لعقود طويلة كانت كلمة المرور هي الباب الوحيد لدخول حساباتنا على الإنترنت، ومعها جاءت مشكلات لا تنتهي: كلمات ضعيفة يسهل تخمينها، وكلمات مكررة في عشرات المواقع، وتسريبات لقواعد البيانات تكشف ملايين الحسابات دفعة واحدة، وصفحات تصيد احتيالي تخدع المستخدم ليكتب بياناته بنفسه. واليوم تتجه كبرى شركات التقنية ومعها مواقع كثيرة إلى بديل أكثر أمانًا وراحة هو مفاتيح المرور Passkeys. في هذا الموضوع نشرح ما هي مفاتيح المرور، وكيف تعمل تقنيًا، ولماذا تعد أقوى من كلمات المرور والرسائل النصية، وما الذي يحتاجه مطور المواقع ليضيفها إلى موقعه أو منصته.
ما هي مفاتيح المرور Passkeys؟
مفاتيح المرور هي وسيلة لتسجيل الدخول تعتمد على التشفير بالمفتاح العام بدلًا من سر يحفظه المستخدم في ذاكرته. فعندما ينشئ المستخدم مفتاح مرور لحسابه في موقع ما، يولد جهازه زوجًا من المفاتيح: مفتاحًا خاصًا يبقى محفوظًا على الجهاز أو في مدير كلمات المرور الخاص به ولا يغادره أبدًا، ومفتاحًا عامًا يُرسل إلى الموقع ويُخزن في قاعدة بياناته. وعند تسجيل الدخول لاحقًا لا يكتب المستخدم أي شيء، بل يؤكد هويته ببصمة الإصبع أو بصمة الوجه أو رمز قفل الجهاز، فيوقع الجهاز تحديًا يرسله الخادم، ويتحقق الخادم من التوقيع باستخدام المفتاح العام.وتقوم هذه التقنية على معايير مفتوحة طورها تحالف FIDO بالتعاون مع اتحاد الويب العالمي W3C، وتحديدًا معيار WebAuthn الذي تدعمه جميع المتصفحات الحديثة. كما أصبحت مفاتيح المرور مدعومة في أنظمة التشغيل الكبرى، ويمكن مزامنتها بين أجهزة المستخدم عبر سلسلة مفاتيح iCloud لدى آبل أو مدير كلمات مرور جوجل أو تطبيقات إدارة كلمات المرور المستقلة، بحيث لا يفقد المستخدم وصوله إذا غيّر هاتفه.
لماذا تعد مفاتيح المرور أكثر أمانًا؟
الميزة الأهم لمفاتيح المرور أنها مقاومة للتصيد الاحتيالي بطبيعة تصميمها. فكل مفتاح مرور مرتبط بنطاق الموقع الذي أُنشئ له، ولن يستخدمه المتصفح على أي نطاق آخر مهما بدا مطابقًا في الشكل. فإذا وقع المستخدم في فخ صفحة مزيفة تقلد موقع البنك أو المنتدى، فإن الجهاز ببساطة لن يقدم مفتاح المرور لها، بينما كان المستخدم في حالة كلمة المرور سيكتبها بنفسه ويسلمها للمحتال دون أن يشعر.كما أن الخادم لا يخزن أي سر قابل للسرقة، فقاعدة البيانات تحتوي على المفاتيح العامة فقط، وهي بلا قيمة للمهاجم حتى لو سُربت بالكامل، على عكس كلمات المرور التي يحاول المهاجمون كسر تشفيرها بعد كل تسريب. ولا توجد كلمة يمكن تخمينها أو إعادة استخدامها في مواقع أخرى، ولا رمز يُرسل برسالة نصية يمكن اعتراضه أو سرقته عبر انتحال شريحة الاتصال.
ولهذا يرى كثير من خبراء الأمن أن مفاتيح المرور تجمع بين قوة التحقق الثنائي وسهولة الاستخدام في خطوة واحدة.
ومن زاوية تجربة المستخدم، فإن تسجيل الدخول بمفاتيح المرور أسرع بكثير من كتابة كلمة المرور وانتظار رمز التحقق، وهو ما ينعكس على معدلات إكمال التسجيل وتقليل طلبات استعادة كلمات المرور المنسية التي تثقل فرق الدعم الفني في المواقع والمتاجر الإلكترونية.
كيف تعمل مفاتيح المرور في موقعك من الناحية التقنية؟
تمر عملية دعم مفاتيح المرور بمرحلتين رئيسيتين. الأولى مرحلة التسجيل، حيث يطلب الخادم من المتصفح إنشاء بيانات اعتماد جديدة عبر الدالةnavigator.credentials.create، ويرسل معها تحديًا عشوائيًا ومعرف المستخدم واسم الموقع ونطاقه. فيطلب المتصفح من المستخدم التحقق ببصمته أو رمز قفل جهازه، ثم يعيد المفتاح العام وبيانات التوثيق إلى الخادم، الذي يتحقق منها ويحفظ المفتاح العام مرتبطًا بحساب المستخدم.أما المرحلة الثانية فهي تسجيل الدخول، حيث يرسل الخادم تحديًا جديدًا، ويستدعي الموقع الدالة
navigator.credentials.get، فيعرض المتصفح مفاتيح المرور المتاحة لهذا النطاق، ويوقع الجهاز التحدي بالمفتاح الخاص بعد تأكيد المستخدم، ثم يتحقق الخادم من صحة التوقيع. ويمكن تفعيل ما يعرف بالتعبئة التلقائية الشرطية، بحيث تظهر مفاتيح المرور ضمن اقتراحات حقل اسم المستخدم، فيختار المستخدم حسابه بلمسة واحدة.ولا ينصح ببرمجة التحقق من التوقيعات من الصفر، لأن المعيار يتضمن تفاصيل دقيقة في الترميز والتحقق. والأفضل الاعتماد على مكتبات موثوقة ومحدثة، مثل SimpleWebAuthn في بيئة جافاسكربت وNode.js، أو مكتبات WebAuthn المتوفرة للغة PHP وغيرها من لغات الخوادم. كما أن كثيرًا من خدمات الهوية الجاهزة ومنصات المصادقة أصبحت تدعم مفاتيح المرور بإعدادات بسيطة دون كتابة كود معقد.
نصائح عملية قبل اعتماد مفاتيح المرور
من الحكمة ألا تلغي كلمات المرور دفعة واحدة، بل أن تقدم مفاتيح المرور خيارًا إضافيًا في البداية، وتشجع المستخدمين على إنشائها بعد تسجيل الدخول أو عند تغيير كلمة المرور، مع شرح مبسط لفائدتها. فشريحة من المستخدمين ما زالت تستخدم أجهزة قديمة أو متصفحات لا تدعم المزامنة، ويجب ألا يُحرموا من الوصول إلى حساباتهم.واحرص أيضًا على تصميم مسار واضح لاستعادة الحساب في حال فقد المستخدم جميع أجهزته، وعلى السماح بتسجيل أكثر من مفتاح مرور للحساب الواحد، وعرض قائمة بالمفاتيح المسجلة في صفحة إعدادات الحساب مع إمكانية حذفها. كما ينبغي التأكد من أن الموقع يعمل عبر بروتوكول HTTPS، لأن واجهة WebAuthn لا تعمل إلا في سياق آمن، وأن يكون معرف الطرف المعتمد RP ID مضبوطًا على النطاق الصحيح حتى تعمل المفاتيح على النطاقات الفرعية عند الحاجة.
وبالنسبة لأصحاب المنتديات والمتاجر، فإن مفاتيح المرور تحل مشكلة مزمنة تتمثل في اختراق حسابات المشرفين والإداريين عبر كلمات مرور ضعيفة أو مسربة. فتفعيلها للحسابات ذات الصلاحيات العالية أولًا خطوة ذكية ترفع مستوى الأمان بشكل ملموس قبل تعميمها على جميع الأعضاء.
