مفتاح المرور (Passkey) هو بديل عن كلمة السر يقوم على زوج من المفاتيح المشفّرة: مفتاح خاص يبقى محفوظًا داخل هاتفك أو حاسوبك أو مفتاح أمان مادي ولا يغادره أبدًا، ومفتاح عام يُخزَّن لدى الموقع الذي سجّلت فيه. عند تسجيل الدخول يرسل الموقع تحدّيًا رقميًا، ويوقّعه جهازك بالمفتاح الخاص بعد أن تؤكّد هويتك ببصمة الإصبع أو التعرّف على الوجه أو رمز قفل الجهاز. النتيجة أنه لا توجد كلمة سر تُكتب ولا سرّ يمكن تسريبه من قاعدة بيانات الموقع.
كيف يعمل مفتاح المرور من الداخل؟
عند إنشاء المفتاح يولّد جهازك زوجًا فريدًا مرتبطًا بنطاق الموقع تحديدًا. يحتفظ الجهاز بالمفتاح الخاص في منطقة عتادية محمية، ويسلّم المفتاح العام للخدمة. المفتاح العام عديم القيمة لمن يسرقه: لا يمكن استنتاج المفتاح الخاص منه ولا انتحال توقيعه.
هذا يغيّر معادلة الاختراق كليًا. حين تُخترق قاعدة بيانات خدمة تستخدم كلمات السر، يحصل المهاجم على بصمات كلمات السر ويحاول كسرها ثم يجرّبها على حساباتك الأخرى. أمّا حين تُخترق قاعدة بيانات تعتمد مفاتيح المرور، فكل ما يحصل عليه هو مفاتيح عامة لا تفتح شيئًا. ولا يوجد كذلك «سرّ مشترك» يمكن أن تخطئ أنت بإعادة استخدامه في عشرة مواقع.
لكن هذا لا يعني أن كلمات السر ستختفي غدًا. ما دامت خدمات كثيرة تفرضها، فالمنهج الواقعي هو تفعيل مفاتيح المرور حيثما توفّرت، والاعتماد على عبارة مرور طويلة وفريدة في ما تبقّى، ويمكنك توليدها في ثوانٍ عبر مولّد عبارات المرور القوية دون تسجيل أو تثبيت.
كيف يبدو تسجيل الدخول عمليًا؟
التجربة أبسط ممّا يوحي به الشرح التقني. تفتح صفحة الدخول، تكتب اسم المستخدم أو تختاره من قائمة مقترحة، فيظهر إشعار من نظام التشغيل يطلب تأكيد هويتك. تنظر إلى الكاميرا أو تضع إصبعك أو تكتب رمز قفل جهازك، فتدخل مباشرةً. لا كلمة سر تُكتب، ولا رمز من رسالة نصية تنتظره، ولا خطوة ثانية منفصلة، لأن مفتاح المرور يجمع عاملين أصلًا: شيء تملكه وهو الجهاز، وشيء تكونه أو تعرفه وهو البصمة أو الرمز.
ويمكنك أيضًا الدخول على حاسوب لا يملك مفتاحك عبر مسح رمز QR بهاتفك؛ عندها يتحقّق النظام من قرب الجهازين لاسلكيًا قبل إتمام العملية، وهو قيد مقصود يمنع تنفيذ الهجوم عن بُعد.
أمّا إنشاء المفتاح أول مرة فلا يستغرق أكثر من نقرتين: تدخل إلى إعدادات الأمان في الخدمة، تختار إضافة مفتاح مرور، تؤكّد هويتك بالطريقة المعتادة، فيُنشأ المفتاح ويُسجَّل. ولا يمنعك ذلك من الإبقاء على كلمة سرّك القديمة مؤقتًا إلى أن تطمئنّ إلى الطريقة الجديدة على أجهزتك كلها.
لماذا يُوصف بأنه مقاوم للتصيّد؟
هذه أهم ميزة على الإطلاق. مفتاح المرور مرتبط ارتباطًا صارمًا بأصل الموقع (النطاق الذي أُنشئ من أجله). فإذا وصلتك رسالة احتيالية تقودك إلى صفحة تشبه صفحة مصرفك تمامًا لكن نطاقها مختلف بحرف واحد، فلن يجد المتصفّح مفتاحًا مطابقًا لذلك النطاق ولن يعرض عليك شيئًا لتوقّعه. الحماية هنا لا تعتمد على انتباهك ولا على قدرتك على قراءة شريط العنوان، بل على المتصفّح ونظام التشغيل.
قارن ذلك بكلمة سر قوية جدًا: مهما بلغت قوتها فإنك قد تكتبها بيدك في صفحة مزيّفة فتضيع في لحظة. بل إن رموز التحقق المؤقتة نفسها يمكن سحبها عبر صفحات وسيطة تنقلها فورًا إلى الموقع الحقيقي. مفتاح المرور يغلق هذا الباب من الأساس، ويغلق معه هجمات إعادة استخدام كلمات السر المسرّبة.
أين يمكنك استخدامه اليوم؟
الدعم صار واسعًا على مستوى الأنظمة: هواتف أندرويد وآيفون والحواسيب الحديثة بأنظمتها المختلفة، والمتصفّحات الرئيسية جميعها، إضافةً إلى مفاتيح الأمان المادية ومديري كلمات السر المستقلين الذين صاروا يخزّنون مفاتيح المرور ويزامنونها.
أمّا على مستوى الخدمات فالصورة متفاوتة. حسابات المنصّات الكبرى ومتاجرها وشبكاتها الاجتماعية ومنصّات المطوّرين تدعمه منذ فترة، بينما لا تزال كثير من المصارف والجهات الحكومية والخدمات المحلية في المنطقة العربية متأخّرة أو مكتفية بالرسائل النصية. أفضل عادة أن تفتح صفحة الأمان في كل حساب مهم لديك مرة واحدة وتبحث عن خيار «مفتاح المرور» أو «تسجيل الدخول دون كلمة سر»، وتفعّله حيثما وجدته.
المقايضات الحقيقية التي يجب أن تعرفها
أول ما يقلق الناس هو ضياع الجهاز. الإجابة العملية أن مفاتيح المرور تُزامَن اليوم عبر سلسلة مفاتيح النظام أو مدير كلمات السر، فإذا فقدت هاتفك استعدت مفاتيحك على جهاز جديد بعد تسجيل الدخول إلى حسابك السحابي. لكن هذا ينقل الثقة إلى ذلك الحساب السحابي، ما يعني أن حمايته بأقصى درجة صارت أهم من أي وقت مضى.
ثانيًا، مسارات الاستعادة تظل النقطة الأضعف. خدمة تسمح بإعادة تعيين الوصول عبر رسالة إلى بريدك تكون أمانها الفعلي بقوة بريدك لا بقوة مفتاح المرور. لذلك سجّل مفتاحًا على جهازين على الأقل، واحتفظ برموز الاستعادة الاحتياطية في مكان آمن خارج الإنترنت.
ثالثًا، نقل المفاتيح بين المنظومات المختلفة ما زال غير سلس. مفاتيح محفوظة في منظومة شركة واحدة لا تنتقل تلقائيًا إلى منظومة أخرى، ومن يستخدم هاتفًا من علامة وحاسوبًا من علامة ثانية قد يضطر إلى تسجيل مفتاح منفصل على كل جهاز أو الاعتماد على مدير كلمات سر مستقل يعمل عبر الأنظمة جميعها.
رابعًا، لا يزال عدد كبير من الخدمات يفرض كلمة سر إلى جانب المفتاح، أو لا يدعم المفاتيح إطلاقًا. وهنا تبقى القاعدة القديمة سارية: عبارة مرور طويلة وفريدة لكل حساب، ولا تعيد استخدام أي عبارة مرّتين مهما بدت قوية، مع مراجعة دليلنا حول كيفية إنشاء عبارة مرور قوية يسهل تذكّرها.
الخلاصة العملية
فعّل مفتاح المرور في كل خدمة تعرضه، وابدأ بالحسابات التي تفتح غيرها: البريد الإلكتروني أولًا، ثم الحساب السحابي، ثم المصرف والمتاجر. وللحسابات التي لا تدعمه بعد، اجمع بين عبارة مرور فريدة من مولّد عبارات المرور ورمز تحقق مؤقت من أداة المصادقة الثنائية TOTP بدل الرسائل النصية، ويشرح مقال ما هو رمز TOTP آلية عمله. بقية الأدوات المجانية متاحة في الصفحة الرئيسية لموقع 1mail.
أسئلة شائعة
هل تُرسل بصمتي إلى الموقع؟
لا. البصمة أو صورة الوجه لا تغادر جهازك ولا يراها الموقع. دورها الوحيد فتح المفتاح الخاص محليًا كي يوقّع تحدّي الدخول.
ماذا يحدث إذا فقدت هاتفي؟
إذا كانت مفاتيحك مزامَنة فستستعيدها على الجهاز الجديد عبر حسابك السحابي. ولتقليل الخطر سجّل مفتاحًا على جهاز ثانٍ واحتفظ برموز الاستعادة.
هل ما زلت بحاجة إلى المصادقة الثنائية؟
مع مفتاح المرور لا تحتاج إلى خطوة ثانية لأنه يجمع العاملين معًا. لكن أبقِ التحقق بخطوتين مفعّلًا في كل حساب لا يدعم المفاتيح.
