كلمات المرور هي أضعف حلقة في أمان أغلب المواقع: يعيد الناس استخدامها، وتُسرَّب في اختراقات الشركات، ويخدعهم المحتالون لكتابتها في صفحات مزيّفة. مفاتيح المرور (Passkeys) جاءت لتعالج المشكلة من جذرها.
ما هو مفتاح المرور؟
هو بديل لكلمة المرور مبني على معيار WebAuthn/FIDO2 وعلى التشفير بالمفتاح العام. عند إنشاء مفتاح مرور لحسابك يُولَّد زوج مفاتيح: مفتاح خاص يبقى على جهازك ولا يغادره، ومفتاح عام يُحفظ لدى الموقع. وعند الدخول يطلب الموقع من جهازك توقيع «تحدٍّ» بالمفتاح الخاص، وتؤكد أنت بالبصمة أو الوجه أو رمز القفل.
لماذا هو أكثر أماناً؟
- لا سر مشتركاً يمكن تسريبه من خوادم الموقع؛ فالموقع لا يملك إلا المفتاح العام.
- مقاوم للتصيّد: المفتاح مرتبط بنطاق الموقع الحقيقي، فلن يعمل على صفحة مزيّفة بنطاق مختلف.
- لا شيء يُحفظ أو يُكتب: فلا تخمين ولا إعادة استخدام ولا سرقة بمسجّلات لوحة المفاتيح.
وتتزامن مفاتيح المرور بين أجهزتك عبر مدير كلمات المرور في النظام (مثل سلسلة مفاتيح آبل أو مدير كلمات مرور جوجل)، فتسجّل من جهاز وتدخل من آخر.
كيف تضيفها لموقعك؟
- لا تبنِ التشفير بنفسك. استخدم مكتبة WebAuthn موثوقة ومحدّثة لـ PHP أو لغتك.
- قدّمها بجانب كلمة المرور في البداية، ولا تفرضها على الجميع مرة واحدة.
- جهّز طريقة استرداد للحساب (بريد موثّق، أو مفاتيح إضافية) لمن يفقد جهازه.
- اشترط HTTPS، فالمعيار لا يعمل بدونه.
- اجمع الأحداث وراقبها: محاولات فاشلة، وتسجيل أجهزة جديدة.
نصيحة للمستخدمين
فعّل مفاتيح المرور في حساباتك المهمة (البريد، البنوك، الحسابات الإعلانية) اليوم إن كانت متاحة، وفعّل التحقق بخطوتين حيث لا تتوفر.
أفضل كلمة مرور هي التي لا تحتاج أن تتذكرها ولا يمكن لأحد أن يسرقها.
في مشاريعي أنصح بإضافة مفاتيح المرور كخيار دخول للوحات التحكم الحساسة أولاً، ثم توسيعها تدريجياً.
