ُعد Number Verification و SIM Swap بروتوكولات شبكة API، والتي تم توحيدها بواسطة مشروع CAMARA تحت مبادرة GSMA Open Gateway، والتي تتيح للبنك أو التطبيق سؤال مشغّل الهاتف المحمول عن شيئين: هل رقم الهاتف هذا هو حقاً الرقم الموجود في جهاز المستخدم، وهل تغير SIM الخاص به مؤخراً؟ اعتباراً من 26 سبتمبر 2026، فإن الإطلاق الوحيد في الشرق الأوسط الذي تمكنا من تأكيده من مصدر رسمي هو قطر، حيث أطلق Ooredoo Qatar و Vodafone Qatar كلا الـ API في 26 نوفمبر 2025. توضح BroadNet، التي تقدم حركة رسائل OTP وتحمي شبكات المشغّلين عبر المنطقة، كيفية عمل الـ API وكيفية إقرانها مع SMS OTP.
النتائج الرئيسية
- تؤكد Number Verification، بدون رمز SMS، أن الرقم الذي أدخله المستخدم يتطابق مع رقم الجهاز الذي يستخدمه. وهي تعيد قيمة صحيحة أو خاطئة.
- تخبرك SIM Swap عما إذا كان الـ SIM المرتبط برقم ما قد تغير خلال فترة تختارها (من 1 إلى 2,400 ساعة، والافتراضي 240) أو تُرجع تاريخ آخر تغيير.
- قطر هي الانطلاقة المؤكدة في الشرق الأوسط: Ooredoo Qatar و Vodafone Qatar، وكلاهما API، أعلنا في 26 نوفمبر 2025 عند MWC Doha.
- لم نتمكن من تأكيد عمليات الإطلاق التجاري في الإمارات العربية المتحدة، أو المملكة العربية السعودية، أو الكويت، أو البحرين، أو عُمان، أو الأردن، أو مصر من خلال مصدر رسمي. تحقق مع المشغّل قبل أن تقوم بالتصميم بناءً عليها.
- لا يحل Number Verification محل SMS OTP في كل مكان: فهو يتطلب دعم المشغّل، وفي تدفقه القياسي، يتطلب اتصال بيانات الهاتف المحمول. استخدمه أولاً حيثما يعمل، ثم انتقل إلى OTP كخيار بديل.
- النمط الأقوى للإجراءات عالية المخاطر هو استدعاء SIM Swap قبل إرسال OTP، ورفض OTP إذا تغير SIM مؤخراً.
ما هما GSMA Open Gateway وCAMARA؟
يصف GSMA Open Gateway بأنه "إطار عمل عالمي لـ API شبكة مشتركة تبسط الوصول إلى شبكات مشغّلي الهاتف المحمول" (GSMA Open Gateway). وتأتي تعريفات API نفسها من CAMARA، والتي يصفها إعلان Ooredoo Qatar بأنها "مشروع مفتوح المصدر من قبل Linux Foundation وجزء أساسي من مبادرة GSMA Open Gateway". ولأن كل مشغّل مشارك يطبق التعريف نفسه، يمكن للمطور كتابة عملية تكامل واحدة وإعادة استخدامها عبر الشبكات التي تدعمها.
وفقاً لنفس الإعلان (نوفمبر 2025)، تغطي المبادرة أكثر من 80 مجموعة من مشغّلي الهاتف المحمول، و292 شبكة، وأكثر من 80% من اتصالات الهاتف المحمول في جميع أنحاء العالم. العضوية ليست هي نفسها API نشطة في بلد معين، ولهذا السبب يسرد جدول التوافر أدناه عمليات الإطلاق المؤكدة فقط. للحصول على معلومات خلفية، راجع إجابتنا حول GSMA Open Gateway.
ماذا يفعل Number Verification API؟
في تعريف CAMARA (الإصدار 2.1.0، الإصدار r3.2)، يقوم Number Verification بالتحقق من "رقم الهاتف المحمول الذي خصصه مشغّل الشبكة حاليًا لـ SIM في جهاز المستخدم النهائي" أو استرداده. يحتوي على نقطتي نهاية:
- يقوم /verify بمقارنة رقم الهاتف الذي قدمه لك المستخدم، سواء كان نصًا صريحًا أو مُجزّأً (hashed)، مع الرقم المرتبط بالجهاز، ويجيب بصح أو خطأ.
- يقوم /device-phone-number بإرجاع رقم الهاتف الذي يربطه المشغّل بـ SIM في الجهاز.
يعمل من خلال المصادقة الصامتة، سواء كانت قائمة على الشبكة أو قائمة على SIM، "دون طلب تفاعل من المستخدم": لا توجد رموز لاستلامها أو قراءتها أو كتابتها. تتطلب كلتا نقطتي النهاية رمز وصول (token) ثلاثي الأطراف تم الحصول عليه لهذا المستخدم. في التدفق القياسي (رمز تفويض OpenID Connect مع prompt=none)، يجب أن يكون الجهاز متصلاً بشبكة الهاتف المحمول. إذا كان تطبيقك يمتلك GSMA TS.43 رمز وصول مؤقت من الجهاز، فإن التعريف ينص على أن API يعمل عبر أي اتصال، بما في ذلك Wi-Fi. لمزيد من الشرح العميق، اقرأ إجابتنا حول المصادقة الصامتة للشبكة.
كيف يعمل SIM Swap API؟
يعطيك تعريف CAMARA SIM Swap (الإصدار 2.1.0، الإصدار r3.3) عمليتين رئيسيتين:
| العملية | أنت ترسل | أنت تستلم | استخدمها عندما |
|---|---|---|---|
| POST /check | رقم الهاتف و maxAge بالساعات (1 إلى 2,400؛ الافتراضي 240) | swapped: صحيح أم خطأ لتلك الفترة | أنت بحاجة إلى قرار yes/no قبل اتخاذ إجراء محفوف بالمخاطر |
| POST /retrieve-date | رقم الهاتف | latestSimChange: الطابع الزمني لآخر عملية تبديل SIM، أو تاريخ التفعيل إذا لم تكن هناك أي عملية | أنت تقيم المخاطر بناءً على مدى حداثة التغيير |
هناك تفصيلان مهمان في مرحلة الإنتاج. إذا منعت اللوائح المحلية أو سياسة المشغّل تخزين سجل SIM لفترة كافية، فيمكن للمشغّل إرجاع null للتاريخ، اختيارياً مع monitoredPeriod يوضح عدد الأيام التي يغطيها؛ تعامل مع ذلك على أنه "لم يتم إجراء تبديل ضمن الفترة المراقبة"، وليس على أنه "لم يتم التبديل أبداً". وإذا طلبت maxAge يتجاوز ما تسمح به سياسة المشغّل، فتوقع خطأ 400 OUT_OF_RANGE. يعد تبديل SIM مساراً شائعاً للاستيلاء على الحساب: حيث يقوم المحتال بنقل رقم الضحية إلى SIM جديد ويتلقى رموزهم. توضح إجابتنا حول احتيال تبديل SIM تفاصيل الهجوم.
أين تتوفر Number Verification و SIM Swap في الشرق الأوسط؟
تدرج هذه القائمة فقط عمليات الإطلاق التي تمكنا من تأكيدها لدى مشغّل أو مصدر GSMA، اعتباراً من 26 سبتمبر 2026.
| الدولة | المشغّلون | APIs | تم الإعلان | المصدر |
|---|---|---|---|---|
| قطر | Ooredoo Qatar، Vodafone Qatar | SIM Swap، Number Verification (CAMARA) | 26 نوفمبر 2025، MWC Doha | البيان الصحفي لـ Ooredoo Qatar |
ذكر المشغّلون القطريون أنهم يخططون لإضافة المزيد من API للهوية ومنع الاحتيال في عام 2026. بالنسبة للإمارات العربية المتحدة، والمملكة العربية السعودية، والكويت، والبحرين، وعمان، والأردن، ومصر، لم نجد أي إطلاق تجاري لهذين الـ API على أي صفحة رسمية للمشغّلين أو GSMA تمكنا من فتحها. لقد انضم بعض المشغّلين في المنطقة إلى Open Gateway، لكن الانضمام لا يعني تقديم API تجارياً. اسأل المشغّل، أو مزود الرسائل الخاص بك، عن الوضع الحالي قبل أن تبني عليه. لمعرفة قواعد الرسائل في قطر، راجع صفحة لوائح قطر وصفحة تغطية قطر.
هل يمكن لـ Number Verify أن يحل محل SMS OTP؟
ليس بمفرده، وليس بعد في معظم أنحاء المنطقة. كل طريقة تثبت شيئاً مختلفاً وتفشل بطريقة مختلفة.
| SMS OTP | Number Verification | التحقق من SIM Swap | |
|---|---|---|---|
| ما يثبته | يمكن للمستخدم تلقي رسالة على ذلك الرقم | الجهاز المستخدم يحمل الـ SIM لذلك الرقم | ما إذا كان الـ SIM المرتبط بالرقم قد تغير مؤخرًا |
| جهد المستخدم | قراءة وكتابة رمز (أو التعبئة التلقائية) | لا يوجد | لا يوجد |
| يتطلب دعم API من المشغّل | لا؛ يعمل على أي شبكة | نعم | نعم |
| اتصال | أي هاتف به إشارة | بيانات الهاتف في التدفق القياسي؛ أي اتصال مع رمز الوصول (token) TS.43 | لا يوجد شيء على الجهاز؛ إنه فحص من خادم إلى خادم |
| نقطة ضعف | يمكن اعتراض الرموز بعد عملية تبديل الشريحة (SIM swap) أو عن طريق التصيد الاحتيالي | غير متوفرة في الأماكن التي لم يطلقها فيها المشغّل | لا تقوم بمصادقة المستخدم بنفسها |
| الدور الأفضل | بديل عالمي وعامل ثانٍ | الخيار الأول عند توفره | إشارة مخاطر قبل أي OTP على إجراء عالي المخاطر |
التصميم العملي هو تسلسل: جرب Number Verification حيث يدعم مشغّل المستخدم ذلك، ثم انتقل إلى SMS أو WhatsApp OTP في كل مكان آخر، وضع فحص SIM Swap قبل OTP للإجراءات عالية المخاطر. تذهب منشوراتنا حول المصادقة الصامتة عبر الشبكة و المصادقة الصامتة عبر الشبكة مقابل SMS OTP بشكل أعمق في الخطوة الأولى.
متى يجب عليك استدعاء SIM Swap قبل إرسال OTP؟
قبل أي إجراء قد يمنح فيه رقم مسروق أموالاً أو سيطرة للمحتال. تدفق قرار بسيط:
- صنف الإجراء. مخاطر منخفضة: تسجيل دخول روتيني على جهاز معروف. مخاطر عالية: إعادة تعيين كلمة المرور، مستفيد جديد، تغيير رقم الهاتف أو البريد الإلكتروني، تحويل كبير، أول تسجيل دخول على جهاز جديد.
- بالنسبة للإجراءات عالية المخاطر حيث يدعم المشغّل ذلك، استدعِ POST /check مع maxAge قصير يتناسب مع سياسة المخاطر الخاصة بك (على سبيل المثال 24 أو 72 ساعة).
- إذا كانت swapped صحيحة، فلا ترسل OTP إلى ذلك الرقم. التصعيد: تأكيد داخل التطبيق على الجهاز المسجل، أو مكالمة هاتفية، أو فحص عبر فرع أو فيديو.
- إذا كانت swapped خاطئة، أرسل OTP كالمعتاد عبر SMS أو WhatsApp، مع انتقال تلقائي بين القنوات.
- إذا لم تكن API متاحة في ذلك السوق، أو أعادت null، فارجع إلى قواعدك الحالية بالإضافة إلى ذكاء الأرقام مثل البحث عن HLR أو درجة سمعة الهاتف.
- سجل نتيجة الفحص مع المعاملة، حتى يتمكن محللو الاحتيال من رؤية سبب إرسال OTP أو عدم إرسالها.
تثبت OTP أن شخصًا ما يمكنه تلقي الرسائل على رقم ما. يخبرك فحص SIM Swap ما إذا كان من المرجح أن يكون ذلك الشخص لا يزال هو العميل. بالنسبة للإجراءات عالية المخاطر، ستحتاج إلى كلتا الإجابتين.
كيف تدمج البنوك SIM Swap مع OTP؟
| الحدث | فحص الشبكة | إذا أثار الفحص علامة تحذير | خلاف ذلك |
|---|---|---|---|
| إعادة تعيين كلمة المرور | SIM Swap /check قبل إرسال OTP إعادة التعيين | حظر الـ OTP؛ يتطلب تأكيداً من داخل التطبيق أو من الفرع | إرسال الـ OTP |
| مستفيد جديد أو تحويل كبير | SIM Swap /check، maxAge قصير | تعليق المعاملة للمراجعة | إرسال OTP المعاملة |
| إلحاق عميل جديد (onboarding) | Number Verification /verify | الرجوع إلى SMS OTP | تخطي خطوة OTP |
| تغيير رقم الهاتف المسجل | SIM Swap /retrieve-date على الرقم القديم | مراجعة يدوية | التأكيد على كل من الرقمين القديم والجديد |
توفر منصة BroadNet OTP الرموز في هذا التدفق عبر SMS، وWhatsApp، والصوت مع إمكانية الرجوع بينها، وتقوم MyOTP بتغليفها كمنتج تحقق جاهز.
ما هي التكلفة؟
يتم تحديد الأسعار من قبل كل مشغّل أو شركاء قناته ويتم الاتفاق عليها تجارياً. لا تنشر أي من المصادر الرسمية التي فحصناها قائمة أسعار للشرق الأوسط لأي من API، لذا فنحن لا نقدم اقتباساً لها. عندما تقارن التكاليف، احسب ما يوفره التحقق بالإضافة إلى ما يكلفه: فعملية تحقق SIM Swap قبل OTP لإعادة تعيين كلمة المرور هي مكالمة API إضافية واحدة، ومنع الاستيلاء على الحساب يستحق أكثر من ذلك بكثير.
ماذا تعني API الشبكة للمشغّلين؟
بالنسبة للمشغّلين، تعمل Number Verification و SIM Swap على تحويل البيانات التي تمتلكها الشبكة بالفعل إلى خدمة مدفوعة قائمة على موافقة المستخدم للبنوك والتطبيقات، كما أن فرق مكافحة الاحتيال نفسها التي تشتري هذه الخدمات تشتري أيضاً رسائل A2P. لقد عملت BroadNet مع المشغّلين منذ عام 2003، مع أكثر من 60 عملية نشر لجدار حماية المشغّل؛ وتعمل حلول المشغّل و جدار حماية SMS الخاصة بنا على حماية إيرادات الرسائل التي توجد بجانب هذه الـ API.
الأسئلة الشائعة
ما هو CAMARA Number Verification API؟
عامل قياسي API يؤكد ما إذا كان رقم الهاتف الذي قدمه المستخدم يتطابق مع رقم الجهاز الذي يستخدمه، حيث يعيد قيمة "صحيح" أو "خطأ"، أو يعيد رقم الجهاز. وهو يستخدم الشبكة الصامتة أو المصادقة القائمة على SIM، لذا لا توجد حاجة لكتابة أي رمز.
كيف يعمل SIM Swap API؟
تقوم بإرسال رقم هاتف. تعطي العملية /check نتيجة "صحيح" أو "خطأ" لفترة تحددها باستخدام maxAge (من 1 إلى 2,400 ساعة، والافتراضي 240)؛ وتعيد /retrieve-date الطابع الزمني لآخر تغيير في SIM، أو تاريخ التفعيل إذا لم يكن هناك أي تغيير.
أي من مشغّلي الشرق الأوسط يقدمون API هذه؟
اعتباراً من 26 سبتمبر 2026، فإن الإطلاق الذي يمكننا تأكيده من مصدر رسمي هو قطر: Ooredoo Qatar و Vodafone Qatar أطلقا SIM Swap و Number Verification في 26 نوفمبر 2025. تحقق مع المشغّلين في البلدان الأخرى قبل الاعتماد عليهم.
هل يمكن لـ Number Verify أن يحل محل SMS OTP؟
فقط في الحالات التي تدعمها شركة الاتصالات الخاصة بالمستخدم ويسمح بها الاتصال. استخدمها أولاً حيثما كانت متاحة، واحتفظ بـ SMS أو WhatsApp OTP كخيار احتياطي في أي مكان آخر.
هل يعمل Number Verification عبر شبكة Wi-Fi؟
في التدفق القياسي، يجب أن يكون الجهاز متصلاً بشبكة الهاتف المحمول. ينص تعريف CAMARA على أنه يعمل عبر أي اتصال، بما في ذلك شبكة Wi-Fi، عندما يستخدم التطبيق رمز token مؤقت من نوع GSMA TS.43 صادر من الجهاز.
هل يجب عليّ التحقق من SIM Swap قبل كل OTP؟
لا. استخدمه قبل الإجراءات عالية المخاطر مثل إعادة تعيين كلمة المرور، والمستفيدين الجدد، وتغيير الأرقام، والتحويلات الكبيرة. بالنسبة لتسجيلات الدخول الروتينية على جهاز معروف، فمن النادر أن يغير التحقق الإضافي القرار.
ماذا يحدث إذا لم يتمكن المشغّل من مشاركة تاريخ تبديل SIM؟
يمكن أن يعيد null، اختيارياً مع monitoredPeriod بالأيام. تعامل مع ذلك على أنه لم يحدث تبديل خلال الفترة المراقبة، وعد إلى قواعد المخاطر الخاصة بك.
كم تبلغ تكلفة SIM Swap API؟
يتم تحديد الأسعار من قبل كل مشغّل أو شركاء قناته. المصادر الرسمية التي تحققنا منها لا تنشر أسعار الشرق الأوسط لأي من API.
المصادر
- Ooredoo Qatar، مشغّلو الهاتف المحمول في قطر يطلقون API لمكافحة الاحتيال من خلال مبادرة GSMA Open Gateway، 26 نوفمبر 2025، تم الدخول إليها في 26 سبتمبر 2026.
- CAMARA، تعريف Number Verification API، الإصدار r3.2، تم الدخول إليها في 26 سبتمبر 2026.
- CAMARA، تعريف SIM Swap API، الإصدار r3.3، تم الدخول إليها في 26 سبتمبر 2026.
- صفحات مشروع CAMARA، Number Verification و SIM Swap، تم الدخول إليها في 26 سبتمبر 2026.
- GSMA، GSMA Open Gateway، تم الدخول إليها في 26 سبتمبر 2026.