تكلفة استئجار هاكر أخلاقي 2026: كيف يُبنى السعر وما يغطيه العقد

سؤال السعر هو أول ما يُطرح، وهو آخر ما يمكن الإجابة عنه بدقة، لأن تكلفة استئجار هاكر أخلاقي ليست قائمة أسعار بل دالة على النطاق. الفريق الذي يرسل لك رقمًا قبل أن يسأل عن عدد التطبيقات، وعدد أدوار المستخدمين، ونوع البيئة، وهل الاختبار بصلاحيات أم بدونها، لا يبيعك اختبارًا أمنيًا؛ يبيعك موافقة على رقم. هذا الدليل يفكّ المعادلة التي يبني بها المزود عرضه، ويعرض أرقام السوق المنشورة في السعودية والإمارات والمرجع الدولي، ويشرح البنود التي تفصل الاختبار الحقيقي عن فحص آلي مُغلَّف بتقرير، ثم الإطار القانوني الذي يجعل العمل مشروعًا في كل من المملكة والإمارات.

لماذا لا يوجد سعر واحد، ولماذا هذا في مصلحتك

اختبار الاختراق عمل بشري في معظمه: مهندس يقرأ تدفق تطبيق، ويجرّب أدوارًا مختلفة، ويتابع سلسلة استغلال من حساب منخفض الصلاحية إلى وظيفة إدارية. السعر إذن يتناسب مع ساعات هذا المهندس، ومستواه، وعدد الأيام التي يقضيها داخل نطاقك، وما ينتج بعد ذلك من تقرير وإعادة اختبار وجلسة شرح. أما الأدوات، فتكلفتها هامشية في المعادلة؛ الأداة نفسها يستخدمها فريق بثلاثة آلاف ريال لليوم وفريق بعشرة آلاف، والفرق ليس في الأداة.

هذا يعني أن سؤال «كم يكلف؟» لا جواب له خارج جملة واحدة: كم أصلًا، وبأي عمق، وفي أي نافذة زمنية، وبأي مخرجات. ومن هنا فإن العرض الذي يعطيك رقمًا ثابتًا لكل العملاء هو عرض لم يُقرأ فيه نطاقك أصلًا، وغالبًا سيُختصر العمل في آخره: أيام أقل، اختبار آلي أكثر، تقرير بلا خطوات إعادة إنتاج.

المعادلة التي يبنيها المزود المحترف قبل أن يرسل العرض

عرض السعر الجدي يُبنى من أربعة مكوّنات، ويمكنك أن تطلب رؤيتها منفصلة:

• أيام التنفيذ: تُحسب بعدد الأصول (تطبيق، واجهة برمجية، شبكة خارجية، تطبيق جوال) مضروبًا في العمق المطلوب. تطبيق ويب واحد بأربعة أدوار مستخدمين وتكامل دفع ليس كتطبيق صفحة تسجيل دخول.
• أيام التحليل والتقرير: في الممارسة، يوم كتابة لكل يومَي تنفيذ تقريبًا. هذا هو البند الذي يُحذف أولًا في العروض الرخيصة، وهو البند الذي يحدد إن كان التقرير قابلًا للتنفيذ أم مجرد قائمة عناوين.
• إعادة الاختبار: يوم إلى يومين بعد الإصلاح. الاختبار بلا إعادة اختبار يتركك بلا دليل على أن الثغرة أُغلقت فعلًا، لا على الورق.
• الإدارة والالتزامات: عقد، وتأمين مسؤولية مهنية، وسرية، ومعالجة بيانات، وتنسيق مع مزود السحابة إن لزم. هذه بنود لا تظهر في سطر السعر لكنها تُحمّل عليه.

مثال حسابي مبسّط: اختبار تطبيق ويب واحد، خمسة أيام تنفيذ، مهندس أول بمتوسط تكلفة يومية بين ثلاثة آلاف وستة آلاف ريال، ويومان للتحليل والتقرير، ويوم لإعادة الاختبار. الحاصل ثمانية أيام عمل، أي نطاق يقارب 24 ألف ريال في الطرف الأدنى و48 ألفًا في الأعلى، قبل هامش الإدارة والتأمين. حين ترى عرضًا لاختبار مماثل بثلاثة آلاف ريال، فالسؤال ليس هل هو رخيص، بل أي بند من هذه البنود حُذف.

الأرقام المنشورة في السوق: السعودية والإمارات والمرجع الدولي

لا توجد جهة رسمية تنشر تسعيرة موحّدة لاختبار الاختراق، لأن كل نطاق مختلف. لكن أدلة الأسعار المنشورة من مزودين سعوديين وإماراتيين تعطي نطاقات مفيدة للتخطيط، بشرط قراءتها كنطاقات لا كعروض. هذه أرقام 2026 كما نشرها أصحابها:

السعودية (نطاقات منشورة في أدلة أسعار محلية): تطبيق ويب واحد بين 15 ألفًا و45 ألف ريال بحسب الأدوار والمسارات؛ اختبار شبكة خارجية أو داخلية بين 20 ألفًا و60 ألف ريال بحسب الحجم؛ تطبيق جوال مع واجهاته البرمجية بين 25 ألفًا و55 ألفًا؛ محاكاة خصم (Red Team) تُسعَّر من 120 ألف ريال صعودًا. وعلى مستوى المشروع، تشير الأدلة نفسها إلى نطاق إجمالي من 5 آلاف إلى 200 ألف ريال، وأن اختبار تطبيق بسيط يبدأ من نحو 12 ألف ريال، وأن المشاريع المعتادة تقع بين 25 ألفًا و100 ألف، وأن التقييم الشامل للمؤسسة قد يتجاوز 300 ألف ريال.

الإمارات (دليل مشترٍ منشور لمزود إماراتي): اختبار شبكة خارجية صغير بين 5,500 و20,000 درهم؛ تطبيق ويب واحد بين 7,000 و80,000 درهم؛ شبكة داخلية بين 20,000 و50,000 درهم؛ مراجعة إعدادات سحابية بين 2,200 و150,000 درهم؛ والبرنامج المؤسسي متعدد النطاقات يُسعَّر فرديًا، مع سقف منشور يتجاوز 250 ألف درهم.

المرجع الدولي (دلائل أسعار غربية 2026): الاختبار التجاري المعتاد بين 10,000 و35,000 دولار؛ النطاقات الصغيرة المحددة تبدأ من 5,000 دولار؛ التقييمات الكبيرة والسحابية والفريق الأحمر بين 25,000 و150,000 دولار أو أكثر؛ وسعر الساعة المهنية بين 250 و300 دولار.

ثلاث ملاحظات على هذه الأرقام. الأولى أنها تخطيطية لا تعاقدية؛ الرقم الملزم هو عرض مبني على قائمة أصولك. الثانية أن الفارق داخل النطاق الواحد (تطبيق ويب من 7 آلاف إلى 80 ألف درهم مثلًا) ليس مبالغة تسويقية بل انعكاس لعمق الاختبار: فحص آلي كثيف يقف في الأسفل، واختبار يدوي لمنطق العمل وتدفقات الدفع يقف في الأعلى. الثالثة أن الأرقام لا تشمل عادة دعم الإصلاح ولا رسوم الأدلة المرتبطة بإطار امتثال معين، فاسأل عن كل بند خارج النطاق قبل المقارنة.

الفحص الآلي مقابل الاختبار اليدوي: الفرق الذي يفسّر معظم فرق السعر

ماسح الثغرات أداة تُشغَّل على قائمة أهداف وتُخرج قائمة نتائج. قيمته في التكرار والتغطية الواسعة، وسعره في السوق من بضع مئات إلى بضعة آلاف من الريالات سنويًا، وهو مناسب كضابط دوري لا كبديل عن اختبار. أما اختبار الاختراق فهو محاولة استغلال منهجية بيد مهندس: هل يمكن الانتقال من حساب مستخدم عادي إلى وظيفة إدارية عبر معامل قابل للتلاعب؟ هل يمكن تجاوز التحقق في واجهة برمجية بإعادة إرسال رمز؟ هل يمكن قراءة بيانات مستأجر آخر في تطبيق متعدد المستأجرين؟ لا شيء من هذه الأسئلة يجيب عنه الماسح.

لذلك فإن أول سؤال فني في أي عرض هو: ما نسبة العمل اليدوي؟ وما عدد ساعات المهندس المخصّصة للنطاق؟ المزود الجدي يجيب برقم، والمزود الذي يجيب بـ«نستخدم أحدث الأدوات» يبيع فحصًا باسم اختبار. وللتفصيل في الفرق بين أنواع الاختبار وبين اختبار واجهات البرمجة تحديدًا، تجد في دليل اختبار أمن واجهات البرمجة الخطوات والأنواع، وفي دليل اختيار شركة اختبار اختراق للمواقع المعايير التي تُقاس بها الشركة لا سعرها.

وليس كل شراء أمني اختبارًا: عقد الاستجابة للحوادث يُقاس بوقت استجابة مكتوب وتفويض مُعدّ مسبقًا وأسعار مثبتة، لا بعدد الاختبارات. وتفصيل ما يجب أن يشتريه هذا العقد، ومن يُبلَّغ ومتى، في دليل خطة الاستجابة للحوادث السيبرانية.

خمسة عناصر يجب أن يكون السعر مقابلها

السعر ليس رقمًا مقابل «اختبار»، بل مقابل خمسة مخرجات يمكنك فحصها واحدة واحدة:

• تقرير بخطوات إعادة إنتاج: لكل ثغرة: الطلب، والاستجابة، والدليل، والأثر، والتوصية. التقرير الذي يسرد أسماء ثغرات بلا خطوات ليس تقريرًا بل إشعارًا.
• تصنيف بالأثر لا بالخطورة المجردة: ثغرة «عالية» في صفحة تسويقية ليست كالثغرة نفسها في بوابة دفع. اطلب ربط كل نتيجة بالأصل والبيانات التي يصل إليها المستغل.
• إعادة اختبار: مشمولة أو مفوترة، لكنها موجودة في العرض. غيابها يعني أنك تدفع مقابل قائمة مشاكل بلا إثبات إغلاق.
• جلسة شرح مع الفريق التقني: ساعة إلى ساعتين تُغني عن أسبوع من المراسلات، وتكشف إن كان من كتب التقرير هو من نفّذ الاختبار.
• حزمة أدلة للامتثال: إن كنت تحت ضابط وطني أو إطار دولي، فالتقرير يجب أن يربط النتائج بأرقام الضوابط، وإلا لن يقبله مدقق ولا جهة تنظيمية.

النطاق المكتوب: الوثيقة التي تُسعّر بها نفسك قبل أن تُسعَّر

أفضل طريقة لخفض السعر دون خفض الجودة هي أن تكتب نطاقك بنفسك. النطاق الواضح يمنع المزود من التسعير على أسوأ الاحتمالات، ويمنعك من دفع ثمن أصول لم تكن في نيتك. ويعرّف المعهد الوطني الأميركي للمعايير والتقنية قواعد الاشتباك بأنها إرشادات وقيود تُوضع قبل الاختبار لتمنح الفريق سلطة تنفيذ أنشطة محددة، وهذا هو المعنى العملي: سلطة محددة، لا سلطة عامة.

الوثيقة التي يطلبها أي فريق محترف قبل البدء تحمل ثمانية حقول على الأقل:

• قائمة الأصول: النطاقات وعناوين IP وعناوين الواجهات البرمجية وتطبيقات الجوال وأي بيئة اختبار.
• الاستثناءات: أصول صريحة خارج النطاق، ومنها ما تملكه شركة أخرى أو مزود خارجي.
• النافذة الزمنية: تواريخ وأوقات التنفيذ، وساعات العمل المتفق عليها للأنظمة الحساسة.
• التقنيات المسموحة والممنوعة: هل يُسمح بالهندسة الاجتماعية؟ هل يُسمح بهجمات حجب الخدمة؟ (الأخيرة ممنوعة في أغلب العقود ولو كان النظام ملكك).
• حدود الاستغلال: هل يُسمح بالانتقال الأفقي؟ هل يُسمح بقراءة بيانات حقيقية أم بإثبات الوصول بأقل قدر ممكن؟
• جهات الاتصال والتصعيد: من يُبلَّغ فورًا عند العثور على ثغرة حرجة أو عند تعطل خدمة.
• قواعد البيانات: التخزين، والتشفير، ومدة الاحتفاظ، وكيفية الحذف بعد التسليم.
• المخرجات: صيغة التقرير، واللغة، والموعد، ومن يستلمه داخل مؤسستك.

هذه الوثيقة ليست بيروقراطية؛ هي ما يحوّل النشاط من مخاطرة إلى خدمة. الفريق الذي يعمل بلا نطاق مكتوب يعرّض نفسه ويعرّضك، والقانون في المملكة والإمارات لا يعترف بنية حسنة بلا تفويض.

من يملك حق التفويض؟ ثلاثة أسئلة قبل أن توقّع

التفويض لا يصح من شخص لا يملك الأصل. قبل أن تطلب اختبارًا، أجب عن ثلاثة أسئلة:

هل تملك الأصل قانونًا؟ إن كان الموقع مستضافًا لدى مزود، فالاستضافة لا تنقل الملكية؛ لكنها قد تنقل مسؤولية التشغيل، وقد يمنع عقد الاستضافة اختبارًا بلا إشعار. أما إن كان الموقع لعميل، فالتفويض يحتاج توقيع العميل نفسه، لا توقيعك أنت كوكيل.

هل الأصل داخل السحابة؟ مزودو السحابة يسمحون عادة باختبار الموارد التي تستأجرها، ويحظرون صراحةً هجمات حجب الخدمة ومحاكاة التحميل الثقيل، ويطلبون موافقة مسبقة على أنشطة محددة مثل استنطاق مناطق DNS. اختبار بلا قراءة سياسة المزود قد ينتهي بإيقاف حسابك لا بتقرير.

هل الأصل مشترك مع مستأجرين آخرين؟ في تطبيق SaaS متعدد المستأجرين، اختبار جلسة مستأجر آخر يحتاج تفويضًا من ذلك المستأجر أو من مالك المنصة بحدود واضحة، وإلا صار الاختبار وصولًا إلى بيانات طرف ثالث.

الإطار السعودي: نظام مكافحة الجرائم المعلوماتية والضوابط الوطنية

الأساس القانوني الذي يجعل التفويض مهمًا هو أن الدخول غير المشروع جريمة قائمة بذاتها، بصرف النظر عن النية. نظام مكافحة جرائم المعلوماتية الصادر بالمرسوم الملكي رقم م/17 وتاريخ 8/3/1428هـ يعاقب في مادته الثالثة على الدخول غير المشروع إلى موقع إلكتروني أو تغيير تصميمه أو إتلافه أو تعديله أو شغل عنوانه، بالسجن مدة لا تزيد على سنة وغرامة لا تزيد على 500 ألف ريال أو بإحدى العقوبتين. وتشدّد المادة الرابعة العقوبة إلى السجن مدة لا تزيد على ثلاث سنوات وغرامة لا تزيد على مليوني ريال عند الحصول على بيانات بنكية أو بيانات ملكية أوراق مالية أو الاستيلاء على أموال بالاحتيال أو بانتحال هوية. أما المادة الخامسة فترفع السقف إلى السجن مدة لا تزيد على أربع سنوات وغرامة لا تزيد على ثلاثة ملايين ريال عند الدخول غير المشروع بنية حذف بيانات خاصة أو إتلافها أو تسريبها أو تغييرها أو إعادة نشرها، أو تعطيل الشبكة، أو إعاقة الوصول إلى الخدمات.

الترجمة العملية لهذه المواد ثلاث نقاط. الأولى أن صفة «هاكر أخلاقي» لا تُوجد في النص؛ ما يوجد هو التفويض وحدوده. الثانية أن الأثر المالي للعقوبة يتضاعف مع نوع البيانات الممسوكة، ولذلك فإن اختبار نظام مالي أو صحي يحتاج تفويضًا أدق وضوابط أشد من اختبار موقع تعريفي. الثالثة أن تجاوز النطاق المتفق عليه قد يُقرأ كدخول غير مشروع ولو كان النطاق الأصلي مملوكًا لك، لأن التفويض في العقد ليس شيكًا مفتوحًا.

وإلى جانب النظام الجزائي، هناك طبقة حماية البيانات. المادة 19 من نظام حماية البيانات الشخصية تُلزم جهة التحكم باتخاذ ما يلزم من إجراءات ووسائل تنظيمية وإدارية وتقنية تضمن المحافظة على البيانات الشخصية، بما في ذلك عند نقلها. الاختبار الأمني يعالج بيانات شخصية فعلية: نسخ من قواعد الإنتاج، وحسابات مستخدمين، وسجلات. لذلك فإن مشروع الاختبار نفسه مشروع معالجة، ويحتاج أساسًا نظاميًا، وتصغيرًا للبيانات، ومدة احتفاظ محددة. واللائحة التنفيذية للنظام تُلزم جهة التحكم بالضوابط الصادرة عن الهيئة الوطنية للأمن السيبراني أو بمعايير أمن سيبراني معترف بها إن لم تكن ملزمة بها، وهو ما يجعل الضوابط الوطنية مرجعًا عمليًا لمعظم المؤسسات في المملكة.

هذه الضوابط هي الضوابط الأساسية للأمن السيبراني، ونسختها السارية ECC-2:2024 حلت محل ECC-1:2018، وتتكون من أربعة مكونات رئيسية و28 مكونًا فرعيًا وأكثر من مائة ضابط، ونطاقها يشمل الجهات الحكومية وشركاتها التابعة ومالكي البنية التحتية الوطنية الحساسة ومشغليها ومستضيفيها. وفيها ما يخص الاختبار مباشرة: إدارة الثغرات التقنية، واختبار الأنظمة قبل إطلاقها وبشكل دوري بعد ذلك، وربط نتائج الاختبار بالإصلاح. أما الجهات المالية فتخضع إضافة إلى ذلك لإطار الأمن السيبراني الصادر عن البنك المركزي السعودي الذي يوجب اختبارات دورية وتقييمًا للمخاطر. النتيجة أن اختبار الاختراق في السعودية ليس خدمة اختيارية جمالية، بل بند في إطار تنظيمي، وهذا يفسر نمو الطلب عليه.

الإطار الإماراتي: المرسوم 34/2021 وحماية البيانات

في الإمارات، المرسوم بقانون اتحادي رقم 34 لسنة 2021 في شأن مكافحة الشائعات والجرائم الإلكترونية دخل حيز النفاذ في الثاني من يناير 2022، وهو الذي يعاقب على الاختراق. المادة الثانية تعاقب من يخترق موقعًا إلكترونيًا أو نظامًا معلوماتيًا أو شبكة معلومات أو جهازًا تقنيًا بالسجن وغرامة لا تقل عن 100 ألف درهم ولا تزيد على 300 ألف، وترفع العقوبة إلى السجن ستة أشهر على الأقل وغرامة من 150 ألفًا إلى 500 ألف درهم إذا نتج عن الاختراق إتلاف أو تعطيل أو إفشاء بيانات أو فقدان سريتها. المادة الثالثة تخص أنظمة الجهات الحكومية بعقوبات أشد تبدأ من 200 ألف درهم. والمادة السادسة تعاقب على الحصول على بيانات شخصية إلكترونية أو تعديلها أو إفشائها بغير إذن بالسجن ستة أشهر على الأقل وغرامة من 20 ألفًا إلى 100 ألف درهم. والمادة التاسعة تعاقب على الحصول على رمز دخول أو كلمة مرور بغير إذن بغرامة من 50 ألفًا إلى 100 ألف درهم، وتشدّدها إلى 300 ألف إذا استُخدم الرمز للدخول أو لتمكين الغير من الدخول بقصد ارتكاب جريمة.

هذا الترقيم مهم عمليًا لأن كثيرًا من الملخصات العربية تخلط بين مواده، والخلط يفسد ملف الامتثال. والأهم من العقوبة هو ما تعنيه للعقد: أنت وفريق الاختبار تحتاجان تفويضًا يحدد الأصول والأنشطة، وأن استخراج بيانات شخصية حقيقية أثناء الاختبار يقع تحت مظلة أخرى هي قانون حماية البيانات الشخصية، المرسوم بقانون اتحادي رقم 45 لسنة 2021، الذي تُلزم مادته العشرون جهة التحكم والمعالج بتدابير تقنية وتنظيمية تضمن أعلى معيار أمني ملائم للمخاطر، بما يشمل التشفير وإخفاء الهوية وضمان السرية والسلامة والتوافر والمرونة والاستعادة واختبار الفعالية بشكل مستمر. أي أن الاختبار الذي تطلبه هو نفسه ضابط مطلوب منك، لكنه أيضًا معالجة بيانات تحتاج ضوابطها.

وللقطاع الصحي في أبوظبي معياره الخاص، وللقطاع المالي تعليمات المصرف المركزي، وكثير من هذه الأطر يوجب اختبارًا دوريًا وربط النتائج بالإصلاح. والخبرة العملية أن المؤسسة التي تطلب الاختبار لأجل شهادة أو ضابط تدفع أكثر من المؤسسة التي تطلبه للمعرفة، لأن التقرير في الحالة الأولى يجب أن يحمل ربطًا بالضوابط وأدلة قابلة للتدقيق.

العقد: اثنا عشر بندًا تُقرأ قبل التوقيع

العقد هو الفرق بين خدمة ومخاطرة. هذه البنود الاثنا عشر لا تحتاج محاميًا لكل منها، لكن غياب أي منها يستحق سؤالًا:

• هوية الطرفين والسجل التجاري والرقم الضريبي، لا اسم مستعار على تطبيق مراسلة.
• النطاق والاستثناءات، مكتوبة كما في القسم السابق.
• النافذة الزمنية وقواعد الاشتباك وإجراء التصعيد.
• التقنيات المسموحة والممنوعة صراحةً.
• التزام السرية وعدم الإفصاح، بما يشمل نتائج الاختبار نفسها.
• معالجة البيانات: من يصل إليها، وأين تُخزَّن، ومدة الاحتفاظ، وكيف تُحذف.
• المسؤولية والتأمين المهني وحدود التعويض.
• ملكية المخرجات: من يملك التقرير والأدلة، وهل يجوز للمزود استخدامها كمرجع تسويقي.
• إعادة الاختبار: مشمولة أم لا، وبأي سعر، وفي أي مهلة.
• إدارة التغيير: كيف يُعدّل النطاق إذا ظهر أصل جديد أو تبيّن أن أصلًا ليس ملكك.
• الإنهاء: كيف يتوقف العمل فورًا، وكيف تُسلَّم النتائج الجزئية.
• حالة الطوارئ: ما يحدث إذا أدى الاختبار إلى تعطل خدمة أو كشف بيانات، ومن يتحمل الكلفة.

بند واحد يستحق التأكيد: الملكية والسرية. مزود يستخدم تقرير اختراقك كدراسة حالة منشورة يفشي بنية دفاعك للجميع، وهي معلومات لا تقل حساسية عن الثغرة نفسها.

البيانات الحقيقية داخل الاختبار: تصغير واحتفاظ وحذف

كثير من الاختبارات تُنفَّذ على نسخة من الإنتاج لأن بيئة الاختبار لا تحاكي التعقيد. هذا مقبول بشروط، لا مطلقًا:

• التصغير: استخدم حسابات اختبار وبيانات مُصنَّعة حيث أمكن، ولا تُسلَّم قاعدة بيانات كاملة إن كان الاستغلال يمكن إثباته بعشرين سجلًا.
• الحجب: أعمدة الأسماء والهويات وأرقام البطاقات تُقنَّع قبل التسليم، والأصل يبقى عندك.
• الاحتفاظ: مدة محددة في العقد (ثلاثون أو ستون يومًا شائع)، ثم حذف موثّق بشهادة حذف.
• النقل والتخزين: مشفّر في الطرفين، ولا أدلة على أجهزة محمولة غير مشفرة أو في محادثات تطبيقات.
• الإبلاغ: إذا كشف الاختبار تسريبًا قائمًا بالفعل، فالمدة النظامية للإبلاغ تبدأ من العلم، وهذا يعني أن تأخير إبلاغك بالحادثة قد يكلّفك أكثر من الثغرة نفسها.

هذه البنود ليست تفاصيل إدارية: في السعودية تُلزم اللائحة التنفيذية جهة التحكم بإشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من العلم بحادثة تسرب البيانات الشخصية إذا كان من شأنها الإضرار بأصحابها، ومن لا يملك سجلًا لما جرى في الاختبار لا يستطيع أن يحدد متى علم.

علامات الوسطاء والمحتالين: كيف تعرف أنك أمام فريق لا صفحة إعلانية

سوق استئجار هاكر ملوّث، والفرق بين مزود ومحتال يظهر في التفاصيل لا في الوعد. هذه أكثر العلامات تكرارًا:

• يضمن نتيجة. لا أحد يضمن اختراق نظام أو استرجاع حساب؛ من يضمن فهو إما يجهل العمل أو يكذب.
• يسألك عن بيانات الدخول بدلًا من التفويض. الفريق المحترف لا يحتاج كلمة مرورك؛ يحتاج حساب اختبار بدور محدد أو تفويضًا كتابيًا.
• يعرض اختراق حساب شخص آخر، أو مراقبة هاتف شخص بغير موافقته، أو استرجاع حساب لا تملكه. هذا ليس خدمة، بل جريمة بموجب المادة الثالثة في السعودية والمادة الثانية في الإمارات.
• يرفض توقيع عقد أو إصدار فاتورة. الفاتورة والسجل التجاري ليسا شكلًا؛ هما ما يجعل لك جهة ترجع إليها.
• يطلب الدفع الكامل مقدمًا بعملة رقمية بلا استرداد.
• يعطي مدة غير واقعية: اختبار كامل في 24 ساعة يعني فحصًا آليًا وتقريرًا منسوخًا.
• لا يسأل عن نطاق ولا عن استثناءات ولا عن نافذة زمنية. أول علامة على أن العمل لن يُنفَّذ كما تتصور.
• مخرجاته لقطات شاشة بلا خطوات إعادة إنتاج. دليل لا يُعاد إنتاجه ليس دليلًا.
• يستخدم صورًا وشهادات منسوخة من مواقع أخرى، وسجلًا غير قابل للتحقق.
• يضغط بالوقت: العرض ساري اليوم فقط. الندرة المصطنعة أداة بيع لا أداة أمن.

ما لا يشتريه المال: حدود التفويض

حتى لو دفعت، هناك ما لا يمكن شراؤه قانونًا. لا يجوز اختبار نظام لا تملكه أو لا تملك تفويضًا كتابيًا صريحًا باختباره، ولا يجوز اختبار جهاز شخص آخر بحجة التحقق من شكوك، ولا مراقبة هاتف شريك أو موظف، ولا استرجاع حساب بريد إلكتروني مسجّل باسم غيرك. في حالة استرجاع حساب تملكه فعلًا، المسار المشروع هو ملكية موثقة تُقدَّم إلى المنصة أو إلى مزود خدمة يعمل عبر قنواتها المعتمدة، وليس تجاوزًا تقنيًا. هذا الحد ليس تفصيلًا أخلاقيًا في نهاية المقال، بل هو الشرط الذي يجعل كل ما سبق خدمة مشروعة بدلًا من مخاطرة جنائية. ولتفصيل مسار الحساب المخترق، راجع دليل استرجاع الحساب المخترق، ولعلامات اختراق الهاتف كيف تعرف أن هاتفك مخترق.

كيف تقارن عرضين بنفس النطاق

مقارنة الأسعار بلا توحيد النطاق مقارنة بلا معنى. الطريقة العملية: اكتب أنت جدول النطاق أولًا (الأصول، العمق، النافذة، المخرجات، إعادة الاختبار)، ثم أرسل الجدول نفسه إلى كل مزود واطلب منه تعبئة سعر لكل سطر. النتيجة غالبًا أن العرض الأرخص يصبح أغلى حين يُسعَّر بنفس البنود، أو أن الفرق يظهر في بند واحد: عدد أيام التنفيذ أو شمول إعادة الاختبار.

واطلب من كل مزود ثلاثة أشياء مع العرض: نموذج تقرير سابق معاد تحريره، وسيرة الفريق الذي سينفّذ فعلًا لا الفريق الذي سيبيع، وإجابة مكتوبة عن سؤال «ما الذي يحدث إذا تعطلت خدمتنا أثناء الاختبار». الإجابات الثلاث تكشف أكثر من أي جدول أسعار.

قائمة تحقق من عشر أسئلة قبل الدفع

• من سينفّذ الاختبار بالاسم، وما شهاداته وخبرته في تقنيتي تحديدًا؟
• كم يوم تنفيذ وكم يوم تقرير في العرض؟
• ما نسبة العمل اليدوي مقابل الفحص الآلي؟
• هل إعادة الاختبار مشمولة، وكم مرة؟
• هل التقرير يربط النتائج بضوابط الإطار الذي أخضع له؟
• هل يوجد عقد وتأمين مسؤولية مهنية وسرية موقّعة؟
• كيف ستُعالج البيانات الحقيقية، وما مدة الاحتفاظ، وهل هناك شهادة حذف؟
• هل النطاق يشمل بيئة الاختبار أم الإنتاج، وبأي قيود؟
• من أبلّغ إذا ظهرت ثغرة حرجة أو تعطلت خدمة، وبأي رقم وفي أي ساعة؟
• هل يمكنني الحصول على نموذج تقرير ومرجعين يمكن الاتصال بهما؟

من يجيب عن هذه العشرة كتابةً يستحق أن تُقرأ أسعاره بجدية. ومن يتجاوزها إلى «لا تقلق، نحن محترفون»، فقد أجاب عن السؤال الحقيقي.

الخلاصة: الرقم يتبع النطاق، والنطاق يتبع التفويض

تكلفة استئجار هاكر أخلاقي في 2026 تبدأ من بضع آلاف من الريالات لفحص محدود، وتقع في معظم المشاريع بين 25 ألفًا و100 ألف ريال في السعودية، وتتجاوز 300 ألف في التقييمات المؤسسية الشاملة، مع نطاقات مقابلة بالدرهم في الإمارات. لكن هذا الرقم لا معنى له قبل النطاق، والنطاق لا معنى له قبل التفويض. المؤسسة التي تكتب نطاقها وتعقد تفويضها بوضوح تدفع أقل مما تدفعه المؤسسة التي تشتري اختبارًا بلا حدود، لأن الأولى تشتري عملًا محددًا والثانية تشتري مفاجأة. وإذا كان لديك نطاق مكتوب بالفعل وتريد تحويله إلى اختبار منظم، فابدأ من صفحة استئجار هاكر أخلاقي أو راجع معايير اختيار شركة اختبار الاختراق.