مفاتيح المرور Passkeys: ما هي وكيف تحمي حساباتك من التصيد في 2026؟
مقدمة
ما زالت كلمات المرور هي الباب الأول لكثير من حساباتنا، لكنها أيضاً من أكثر النقاط التي يستهدفها المحتالون. كلمة مرور ضعيفة، أو كلمة مكررة بين عدة مواقع، أو صفحة تسجيل دخول مزيفة تشبه الموقع الأصلي، قد تكون كافية لسرقة حساب مهم. ولهذا بدأت خدمات كثيرة في تقديم خيار جديد يسمى مفاتيح المرور أو Passkeys.
مفتاح المرور لا يطلب منك حفظ سلسلة طويلة من الرموز أو كتابتها كل مرة. بدلاً من ذلك، تستخدم بصمة الإصبع أو التعرف على الوجه أو رمز قفل الجهاز لتأكيد تسجيل الدخول. الفكرة بسيطة في الاستخدام، لكن وراءها تصميم أمني مختلف عن كلمة المرور التقليدية.
في هذا الدليل ستتعرف على معنى مفاتيح المرور، وطريقة عملها، وما الذي يجعلها مقاومة للتصيد، ومتى ينبغي استخدامها، وما الاحتياطات التي لا يزال عليك اتخاذها لحماية حساباتك.
ما هي مفاتيح المرور؟
مفتاح المرور هو بيانات اعتماد رقمية مرتبطة بحسابك وبموقع أو تطبيق محدد. بدلاً من إدخال اسم المستخدم وكلمة المرور، يطلب منك الموقع إثبات أنك صاحب الجهاز عبر وسيلة فتح القفل الموجودة فيه، مثل البصمة أو التعرف على الوجه أو رقم PIN أو نمط القفل.
لا تعني هذه الطريقة أن الموقع يحصل على بصمتك أو صورة وجهك. في تصميم مفاتيح المرور، يبقى التحقق الحيوي على جهازك. يؤكد الجهاز فقط نجاح عملية فتح القفل، بينما لا تنتقل البصمة أو بيانات الوجه إلى الموقع. توضح Google أن البيانات الحيوية المستخدمة في البصمة أو فتح الوجه تبقى على الجهاز ولا تُشارك معها.[1]
تُبنى مفاتيح المرور على معايير FIDO، وهي معايير مفتوحة تهدف إلى جعل تسجيل الدخول أكثر أماناً وأسهل من كلمة المرور التقليدية. ويمكن حفظ المفتاح على الهاتف أو الحاسوب أو في مدير بيانات اعتماد موثوق أو على مفتاح أمان مادي متوافق.
كيف تعمل بصورة مبسطة؟
عند إنشاء مفتاح مرور لموقع ما، ينشئ جهازك زوجاً من المفاتيح الرقمية: مفتاح خاص يبقى محفوظاً لديك، ومفتاح عام يحصل عليه الموقع. عند تسجيل الدخول لاحقاً، يطلب الموقع من جهازك إثبات أنه يملك المفتاح الخاص الصحيح، من دون أن يرسل الجهاز هذا المفتاح إلى الموقع.
لهذا لا يحتاج خادم الموقع إلى تخزين كلمة مرورك السرية بالطريقة المعتادة. تشير Google إلى أن الموقع يحتفظ بالمفتاح العام فقط، ولا يمكن للمهاجم استخراج المفتاح الخاص منه لإكمال تسجيل الدخول.[2]
في الاستخدام اليومي، لن ترى هذه التفاصيل التقنية. غالباً سيعرض لك المتصفح أو التطبيق حسابك، ثم يطلب بصمة أو فتح الوجه أو رمز قفل الشاشة. إذا نجح التحقق، تدخل إلى الحساب.
لماذا تعد مفاتيح المرور مقاومة للتصيد؟
التصيد يحدث عندما ينشئ المحتال موقعاً مزيفاً يشبه خدمة معروفة، ثم يقنعك بكتابة كلمة المرور أو رمز التحقق فيه. إذا كتبت البيانات في الصفحة المزيفة، يستطيع المحتال استخدامها لاحقاً في الموقع الحقيقي.
مفاتيح المرور تقلل هذا الخطر لأنها مرتبطة بعنوان الموقع أو التطبيق الذي أنشأها. يوضح دليل Google للمطورين أن المتصفح ونظام التشغيل يتحققان من هوية الموقع، لذلك لا يمكن استخدام مفتاح المرور الخاص بموقع حقيقي في صفحة مزيفة ذات عنوان مختلف.[2]
هذا لا يعني أن كل خطر يختفي. ما زلت بحاجة إلى الحذر من تنزيل تطبيقات مزيفة، أو إعطاء هاتفك غير المقفل لشخص آخر، أو مشاركة رموز الاسترداد، أو تثبيت برامج غير موثوقة. لكن مفتاح المرور يزيل واحدة من أخطر اللحظات: كتابة كلمة السر في صفحة احتيالية.
هل مفاتيح المرور أفضل من كلمة المرور دائماً؟
هي خيار قوي عندما تدعمه الخدمة ويكون جهازك شخصياً ومحمياً بقفل شاشة جيد. لا تحتاج إلى تذكر كلمة مرور معقدة، ولا يمكن نسخ المفتاح ببساطة إلى ورقة أو إرساله في رسالة، كما تقل فرص كتابته في موقع تصيد.
لكنها ليست بديلاً عن السلوك الآمن. إذا كان شخص آخر يستطيع فتح هاتفك أو حاسوبك، فقد يستطيع الوصول إلى الحسابات التي أنشأت عليها مفاتيح مرور. لذلك يجب استخدام رمز قفل قوي وعدم مشاركة الجهاز المفتوح، خصوصاً إذا كان يحتوي على حسابات بريد أو بنوك أو عمل أو شبكات اجتماعية.
كما أن دعم مفاتيح المرور ما زال يختلف من خدمة إلى أخرى. بعض المواقع تقدمها كخيار إضافي، بينما لا تزال خدمات أخرى تعتمد على كلمة المرور والتحقق بخطوتين. لا تحذف وسائل الاسترداد أو كلمات المرور الأساسية قبل التأكد من أن حسابك يدعم طريقة دخول بديلة وآمنة.
قبل إنشاء أول مفتاح مرور
ابدأ بالحسابات المهمة، مثل البريد الإلكتروني الأساسي، لأن البريد غالباً يستخدم لاستعادة بقية الحسابات. تأكد أولاً من أن هاتفك أو حاسوبك محدث، وأن عليه قفل شاشة فعال، وأنك تستخدمه بنفسك وليس جهازاً مشتركاً.
تنصح Google بعدم إنشاء مفتاح مرور على جهاز مشترك، لأن أي شخص يستطيع فتح ذلك الجهاز قد يتمكن من الدخول إلى الحساب.[1] إذا كنت تستعمل حاسوباً في العمل أو الجامعة أو مقهى إنترنت، استخدم طريقة تسجيل دخول مؤقتة ولا توافق على حفظ مفتاح مرور عليه.
راجع أيضاً وسائل الاسترداد في حسابك. أضف بريد استرداد موثوقاً ورقم هاتف عند الحاجة، واحتفظ برموز النسخ الاحتياطي في مكان آمن إذا كانت الخدمة توفرها. مفتاح المرور يجعل الدخول أسهل، لكنه لا يلغي أهمية خطة الاسترداد عندما يتعرض الجهاز للفقد أو التلف.
مثال عملي: استخدام مفتاح مرور في حساب Google
تدعم حسابات Google مفاتيح المرور كبديل أو إضافة إلى كلمة المرور. بعد تسجيل الدخول إلى حسابك، يمكنك فتح خيارات تسجيل الدخول والأمان ثم البحث عن قسم مفاتيح المرور. سيطلب منك النظام تأكيد هويتك واتباع خطوات الجهاز لإنشاء المفتاح.
عند استخدامه لاحقاً، قد يقترح عليك الهاتف أو المتصفح تسجيل الدخول بالبصمة أو فتح الوجه أو رمز PIN. إذا كنت تسجل الدخول من حاسوب لا يحتوي على مفتاحك، قد تستطيع استخدام هاتف قريب لتأكيد العملية من خلال التعليمات التي تظهر على الشاشة، مثل رمز QR في بعض الحالات.[1]
لا تنشئ مفتاح مرور لأن نافذة منبثقة غريبة طلبت ذلك. ابدأ دائماً من الموقع أو التطبيق الرسمي الذي تعرفه، وتأكد من عنوانه قبل إجراء أي تعديل أمني على حسابك.
ماذا يحدث عند تبديل الهاتف أو فقدانه؟
هذه من أكثر الأسئلة شيوعاً. قد تتزامن مفاتيح المرور بين أجهزتك عبر مدير بيانات اعتماد موثوق، بحسب النظام والإعدادات التي تستخدمها. وقد تحتاج في حالات أخرى إلى تسجيل الدخول بطريقة بديلة ثم إنشاء مفتاح جديد على الجهاز الجديد.
إذا فقدت هاتفاً أو شككت أن شخصاً وصل إليه، ابدأ بتأمين الحسابات المهمة فوراً. في حساب Google، يمكنك مراجعة الأجهزة التي لها وصول إلى الحساب ومفاتيح المرور المسجلة، ثم إزالة المفتاح المرتبط بالجهاز المفقود.[1] كذلك غيّر كلمة المرور إذا شعرت بوجود خطر، وراجع جلسات تسجيل الدخول والتنبيهات الأمنية.
لا تؤجل هذه الخطوة بحجة أن هاتفك محمي ببصمة. قفل الجهاز مهم، لكن التصرف السريع عند الفقد جزء من الحماية. وكلما كانت وسائل الاسترداد محدثة، كان انتقالك إلى جهاز جديد أسهل وأكثر أماناً.
هل تحتاج إلى مدير كلمات مرور مع وجود مفاتيح المرور؟
غالباً ستحتاج إليه في المرحلة الحالية. ليست كل المواقع تدعم مفاتيح المرور، وما زلت بحاجة إلى كلمات مرور قوية وفريدة للخدمات التي لا توفرها. يمكن لمدير كلمات مرور موثوق أن يساعدك على إنشاء كلمات طويلة ومختلفة، وحفظها بطريقة منظمة، وإدارة مفاتيح المرور في بعض الحالات.
تجنب الاعتماد على كلمة واحدة لجميع الحسابات، حتى لو كنت تستخدم مفاتيح مرور لحساب أو حسابين. الاختراقات لا تحدث بطريقة واحدة، والحماية الجيدة تجمع بين كلمات مرور فريدة، والتحقق بخطوتين حيث يلزم، ومفاتيح مرور للخدمات التي تدعمها، وحذر يومي من الروابط والرسائل المضللة.
أخطاء شائعة يجب تجنبها
الخطأ الأول هو إنشاء مفتاح مرور على جهاز ليس ملكك. قد يبدو الأمر مريحاً مؤقتاً، لكنه يمنح مستخدم الجهاز لاحقاً فرصة للوصول إلى الحساب إذا استطاع فتحه.
الخطأ الثاني هو تعطيل وسائل الاسترداد بعد إنشاء المفتاح. احتفظ دائماً بطريقة بديلة آمنة للدخول، خصوصاً إذا كنت تعتمد على هاتف واحد فقط.
الخطأ الثالث هو الاعتقاد أن مفتاح المرور يسمح بتجاهل تحديثات الجهاز. الثغرات في النظام أو المتصفح قد تؤثر في الأمان، لذلك حافظ على التحديثات التلقائية قدر الإمكان، وثبت التطبيقات من المتاجر الرسمية فقط.
والخطأ الرابع هو الخلط بين مفتاح المرور ورمز التحقق الذي يصل برسالة نصية. مفتاح المرور ليس رقماً يرسله لك أحد، ولا ينبغي أن تطلبه جهة اتصال أو أن تشاركه عبر الهاتف. إذا طلب منك شخص «تأكيد المفتاح» أو إرسال رمز استرداد بحجة الدعم، تعامل مع الأمر على أنه محاولة احتيال حتى تثبت العكس من خلال القنوات الرسمية.
خطة بسيطة لحماية حساباتك هذا الأسبوع
ابدأ اليوم بمراجعة حساب بريدك الأساسي: كلمة مرور فريدة، وتحقق بخطوتين، ووسائل استرداد صحيحة، وقائمة الأجهزة المتصلة. بعد ذلك، إذا كان حسابك يدعم مفاتيح المرور، أنشئ واحداً على هاتفك الشخصي فقط.
في اليوم التالي، راجع حساباً مهماً آخر مثل شبكة اجتماعية أو خدمة عمل أو تخزين سحابي. لا تحول كل حساباتك دفعة واحدة إذا لم تكن متأكداً من طريقة الاسترداد. جرب تسجيل الخروج والدخول على جهاز شخصي لتفهم التجربة قبل الاعتماد عليها.
وفي نهاية الأسبوع، احذف التطبيقات غير المستخدمة، وحدّث النظام والمتصفح، وراجع الرسائل التي تطلب منك تسجيل الدخول. مع الوقت، تصبح هذه العادات جزءاً بسيطاً من استخدامك اليومي، لكنها تقلل كثيراً من احتمال فقدان الحساب بسبب كلمة مرور مسروقة أو صفحة مزيفة.
الخلاصة
مفاتيح المرور ليست مجرد طريقة أسرع لتسجيل الدخول، بل تصميم مختلف يقلل الاعتماد على كلمات المرور ويجعل التصيد أصعب. هي مفيدة خصوصاً للحسابات المهمة عندما تستخدمها على جهاز شخصي محمي، مع الحفاظ على وسائل الاسترداد وتحديث النظام وعدم مشاركة الجهاز المفتوح.
لا تحتاج إلى فهم التشفير لكي تستفيد منها. ابدأ بخطوة واحدة: تحقق من دعم حساب البريد الأساسي لمفاتيح المرور، ثم أنشئ مفتاحاً على جهازك الشخصي فقط. بعد ذلك، استمر في استخدام كلمات مرور قوية وفريدة لبقية الخدمات، ولا تتوقف عن الحذر من الرسائل والروابط المشبوهة.
المراجع
[1] Google Account Help، تسجيل الدخول باستخدام مفتاح مرور بدلاً من كلمة مرور
https://support.google.com/accounts/answer/13548313
[2] Google for Developers، Passkeys
https://developers.google.com/identity/passkeys
[3] FIDO Alliance، Passkeys
https://fidoalliance.org/passkeys/