أغلب تطبيقات المال تكتب «نحترم خصوصيتك» في قائمة إعدادات لا يقرؤها أحد، بجانب سياسة من أربعة آلاف كلمة. أردنا تقديم شرح واضح لما يفعله أمونتا ببياناتك، تحقّقنا منه من كود التطبيق نفسه، لا من نص تسويقي.
الافتراضي: لا شيء يغادر هاتفك
دفتر أمونتا — المصاريف والدخل والديون والفواتير والميزانيات والتقارير — محفوظ في قاعدة بيانات محلية على جهازك. لا شاشة تسجيل، لا حقل بريد، لا رقم هاتف مطلوب لتبدأ استخدام التطبيق. تفتحه، ويعمل.
لا يحتوي أمونتا على متتبعات إعلانية أو Google Analytics أو Facebook SDK. قد تُرسل معلومات تقنية مجهولة ومحدودة لتحسين الاستقرار؛ ولا تتضمن مبالغ أو سجلات مالية أو جهات اتصال أو صورًا، ولا تحدد هويتك كشخص.
قفل PIN متاح إن أردته. وعند تعيينه، يحفظ التطبيق رمزاً مشفَّراً بصيغة SHA-256 له، لا الرمز نفسه — نفس الطريقة المستخدمة لحفظ كلمات المرور في أي نظام يأخذ الأمان بجدّية. لو وصل أحد لبيانات التطبيق الخام، لن يجد رمزك مكتوباً في ملف.
الجزء الاختياري: مشاركة دفتر مع شخص آخر
يتيح أمونتا أيضاً لشخصين ربط حساباتهما — مفيد إن أردت أنت وشريك، أو زميل سكن، أو جهة تتعامل معها، مشاركة حساب جارٍ دون أن يُدخل كل واحد منكما نفس المعاملة مرّتين. هذا اختياري بالكامل. التطبيق الأساسي لا يطلبه أبداً.
وعند تفعيله، هذا ما يحدث بالضبط، لأننا نرى أن «بالضبط ما يحدث» إجابة أكثر صدقاً من «نأخذ خصوصيتك بجدّية».
وفق مسار تسجيل A‑Link الذي راجعناه في الكود، يولّد هاتفك زوج مفاتيح تشفير للحصول على معرّف شبكي يبدو على شكل SF-XXXXXXX، ثم يرسل طلباً يحوي المفتاح العام وعملتك المختارة وعلامة تشير إلى فئة التطبيق. لا يتضمن هذا الطلب اسمك أو رقم هاتفك أو بريدك الإلكتروني. وإذا كتبت رقم هاتف أو بريداً في مكان آخر من التطبيق، يبقى ذلك في التخزين المحلي ولا يدخل في طلب التسجيل.
ماذا يعني التشفير هنا؟
عند ربط شخصين، تُزامَن المعاملات المشتركة بين هاتفيهما عبر خادم تمرير (relay). هنا تحديداً تتحدّد «مشفّر طرفياً» إن كانت تعني شيئاً محدَّداً أو مجرد عبارة. في حالة أمونتا، هي محدَّدة:
- كل جهاز له زوج مفاتيح. عند إرسال معاملة لجهة اتصال مرتبطة، يُدمَج المفتاحان العامّان باستخدام تبادل مفاتيح X25519 على المنحنيات الإهليلجية، لإنتاج سرّ مشترك.
- يُمرَّر هذا السرّ المشترك عبر HKDF-SHA256 لاستخراج مفتاح تشفير ثابت.
- تُشفَّر بيانات المعاملة بـ AES-256-GCM قبل أن تغادر الجهاز نهائياً.
في هذا المسار، يُولَّد المفتاح الخاص على الجهاز ويُحفَظ في التخزين الآمن ويُستخدَم محلياً لإنتاج السرّ المشترك. لا يرسله بروتوكول A‑Link إلى خادم التمرير أو إلى الطرف الآخر.
الجزء الذي تتجاهله أغلب ادعاءات «التشفير»
هنا نريد أن نكون أكثر دقّة مما تتكلّف أغلب التطبيقات. خادم التمرير الذي يمرّر الرسائل بين الأجهزة المرتبطة لا يستطيع قراءة ما بداخلها — المحتوى نص مشفَّر بـ AES-256-GCM، والخادم لا يملك المفتاح. لكن الخادم يرى معلومات التوجيه: أي معرّف شبكي أرسل رسالة، وإلى أي معرّف وُجِّهت، ومتى أُرسِلت. هذا أمر لا مهرب منه في أي نظام يحتاج خادماً ليوصل رسالة للمستقبل الصحيح — هو نفس المقايضة التي تقبلها أنظمة مثل Signal.
ولا يحتفظ خادم التمرير بالرسالة كأرشيف: تُخزَّن الحمولة المشفّرة مؤقتاً حتى يؤكد الجهاز المستلم نجاح استلامها ومعالجتها، ثم تُحذف نهائياً. وإذا لم تُسلَّم أو لم يصل التأكيد، تنتهي صلاحيتها وتُحذف تلقائياً بعد 24 ساعة.
فالجملة الدقيقة في حدود هذا البروتوكول هي: يستطيع خادم التمرير رؤية معرّفات التوجيه والتوقيت، لكنه لا يملك المفتاح اللازم لقراءة محتوى المعاملة.
لماذا هذا أهم من سياسة خصوصية
سياسة الخصوصية وعد بالسلوك، أما مراجعة البنية فتُظهر ما تحمله المسارات المعروفة فعلياً. وفق الأجزاء التي راجعناها، لا يحمل طلب تسجيل A‑Link قائمة جهات الاتصال، ولا تحمل رسائل الترحيل محتوى المعاملة بصورته المقروءة، كما لا يُخزَّن رمز PIN كنص صريح.
هذه ليست دعوى بأن أي برنامج خالٍ من الأخطاء أو المخاطر. الفكرة هي تقديم وصف محدد يمكن مراجعته بدلاً من ضمانات مطلقة. ويمكنك أيضاً قراءة ما يحتاج الإنترنت فعلاً وكيف يعمل النسخ الاحتياطي المشفّر.