تُعد مفاتيح المرور (Passkeys) ترقية قوية مقارنة بكلمات المرور ورموز التحقق المرسلة عبر الرسائل النصية في كثير من بوابات العملاء وأنظمة الموظفين، لكن الانتقال الأكثر أماناً يكون غالباً بجعل مفتاح المرور هو الخيار المفضل، لا الخيار الوحيد منذ اليوم الأول. اسمحوا للمستخدم بإنشاء مفتاح مرور، وحافظوا على مسار استرداد مضبوط أثناء مرحلة التبني، واستخدموا اعتماداً أقوى للحسابات الإدارية والعمليات الحساسة، ثم قيسوا حالات الفشل والدعم قبل إيقاف الطرق القديمة.

التوقيت مناسب للفرق التي تخطط لتحديث المصادقة. ففي 25 أغسطس 2026 نشر W3C معيار Web Authentication Level 3 كتوصية رسمية. ويُعد WebAuthn معيار المتصفح الذي تقوم عليه مفاتيح المرور، حيث يسمح للموقع بمصادقة المستخدم باستخدام بيانات اعتماد مبنية على مفاتيح عامة ومقيّدة بهوية الموقع بدلاً من الاعتماد على كلمة مرور قابلة لإعادة الاستخدام.

ما الفرق العملي بين مفتاح المرور ورمز التحقق OTP؟

تعتمد كلمة المرور أو رمز التحقق عبر SMS على سر أو رمز يستطيع المستخدم كتابته في موقع. وهذه القابلية للنقل هي تحديداً ما تستغله مواقع التصيد.

يعمل مفتاح المرور بطريقة مختلفة. ينشئ جهاز المستخدم زوجاً من المفاتيح العامة والخاصة. يحتفظ الموقع بالمفتاح العام، بينما يبقى المفتاح الخاص محمياً لدى موفر مفتاح المرور أو أداة المصادقة. عند تسجيل الدخول، يرسل الموقع تحدياً رقمياً ويوقّعه الجهاز. كما يتحقق المتصفح ونظام التشغيل من أن بيانات الاعتماد تخص هوية الموقع الصحيحة.

تصف إرشادات Google لمفاتيح المرور هذه الآلية بأنها مقاومة للتصيد لأن بيانات الاعتماد مرتبطة بالموقع أو التطبيق الذي أنشأها. وتوضح أيضاً أن بيانات البصمة أو الوجه المستخدمة لفتح مفتاح المرور تبقى على جهاز المستخدم ولا تُرسل إلى الموقع.

هذا لا يعني أن كل رمز OTP يجب أن يختفي فوراً. قد تبقى الرموز مفيدة مؤقتاً كخيار احتياطي أو في استرداد الحساب أو كتحقق إضافي في مسار محدد. السؤال الأهم هو: هل يجب أن تظل هي وسيلة الدخول الأساسية بعد توفر اعتماد أقوى؟

هل نستخدم مفاتيح مرور متزامنة أم مرتبطة بجهاز؟

هناك نموذجان مهمان.

مفاتيح المرور المتزامنة يمكن أن تنتقل بين أجهزة المستخدم من خلال موفر مفاتيح المرور. وهي مناسبة غالباً للخدمات الاستهلاكية لأن العميل الذي يغير هاتفه أو حاسوبه يستطيع في حالات كثيرة مواصلة تسجيل الدخول دون إنشاء اعتماد جديد من الصفر.

أما مفاتيح المرور المرتبطة بجهاز فتبقى على أداة مصادقة محددة مثل مفتاح أمان مادي. وتفرق FIDO Alliance في إرشاداتها حول مفاتيح المرور بين النموذجين، وتشير إلى أن الاعتمادات المرتبطة بجهاز قد تكون مناسبة للبيئات التي تحتاج مستوى ضمان أعلى.

في بوابات العملاء، تكون المفاتيح المتزامنة نقطة بداية أبسط عادة. أما حسابات المدراء أو فرق المالية أو المستخدمين ذوي الصلاحيات العالية، فقد يناسبها اعتماد مرتبط بجهاز أو مفتاح أمان مادي عندما تبرر المخاطر ذلك.

القرار يجب أن يتبع مستوى مخاطر الحساب، لا قاعدة واحدة لجميع المستخدمين.

ماذا يحدث عندما يغير المستخدم هاتفه أو حاسوبه؟

هنا تنجح أو تفشل تجربة مفاتيح المرور.

توثق Google سيناريوهات تسجيل دخول عبر الأجهزة يستطيع فيها المستخدم المصادقة على جهاز باستخدام مفتاح مرور موجود على جهاز آخر، بما في ذلك تدفقات تعتمد رمز QR في المنصات المتوافقة. كما يمكن للمفاتيح المتزامنة أن تظهر على جهاز جديد عبر موفر مفاتيح المرور نفسه.

لكن لا ينبغي لأي تصميم مصادقة أن يفترض أن الاسترداد سيعمل تلقائياً دائماً. قد يفقد المستخدم كل أجهزته، أو يفقد الوصول إلى حساب موفر مفاتيح المرور، أو يحتاج إلى استعادة حساب عمل مقفل.

لذلك تعاملوا مع الاسترداد كمسار أمني أساسي:

  1. اسمحوا بتسجيل أكثر من مفتاح مرور عندما يكون ذلك مناسباً.
  2. اعرضوا للمستخدم الاعتمادات المسجلة واسمحوا له بإزالة القديمة.
  3. للحسابات الوظيفية ذات الصلاحيات العالية، فكروا في اعتماد مادي احتياطي.
  4. اطلبوا تحققاً أقوى قبل استبدال وسيلة المصادقة أو إعادة ضبطها في الحسابات عالية القيمة.
  5. أرسلوا تنبيهاً للمستخدم عند تسجيل مفتاح مرور جديد أو حدوث تغيير في الوصول عبر الاسترداد.

مسار استرداد ضعيف يمكن أن يلغي فائدة وسيلة دخول قوية.

كيف ننتقل دون قفل حسابات العملاء؟

لا توقفوا كلمات المرور أو OTP لجميع المستخدمين في إصدار واحد.

يمكن تنفيذ الانتقال بأربع مراحل.

المرحلة الأولى: اعرضوا إنشاء مفتاح مرور بعد تسجيل دخول ناجح

بعد أن يدخل العميل بالطريقة الحالية، اقترحوا عليه إنشاء مفتاح مرور. اشرحوا الفائدة بلغة بسيطة: دخول أسرع وحماية أقوى من التصيد.

أبقوا التسجيل اختيارياً في البداية لتتعرفوا على المتصفحات والأجهزة وحالات الدعم الأكثر شيوعاً لدى جمهوركم.

المرحلة الثانية: اجعلوا مفتاح المرور المسار المفضل

إذا كان لدى المستخدم مفتاح مرور، اعرضوه أولاً في الزيارات اللاحقة. تصف إرشادات Google لحالات الاستخدام تجارب تعتمد الإكمال التلقائي ومفاتيح المرور مع إمكانية استمرار نموذج اسم المستخدم وكلمة المرور خلال الانتقال.

بهذا تنخفض الاحتكاكات دون فرض انتقال قسري.

المرحلة الثالثة: استخدموا مصادقة أقوى للعمليات الحساسة

تسجيل الدخول ليس النقطة الوحيدة المهمة. فكروا في إعادة المصادقة قبل عمليات عالية الأثر مثل تغيير بيانات الدفع، أو إضافة مدير، أو تصدير بيانات حساسة، أو إعادة ضبط وصول مستخدم آخر.

يمكن استخدام مفتاح المرور لإعادة المصادقة، لكن سياسة العملية يجب أن تراعي أيضاً عمر الجلسة، وحالة الجهاز، والسلوك غير المعتاد، وقيمة العملية.

المرحلة الرابعة: أوقفوا الطرق القديمة فقط عندما يصبح الاسترداد جاهزاً

لا تزيلوا كلمة المرور أو OTP كخيار احتياطي إلا بعد قياس معدل تبني مفاتيح المرور، ونجاح الاسترداد، وحالات الأجهزة غير المدعومة، وحجم طلبات الدعم.

إذا بقيت وسيلة أضعف فعالة فقد يستهدفها المهاجمون. وإذا أزيلت مبكراً فقد يُحرم مستخدمون شرعيون من الوصول. جودة الانتقال لا تقل أهمية عن قوة التشفير.

ما الذي ينبغي أن تراعيه المنشآت السعودية؟

في المنشآت السعودية، يجب أن تدخل مفاتيح المرور ضمن حوكمة الأمن السيبراني وإدارة الهوية الأوسع، لا أن تعامل كميزة مستقلة في شاشة الدخول.

نشرت الهيئة الوطنية للأمن السيبراني ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذوات البنى التحتية الحساسة (NCNICC–1:2025) بوصفها حداً أدنى لضوابط الأمن السيبراني لهذه الجهات. ولا تفرض الوثيقة اختيار تقنية واحدة لجميع سيناريوهات الدخول؛ لذلك تحتاج كل منشأة إلى ربط المصادقة والصلاحيات والاسترداد والمراقبة بأنظمتها ومخاطرها والمتطلبات التي تنطبق عليها فعلاً.

كما أطلقت الهيئة في سبتمبر 2025 خدمة محاكاة التصيد للجهات السعودية، ما يؤكد أن التصيد ما زال خطراً تشغيلياً يحتاج إلى ضوابط تقنية وتوعية معاً.

عملياً، وثقوا من يستطيع تسجيل الاعتمادات، وكيف يستعيد المدير وصوله، وكيف تُلغى الاعتمادات المفقودة، وما العمليات التي تتطلب إعادة مصادقة، وكيف تسجل أحداث الدخول، وكيف يتحقق موظف الدعم من هوية المتصل قبل تغيير وصول الحساب.

هذه إرشادات تقنية وليست استشارة قانونية أو تنظيمية.

مثال افتراضي لبوابة عملاء سعودية

تخيلوا شركة خدمات سعودية لديها موقع وتطبيق جوال باللغتين العربية والإنجليزية. يستخدم العملاء حالياً البريد الإلكتروني وكلمة المرور، مع SMS OTP لبعض العمليات الحساسة.

يمكن أن يكون الانتقال المنضبط كالتالي:

  1. إضافة خيار إنشاء مفتاح مرور في صفحة أمان الحساب.
  2. دعوة المستخدم الذي سجل دخوله بالفعل إلى إنشاء المفتاح.
  3. إبقاء كلمة المرور وOTP كخيار احتياطي خلال المرحلة الانتقالية.
  4. تفضيل مفتاح المرور عند عودة المستخدم.
  5. طلب إعادة مصادقة بمفتاح المرور قبل تغيير بيانات الدفع أو الهوية أو الإدارة.
  6. السماح بتسجيل مفتاح ثانٍ وإزالة الاعتمادات القديمة.
  7. إرسال تنبيه أمني عند إضافة اعتماد جديد.
  8. مراقبة نجاح تسجيل الدخول، وتكرار الرجوع إلى الوسائل القديمة، وفشل الاسترداد، وتذاكر الدعم.
  9. تطبيق سياسة أشد على الحسابات الوظيفية ذات الصلاحيات العالية، وقد تشمل اعتماداً مادياً مرتبطاً بجهاز.
  10. إيقاف المسارات الأضعف فقط بعد اختبار الاسترداد فعلياً.

الهدف ليس استخدام كلمة “بدون كلمة مرور” كرسالة تسويقية. الهدف هو بناء نظام دخول واسترداد أصعب على التصيد وأسهل في التشغيل ومناسب لمخاطر الحساب.

ماذا يجب أن يختبر الفريق الهندسي؟

تغييرات المصادقة تحتاج أكثر من اختبار المسار السعيد.

اختبروا إنشاء مفتاح المرور، والدخول اللاحق، والدخول عبر جهاز آخر، وإزالة الاعتماد، واسترداد الحساب، والتنبيهات عند إضافة جهاز أو اعتماد، وانتهاء الجلسة، وإعادة المصادقة للعمليات الحساسة، والاسترداد بمساعدة فريق الدعم.

واختبروا النصوص العربية والإنجليزية، والواجهات من اليمين إلى اليسار، وتوافق المتصفحات والجوال، وما يحدث عندما يرفض المستخدم نافذة البصمة أو فتح الجهاز. تدفق آمن لا يفهمه العميل سيخلق ضغطاً للرجوع إلى الوسائل الأضعف ويزيد عبء الدعم.

توصي إرشادات Google للتنفيذ من جهة الخادم باستخدام مكتبات FIDO/WebAuthn مُصانة بدلاً من بناء البروتوكول كاملاً من الصفر. وهذا خيار افتراضي منطقي لمعظم فرق التطبيقات.

أسئلة شائعة

هل مفتاح المرور هو نفسه البصمة؟

لا. قد تُستخدم البصمة أو الوجه لفتح مفتاح المرور على الجهاز، لكن الموقع يستقبل إثباتاً تشفيرياً ولا يستقبل بيانات البصمة أو الوجه.

هل مفاتيح المرور أفضل من SMS OTP؟

بالنسبة للمصادقة الأساسية، تتمتع مفاتيح المرور بميزة أمنية مهمة لأنها مرتبطة بالموقع الصحيح ولا تعتمد على سر مشترك أو رمز يكتبه المستخدم. وقد يبقى SMS OTP مناسباً مؤقتاً للاسترداد أو الانتقال حسب مستوى المخاطر والجمهور.

هل يعمل مفتاح المرور نفسه على أكثر من جهاز؟

يمكن للمفاتيح المتزامنة أن تتوفر على أجهزة يدعمها موفر مفاتيح المرور نفسه، كما يمكن للمصادقة عبر الأجهزة أن تسمح لجهاز قريب بالموافقة على الدخول. أما المفاتيح المرتبطة بجهاز فتبقى على أداة مصادقة محددة.

هل يستخدم المدراء السياسة نفسها التي يستخدمها العملاء؟

ليس بالضرورة. حسابات الإدارة الأعلى خطورة قد تستحق اعتمادات مرتبطة بجهاز، ومفاتيح أمان مادية، وقواعد استرداد أشد، ومراقبة أقوى.

كيف يمكن لمسار نيكست المساعدة؟

إذا كنتم تحدثون المصادقة في بوابة عملاء أو منصة داخلية، فتعاملوا مع تجربة الدخول ومسار الاسترداد وضوابط الخلفية كنظام واحد. يمكن لخدمات تطوير المواقع وتطوير تطبيقات الجوال والخدمات المخصصة من مسار نيكست المساعدة في تصميم وتنفيذ تدفقات مصادقة ثنائية اللغة حول تطبيقاتكم وواجهاتكم الحالية.

ناقشوا تحديث نظام الدخول مع مسار نيكست.

المصادر

ملاحظة تحريرية: أُعدت هذه المقالة بمساعدة الذكاء الاصطناعي، وتم التحقق من المعلومات الواردة فيها مقابل المصادر الأولية المرتبطة أعلاه. ولا يُدّعى أنها خضعت لمراجعة خبير بشري أو مراجعة قانونية أو تنظيمية.