مسودة ميثاق Security IG في W3C تستبعد تطوير المعايير لكنها تُبقي أدوار تحرير المواصفات

الخلاصة

• فتح W3C Strategy issue 568 في 19 أغسطس 2026 مقترح إعادة ميثاق Security Interest Group القائمة، وما زال موعد انتهاء التنقيح غير معروف.
• تضع المسودة التطوير التقني للمعايير خارج النطاق، وتحيل فرص Recommendation Track إلى Working Group أو Community Group أو Business Group مناسبة.
• تطلب المسودة نفسها ممثلين عن المنفذين الرئيسيين لـ«هذه المواصفة»، ومحررين وقادة اختبار لكل مواصفة، وتقول إن Working Drafts وEditor’s Drafts للمواصفات ستُطوّر علناً.
• الوثيقتان الحاليتان المرتبطتان بالميثاق هما Group Note Drafts؛ تأييد Security IG لهما لا يساوي تأييد W3C أو أعضائه ولا التزامات براءات الاختراع في مسار Recommendation.
• ينبغي إنشاء إيصال للمخرج والتسليم يربط كل دور بنوع الوثيقة والجهة المالكة وحالة البراءات وقرار الجهة المستلمة.

لغتان للصلاحية في وثيقة واحدة

لـSecurity Interest Group وظيفة أفقية مفهومة. فهي تساعد المجموعات التي تطور المعايير على كشف المخاطر الأمنية ومعالجتها، وتراجع الأعمال، وتنظم تحليل التهديدات. ميثاقها الحالي سار حتى 18 نوفمبر 2026. وفي 19 أغسطس فتح W3C الملف 568 لتجديده. يقول الملف إن المهمة والنطاق ومعايير النجاح باقية، بينما تربط قائمة المخرجات الآن النسخ الحالية من نموذج تهديدات الويب ودليل نمذجة التهديدات، ويحل Privacy Working Group محل PING في نص التنسيق.

النص المقترح غير مكتمل بوضوح. تاريخا البداية والنهاية حقول مؤقتة، وجملة الاجتماعات الهاتفية تنتهي بعبارة تجريبية، وفترة الرد على طلب الإجماع ناقصة، كما يجعل جدول التاريخ الميثاق الأول يبدأ وينتهي في 18 نوفمبر 2024، مع أن الميثاق النافذ يمتد عامين. لا تثبت هذه العيوب سوء نية. إنها تثبت فقط أن الصفحة مسودة قيد الإصلاح وليست أداة صلاحية نهائية.

مع ذلك، يستحق الحد الموضوعي معالجة مبكرة. تنص فقرة Out of Scope على أن التطوير التقني للمعايير ليس من عمل المجموعة. وإذا ظهرت فرصة لمسار Recommendation، تُسلَّم إلى Working Group مناسبة، أو إلى Community Group أو Business Group عندما يلزم الاحتضان.

هذه هي اللغة الأولى: مشورة، مراجعة، احتضان، وتسليم.

أما فقرة المشاركة فتستخدم لغة أخرى. فهي تتوقع ممثلي المنفذين الرئيسيين لـ«هذه المواصفة»، ومحررين وقادة اختبار نشطين لكل مواصفة، وتخصص نصف يوم عمل أسبوعياً للرؤساء ومحرري المواصفات وقادة الاختبار. وتضيف فقرة الاتصال أن Working Drafts وEditor’s Drafts للمواصفات ستُطوّر في مستودعات عامة.

ليست المشكلة في استخدام Interest Group لكلمة «مواصفة». يمكنها إعداد مواد تقنية دقيقة. المشكلة أن اسم الدور يظهر من دون بيان نوع الوثيقة أو مالكها أو حالة تسليمها.

الـNote والنموذج الأولي والـRecommendation أشياء مختلفة

توضح قائمة المخرجات لماذا لا يصلح حظر مبسط. يمكن للمجموعة نشر تحليلات ومبادئ أمنية ونماذج تهديدات وإرشادات ومواصفات أولية ضمن نطاقها. وقد تحتاج هذه الأعمال إلى تحرير واختبار، من دون أن تصبح تلقائياً W3C Recommendation.

تجعل الوثيقتان الجديدتان الفرق قابلاً للفحص. Threat Model for the Web الصادرة في 21 يوليو هي W3C Group Note Draft. وThreat Modeling Guide الصادرة في 23 يونيو تحمل الحالة نفسها. توضح صفحتا الحالة أن Security IG تؤيدهما، بينما لا يؤيدهما W3C نفسه ولا أعضاؤه. وهما عملان قيد التطوير على Note Track ولا تنشأ عنهما التزامات ترخيص بموجب Patent Policy.

هذا لا يقلل قيمتهما. يمكن للـNote أن تقدم منهجاً مشتركاً، وللنموذج الأولي أن يختبر الإمكان، وللمراجعة الأفقية أن تكشف خطراً. لكن أياً منها لا يحل محل قرار Working Group المالكة للنص المعياري.

إذا سميت جميع المواد «مواصفات» وسمي كل من يصونها «محرر مواصفة»، سيضطر القارئ إلى البحث في صفحة أخرى ليعرف هل يقرأ مشورة، أو نموذجاً أولياً، أو Group Note Draft، أو Working Draft في مسار Recommendation. عندئذ يحمل الاسم الواحد توقعات متعارضة عن التأييد والبراءات والسلطة.

التسليم يحتاج قراراً من الطرف المستلم

تحدد المسودة الاتجاه الصحيح، لكن عبارة «سيُسلَّم» لا تنشئ انتقالاً علنياً وحدها. تستطيع Security IG تحديد المشكلة ووصف التهديد واقتراح مستلم. ويظل على المستلم أن يقرر هل يقع العمل ضمن ميثاقه، وهل يحتاج احتضاناً، وأي وثيقة سيمتلك، وأي نظام براءات يطبق، وهل تتوافر موارد التحرير والتنفيذ والاختبار.

الصمت ليس قبولاً، والرابط ليس اعتماداً، ووجود المحرر نفسه في مجموعتين لا ينقل الصلاحية المؤسسية. وتزداد أهمية ذلك في المراجعة الأفقية: يصف دليل W3C المجموعات الأفقية بأنها تقدم الخبرة لمقترحات ومواصفات ومواثيق تطورها مجموعات أخرى. تستطيع مجموعة الأمن أن تطلب معالجة تهديد؛ أما مالك المواصفة فيقرر التغيير المعياري ويسجل كيفية التصرف بالملاحظة.

من دون سجل يربط الطرفين، قد تبدو التوصية غير المعتمدة كأنها لم تصل. وقد يواصل النموذج الأولي التطور بعد التسليم، فتظهر وثيقتان تحملان الاسم نفسه بتعريفين وحالتي تأييد وبراءات مختلفتين.

مرحلة التنقيح هي فرصة الإصلاح

الملف 568 مفتوح ولا يحدد موعداً نهائياً. يمكن لثلاثة تعديلات صغيرة إزالة معظم الغموض.

أولاً، يجب أن تسمي فقرة المشاركة أنواع المخرجات. فإذا كان المحررون وقادة الاختبار يصونون Group Notes أو استبيانات أو نماذج تهديدات أو نماذج أولية للمجموعة، فليُذكر ذلك. وإذا شارك المنفذون في مراجعة مواصفة تملكها مجموعة أخرى، فدورهم دليل للمراجعة لا سلطة تحرير ضمنية.

ثانياً، يجب أن تفرق فقرة الاتصال بين المسودات التي تنتجها المجموعة والمواصفات التي تراجعها فقط. Working Draft مصطلح إجرائي في W3C وليس اسماً عاماً. كل مسودة تحتاج مساراً ومالكاً.

ثالثاً، ينبغي أن تشير فقرة التسليم إلى سجل استلام: المقترح الأصلي، الجهة المستلمة، التاريخ، القرار، والمالك الحالي. وإذا رفض المستلم أو أجّل أو افتقر إلى النطاق، يبقى ذلك ظاهراً ولا تكتسب وثيقة IG سلطة افتراضية.

إيصال للمخرج والتسليم

يكفي أن يسجل الإيصال العام:

• معرفاً ثابتاً وإصدار الوثيقة الدقيق؛
• النوع: مراجعة، استبيان، Group Note Draft، نموذج أولي، تقرير احتضان، أو وثيقة Recommendation Track؛
• المجموعة المالكة وبند الميثاق الذي يجيز العمل؛
• المحررين وقادة الاختبار والمنفذين وحدود دور كل منهم؛
• حالة التأييد والنشر والبراءات؛
• المواصفة المراجعة والمسألة الأمنية؛
• سبب التسليم والمستلم والتاريخ؛
• القبول أو الرفض أو التأجيل أو طلب الاحتضان؛
• هوية الوثيقة والمالك الجديد عند القبول؛
• تاريخ التصحيح والاستبدال والإغلاق.

لا يقترح ذلك هيئة موافقة جديدة. تؤكد قاعدة Minimum Initial Specification لدى Heng Lu أن الطبقة المشتركة يجب أن تحمل الحد الضروري، وأن التغيير يصبح واقعاً بالتنفيذ والتبني لا بالإعلان وحده. لا يحكم الإيصال على جودة الفكرة الأمنية؛ بل يمنع نوع وثيقة أو دوراً من انتحال نوع آخر.

يجب أن تتمكن Security IG من نشر مشورة قوية وNotes دقيقة ونماذج أولية مفيدة من دون أن تبدو Working Group في مسار Recommendation. ويجب أن تتمكن Working Group من تبني العمل من دون محو مصدره. رسمت Out of Scope الحد الدستوري؛ وعلى التنقيح أن يجعل كل محرر وقائد اختبار وعنوان مسودة يلتزم به.

المصادر

1. W3C Strategy — ملف 568 لميثاق Security Interest Group
2. W3C — مسودة ميثاق 2026
3. W3C — الميثاق النافذ 2024–2026
4. W3C — الفرق عن الميثاق النافذ
5. W3C — Threat Model for the Web
6. W3C — Threat Modeling Guide
7. W3C — Process Document
8. W3C — صفحة Security Interest Group
9. دليل W3C — Horizontal Groups
10. Heng Lu — Minimum Initial Specification, Localized Future Decision, and Voluntary Adoption