ي 23 أغسطس 2026، أصدر البنك المركزي المصري (CBE) اللوائح المنظمة لخدمات منصة الهوية الرقمية المالية، وهي الدليل التنظيمي لفتح الحسابات المصرفية والتحقق من العملاء عن بُعد (eKYC). وبالنسبة للتحقق من SMS، فإن القاعدة الأساسية موجزة: يجب على البنك الذي يتحقق من العملاء عبر تطبيقه الخاص تأكيد ملكية العميل لرقم الهاتف المحمول وحيازته له، وذلك عبر إرسال رسالة نصية تحتوي على رمز التحقق لمرة واحدة (OTP) (OTP). أما قواعد المحفظة CBE القديمة، والتي لا تزال منشورة، فتنص على أنه يجب ألا تقوم SMS بتسليم العامل الثاني للإجراءات عالية المخاطر. يوضح هذا الدليل ما تنص عليه كل قاعدة وكيف تقترح BroadNet على البنوك والمحافظ وشركات التكنولوجيا المالية المصرية تصميم OTP بناءً عليها.
يلخص هذا الدليل النصوص التنظيمية العامة حتى تاريخ 10 أكتوبر 2026. هذه معلومات عامة وليست استشارة قانونية — يرجى التأكد من التزاماتكم لدى البنك المركزي المصري، أو NTRA، أو PDPC، أو مستشاركم القانوني قبل الاعتماد عليها.
النتائج الرئيسية
- وافق مجلس إدارة CBE على لوائح الهوية الرقمية المالية (DFI) في 17 يونيو 2026؛ وقد أرسل تعميم بتاريخ 23 أغسطس 2026 هذه اللوائح إلى البنوك. وتطبق هذه اللوائح على جميع البنوك في مصر، والكيانات المرخصة التي قد تنضم إلى المنصة، والوكلاء المصرفيين المعتمدين من CBE.
- يجب على البنك الذي يتحقق من العملاء عبر تطبيقه الخاص التأكد من حيازة رقم الهاتف المحمول "عبر إرسال رسالة نصية تحتوي على رمز التحقق لمرة واحدة (OTP) (OTP)"، ثم الربط (bind) لشهادة DFI بالجهاز.
- تعتمد المنصة المصادقة عبر أربع آليات: شهادة DFI المرتبطة بالجهاز، و OTP، ورمز PIN عالمي مكون من ستة أرقام، والمقاييس الحيوية (biometrics).
- يمكن للمنصة أن تحل محل التوقيع اليدوي في المعاملات غير المالية؛ أما المصادقة على المعاملات المالية فتتطلب موافقة CBE منفصلة.
- تتطلب قواعد الدفع عبر الهاتف المحمول الخاصة بـ CBE (أبريل 2021) عاملين للمصادقة في إجراءات المحفظة عالية المخاطر، وتنص على أنه يجب عدم إرسال OTP تلقائياً ومباشرة عبر SMS أو البريد الإلكتروني لهذه الإجراءات. وتظل SMS هي القناة المعتمدة للتنبيهات.
- وفقاً لـ PDPC، فإن البيانات التي تحتفظ بها CBE والكيانات التي تشرف عليها تقع خارج نطاق قانون حماية البيانات، باستثناء شركات تحويل الأموال ومكاتب الصرافة.
ماذا أصدر البنك المركزي المصري في أغسطس 2026؟
ذكر إصدار CBE الصادر في 23 أغسطس 2026 أن مجلس إدارته وافق على "اللوائح المنظمة لخدمات منصة الهوية المالية الرقمية (DFI) لتحديد هوية عملاء البنوك والتحقق من هوياتهم إلكترونياً (eKYC)"؛ ويسجل التعميم المغطي موافقة المجلس في 17 يونيو 2026. وصرح المحافظ حسن عبد الله بأن المنصة تتيح للمواطنين فتح الحسابات والحصول على المنتجات المصرفية عبر القنوات الرقمية دون الحاجة لزيارة الفرع، مع القبول الإلكتروني للشروط والمصادقة الإلكترونية "كبديل للتوقيعات اليدوية".
تغطي القواعد eKYC (تحديد الهوية، والتحقق منها، وتحديثات الهوية)، والمصادقة الإلكترونية على المعاملات، وأوامر الدفع والتحويل وقبول الشروط، ومشاركة DFI العميل بين المشاركين. وتُدار المنصة داخل مصر من قبل شركة الهوية المالية الرقمية، "Haweya"، التي تقرأ بيانات الهوية الوطنية من خلال مصادر موثوقة مثل مصلحة الأحوال المدنية، بالإضافة إلى قراءة شريحة NFC وتقنية الكشف عن الحيوية. وذكر تعميم أغسطس أن وحدة مكافحة غسل الأموال (EMLCU) ستصدر إجراءات تحديد الهوية الإلكترونية؛ ويذكر تعميم CBE الصادر في 28 سبتمبر 2026 أن EMLCU وافقت على الإصدار الأول منها في ذلك الشهر. ولم تحدد أي من هذه النصوص موعداً نهائياً منفصلاً للامتثال.
أين تظهر SMS OTP في لوائح DFI؟
| البند (لوائح DFI) | ما تنص عليه | ما يعنيه ذلك لـ OTP |
|---|---|---|
| 4، الثاني، 2.1 | يجب على البنك الذي يستخدم تطبيقاته الخاصة التحقق من أن رقم الهاتف المحمول يخص العميل وأنه في حوزته من خلال SMS يحتوي على OTP | يُعد SMS OTP فحصاً لإثبات الملكية عند التسجيل — ويجب أن يصل إلى الرقم المسجل أول مرة |
| 4, Second, 2.2 | ثم يتم إصدار شهادة DFI والربط (bind) بينها وبين أجهزة وتطبيقات العميل | تعتمد عمليات تسجيل الدخول الروتينية على الجهاز المرتبط؛ ويصبح SMS هو قناة الاسترداد وإعادة الربط (re-binding) |
| 5, item 7.2 | يوفر Haweya أربع آليات: شهادة DFI على التطبيق والجهاز نفسه، وOTP، ورمز PIN العالمي، والمقاييس الحيوية (biometrics) | يُعد OTP عاملاً واحداً من أربعة، وليس النموذج بأكمله |
| 4, First, 7 | إخطار العميل باكتمال إنشاء DFI عبر أكثر من طريقة واحدة | إقران تأكيد SMS مع إشعار داخل التطبيق أو عبر البريد الإلكتروني |
| 4, Fifth, 1 | راقب محاولات تسجيل الدخول الفاشلة المتكررة ومحاولات المصادقة غير الصحيحة في فترة زمنية قصيرة؛ واتصل بالعميل فوراً | سجّل كل محاولة OTP وأرسل تنبيهات عند حدوث موجات من الإخفاقات |
الضوابط المحيطة صارمة أيضاً: الكشف عن الـ root والـ jailbreak وتثبيت الشهادة (certificate pinning) في التطبيق، وإخطار CBE بالحادثة خلال ست ساعات، وإخطار مسبق قبل 48 ساعة في حال الانقطاعات المخطط لها، و— قبل الإطلاق — اختبارات الاختراق، وتقرير SOC 2 من النوع 1 (النوع 2 خلال ستة أشهر)، وتقييم أثر الخصوصية.
هل SMS OTP كافٍ للمدفوعات في مصر؟
لا ينطبق هذا على كل الإجراءات. تحدد لوائح خدمات الدفع عبر الهاتف المحمول الصادرة عن CBE (الطبعة الثالثة، أبريل 2021) الأنشطة عالية المخاطر، والتي تشمل أوامر الدفع لعدة مستفيدين في آن واحد، والأوامر المعفاة من سقف التحويل، وتغيير بيانات الاتصال. وبالنسبة لهذه الأنشطة، يجب على البنوك استخدام وسيلتين معاً، ويُحظر منح رموز التحقق لمرة واحدة (OTP) "تلقائياً ومباشرة" عبر SMS أو البريد الإلكتروني؛ كما يجب أن تتكون رموز OTP من أجهزة الرموز (token devices) أو التطبيقات من ستة رموز على الأقل، وأن تكون صالحة لمدة لا تتجاوز 90 ثانية. أما المعاملات الأخرى، فيتم إعادة التحقق منها باستخدام رمز PIN مكون من ستة أرقام على الأقل، مع السماح بحد أقصى لخمس محاولات فاشلة قبل التعليق. ولا تزال SMS تؤدي دوراً محدداً: حيث يجب على البنوك تنبيه مستخدمي المحفظة إلى المعاملات والأنشطة عالية المخاطر عبر SMS أو البريد الإلكتروني ما لم يختاروا إلغاء الاشتراك، ولا يمكن إنشاء أمر دفع عبر SMS، رغم إمكانية استخدام SMS لتأكيد الأمر.
تتطلب قواعد شبكة الدفع اللحظي (IPN) الصادرة في أكتوبر 2021 عاملين لكل عملية دفع IPN: الربط (bind) القوي للهاتف (بصمة الجهاز بالإضافة إلى الرقم) ورمز PIN مكون من ستة أرقام IPN، مع التعامل مع OTP داخل المكتبة الآمنة للشبكة فقط. ويجب على البنوك إخطار العملاء بالمعاملات "من خلال الرسائل النصية أو أي وسيلة أخرى معتمدة". وتمنح قواعد ترميز البطاقات (card-tokenization) الصادرة عن CBE في مارس 2023 SMS OTP للهاتف المسجل لدى البنك كوسيلة للتحقق من حامل البطاقة.
| لحظة في رحلة العميل | دور SMS في رسائل CBE النصية | المصدر |
|---|---|---|
| إجراء eKYC في تطبيق البنك الخاص | متطلب: SMS OTP يثبت حيازة الرقم | لوائح DFI لعام 2026، 4-Second-2.1 |
| فتح محفظة لعميل حالي | يجب على البنك تأكيد ملكية الرقم أو حيازته | قواعد الدفع عبر الهاتف المحمول 2021، 3-3-20 |
| إضافة بطاقة إلى محفظة الجهاز | يُعد SMS OTP إلى الهاتف المسجل مثالاً على إحدى الطرق | قواعد الترميز 2023، 3-2-5 |
| إجراء عالي المخاطر على المحفظة | عاملان؛ OTP لا تُرسل تلقائياً ومباشرة بواسطة SMS أو البريد الإلكتروني | قواعد الدفع عبر الهاتف المحمول 2021، 3-4-5-1 |
| دفع IPN | الربط (bind) بالجهاز + رمز PIN الخاص بـ IPN | قواعد IPN لعام 2021، من 4-7 إلى 4-9 |
| تنبيهات المعاملات | SMS مُسمّى كقناة | قواعد الدفع عبر الهاتف المحمول 3-6-8؛ قواعد IPN 3-1-9 |
تقوم SMS بإثبات الرقم، والربط (bind) بالجهاز، وإبقاء العميل على اطلاع؛ وتعتمد أقوى الإجراءات على الجهاز بالإضافة إلى رمز PIN أو القياسات الحيوية. نقارن بين الإمارات والهند والفلبين في هل تم حظر SMS OTP؟.
ماذا تعني قواعد NTRA بالنسبة لرسائل OTP إلى مصر؟
تمنح الجهاز القومي لتنظيم الاتصالات (NTRA) تراخيص لخدمات SMS بالجملة بموجب إطار عمل خدمات القيمة المضافة للهاتف المحمول، والذي يحدد فئة "SMS بالجملة (من واحد إلى واحد)" — وهي الفئة التي تندرج تحتها OTP. يجب على المرخص لهم إظهار اسم الجهة المرسلة في كل رسالة، مسبوقاً بكود تم ضبطه عبر NTRA؛ وإخطار NTRA باسم كل عميل ومعرّف المُرسِل الخاص به قبل التعاقد؛ والتأكد من وجود المُرسِل داخل مصر؛ وعدم توجيه الرسائل الدولية إلى مصر دون الحصول على موافقة كتابية مسبقة من NTRA. لذا، تحتاج OTP البنك إلى معرّف مُرسِل مسجل يحمل اسم البنك، ويتم إرسالها عبر قناة محلية مرخصة.
تدرج صفحة تغطية مصر الخاصة بـ BroadNet خدمات إنهاء الحركة المرخصة مع الربط (bind) المباشر مع Vodafone Egypt وOrange Egypt وe& Egypt وWE، وتسجيل معرّفات المُرسِلين خلال 7–14 يوم عمل؛ تتوفر الأوراق المطلوبة في دليل A2P SMS مصر وتسجيل معرّف المُرسِل في مصر. ومن جانب المشغّل، يقوم e& Egypt بتشغيل جدار حماية A2P الخاص بـ BroadNet ضد المسارات الرمادية. وتضيف قواعد المحفظة الخاصة بـ NTRA أنه لا يمكن لكل رقم فتح سوى محفظة واحدة، ولا تكتمل أي عملية دون رمز PIN الخاص بالعميل، لذا فإن رقم الهاتف هو هوية المحفظة — تحقق من عمليات تبديل SIM والأرقام المعاد تدويرها (التحقق من الرقم وتبديل API SIM).
كيف يتعامل قانون حماية البيانات في مصر مع حركة رسائل OTP؟
أصبح للقانون رقم 151 لسنة 2020 الآن لوائح تنفيذية، والتي يستشهد بها مركز حماية البيانات الشخصية (PDPC) باعتبارها اللائحة التنفيذية رقم 816 لسنة 2025. تدرج PDPC "البيانات الشخصية التي يحتفظ بها البنك المركزي المصري والكيانات الخاضعة لإشرافه ورقابته، باستثناء شركات تحويل الأموال ومكاتب الصرافة" ضمن الاستثناءات، لذا تتبع البنوك قواعد بيانات CBE مثل ضوابط DFI؛ أما ما إذا كانت شركات التكنولوجيا المالية (fintech) تقع ضمن هذا الاستثناء، فهي مسألة قانونية تتطلب استشارة قانونية. وحيثما ينطبق القانون، فإن الضرورة التعاقدية تعد أساساً قانونياً — أي ملاءمة الكود الذي طلبه المستخدم — بينما تتطلب التسويقات موافقة صريحة، وإمكانية إلغاء الاشتراك بحرية، وربما ترخيص تسويق إلكتروني. ويجب إبلاغ PDPC عن أي خروقات خلال 72 ساعة، وتتطلب عمليات النقل إلى الخارج ترخيصاً أو تصريحاً من PDPC، لذا اسأل الموردين عن مكان تخزين سجلات الرسائل (توطين البيانات).
كيف ينبغي للبنوك والمحافظ المصرية تصميم OTP؟
توصيات BroadNet للالتزام بهذه القواعد:
- استخدم OTP SMS للتحقق من حيازة المستخدم عند التسجيل، ثم قم بالربط (bind) للجهاز؛ واحتفظ بـ SMS لعمليات الاسترداد وإعادة الربط.
- بالنسبة لعمليات المحفظة عالية المخاطر، استخدم كوداً داخل التطبيق أو رمزاً (token) بالإضافة إلى عامل ثانٍ، ثم أرسل تنبيهاً عبر SMS.
- قم بتسجيل معرّف مُرسِل OTP مخصص باسم علامتك التجارية، منفصلاً عن الرسائل التسويقية، عبر مسارات محلية مرخصة.
- ضع الكود في البداية. تستخدم اللغة العربية UCS-2، لذا فإن الـ SMS الواحدة تستوعب 70 حرفاً وليس 160 (دليل الترميز)؛ وأضف سطر التعبئة التلقائية.
- استخدم مدة صلاحية قصيرة، وعدد محاولات محدود، وسجلات كاملة لعمليات الإرسال وإيصالات التسليم (DLR) وعمليات التحقق — حيث تتطلب قواعد DFI مراقبة عمليات المصادقة الفاشلة.
- إذا لم يصل إيصال التسليم (DLR) خلال الفترة المحددة، أعد المحاولة مرة واحدة عبر مسار آخر، ثم قدم OTP الصوتي؛ ولا تقم بإعادة الإرسال بشكل مستمر.
- تحقق من عمليات تبديل SIM قبل الإرسال إلى رقم تم تغييره مؤخراً (احتيال تبديل SIM).
- قم بتغذية مقاييس OTP في عمليات الاحتيال والحوادث (دليل مراقبة OTP للبنوك).
تغطي OTP API الخاصة بـ BroadNet هذا النمط: SMS مع خاصية الرجوع إلى قناة أخرى عبر الصوت تلقائياً عند عدم عودة إيصال التسليم (DLR)، ومعالجة معرّف المُرسِل لكل وجهة، وإيصالات التسليم (DLR) عند كل محاولة. تبدأ أسعار القائمة في مصر من $0.028 لكل SMS على e& Egypt (Etisalat Misr)، و$0.030 على Vodafone Egypt، و$0.032 على Orange Egypt، و$0.035 على WE (تسعير SMS في مصر)؛ وللاستفسارات المتعلقة بالمزودين، راجع أفضل مزود SMS في مصر.
تقدم BroadNet خدمات رسائل بمستوى المشغّلين منذ عام 2003، مع أكثر من 1,000 اتصال مباشر مع المشغّلين، واتفاقية مستوى خدمة (SLA) بنسبة 99.99% وSOC 2 من النوع الثاني. اطلب صلاحية الوصول للاختبار وسيقوم مهندس بالرد عليك خلال يوم عمل واحد؛ وعادة ما يستغرق التكامل من 2 إلى 5 أيام عمل، مع إجراء عملية الموافقة على معرّف المُرسِل بالتوازي.
الأسئلة الشائعة
ما هي منصة الهوية المالية الرقمية CBE؟
المنصة المعتمدة من CBE لإنشاء الهوية المالية الرقمية للعملاء والتحقق من هوية العملاء إلكترونياً (eKYC)، وتديرها داخل مصر شركة الهوية المالية الرقمية، Haweya. وقد صدرت قواعدها في منشور CBE بتاريخ 23 أغسطس 2026.
هل تتطلب قواعد eKYC الخاصة بـ CBE SMS OTP؟
نعم، في حالة واحدة: يجب على البنك الذي يتحقق من الهوية عبر تطبيقاته الخاصة تأكيد حيازة رقم الهاتف المحمول باستخدام SMS OTP قبل عملية الربط (bind) لشهادة DFI بالجهاز. كما تُعد OTP إحدى آليات المصادقة الأربع في المنصة.
من الذي يجب عليه الامتثال للوائح DFI؟
جميع البنوك العاملة في مصر، والكيانات المرخصة المؤهلة للانضمام إلى المنصة، والوكلاء المصرفيين المعتمدين من CBE. وتُعد هذه القواعد حداً أدنى بالإضافة إلى قواعد الخدمات المصرفية الإلكترونية، ومكافحة غسل الأموال وتمويل الإرهاب (AML/CFT)، وقواعد المخاطر التشغيلية الخاصة بـ CBE.
هل يمكن لمنصة DFI المصادقة على المدفوعات؟
يجوز للبنوك استخدامها في المعاملات غير المالية بدلاً من التوقيع اليدوي. أما المصادقة على المعاملات المالية فتتطلب موافقة إضافية من CBE والامتثال لضوابط المصادقة الإلكترونية الخاصة بها.
هل يمكن للمحافظ الإلكترونية في مصر استخدام SMS OTP لإجراء التحويلات؟
ليس للإجراءات عالية المخاطر مثل دفع مستحقات عدة مستفيدين في وقت واحد؛ حيث تتطلب قواعد الدفع عبر الهاتف المحمول لعام 2021 وجود عاملين للمصادقة، وتمنع إرسال تلك الـ OTP تلقائياً ومباشرة عبر SMS أو البريد الإلكتروني. أما المعاملات الأخرى فتستخدم رمز PIN، وتتولى SMS إرسال التنبيهات.
هل تنطبق PDPL في مصر على بيانات OTP الخاصة بالبنوك؟
وفقاً لـ PDPC، فإن البيانات التي تحتفظ بها CBE والكيانات التي تشرف عليها تقع خارج نطاق PDPL، باستثناء شركات تحويل الأموال ومكاتب الصرافة. وتخضع هاتان الفئتان، والشركات التي تعمل خارج إشراف CBE، لأحكام القانون.
هل تحتاج رسائل OTP المرسلة إلى مصر إلى معرّف مُرسِل مسجل؟
نعم. يتطلب إطار عمل NTRA إدراج اسم المُرسِل في كل رسالة، كما يجب إخطار NTRA بمعرّف المُرسِل قبل التعاقد مع العميل.
هل يمكن للمسارات الدولية إرسال OTP إلى مصر؟
لا يمكن ذلك بدون موافقة: لا يجوز للمرخص لهم NTRA إدخال رسائل دولية إلى مصر دون الحصول على موافقة خطية مسبقة من NTRA. استخدم مزوداً يقوم بإنهاء الحركة عبر قنوات محلية مرخصة.
لقد قرأنا كل نص أدناه في 10 أكتوبر 2026 عبر الموقع الإلكتروني الخاص بالجهة التنظيمية؛ وقد قُرئت النصوص المكتوبة باللغة العربية فقط باللغة العربية. اطلع على معاييرنا التحريرية ولوائح SMS في مصر.
المصادر
- بيان صحفي حول لوائح eKYC — CBE، 23 أغسطس 2026: cbe.org.eg.
- صفحة الهوية المالية الرقمية CBE، تم التحديث في 23 أغسطس 2026: cbe.org.eg.
- لوائح DFI — CBE، النص باللغة الإنجليزية: cbe.org.eg.
- CBE — تعميم 23 أغسطس 2026 بشأن قواعد DFI (باللغة العربية): cbe.org.eg.
- البنك المركزي المصري (CBE) — كتاب دوري بتاريخ 28 سبتمبر 2026 بشأن التعرف على هوية عملاء البنوك (بالعربية)، قائمة الكتب الدورية: cbe.org.eg.
- CBE — قواعد خدمات الدفع عبر الهاتف المحمول، الطبعة الثالثة، أبريل 2021 (باللغة العربية): cbe.org.eg.
- CBE — قواعد شبكة الدفع الفوري، أكتوبر 2021: cbe.org.eg.
- CBE — منشور ترميز البطاقات، 8 مارس 2023 (باللغة العربية): cbe.org.eg.
- NTRA — إطار خدمات الهاتف المحمول ذات القيمة المضافة (tra.gov.eg، PDF) والقواعد التنظيمية للمحافظ الإلكترونية (tra.gov.eg)، تم الدخول إليها في 10 أكتوبر 2026.
- PDPC — الأسئلة الشائعة حول القانون رقم 151 لسنة 2020 واللائحة التنفيذية رقم 816 لسنة 2025، تم الدخول إليها في 10 أكتوبر 2026: portal.pdpc.gov.eg.