מדריך מעשי לבדיקת גישה למבוגרים תוך צמצום פרטי הזהות שמגיעים לפלטפורמה שלכם.
הפלטפורמה שלכם צריכה לדעת אם המבקר כבר בן 18. אז למה בסוף ההרשמה נשאר אצלכם עותק של הדרכון שלו?
דמיינו שירות מנויים שמציע תוכן למבוגרים. המבקר פותח חשבון, מאשר כתובת אימייל, מעלה מסמך מזהה וממתין לאישור. הוא רוצה להיכנס; העסק צריך בדיקת גיל אמינה. אבל המסמך עשוי לחשוף שם, תמונה, תאריך לידה ומספר תעודה. החלטת הגישה דורשת תשובה ממוקדת יותר: האם האדם הגיע לגיל הנדרש?
ההבחנה הזאת חשובה לפלטפורמות שמשתמשות באימות זהות דיגיטלית. הראיות ששימשו לקביעת הגיל אינן חייבות בהכרח להיכנס לרשומות של הפלטפורמה שמחליטה על הגישה. ״בלי להעביר מסמכי זיהוי״ פירושו כאן בלי לשלוח את המסמכים הגולמיים לפלטפורמה הזאת. מסמכים ופרטים אישיים עדיין עשויים להיות מעובדים בשלבים אחרים של התהליך.
בדיקת גיל כוללת שלושה שלבים. קודם מעריכים ראיות, כמו מסמך מזהה או מקור מתאים אחר. אחר כך מתקבלת תוצאה שמבהירה מה נקבע בבדיקה. לבסוף, הפלטפורמה המקבלת מחליטה אם התוצאה מספיקה לצורך הגישה המבוקשת.
מודל הנתונים של אישורים דיגיטליים ניתנים לאימות מטעם W3C ממחיש זאת באמצעות טענה שאדם עבר סף גיל, במקום מסירת תאריך לידה מדויק. המקבל יודע אם התנאי התקיים, בלי לקבל את יום הלידה עצמו. זהו עיקרון תכנון, ולא תיאור של הטכנולוגיה שבה משתמש כל ספק.
לכן כדאי לצוות הפלטפורמה להגדיר תחילה איזו החלטה צריך לקבל, ורק אז איזה מידע לבקש. ״אישור זכאות לגישה לשירות הזה״ הוא ניסוח מדויק יותר מבקשה לקבל כל פרט זמין על המשתמש.
בדוגמה שלנו המבקר רוצה לצפות בתוכן למבוגרים. הפלטפורמה צריכה להגדיר את סף הגיל החל, את רמת הביטחון הנדרשת ואת המידע שהיא צריכה לשמור על עצם ביצוע הבדיקה.
זו משימה אחרת מהצטרפות של יוצר תוכן שאמור לקבל תשלומים. לגבי היוצר ייתכן שצריך לבדוק בנפרד זהות, מעמד עסקי או נתונים נוספים. בדיקת גיל מוצלחת של צופה לא צריכה להפוך אוטומטית לאישור חשבון לקבלת תשלומים.
תוצאה שלפיה אדם עבר את גיל 18 גם אינה מוכיחה שהוא עבר את גיל 21, שהוא בעל כרטיס תשלום או שהוא רשאי לנהל חשבון של אדם אחר. החלטות אחרות עשויות לדרוש בדיקות נוספות, ולכל בדיקה צריך להיות יעד ברור.
בהסכם השותפים שפרסם ProperUser מתוארת העברה של סטטוס אימות ושל אישור גיל לפלטפורמות משלבות. ההסכם מחריג העברה לשותפים של מסמכי זהות גולמיים, מידע ביומטרי, הקלטות וידאו, תבניות פנים וקבצים שהועלו.
לפי ההסכם, העברת המידע מחייבת פעולה והרשאה של המשתמש וכן תקשורת מאומתת דרך API. הפלטפורמה המקבלת מחליטה אם לאשר, לדחות או לבקש אימות נוסף; גם האחריות שלה לעמידה בדרישות רגולטוריות נשארת בידיה. ProperUser אינו מצהיר שהאימות שלו עומד בכל דרישה שחלה על כל שותף.
קבלת תוצאה במקום החומר שבבסיסה מועילה רק כאשר הצוות מבין מה בדיוק אותה תוצאה מאשרת.
נניח שהמבקר הזין קוד חד־פעמי שנשלח לאימייל, אבל בדיקת הגיל עדיין לא הסתיימה. האם לפתוח בפניו תוכן למבוגרים? קוד רגיל שנשלח באימייל או ב־SMS מאשר גישה לאמצעי התקשורת הרלוונטי. כשלעצמו הוא אינו מוכיח שהמשתמש עבר סף גיל.
ההבחנה הזאת חשובה כשבוחנים פתרונות קוד חד־פעמי לפלטפורמות. ProperUser מתאר אישור באמצעות סיסמה חד־פעמית לצורכי אימות במערכות נתמכות. פלטפורמה שמשתמשת גם באישור גיל וגם בקוד צריכה לדעת על איזו שאלה עונה כל תוצאה. עליה להסביר למשתמש איזו תוצאה היא מבקשת, מה יועבר ומה יקרה אם בדיקת הגיל לא תושלם.
הרשאת המשתמש להעברת התוצאה אינה מחליפה בסיס חוקי לעיבוד מידע, הודעת פרטיות מתאימה או מדיניות שמירת נתונים. לדוגמה, נציבות המידע הבריטית דורשת לקבוע בסיס חוקי לפני עיבוד מידע לצורך בדיקת גיל.
המאמר הקודם שלנו על אימות זהות מאובטח ללא חשיפה מיותרת של מידע עוסק בסוגיה הרחבה יותר של קליטת משתמשים. כאן השאלה ממוקדת: מה פלטפורמה עם הגבלת גיל צריכה לקבל כדי להחליט אם לפתוח גישה?
העובדה שהפלטפורמה אינה מקבלת תמונה של דרכון לא מוכיחה שאף ארגון אחר לא אסף אותה. היא גם לא מוכיחה שהפלטפורמה אינה מזהה את המשתמש באמצעות חשבון קיים, כתובת אימייל או פעילות אחרת.
הנחיות W3C מבחינות בין צמצום המידע שנחשף לבין מניעת היכולת לקשר בין פעולות. מזהים קבועים ומידע אחר עדיין יכולים לקשר בין אינטראקציות, גם כאשר בכל אחת מהן נמסרים פחות פרטים.
חשיפה סלקטיבית עוסקת בשאלה מה נראה למקבל. אי־קישוריות עוסקת בשאלה אם אפשר לחבר בין פעולות נפרדות. מנוי שנכנס לחשבון קיים עשוי להישאר מזוהה אצל הפלטפורמה גם אם בדיקת הגיל אינה חושפת את שמו הרשמי. צמצום העברת מסמכים אינו הופך את הגלישה לאנונימית באופן אוטומטי.
לכן כדאי למפות את זרימת המידע: מה כל צד אוסף, מה מגיע לפלטפורמה, מה נרשם ומי יכול לגשת אליו? הבטחה כללית שלא להעביר מסמכים אינה מספקת תשובות לשאלות האלה.
השאלות הבאות נועדו לבדיקת נאותות ולתכנון. הן אינן מתארות יכולות מאומתות של ProperUser.
ודאו מהו סף הגיל ומה פירוש כל סטטוס. אל תניחו שהמילה הכללית ״אומת״ מוכיחה את תנאי הגיל של השירות שלכם.
בדקו כיצד מאומתים מקור התשובה ושלמותה, וכיצד היא נקשרת לבקשה הנכונה. הודעת הצלחה על המסך אינה, כשלעצמה, אות אמין לפתיחת גישה.
שאלו כיצד התכנון מתמודד עם שימוש חוזר בתשובות, מכשירים משותפים ומבוגרים שמסייעים לקטינים לעבור בדיקה. מודל האיומים של התכנית האירופית לבדיקת גיל עוסק בשימוש חוזר בתשובה ובעקיפה בסיוע מבוגר; לכן צריך לבחון גם את אבטחת התשובה וגם את נסיבות השימוש בה. תוצאה אמיתית של אדם אחד לא אמורה להפוך לאישור כניסה של אחר. אין בדיקה שמונעת כל דרך לעקוף אותה.
הבחינו בין תוצאה שלילית, תקלה טכנית ובדיקה שלא הושלמה. הגדירו כיצד כל מצב משפיע על הגישה. תקלה אצל הספק לא צריכה להפוך למסלול שקט לעקיפת בדיקה נדרשת; מצד שני, אין לתאר אדם כקטין רק מפני שהתהליך נקטע.
החליטו אילו ראיות להחלטה נחוצות, מי רשאי לראות אותן וכיצד תנוהל תקופת השמירה. בדקו את שער הגיל לצד שחזור חשבון, תהליכי תמיכה ודרכים אחרות להגיע לאזורים מוגבלים. חריג באחד מהם יכול להחליש בדיקה שתוכננה היטב.
שיטה עשויה לחשוף מעט מידע ועדיין לא להתאים לחובת בדיקת גיל מסוימת. הרגולטור הבריטי Ofcom מונה שירותי זהות דיגיטלית בין השיטות שעשויות להיות יעילות במיוחד בקביעה אם משתמש הוא בן 18 ומעלה. אין בכך אישור אוטומטי לספק מסוים או לאופן הטמעתו.
בהנחיות Ofcom נבחנות דיוק טכני, עמידות בתנאי שימוש אמיתיים, מהימנות והוגנות, וכן נגישות ויכולת פעולה הדדית. החובות הרלוונטיות תלויות בשירות ובתוכן שלו, והאחריות ליעילות התהליך נשארת בידי מפעיל הפלטפורמה.
לכן, כשבוחרים ספק, בקשו ראיות שמתאימות למקרה השימוש שלכם. המשפט ״איננו מקבלים את המסמכים הגולמיים״ עונה על שאלה של העברת מידע, אך אינו עונה לבדו על שאלות של איכות בדיקת הגיל או אופן ניהול הגישה.
הפתרון לבדיקת גיל שמפתחת הנציבות האירופית הוא דוגמה נפרדת לגישה זו. לפי התכנון שפורסם, משתמש יכול למסור לאתר שהוא עומד בסף גיל בלי להעביר את פרטי זהותו המלאים. זמינות הפתרון תלויה בהטמעה על ידי מדינות חברות או גורמים אחרים.
הדוגמה הזאת אינה אומרת ש־ProperUser משתמש בפתרון האירופי. היא ממחישה כיוון תכנוני: להוכיח את המאפיין הדרוש להחלטה בלי למסור בכל פעם זהות מלאה.
לפני שמשלבים בדיקת גיל, נסחו במשפט אחד מה הפלטפורמה חייבת לקבוע. אחר כך הגדירו מהי תוצאה מתקבלת, מה עושים במקרה של כשל, אילו רישומים נחוצים ומתי צריך לבדוק שוב.
כך אפשר לגלות פערים שהסימון הכללי ״משתמש מאומת״ מסתיר. בשיחה עם ProperUser התחילו בהחלטת הגיל שעליכם לקבל ובמידע שהפלטפורמה באמת צריכה לקבל. המטרה היא החלטת גישה מנומקת, המבוססת על ראיות מתאימות, בלי לצבור עותקים מיותרים של מסמכי זיהוי.
כן. יש גישות שמפרידות בין בחינת הראיות לבין התוצאה שמועברת לפלטפורמה. השאלה אם גישה מסוימת מספיקה תלויה בשיטה, בהטמעה ובדרישות החלות.
לא. עמידה בסף גיל היא שאלה צרה יותר. הליך KYC עשוי לכלול זיהוי ובדיקות נוספות לפי סוג הקשר או הפעילות המפוקחת.
לא בהכרח. פרטי חשבון ומזהים אחרים עדיין יכולים לזהות אותו או לקשר בין פעולותיו.
לא. על הפלטפורמה להעריך אם הבדיקה והבקרות שסביבה עומדות בדרישות החלות על השירות שלה.