لا أحبّ مفاتيح المرور (passkeys): لماذا لم تعدّ المنظومة جاهزة للحسابات الشخصية

منذ سنوات تسوّق صناعة التقنية مفاتيح المرور (passkeys) باعتبارها الحل النهائي لتسجيل الدخول. وتذكّرك كبرى الشركات في كل مرة تسجّل الدخول بمدى سهولتها، والسبيل الوحيد لإيقاف هذه التذكيرات هو إعداد مفتاح مرور أو البحث عن مفتاح الإيقاف في الإعدادات. وقد أطلقت غوغل على الإعداد المعني اسم "Skip password when possible"، بينما تروّج مايكروسوفت لحسابات بلا كلمة مرور؛ كتب ذلك Ethan Hawksley في مدونته في 18 سبتمبر 2026.

التقنية نفسها قوية: فمفتاح المرور مرتبط بالموقع الذي أُنشئ لأجله، لذا لا يمكن لصفحة دخول مزيفة سرقته، ولأنه غير متماثل التشفير فلا يكفي تسرّب على الخادم لاستعادته.

مناسب للشركات، غير ملائم للأفراد

وهذا ما يجعل مفاتيح المرور مثالية لبيئة العمل المؤسسية وضعيفة للأمن الشخصي، بحسب الكاتب. فالخطر الأكبر بالنسبة إلى الفرد هو فقدان الحساب نهائياً، والحظر الآلي، وفقدان الجهاز. فالمفاتيح تُلغي التصيّد في مسار الدخول المعتاد، لكنها تخلق إحساساً زائفاً بالأمان: فأمان الحساب يبقى مرهوناً بأضعف وسيلة استعادة، سواء كانت رسالة نصية أو رابط بريد إلكتروني أو أسئلة الأمان.

حدود المفاتيح المادية

بحسب التصميم لا يمكن إنشاء نسخة احتياطية من مفتاح المرور على مفتاح مادي: فالمفاتيح تُضاف أو تُحذف فقط، ولا يمكن نقلها. وعملياً يعني ذلك شراء مفتاحين أو ثلاثة وتسجيل كل واحد منها في كل موقع. ويقتصر حدّ بيانات الاعتماد القابلة للاكتشاف على نحو 25 إلى 100 حساب لكل مفتاح، وصولاً إلى 300 في أفضل الطُرز؛ وبعد تجاوز الحدّ لا بد من حذف حسابات أو شراء مجموعة مفاتيح جديدة.

المفاتيح المتزامنة

تريد آبل وغوغل ربط هويتك بنظامي تشغيلهما. وإذا قررت أنظمتهما الآلية يوماً حظر حسابك، فستفقد بشكل نهائي الوصول إلى كل مفاتيح المرور التي استخدمتها في حسابات طرف ثالث. ويعمل تحالف FIDO على تحسين التوافق وسهولة التصدير، لكن التجربة ما زالت مجزّأة وغير متسقة بين المزوّدين، وأقل نضجاً من أن يُعتمد عليها. أما كلمة المرور فهي مجرد نص يمكن تصديره يدوياً عند الحاجة.

ما يوصي به الكاتب

أصعب الحالات هي تسجيل الدخول على حاسوب شخص آخر: فقد لا تجد منفذاً لمفتاح مادي، أما استخدام مفتاح متزامن فيعني الوثوق بذلك الجهاز كي لا يفشي بقية مفاتيحك. وآلية Hybrid Transport التي تجمع رمز الاستجابة السريعة مع اتصال Bluetooth آمنة نظرياً، لكنها عملياً مثقلة بحالات فشل الاتصال وبعدم دعم Bluetooth أصلاً.

وخلص Hawksley إلى أن لمستخدمي الشركات أسباباً وجيهة لاستخدام مفاتيح المرور، لكن المنظومة ليست ناضجة بما يكفي للأفراد. وتوصيته هي كلمات مرور مولّدة عشوائياً في مدير كلمات مرور خارجي، مع تطبيق TOTP مستقل. ولمن كانوا يستخدمون كلمة المرور نفسها في كل مكان تُعدّ المفاتيح تقدماً كبيراً، أما لبقية المستخدمين فهي حالياً خطوة إلى الوراء.