مفاتيح المرور Passkeys: نهاية كلمات المرور كما نعرفها

 لا يوجد شيء يمكن سرقته، وهذه هي الفكرة كلها. مع مفاتيح المرور (Passkeys) لا يحتفظ خادم الموقع بأي سر يمكن أن يتسرب في اختراق، ولا يوجد شيء تكتبه بيدك فتسلّمه دون قصد لصفحة مزيفة تشبه موقع بنكك. كلمة المرور التقليدية سر مشترك بينك وبين الموقع، وكل سر مشترك يمكن أن يُسرق من أحد الطرفين أو يُخمَّن أو يُعاد استخدامه في مكان آخر. أما الـ Passkey فيقسم المسألة إلى نصفين: نصف عام لا قيمة له عند اللص، ونصف خاص لا يغادر جهازك أبدًا. 

النتيجة تجربة تسجيل الدخول بدون كلمة مرور، تكفي فيها المصادقة البيومترية بنظرة إلى الكاميرا أو لمسة إصبع أو رمز قفل الشاشة. والخبر الجيد أن Google وApple وMicrosoft وWhatsApp وAmazon وPayPal تدعمها اليوم فعليًا، لا في عروض تجريبية. ستجد هنا شرحًا مبسطًا لطريقة عملها، وخطوات تفعيلها في أشهر الحسابات، وما يجب أن تعرفه قبل أن تتخلى عن كلمات مرورك القديمة.

ما هي مفاتيح المرور Passkeys

الـ Passkey بيانات اعتماد رقمية مبنية على معيار مفتوح طوّره تحالف FIDO (FIDO Alliance) مع اتحاد W3C، ويعتمد على ما يسمى التشفير بالمفتاح العام (Public-Key Cryptography). يبدو المصطلح معقدًا، لكن تشبيه القفل والمفتاح يكفي لفهمه بدقة معقولة.

تشبيه القفل والمفتاح

عندما تنشئ Passkey لحسابك، يصنع جهازك زوجًا متطابقًا: قفلًا ومفتاحًا. القفل هو المفتاح العام (Public Key)، ويُرسَل إلى الموقع ليحفظه في ملفك. المفتاح الحقيقي هو المفتاح الخاص (Private Key)، ويبقى محبوسًا داخل هاتفك أو حاسوبك أو مدير كلمات المرور الذي تستخدمه. عند كل تسجيل دخول يرسل الموقع إلى جهازك تحديًا جديدًا، فيوقّعه جهازك بالمفتاح الخاص، ويتحقق الموقع بالقفل الذي يملكه من أن التوقيع صادر فعلًا عن مفتاحك. الشرح هنا مبسط، فالعملية الحسابية الفعلية توقيع رقمي، لكن الفكرة الجوهرية صحيحة: الموقع لا يملك إلا القفل، ولو سرقه أحد من خوادم الشركة فلن يفتح به شيئًا.

أين تدخل بصمتك ووجهك

يظن كثيرون أن الموقع يحتفظ بصورة وجهك أو ببصمتك، وهذا غير صحيح. المصادقة البيومترية هنا وظيفتها محلية تمامًا، فهي تفتح الخزنة الموجودة في جهازك ليسمح باستخدام المفتاح الخاص، ولا تُرسَل البصمة أو صورة الوجه إلى أي خادم. لهذا يمكنك استخدام رمز PIN أو نمط قفل الشاشة بديلًا عنها إذا لم يكن جهازك يدعم القياسات الحيوية. ومن هنا يأتي وصف الطريقة بأنها تجمع عاملين في خطوة واحدة: شيء تملكه وهو الجهاز، وشيء أنت عليه أو تعرفه وهو الوجه أو الرمز. هذا الدمج هو سبب اعتبار هذه الطريقة أقوى من كلمة مرور مع رمز SMS، رغم أنها أسهل منها في الاستخدام اليومي.

هل مفاتيح المرور آمنة فعلًا

الأمان هنا لا يأتي من تعقيد سرّي، بل من تصميم يغلق أبواب الهجوم الشائعة واحدًا تلو الآخر. أغلب اختراقات الحسابات تحدث بثلاث طرق: تسريب قواعد بيانات كلمات المرور، أو إعادة استخدام كلمة واحدة في مواقع كثيرة، أو صفحات التصيد التي تسرق ما تكتبه. والـ Passkey يتعامل مع الثلاث بطريقة مختلفة جذريًا عن كلمة المرور.

الحماية من التصيد مدمجة في التصميم

كل مفتاح مرور مربوط بنطاق الموقع الذي أُنشئ له، مثل google.com أو paypal.com. لو وصلتك رسالة تقودك إلى صفحة مزيفة عنوانها مختلف ولو بحرف واحد، فلن يعرض متصفحك المفتاح أصلًا، لأن النطاق لا يطابق. أنت لا تحتاج إلى أن تنتبه للعنوان أو تفحص شكل الصفحة، فالجهاز يقوم بهذا الفحص نيابة عنك وبصرامة لا يملكها البشر. هذا ما يجعل الحماية من التصيد هنا خاصية تقنية لا مجرد نصيحة توعوية. ولهذا السبب نفسه تصف الجهات الأمنية هذه الطريقة بأنها مقاومة للتصيد (Phishing-Resistant)، وهو وصف لا تستحقه رموز SMS ولا رموز تطبيقات المصادقة التي يمكن للمحتال أن يطلبها منك ويكتبها في الموقع الحقيقي فورًا.

ماذا يحدث عند اختراق الموقع

إذا تعرض الموقع لاختراق وسُرِّبت قاعدة بياناته، فكل ما سيحصل عليه المهاجم هو مجموعة أقفال عامة. لا يمكن استنتاج المفتاح الخاص منها بأي قدرة حاسوبية متاحة حاليًا، ولا يمكن تجربتها على مواقع أخرى لأن كل موقع يحصل على زوج مفاتيح مستقل. هذا يلغي مشكلة إعادة استخدام كلمة المرور من جذورها، فلا يوجد شيء مشترك بين حساباتك يمكن أن يتسلسل منه الاختراق. يبقى خطر واحد يجب الانتباه إليه، وهو أن من يسيطر على جهازك مفتوحًا أو على حساب مزامنة مفاتيحك يملك نظريًا ما تملكه، ولهذا نعود لاحقًا إلى حماية الحساب الذي يحفظ المفاتيح.

تفعيل مفاتيح المرور خطوة بخطوة

قبل البدء تأكد من أن جهازك محدّث ومحمي بقفل شاشة، فهذا شرط أساسي في كل الخدمات تقريبًا. المسارات التالية تعكس واجهات الخدمات حتى أكتوبر 2026، وقد تتغير تسمية بعض القوائم قليلًا مع التحديثات، لذلك ابحث عن كلمة Passkey أو "مفتاح المرور" إن لم تجد الاسم حرفيًا. هذه أبرز الحسابات التي تستحق أن تبدأ بها:

• حساب Google: افتح صفحة myaccount.google.com ثم قسم الأمان (Security)، وتحت "طريقة تسجيل الدخول إلى Google" اختر "مفاتيح المرور ومفاتيح الأمان" ثم "إنشاء مفتاح مرور". هواتف Android المسجلة بحسابك غالبًا تملك مفتاحًا جاهزًا تلقائيًا.
• حساب Apple وسلسلة مفاتيح iCloud: في iPhone افتح الإعدادات ثم اسمك ثم iCloud، وفعّل مزامنة "كلمات السر وسلسلة المفاتيح". بعدها سيعرض iPhone حفظ الـ Passkey تلقائيًا عند أي موقع يدعمه، وتجد مفاتيحك كلها في تطبيق "كلمات السر" (Passwords).
• حساب Microsoft: أعلنت Microsoft في مايو 2025 أن الحسابات الجديدة تُنشأ بدون كلمة مرور افتراضيًا وتُدعى لتسجيل Passkey. للحسابات القديمة ادخل إلى account.microsoft.com ثم الأمان وخيارات تسجيل الدخول، وأضف مفتاحًا، ويمكنك لاحقًا حذف كلمة المرور نفسها.
• WhatsApp: على Android وiPhone افتح الإعدادات ثم الحساب ثم مفاتيح المرور، واضغط "إنشاء مفتاح مرور" وأكّد بقفل الشاشة. يُحفظ المفتاح في مدير كلمات المرور الافتراضي، ويحمي إعادة تسجيل حسابك على هاتف جديد بدل الاعتماد على رمز SMS وحده.

مفاتيح المرور في Amazon وPayPal

خدمات التسوق والدفع هي الأولى بالحماية، لأن الحساب المسروق فيها يعني خسارة مالية مباشرة لا مجرد إزعاج. والجميل أن تفعيل الـ Passkey فيها لا يستغرق أكثر من دقيقتين لكل حساب. الخطوات التالية تغطي أشهر هذه الخدمات إلى جانب منصتي التواصل الأكثر تعرضًا لسرقة الحسابات: وبهذا يصبح تسجيل الدخول بدون كلمة مرور ممكنًا في أكثر الحسابات ارتباطًا بأموالك ومشترياتك.

• Amazon: من متصفح الحاسوب افتح "حسابك" ثم "تسجيل الدخول والأمان" (Login & Security)، وأدخل كلمة المرور الحالية، ثم اضغط "إعداد" بجوار خيار Passkey. اختر الجهاز الذي سيحفظ المفتاح وأكمل التعليمات الظاهرة على الشاشة.
• PayPal: سجّل الدخول ثم افتح إعدادات الأمان وابحث عن خيار Passkeys، أو انتقل مباشرة إلى صفحة إنشاء المفتاح في مركز المساعدة. أكّد ببصمتك أو رمز قفل جهازك، ثم راجع مفاتيحك من صفحة إدارة المفاتيح للتأكد من حفظه.
• TikTok: من ملفك الشخصي افتح "الإعدادات والخصوصية" ثم "الحساب" ثم Passkey، واتبع الخطوات. لن يقترح عليك التطبيق الخيار بنفسه غالبًا، لذلك يجب أن تبادر أنت بتفعيله على iPhone أو Android.
• منصة X: افتح "الإعدادات والخصوصية" ثم "الأمان والوصول إلى الحساب" ثم "الأمان"، وابحث عن خيار Passkey ضمن حماية كلمة المرور الإضافية. وصل الدعم إلى iOS أولًا عام 2024 ثم إلى Android، وقد يختلف توفره بحسب المنطقة.

بعد التفعيل جرّب تسجيل الخروج ثم الدخول مرة واحدة على الأقل، لتتأكد من أن المفتاح يعمل قبل أن تحتاجه فعلًا. ستلاحظ أن بعض المواقع لا تتيح تسجيل الدخول بدون كلمة مرور في كل السيناريوهات، وتظل تطلب كلمتك القديمة أحيانًا، وهذا طبيعي في مرحلة الانتقال الحالية.

كيف تتم مزامنة مفاتيح المرور

المفتاح الخاص لا يغادر جهازك إلى خادم الموقع، لكنه يستطيع الانتقال بين أجهزتك أنت بشكل مشفر عبر خدمة مزامنة. هذا ما جعل الفكرة عملية للناس العاديين، فلو كان المفتاح حبيس هاتف واحد لصار فقدان الهاتف كارثة.

مدير كلمات المرور الذي يحفظ مفاتيحك

على أجهزة Apple تتولى سلسلة مفاتيح iCloud المزامنة بين iPhone وiPad وMac بتشفير من طرف إلى طرف. وعلى Android يقوم مدير كلمات المرور من Google (Google Password Manager) بالمهمة نفسها، ويمتد إلى متصفح Chrome على الحاسوب. أما إن كنت تتنقل بين أنظمة مختلفة، فمدير كلمات مرور مستقل مثل 1Password أو Bitwarden يحل المشكلة، لأنه يعمل على Windows وmacOS وiOS وAndroid معًا. منذ iOS 17 وAndroid 14 تسمح الأنظمة باختيار مدير خارجي مزودًا افتراضيًا لمفاتيح المرور، فيعرضه الهاتف بدل خدمة الشركة المصنعة. اختيارك هنا مهم، لأن الجهة التي تحفظ مفاتيحك تصبح أهم حساب تملكه، ويجب حمايتها بكلمة مرور رئيسية قوية وتحقق إضافي.

الدخول من جهاز لا يحمل مفتاحك

ماذا لو أردت الدخول من حاسوب صديق أو جهاز في العمل لا يحتوي على مفاتيحك؟ هنا يأتي خيار الدخول عبر جهاز آخر، إذ يعرض الموقع رمز QR فتمسحه بكاميرا هاتفك، ثم تؤكد بوجهك أو بصمتك على الهاتف. يستخدم هذا الأسلوب، الذي صممه تحالف FIDO، البلوتوث للتحقق من أن الهاتف قريب فعلًا من الحاسوب، وهو ما يمنع محتالًا بعيدًا من إرسال رمز QR إليك واستغلاله. لا يُنسخ مفتاحك إلى الجهاز الغريب، بل يتم التوقيع على هاتفك وتنتهي الجلسة هناك. هذه الطريقة هي الحل الأنسب عندما تكون مفاتيحك في منظومة Apple وتحتاج الدخول من حاسوب Windows، أو العكس.

ماذا لو فقدت هاتفك

هذا السؤال الأكثر تكرارًا، والجواب يطمئن إذا رتبت أمورك مسبقًا. إن كانت مفاتيحك متزامنة عبر iCloud أو Google أو مدير مستقل، فبمجرد تسجيل الدخول إلى حسابك على الهاتف الجديد تعود المفاتيح كلها. لكن استعادة حساب المزامنة نفسه تحتاج إلى استعداد، وتجاهلها هو الخطأ الذي يقع فيه كثيرون. ولهذا تستحق النقاط التالية أن تراجعها اليوم لا بعد ضياع الهاتف:

• جهّز وسيلة استرداد: أضف رقم هاتف وبريدًا احتياطيًا محدّثين لحسابي Apple وGoogle، أو جهة اتصال للاسترداد أو مفتاح استرداد في Apple. وفي مدير كلمات المرور احفظ رموز الطوارئ مطبوعة في مكان آمن خارج الهاتف.
• احتفظ بطريقة احتياطية: لا تحذف كلمات المرور القوية أو تطبيق المصادقة فورًا من كل حساباتك. وجود مفتاح ثانٍ على جهاز آخر، أو مفتاح أمان مادي مثل YubiKey، يضمن لك طريق عودة إذا تعطل كل شيء.
• انتبه للأجهزة المشتركة: على حاسوب العائلة أو جهاز لوحي يستخدمه الجميع، أي شخص يعرف رمز القفل يستطيع استخدام المفاتيح المحفوظة. خصص حسابًا مستقلًا لكل فرد في النظام، أو استخدم الدخول عبر رمز QR من هاتفك بدل حفظ المفاتيح هناك.

حدود يجب أن تعرفها

لا تدعم كل المواقع هذه التقنية حتى الآن، وكثير من البنوك والخدمات المحلية في المنطقة العربية ما زالت تعتمد كلمة المرور ورموز SMS. وهناك مشكلة الانحباس داخل منظومة واحدة، فمن حفظ مفاتيحه في iCloud لسنوات قد يجد صعوبة في الانتقال إلى Android. يعمل تحالف FIDO على معالجة ذلك عبر بروتوكول تبادل بيانات الاعتماد (Credential Exchange Protocol - CXP)، وقد أتاح iOS 26 تصدير المفاتيح إلى تطبيقات أخرى مثل Bitwarden و1Password، كما بدأ Android 16 يدعم الاستيراد، لكن التنفيذ ما زال غير مكتمل بين كل التطبيقات.

الأسئلة الشائعة

هل يرى الموقع بصمتي أو صورة وجهي

لا، لا يصل أي منهما إلى الموقع إطلاقًا. المصادقة البيومترية تتم داخل جهازك فقط لفتح المفتاح الخاص المحفوظ عليه، ثم يرسل الجهاز توقيعًا رقميًا لا يكشف شيئًا عنك. لذلك يمكنك استخدام رمز PIN بدلًا منها دون أن يتغير مستوى الأمان من جهة الموقع.

هل يمكن أن يسرق أحد مفتاح المرور الخاص بي

سرقته من الموقع مستحيلة عمليًا لأن الموقع لا يملك إلا المفتاح العام. الخطر الواقعي يأتي من السيطرة على جهازك وهو مفتوح، أو من اختراق الحساب الذي يزامن مفاتيحك. احمِ حساب iCloud أو Google أو مدير كلمات المرور بتحقق ثنائي قوي، ولا تشارك رمز قفل هاتفك مع أحد.

ما الفرق بين مفاتيح المرور والتحقق بخطوتين

التحقق بخطوتين يضيف رمزًا فوق كلمة المرور، لكن المحتال يستطيع أن يطلب منك الرمز ويستخدمه فورًا في صفحة تصيد. أما الـ Passkey فيجمع العاملين في خطوة واحدة مربوطة بعنوان الموقع، فلا يمكن خداعك لاستخدامه في موقع مزيف. لهذا يوفر الحماية من التصيد ويعتبر أقوى وأسهل في الوقت نفسه.

هل أحذف كلمات المرور بعد تفعيل مفاتيح المرور

ليس فورًا. اترك كلمة مرور قوية ومحفوظة في مدير كلمات المرور كطريقة احتياطية، خاصة في الحسابات المهمة، حتى تتأكد من أن مفاتيحك متزامنة على أكثر من جهاز. بعض الخدمات مثل Microsoft تسمح بحذف كلمة المرور نهائيًا، فافعل ذلك فقط بعد ترتيب وسائل الاسترداد.

هل تعمل مفاتيح المرور على حاسوب Windows مع هاتف iPhone

نعم، عبر خيار الدخول من جهاز آخر. يعرض متصفح الحاسوب رمز QR تمسحه بكاميرا iPhone، ثم تؤكد بوجهك ويتم تسجيل الدخول مع بقاء المفتاح على هاتفك. وإن كنت تتنقل بين الأنظمة باستمرار، فمدير مستقل مثل 1Password أو Bitwarden يجعل مفاتيحك متاحة على الجهازين مباشرة.