كل خدمة تتيح التحقق بخطوتين تعرض الشاشة نفسها مرة واحدة فقط: كتلة من ثمانية أو عشرة سطور قصيرة، وزر مكتوب عليه «لقد حفظتها»، ولا فرصة ثانية. يضغط الجميع تقريبًا على الزر. ولا يحفظ الرموز أحد تقريبًا. ثم يُسرق الهاتف أو يُعاد ضبطه أو يسقط في الماء، فتتبيّن أن تلك السطور كانت الباب الوحيد الذي بقي مفتوحًا.
تستحق هذه الرموز فهمًا دقيقًا، لأنها تتصرف بطريقة مختلفة عن أي بيانات اعتماد أخرى تملكها. إذا كنت لا تزال في مرحلة إعداد العامل الثاني، يمكنك توليد الجزء المكوّن من ستة أرقام واختباره أولًا عبر أداة مصادقة TOTP مجانية على الإنترنت، ثم تتعامل مع الرموز الاحتياطية كخطوة منفصلة ومقصودة.
ما هو رمز الاسترداد فعليًا
رمز الاسترداد سر مولَّد مسبقًا يُستخدم مرة واحدة، وتقبله الخدمة بدلًا من عاملك الثاني. وهو غير مشتق من كلمة مرورك ولا من بذرة تطبيق المصادقة. فقد ولّد الخادم دفعة من السلاسل العشوائية لحظة تفعيلك المصادقة الثنائية، وخزّن بصماتها المشفّرة، وعرض النص الأصلي مرة واحدة فقط.
لهذا نتيجتان. الأولى أن الخدمة لا تستطيع فعلًا عرضها مجددًا، فلم يبقَ لديها سوى البصمات. والثانية أن من يملك واحدة من تلك السلاسل يتجاوز عاملك الثاني بالكامل. رمز الاسترداد ليس تلميحًا ولا سؤال أمان، بل مفتاح كامل القوة.
كيف تختلف عن رموز TOTP
الأرقام الستة في تطبيقك تتغير كل ثلاثين ثانية لأنها تُحسب من سر مشترك ومن الوقت الحالي. هذا هو رمز TOTP، ولهذا يعمل دون إنترنت وينتهي بهذه السرعة.
أما رموز الاسترداد فهي العكس في كل شيء تقريبًا:
- لا تنتهي صلاحيتها. رمز طُبع عام 2023 لا يزال يعمل اليوم ما لم تُعِد توليد الدفعة.
- تُستخدم مرة واحدة. استخدام رمز يحرقه، وتبقى البقية صالحة.
- أطول. عادة من 8 إلى 16 خانة، لأنها تحتاج مقاومة التخمين دون نافذة الثلاثين ثانية التي تحمي غيرها.
- عددها محدود. الدفعة المعتادة عشرة رموز. إذا نفدت كلها فلن يبقى سوى تذاكر الدعم والتحقق من الهوية.
أين تحفظها
مسألة الحفظ محرجة فعلًا: يجب أن تنجو الرموز من ضياع هاتفك، ويجب ألا تكون في مكان يصله من يملك كلمة مرورك أصلًا. وهذا يستبعد المكانين اللذين يستخدمهما الناس بالفعل: ملاحظة داخل الهاتف نفسه، ورسالة بريد إلى نفسك.
ما ينفع حقًا:
- مدير كلمات المرور، في مدخل منفصل عن الحساب. ليس داخل بطاقة تسجيل الدخول نفسها، ويفضَّل في خزنة يحميها سر رئيسي مختلف.
- مطبوعة على ورق في مكان مادي. أسلوب قديم لكنه لا يُهزم. ورقة مطوية في درج تنجو من ضياع الهاتف وقفل حساب السحابة وانتحال شريحة الاتصال في آن واحد. اكتب اسم الخدمة عليها، فعشرة سطور مجهولة لا تفيد أحدًا.
- ملف مشفّر على ذاكرة USB أو قرص غير متصل. ممتاز إن كانت العادة موجودة لديك، ومرهق إن لم تكن.
وما لا ينفع: لقطات الشاشة في معرض الصور (تتزامن مع حساب السحابة نفسه الذي تحاول حمايته)، والملفات النصية على الأقراص المشتركة، ورسائل المحادثة إلى نفسك، والملء التلقائي في المتصفح. إن كان الرمز في مكان تقرأه جلستك المفتوحة، فسيقرأه أيضًا من يسرق تلك الجلسة.
ومهما اخترت، احمِ الوعاء نفسه جيدًا. فالخزنة أو الأرشيف المشفّر لا يساوي أكثر مما يساويه ما يفتحه، ولهذا يُفضَّل استخدام عبارة مرور مولَّدة بدل عبارة من ابتكارك للسر الرئيسي.
كيف تستخدم رمزًا وماذا تفعل بعده
في شاشة المصادقة الثنائية ابحث عن «استخدام رمز احتياطي» أو «جرّب طريقة أخرى». الصق رمزًا واحدًا فتدخل. ثم نفّذ ثلاثة أمور فورًا لأن الحساب صار في حالة ضعف:
- سجّل عاملًا ثانيًا جديدًا على الجهاز الحالي قبل إغلاق التبويب.
- أعد توليد الدفعة كاملة. معظم الخدمات تتيح ذلك في إعدادات الأمان، وهو يُبطل كل الرموز القديمة بما فيها أي نسخة لم تعد تسيطر عليها.
- راجع الجلسات النشطة وألغِ كل ما لا تعرفه.
وإن لم يتبقَّ لديك رمز ولا جهاز، فأنت في السيناريو الأصعب الذي يشرحه دليلنا عن استعادة الوصول بعد فقدان تطبيق المصادقة: تحقق من الهوية، وإجراءات تختلف بين مزوّد وآخر، وانتظار أيام بدل دقائق.
عادة من عشر دقائق تمنع كل ذلك
في المرة القادمة التي تعرض فيها خدمة رموز استرداد، لا تغلق الشاشة قبل أن تصبح الرموز موجودة في مكانين لا يتعطلان معًا. ثم خصّص عشر دقائق مرة كل سنة للتأكد من أن رموز بريدك ومدير كلمات مرورك ومصرفك الأساسي لا تزال حيث تظن، وأن عدد غير المستخدم منها يطابق ما تعرضه الخدمة.
حساب بريدك يستحق أكبر قدر من العناية لأنه طريق إعادة التعيين لكل شيء آخر. وهذا نفسه سبب ألا تسجّله في كل موقع: صندوق وارد مؤقت للحسابات العابرة يبقي عنوانك الحقيقي، ورموز استرداده، خارج التداول تمامًا.
