لا تزال كلمة المرور هي القفل الفريد لمعظم حساباتك، ومع ذلك يختارها معظم الناس بطرق سيئة. ونادرًا ما تكون المشاكل دراماتيكية؛ بل تتلخص في كلمة مرور واحدة يُعاد استخدامها في عشرة مواقع، أو كلمة قصيرة يُضاف في نهايتها رمز “1!”، أو كلمة يسهل تخمينها.
تشرح هذه الصفحة كيفية سرقة كلمات المرور أو تخمينها، وما الذي يجعل كلمة المرور قوية، ومتى يجب تغييرها، وأين تحتفظ بها جميعًا. وهي لا تغطي المصادقة الثنائية أو مفاتيح المرور بالتفصيل، بل تذكر موقعها وضوابطها فقط.
ما الذي تحميه كلمة المرور، وكيف تفشل
تثبت كلمة المرور أنك صاحب الحساب، وهي تفشل عادة بثلاث طرق شائعة:
الأولى هي إعادة الاستخدام: عندما تُخترق إحدى الخدمات ويسرب بريدك الإلكتروني وكلمة مرورك، يحاول المهاجمون تجربة هذا الزوج في مواقع أخرى، وتُعرف هذه العملية بـ “حشو الاعتمادات” (Credential stuffing). وفي دراسة Google لاختطاف الحسابات بالتعاون مع جامعة نيويورك وجامعة كاليفورنيا في سان دييغو، جاءت معظم الهجمات من برامج آليّة (Bots) تستخدم كلمات مرور كشفت عنها اختراقات في مواقع أخرى. كلمة المرور القوية لن تجدي نفعًا إذا كانت هي نفسها التي تسربت بالفعل.
الثانية هي التخمين: إذا كانت الخدمة تخزن كلمات المرور بشكل سيئ وتعرضت لخرق، فيمكن للمهاجمين تجربة التخمينات على البيانات المسروقة بسرعات عالية. وتسقط كلمات المرور القصيرة التي يمكن التنبؤ بها أولاً.
الثالثة هي الخداع لتسليمها بنفسك: تجمع مواقع التصيد الاحتيالي والمكالمات المزيفة كلمات المرور مباشرة مهما كانت قوتها. وتصف وكالة CISA (وكالة الأمن السيبراني الأمريكية) كلمات المرور الضعيفة بأنها الطريق الأكثر شيوعًا للمجرمين عبر الإنترنت للوصول إلى الحسابات.
كلمة مرور واحدة لكل حساب
تحول إعادة الاستخدام الخرق الواحد إلى اختراقات متعددة. فالخرق في منتدي صغير نسيته يمنح المهاجمين كلمة مرور قد تفتح بريدك الإلكتروني أيضًا.
يعرف الناس ذلك ويستمرون في القيام به؛ ففي استطلاع أجري عام 2025، أفاد 62% من المشاركين بأنهم يعيدون استخدام كلمة المرور غالبًا أو دائمًا. والسبب واضح: لا أحد يستطيع حفظ العشرات من كلمات المرور المختلفة. هذه هي مهمة مدير كلمات المرور، كما سنوضحه أدناه.
الطول والعشوائية يغلبان التعقيد
لسنوات، طلبت الخدمات حرفًا كبيرًا، ورقمًا، ورمزًا. وأجاب الناس بأنماط يمكن التنبؤ بها مثل Password1!. يرى مركز الأمن السيبراني الوطني البريطاني (NCSC) أن قواعد مثل هذه تسمح بكلمات مرور سيئة مثل “pa55word”. وسلكت هيئة المعايير الأمريكية NIST الاتجاه نفسه؛ حيث حظرت إرشاداتها الصادرة في أغسطس 2025 (SP 800-63B-4) قواعد التكوين الإلزامية، وحددت 15 حرفًا كحد أدنى عندما تكون كلمة المرور هي الخطوة الوحيدة لتسجيل الدخول، وطلبت من الخدمات قبول ما لا يقل عن 64 حرفًا.
هناك نوعان من كلمات المرور يعملان بشكل جيد، بناءً على ما إذا كان يتوجب عليك كتابتهما يدويًا:
| النوع | الأفضل لـ | ملاحظات |
|---|---|---|
| أحرف عشوائية من مولد كلمات المرور | الحسابات التي لا تكتب كلمة مرورها يدويًا أبدًا | تقترح CISA ألا يقل الطول عن 16 حرفًا |
| عبارة مرور عشوائية من ست كلمات أو أكثر | كلمة المرور الرئيسية لمدير كلمات المرور، قفل الجهاز | تذكر EFF أن ست كلمات تمنح حوالي 77 بت من العشوائية |
| ثلاث كلمات عشوائية | كلمات المرور التي يجب عليك تذكرها ولا يمكنك تخزينها | يذكر NCSC أنها صالحة ولكنها ليست مثالية، والكلمات الأكثر تكون أقوى |
الأحرف العشوائية
إذا كان مدير كلمات المرور هو من ينشئ كلمة المرور ويملؤها، فيمكن أن تكون طويلة وغير قابلة للقراءة. إرشادات CISA تنصح بألا تقل عن 16 حرفًا، وتذكر أن سلسلة عشوائية من الأحرف والأرقام والرموز هي الخيار الأقوى. تضع بعض الخدمات حدًا أقصى للطول أو تحظر أحرفًا معينة، لذا استخدم أطول حد تسمح به الخدمة.
العبارات المرورية (Passphrases)
العبارة المرورية هي عدة كلمات مترابطة معًا؛ يمكنك تذكرها وهي طويلة بنفس الوقت. المنهجية التي تطلبها مؤسسة الجبهة الإلكترونية (EFF) هي أسلوب قائم على النرد يُسمى (Diceware)، حيث تقوم برمية النرد خمس مرات لاختيار كل كلمة من قائمة تضم 7,776 كلمة. وللمعظم، توصي EFF بست كلمات.
تُقاس القوة هنا بالعشوائية (Entropy)، وهي قياس لمدى عدم القدرة على التنبؤ بشيء ما. كل كلمة من تلك القائمة تضيف حوالي 12.9 بت، وكل كلمة إضافية تضاعف عدد العبارات المرورية المحتملة في 7,776، وتصل ست كلمات إلى حوالي 77 بت. ويجب اختيار الكلمات عشوائيًا؛ فإذا اخترتها بنفسك، فستختار تركيبات يمكن التنبؤ بها، ولهذا السبب يجب أن تختار الأداة أو النرد الحقيقي الكلمات. ومثال على هذا النمط (للتوضيح فقط ولا يُستخدم أبدًا): pencil sunset glacier bargain violet ribbon.
وينصح مركز NCSC بـ “ثلاث كلمات عشوائية” منذ عام 2016 للأشخاص الذين لا يستخدمون مدير كلمات المرور. وذكر أن ذلك أسهل في التذكر، ويميل إلى أن يكون أطول من كلمة مرور قصيرة ومعقدة، وأصعب في التخمين من كلمة قائمة على القواعد. ويعترف NCSC بأنه ليس آمنًا تمامًا، لأن الناس قد يختارون كلمات يمكن التنبؤ بها، وأن الكلمات الأكثر تعد أقوى.
بالنسبة لكلمة المرور الرئيسية للمدير، يوصي دليل Privacy Guides بألا تقل عن سبع كلمات، مما يعطي حوالي 90 بت، والسبب هو أن كلمة المرور هذه تحمي كل شيء آخر.
اترك التغيير الدوري ما لم يكن هناك سبب
تراجعت شعبية التغيير القسري لكلمات المرور كل 90 يومًا. وتذكر NIST الآن أنه لا ينبغي للخدمات طلب تغييرات دورية، بل ينبغي طلب تغيير عندما تكون هناك أدلة على الاختراق. والسبب هو أن التغييرات المتكررة تدفع الناس نحو تعديلات صغيرة يمكن التنبؤ بها.
ويوضح دليل Privacy Guides نقطة متعلقة بكلمات المرور التي يتوجب عليك تذكرها: تغيير كلمة المرور الرئيسية بانتظام يزيد فقط من خطر نسيانها. بالنسبة لكلمات المرور المخزنة في المدير، يقترح أن الأشخاص ذوي المخاطر العالية قد يفضلون تغيير الحسابات المهمة التي تفتقر إلى المصادقة الثنائية. هذا قرار يعتمد على نموذج التهديد الخاص بك.
المحفز المفيد للتغيير هو الانكشاف والخاطر. يتيح لك موقع Have I Been Pwned التحقق مما إذا كان عنوان البريد الإلكتروني يظهر في خروقات معروفة، وتتيح لك خدمة Pwned Passwords التابعة له التحقق من كلمة المرور دون إرسالها بالكامل؛ إذ ترسل خدمة التحقق أول 5 أحرف فقط من تجزئة كلمة المرور (Hash)، فلا تتعرف الخدمة على كلمة المرور أبدًا. كلمة المرور التي لا تظهر في القائمة ليست بالضرورة آمنة، بينما يجب استبدال الكلمة المدرجة في كل مكان استخدمتها فيه.
أين تحتفظ بكلمات المرور الخاصة بك
تذكر CISA أن إنشاء وتذكر كلمات مرور طويلة وعشوائية وفريدة لكل حساب ليس أمرًا ممكنًا لغالبية الناس، وتوصي بمدير كلمات المرور. يقوم المدير بإنشاء وتخزين وملء كلمات المرور، وينبهك العديد منها بشأن الكلمات الضعيفة أو معادة الاستخدام. تتذكر كلمة مرور قوية واحدة (كلمة المرور الرئيسية)، ويتولى المدير الباقي. كما يفضل مركز NCSC استخدام المديرين، ويقدم ثلاث كلمات عشوائية لمن لا يستخدمون واحدًا.
المديرون ليسوا خالين من المخاطر؛ ففي عام 2022، وصل مهاجمون اخترقوا حساب أحد المطورين أولاً إلى التخزين الاحتياطي السحابي لـ LastPass ونسخوا بيانات خزائن العملاء. كانت تسجيلات الدخول المخزنة مشفرة بمفاتيح مشتقة من كلمة المرور الرئيسية لكل مستخدم، ولكن عناوين المواقع لم تكن مشفرة. وأشار كتاب الأمان إلى أن LastPass رفعت حد كلمة المرور الرئيسية الأدنى إلى 12 حرفًا في عام 2018 فقط، ولم تُجبر الحسابات القديمة على التحديث. وقالت LastPass إن اتباع ممارساتها الموصى بها يجعل التخمين القسري شديد الصعوبة. ولا يمحو تغيير كلمة المرور الرئيسية بعد ذلك الخزينة التي تم نسخها بالفعل.
الدرس ليس تجنب المديرين، بل هو أن كلمة المرور الرئيسية تحمل وزناً حقيقياً، فاجعلها طويلة وعشوائية وغير مستخدمة في أي مكان آخر. كما ينصح دليل Privacy Guides بالاحتفاظ بنسخة احتياطية مشفرة من كلمات المرور الخاصة بك على أكثر من جهاز أو مزود خدمة، حتى لا يتسبب فقدان الهاتف في إغلاق كل شيء بوجهك.
ما لا تستطيع كلمات المرور فعله
حتى كلمة المرور المثالية تفشل أمام التصيد الاحتيالي، لأنك تسلمها بنفسك. وتضيف خطوة تسجيل الدخول الثانية حماية إذا تسربت كلمة المرور. وتصمم مفاتيح المرور (Passkeys)، وهي تسجيل دخول قائم على المفاتيح المشفرة، لمقاومة التصيد الاحتيالي وتزيل كلمة المرور تمامًا. ويشرح قسم إنشاء الحسابات كيف تعمل مفاتيح المرور ومتى تستخدمها. ولأن كلمة المرور الرئيسية لمدير كلمات المرور هي الوحيدة التي لا يمكنك استبدالها بمدير آخر، فمن المجدي تفعيل كل حماية إضافية يقدمها.
من أين تبدأ
تتدرج هذه الخطوات من الأكثر إلى الأقل فائدة:
- ابدأ بحساب بريدك الإلكتروني، لأن الخدمات الأخرى تستخدمه لإعادة ضبط كلمات المرور. امنحه كلمة مرور طويلة وعشوائية وفريدة.
- اختر مدير كلمات مرور واستخدمه لإنشاء كلمة مرور مختلفة لكل حساب آخر، بدءًا من المعاملات البنكية وأي حساب يحتوي على أموال أو هوية.
- اجعل كلمة المرور الرئيسية للمدير عبارة مرور عشوائية مكونة من ست كلمات أو أكثر. واكتبها في مكان آمن حتى تحفظها عن ظهر قلب.
- فعّل خطوة تسجيل دخول ثانية للبريد الإلكتروني، ولمدير كلمات المرور، ولحسابك البنكي.
- استبدل أي كلمة مرور ظهرت في خرق أمني، وفي أي مكان أعدت استخدامها فيه.
يعتمد مقدار الجهد الذي تستحقه كل خطوة على ما يحميه الحساب، حيث يساعدك قسم نمذجة التهديدات في اتخاذ القرار، ويظهر قسم التهديدات الشائعة ما يُرجح أن تواجهه.
المصادر
- Introduction to Passwords، أدلة الخصوصية (Privacy Guides)، 2025.
- New research: How effective is basic account hygiene at preventing hijacking، مدونة أمان Google، 2019.
- Use Strong Passwords، وكالة CISA، تم الوصول إليه في أكتوبر 2026.
- Secure Our World Passwords Tip Sheet، CISA، 2023.
- Stop reusing passwords، NordPass، 2025.
- SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management، المعهد الوطني للمعايير والتكنولوجيا، 2025.
- NIST 800-63B Rev 4: What’s New in Password Security، Enzoic، 2025.
- NIST-SP800-63B-4: Deciphering the New Password Security Standard، Nat Sakimura، 2025.
- Using three random words is safer than using complex passwords, NCSC says، Computing، 2021.
- Want a strong password? You’re probably still doing it the wrong way، HKCERT، 2022.
- EFF’s New Wordlists for Random Passphrases، مؤسسة الجبهة الإلكترونية، 2016.
- Validating Leaked Passwords with k-Anonymity، Cloudflare، 2018.
- Go client for the Pwned Passwords API، توثيق البرمجيات.
- Get Breach Notifications، Have I Been Pwned.
- LastPass Shares Details of Security Breach، TidBITS، 2022.
- LostPass: after the LastPass hack, here’s what you need to know، Graham Cluley، 2022.
- What Has Happened?، مدونة الأمن السيبراني لجامعة نيو إنجلاند، 2023.