة في الأمن، لذا اتفق مع المقيّم على طريقة كشف التغييرات في الترويسات. ويظل على أحدٍ ما أن يكتب مبرر كل نص برمجي وأن يتصرف حيال كل تنبيه.

كيف تشغّل Vigilbase ميزة client-side security نيابةً عنك

على حساب Managed Cloudflare يمكن لـVigilbase تفعيل client-side security، وبناء جرد النصوص البرمجية مع مطوريك، وتشغيل content security rules في وضع Log حتى تُفهم المخالفات، ثم تحويلها إلى Allow بموافقتك. ويجري التحقيق في تنبيهات النصوص البرمجية الجديدة وتغييرات الشيفرة والنصوص البرمجية الخبيثة، ويُظهر السجل التحقيق والإجراء المتخذ والتحقق منه. وتتبع التغطية الباقة التي تختارها: يعمل Core خلال ساعات العمل، بينما يعمل Priority وCritical على مدار الساعة طوال أيام الأسبوع. وإذا اشتريت Cloudflare Enterprise عبر Vigilbase، فأدرج Client-Side Security Advanced ضمن نطاق الترخيص، ويؤكد العرض ذلك.

المسؤولية وملاحظة قانونية

لا تجعل Vigilbase مؤسستك ملتزمة بـPCI DSS، وليست المقيّم الخاص بك. إنها تساعدك على تشغيل الضوابط وإعداد الأدلة للمتطلبين 6.4.3 و11.6.1. يلخص هذا الدليل منشورات PCI SSC وCloudflare كما كانت متاحة في أكتوبر 2026. وهو ليس استشارة قانونية أو استشارة امتثال: فالمقيّم الأمني المعتمد (Qualified Security Assessor) أو البنك المستحوذ أو علامات الدفع هي التي تحدد كيفية تطبيق PCI DSS عليك.

أبرز النقاط

✓يتطلب المتطلب 6.4.3 التفويض والسلامة وجردًا مبررًا لكل نص برمجي يعمل في صفحة الدفع.
✓يتطلب المتطلب 11.6.1 تنبيهات بشأن التغييرات غير المصرح بها في ترويسات HTTP المؤثرة في الأمن وفي النصوص البرمجية لصفحات الدفع، مرة أسبوعيًا على الأقل أو بالتكرار الذي يحدده تحليل مخاطر موجَّه.
✓أصبح المتطلبان إلزاميين منذ 31 مارس 2025، وتضمين إطار iframe لمزود خدمة الدفع لا يُخرج الصفحة الأم من النطاق.
✓تساعد client-side security من Cloudflare، المعروفة سابقًا باسم Page Shield، في استيفاء هذين المتطلبين عندما يكون لديك Client-Side Security Advanced.
✓تُنتج الأدوات الأدلة، لكن فريقك يظل مسؤولًا عن تبرير كل نص برمجي واعتماد التغييرات والتصرف حيال التنبيهات.

المصادر

احصل على فحص Cloudflare مجاني

تقييم من A إلى F لحساب Cloudflare الخاص بك في نحو دقيقتين. وصول للقراءة فقط: سجّل الدخول عبر Cloudflare، ويُلغى الوصول عند انتهاء الفحص. التقييم والنتائج المجانية بلا تكلفة، أما التقرير الكامل فترقية اختيارية.

شغّل الفحص المجاني

حلول ذات صلة

خدمات Vigilbase المرتبطة بهذا الدليل

باقات Managed Cloudflare

اعرف المزيد

Cloudflare WAF المُدار

اعرف المزيد

أسعار Cloudflare وخططها

اعرف المزيد

فاحص ترويسات أمن HTTP

اعرف المزيد

الأمن السيبراني للتجارة الإلكترونية والتجزئة

اعرف المزيد

الأسئلة الشائعة

ماذا يشترط المتطلب 6.4.3 في PCI DSS؟

يشترط المتطلب 6.4.3 في PCI DSS إدارة كل نص برمجي في صفحة الدفع يُحمَّل ويُنفَّذ في متصفح المستهلك بثلاث طرق: طريقة تؤكد أن كل نص برمجي مفوَّض، وطريقة تضمن سلامة كل نص برمجي، وجرد لجميع النصوص البرمجية يسجل مبررًا مكتوبًا لسبب الحاجة إلى كل منها.ينطبق على النصوص البرمجية المحمّلة من بيئتك ومن أطراف ثالثة ورابعة. ويفحص المقيّمون سياساتك وإجراءاتك وسجلات الجرد وإعدادات الأنظمة، ويقابلون الأشخاص المسؤولين.كيف يعمل جدار حماية تطبيقات الويبدليل عملي لحماية المواقع

ماذا يشترط المتطلب 11.6.1 في PCI DSS؟

يشترط المتطلب 11.6.1 في PCI DSS وجود آلية لكشف التغيير والعبث تنبّه الموظفين إلى أي تعديل غير مصرح به في ترويسات HTTP المؤثرة في الأمن وفي محتوى النصوص البرمجية لصفحات الدفع، كما يستقبلها متصفح المستهلك. ويجب أن تعمل مرة أسبوعيًا على الأقل، أو بالتكرار الذي يحدده تحليل مخاطر موجَّه.ينبغي أن تحدد خطة الاستجابة للحوادث لديك طريقة الاستجابة لتنبيهاتها. ويوصي PCI SSC بالمراقبة المتكررة أو الآنية متى أمكن، لأن التغيير الخبيث قد يمر دون أن يُلاحَظ بين عمليات الفحص.فاحص ترويسات أمن HTTPتشغيل WAF المُدار وإدارة التغيير

هل ينطبق المتطلبان 6.4.3 و11.6.1 إذا كنا نستخدم إطار iframe لمزود خدمة دفع؟

نعم، على الصفحة التي تتضمن إطار iframe. أنت مسؤول عن النصوص البرمجية في تلك الصفحة الأم، والمزود مسؤول عن النصوص البرمجية داخل إطار iframe الخاص به. وإذا كنت تتحقق من الامتثال باستخدام SAQ A، فإنك تؤكد بدلًا من ذلك أن موقعك غير معرّض لهجمات النصوص البرمجية التي قد تؤثر في أنظمة التجارة الإلكترونية لديك.تسمح الأسئلة الشائعة رقم 1588 الصادرة عن PCI SSC للتاجر الذي يستخدم SAQ A بتأكيد ذلك بتقنيات مثل تلك الواردة في المتطلبين 6.4.3 و11.6.1، أو بتأكيد من مزود خدمة الدفع الملتزم بـPCI DSS. ويحدد البنك المستحوذ أو علامات الدفع نموذج SAQ المطبَّق.فحص أمان المواقعدليل عملي لحماية المواقع

هل يكفي Cloudflare Page Shield لاستيفاء PCI DSS 4.0؟

تذكر Cloudflare أن client-side security، المعروفة سابقًا باسم Page Shield، يمكن أن تساعد في المتطلبين 6.4.3 و11.6.1 إذا كان لديك Client-Side Security Advanced. لكنها لا تستوفيهما وحدها: فما زال عليك تبرير كل نص برمجي، واعتماد التغييرات، وتغطية ترويسات HTTP المؤثرة في الأمن، والاستجابة للتنبيهات، والمقيّم هو من يقرر ما إذا كانت الأدلة كافية.شرح ترخيص Cloudflare EnterpriseCloudflare Enterprise مع Vigilbase

هل يمكن لـVigilbase تشغيل client-side security من Cloudflare نيابةً عنا؟

نعم، ضمن باقة Managed Cloudflare. يمكن لـVigilbase تفعيلها، وبناء جرد النصوص البرمجية مع مطوريك، وتحويل content security rules من Log إلى Allow بموافقتك، والتحقيق في التنبيهات، مع سجل للإجراء المتخذ والتحقق منه.يغطي Core ساعات العمل، بينما يعمل Priority وCritical على مدار الساعة طوال أيام الأسبوع. ولا تجعل Vigilbase مؤسستك ملتزمة بـPCI DSS ولا تحل محل المقيّم الخاص بك.قارنوا Core وPriority وCriticalالتغطية والتزامات الاستجابة للحوادث

مواضيع ذات صلة

أمن الشبكات

ما WAF؟

أمن الشبكات

احمِ موقعك

أمن الشبكات

خدمات WAF المُدارة

الامتثال والحوكمة

الامتثال لـDORA

ابدأ الآن

هل أنت مستعد لتحسين أمنك؟

يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.
ابدأ الآن واصل التعلّم