تكامل CMI: الدفع بالدرهم على موقع التجارة الإلكترونية

‏تأسّس المركز النقدي البنكي عام 2004 على يد تسعة بنوك مغربية هي مساهموه. وتُصدر كبرى بنوك السوق — ‏Attijariwafa Bank‏ و‏CIH‏ و‏Bank of Africa‏ و‏BCP‏ و‏Saham Bank‏ (‏Société Générale Maroc‏ سابقًا) و‏Crédit Agricole du Maroc‏ و‏BMCI‏ وغيرها — بطاقات ‏Visa‏ و‏Mastercard‏ مقبولة على هذه الشبكة. ظل ‏CMI‏ طويلًا المُحصِّل شبه الوحيد لمدفوعات البطاقات في المغرب، ولم يعد الأمر كذلك: بموجب القرار رقم ‏152/D/2024‏ الصادر في 31 أكتوبر 2024، جعل مجلس المنافسة التزاماته مُلزِمة. منذ نونبر 2024 لم يعد ‏CMI‏ يُبرم عقودًا جديدة مع التجار، ومنذ ماي 2025 تُسوِّق مؤسسات الأداء والفروع البنكية المعتمدة خدمة التحصيل، ويتحول ‏CMI‏ إلى منصة تقنية للمعالجة مفتوحة أمام هؤلاء المُحصِّلين.

يقصي الموقع الإلكتروني الذي يقبل ‏PayPal‏ أو البطاقات الدولية فقط الغالبيةَ العظمى من المشترين المغاربة فعلياً: بطاقاتهم البنكية تمر عبر شبكة ‏CMI‏، والدفع بعملة أجنبية يُولّد رسوم تحويل على حسابهم. الاعتراض الشائع — «‏PayPal‏ كافٍ» — يتجاهل أن انتشار ‏PayPal‏ لا يزال ضعيفاً لدى الأفراد المغاربة، وأن رسوم الصرف في كل عملية شراء تُشكّل عائقاً حقيقياً أمام الشراء، لا سيما للسلال ذات القيمة المنخفضة. تُعالج ‏CMI‏ المعاملات بالدرهم المغربي (‏MAD‏)، مباشرةً من حساب المشتري البنكي، دون تحويل ودون احتكاك.

‏لم يعد الانتساب يُطلب من ‏CMI‏: فمنذ نونبر 2024 لم يعد يُبرم عقودًا جديدة مع التجار. يفتح التاجر حسابًا مهنيًا في بنك مغربي، ثم يودع ملف طلب الانتساب كتاجر إلكتروني لدى مُحصِّل معتمد — مؤسسة أداء أو فرع بنكي مخصص للتحصيل — يمكن لبنكه أن يقترحه عليه.

يُقبل ملفان: الأشخاص المعنويون (الشركات المُؤسَّسة) والأشخاص الطبيعيون الممارسون لنشاط تجاري. تتفاوت الوثائق المطلوبة باختلاف الوضع القانوني، لكن المبدأ واحد في الحالتين: إثبات الوجود القانوني للنشاط وأهلية الموقّع.

شرط مسبق كثيرًا ما يُستهان به: يجب أن يكون الموقع متاحًا على الإنترنت وعاملًا بالكامل وقت تقديم الطلب. يتحقق المُحصِّل من الموقع قبل المصادقة على الانتساب. أي موقع قيد الإنشاء أو يُخدَّم عبر ‏HTTP‏ بسيط سيُرفض.

‏يفرض تكامل بوابة ‏CMI‏ قيوداً على جانب الخادم يجب أن تستوفيها الاستضافة قبل كتابة سطر واحد من كود الدفع. هذه المتطلبات المسبقة ليست توصيات: موقع لا يستوفيها سيُرفض عند الانتساب أو ستفشل معاملاته في الإنتاج.

‏HTTPS‏ إلزامي على كامل الموقع. تشترط ‏CMI‏ شهادة ‏SSL‏ صالحة وفعّالة على نطاق التاجر. يجب تقديم صفحات الدفع وكذلك صفحات الإشعار (‏callback‏) حصراً عبر ‏HTTPS‏. تؤدي شهادة موقّعة ذاتياً أو منتهية الصلاحية إلى فشل فوري عند التحقق من الانتساب.

عنوان ‏URL‏ للإشعار (‏callback‏) قابل للوصول من الخارج. يُرسل خادم ‏CMI‏ إشعار ‏HTTP POST‏ إلى عنوان ‏URL‏ لـ‏callback‏ المُرسَل مع المعاملة لتأكيد كل معاملة. يجب أن يكون هذا العنوان قابلاً للوصول من خوادم ‏CMI‏ في جميع الأوقات، دون تصفية ‏IP‏ على جانب جدار الحماية، وأن يستجيب في وقت معقول. استضافة خلف شبكة خاصة دون قواعد ‏NAT‏ للاتصالات الواردة، أو خادم تمت تصفية منفذ 443 فيه، يحجب هذه الإشعارات ويُبقي الطلبات في حالة «انتظار» لدى التاجر.

دقة ‏DNS‏ مستقرة. يجب أن يُحلَّل اسم النطاق للموقع وعنوان ‏URL‏ لـ‏callback‏ بصحة واستقرار. يمكن أن يُسبّب نشر ‏DNS‏ غير المكتمل عند الإطلاق أو تغيير المضيف دون فترة انتقالية فشلاً في الإشعارات.

دعم ‏3D Secure. بروتوكول ‏3D Secure‏ (‏Visa Secure‏ / ‏Mastercard Identity Check‏) مُفعَّل افتراضياً على شبكة ‏CMI‏. يُعاد توجيه المشتري إلى صفحة ‏ACS‏ لبنكه الذي يُرسل له رمز تحقق. يجب أن تسمح الاستضافة بهذه إعادات التوجيه وألا تحجب عملاء المستخدمين أو عناوين ‏IP‏ لخوادم ‏CMI‏ في قواعد أمان التطبيقات.

‏تُقدّم ‏CMI‏ بروتوكولَي تكامل رئيسيَّين لمواقع التجارة الإلكترونية.

صفحة الدفع المستضافة (وضع ‏3D_PAY_HOSTING‏) هي طريقة التكامل القياسية. يُعيد التاجر توجيه المشتري إلى صفحة الدفع المستضافة من قِبَل ‏CMI‏ (صفحة إدخال بيانات البطاقة مستضافة من ‏CMI‏)، مما يُعفي الموقع التاجر من التعامل المباشر مع بيانات البطاقة ويُبسّط الامتثال لـ‏PCI-DSS‏. تُمرَّر معاملات المعاملة (المبلغ والعملة ومرجع الطلب وعنوان ‏URL‏ للعودة وعنوان ‏URL‏ لـ‏callback‏) في نموذج ‏HTML‏ موقّع بمفتاح مشترك. يتحقق خادم ‏CMI‏ من التوقيع ويعرض صفحة الدفع ثم يُشعر التاجر عبر ‏POST‏ إلى عنوان ‏URL‏ لـ‏callback‏.

‏3D Secure‏ مُفعَّل افتراضياً على معاملات ‏CMI‏. أثناء الدفع، يُعاد توجيه المشتري إلى صفحة ‏ACS‏ لبنكه الذي يُرسل له رمز تحقق. يُحوّل هذا الآلية مسؤولية الاحتيال إلى البنك المُصدر حالما تنجح المصادقة — ميزة تشغيلية مباشرة للتاجر في حالة النزاع.

في كلتا الحالتين، يجب أن يكون عنوان ‏URL‏ لـ‏callback‏ مطلقاً وعبر ‏HTTPS‏ وقابلاً للوصول من الإنترنت العام. تجنّب عناوين ‏URL‏ بعنوان ‏IP‏ مجرّد والمنافذ غير القياسية: قدّم ‏callback‏ على اسم نطاق، عبر ‏HTTPS‏ على المنفذ 443.

‏الفوترة بالدرهم نقطة كثيراً ما تُغفلها المواصفات الوظيفية لمواقع التجارة الإلكترونية. عندما يدفع مشترٍ مغربي على موقع يُصدر فواتير باليورو أو الدولار، يُطبّق بنكه سعر صرف وقد يُضيف عمولة تحويل. يظهر هذا الرسم الإضافي ، المتفاوت حسب البنك ونوع البطاقة، على كشف حساب المشتري البنكي ويُشكّل عائقاً نفسياً حقيقياً أمام الشراء، لا سيما للسلال ذات القيمة المنخفضة.

تُسعَّر معاملات ‏CMI‏ بالدرهم المغربي (‏MAD‏). يرى المشتري المبلغ الدقيق لطلبه بالدرهم، دون مفاجأة بالتحويل. يُسوَّى التاجر بالدرهم في حسابه المهني المغربي. لا يتحمل أيٌّ من الطرفين تكاليف تحويل.

بالنسبة للوكالات التي تدير عملاء جمهورهم مغربي في معظمه، هذه حجة تجارية مباشرة: تكامل ‏CMI‏ في مسار الشراء يُحسّن معدل التحويل على هذا الجمهور، دون أي تعديل على محتوى الموقع.

‏المتطلبات التقنية الثلاثة لـ‏CMI‏ — ‏HTTPS‏ فعّال، عنوان ‏URL‏ لـ‏callback‏ قابل للوصول علناً، دقة ‏DNS‏ مستقرة — مشروطة مباشرةً باختيار مزود الاستضافة.

خطة استضافة تتضمن شهادة ‏SSL‏ (إصدار وتجديد تلقائيان عبر ‏Let's Encrypt‏ أو سلطة مكافئة) تتجنب السبب الرئيسي لفشل الانتساب: شهادة منتهية الصلاحية أو سلسلة غير مكتملة. تفعيل ‏HTTPS‏ منذ لحظة إطلاق الموقع، قبل إيداع ملف التاجر حتى، هو التسلسل الذي يتجنب التراسل مع البنك.

الفوترة بالدرهم على جانب الاستضافة ميزة تكميلية للوكالات التي تدير عملاء مغاربة متعددين: دفع ثمن البنية التحتية بالدرهم المغربي، وتلقي الفواتير بالدرهم مع ضريبة القيمة المضافة المغربية، ودمج بوابة ‏CMI‏ في المواقع المُسلَّمة، يُشكّل منظومة متسقة من جانب محاسبة العملاء. الوكالة التي تستضيف عملاءها في التجارة الإلكترونية على خطة تتضمن ‏SSL‏ و‏HTTPS‏ والفوترة بالدرهم تجمع الشروط الثلاثة المطلوبة عند الانتساب لدى مزود واحد.

‏خمسة مشاكل تتكرر بانتظام عند إطلاق تكامل ‏CMI‏ في بيئة الإنتاج. إليك هنا كلٌّ منها مع رسالتها أو أعراضها الدقيقة وطريقة حلّها.

خطأ 1 — عدم استقبال ‏callback‏ / طلب عالق في «انتظار».
الأعراض: تظهر صفحة دفع ‏CMI‏، يُثبّت المشتري دفعه، لكن الطلب يبقى معلقاً لدى التاجر. السبب: عنوان ‏URL‏ لـ‏callback‏ غير قابل للوصول من خوادم ‏CMI‏ — جدار حماية، أو قاعدة ‏iptables‏ تحجب الاتصالات الواردة على المنفذ 443، أو استضافة خلف شبكة خاصة. الحل: التحقق من أن المنفذ 443 مفتوح للاتصالات الواردة وأن عنوان ‏URL‏ لـ‏callback‏ يستجيب لـ‏curl‏ من ‏IP‏ خارجي.

خطأ 2 — «توقيع غير صحيح» أو «‏Invalid hash‏».
الأعراض: تُرجع صفحة ‏CMI‏ خطأ توقيع. السبب: المفتاح المشترك (‏store key‏) المُدخَل في نموذج التكامل لا يتطابق مع المُهيَّأ في بوابة التاجر، أو تُشفَّر المعاملات بشكل مختلف (ترميز ‏URL‏، حالة الحقول). الحل: إعادة التحقق من المفتاح في بوابة التاجر، والتأكد من أن ترتيب الحقول في السلسلة المراد توقيعها يتطابق تماماً مع وثائق ‏CMI‏.

خطأ 3 — رفض شهادة ‏SSL‏ عند الانتساب.
الأعراض: يُعاد ملف الانتساب بملاحظة «موقع غير آمن» أو «شهادة غير صالحة». السبب: شهادة موقّعة ذاتياً، أو سلسلة سلطة غير مكتملة، أو نطاق يُخدَّم جزئياً عبر ‏HTTP‏. الحل: الاختبار بـ‏SSL Labs‏ قبل الإيداع، والتأكد من أن جميع الصفحات (بما فيها ‏callback‏) تستجيب عبر ‏HTTPS‏ بشهادة موقّعة من سلطة معترف بها.

خطأ 4 — فشل إعادة توجيه ‏3D Secure‏ أو حلقة.
الأعراض: يُعاد توجيه المشتري إلى صفحة بنكه، لكن العودة إلى الموقع التاجر تؤدي إلى خطأ 404 أو صفحة بيضاء. السبب: عنوان ‏URL‏ للعودة (‏okUrl‏ / ‏failUrl‏) يشير إلى مسار غير موجود بعد النشر، أو يحجب الخادم عمليات إعادة التوجيه ‏POST‏. الحل: التحقق من عناوين ‏URL‏ للعودة في إعدادات ‏CMI‏ والتأكد من أنها فعّالة على الاستضافة في بيئة الإنتاج.

خطأ 5 — مبلغ مكرر في كشف حساب التاجر.
الأعراض: يظهر نفس الطلب مرتين في كشف حساب ‏CMI‏. السبب: استُدعي ‏callback‏ مرتين (‏timeout‏ من جانب الخادم ← إعادة محاولة ‏CMI‏) ولا تمتلك المنطق التطبيقية مبدأ الإمبادة على مرجع الطلب. الحل: التحقق من مرجع الطلب (‏oid‏) عند استقبال ‏callback‏ والتحقق من الطلب فقط إذا لم يكن مُعلَّماً مسبقاً كمدفوع.

‏تكامل ‏CMI‏ ليس إلا جانباً واحداً من امتثال موقع التجارة الإلكترونية المغربي. تُطبَّق ضريبة القيمة المضافة المغربية (20% على الخدمات الرقمية) حين يكون مقر المزود في المغرب والخدمة مُقدَّمة لعميل مغربي — نقطة يتناولها مقال ضريبة القيمة المضافة المغربية والاستضافة. تخضع البيانات الشخصية المجمّعة أثناء عملية الدفع للقانون 09-08 وتوصيات ‏CNDP‏، ولا سيما إذا كانت مستضافة خارج المغرب — انظر الامتثال لـ‏CNDP‏ والاستضافة خارج المغرب.

بالنسبة للوكالات التي تسجّل أسماء نطاقات ‏.ma‏ لعملائها، فإن اعتماد مسجّل النطاقات من ‏ANRT‏ شرط مسبق: نطاق ‏.ma‏ مسجَّل عبر مسجّل غير معتمد لا يكون صالحاً. يُفصّل مقال ‏Megalogi‏، المسجّل المعتمد لدى ‏ANRT‏ هذه النقطة.

تُشكّل مجموع هذه المتطلبات — ‏CMI‏ وضريبة القيمة المضافة و‏CNDP‏ و‏ANRT‏ — الإطار التنظيمي لمشروع التجارة الإلكترونية المغربي. إدارتها مع مزود استضافة واحد يُصدر الفواتير بالدرهم ويتضمن ‏SSL‏ ومتجذّر في المنظومة القانونية المغربية تُبسّط إدارة المشروع للوكالة وعميلها.