هل كلمة مرورك قوية فعلًا؟ اختبرها بهذه القواعد الخمس قبل فوات الأوان

كيف اختار كلمة مرورك قوية

قد تبدو كلمة المرور التي تستخدمها طويلة ومعقدة، لكن إضافة رقم وعلامة تعجب إلى كلمة متوقعة لا يجعلها بالضرورة آمنة. إنشاء كلمة مرور قوية يعتمد على الطول والتفرّد وصعوبة التخمين، وليس على الشكل المعقد وحده.

في هذا الدليل ستختبر كلمات مرورك وفق قواعد حديثة تعتمد على توصيات أمنية رسمية، وستعرف لماذا الطول والتفرّد أهم من بعض القواعد القديمة، وكيف تستخدم مدير كلمات المرور والتنبيهات الأمنية والمصادقة الثنائية لحماية حساباتك.

اختبر كلمة مرورك بهذه القواعد الخمس

قبل تغيير كلمات المرور كلها عشوائيًا، استخدم اختبارًا موحدًا يحدد نقاط الضعف الحقيقية. الجدول التالي يلخص القواعد الخمس التي سنشرحها بالتفصيل، ويمكنك استخدامه لأي حساب بريد أو متجر أو شبكة اجتماعية أو خدمة مالية.

إذا فشلت كلمة مرورك في قاعدة واحدة فهذا لا يعني بالضرورة أن الحساب مخترق، لكنه يعني وجود مجال واضح للتحسين. أخطر حالة هي كلمة قصيرة ومتوقعة ومستخدمة في عدة مواقع، لأن تسريب خدمة واحدة قد يعرض بقية الحسابات للخطر.

1. اجعل كلمة المرور طويلة قبل التفكير في التعقيد

أهم عامل عملي عند اختيار كلمة مرور يدوية هو الطول. الكلمة القصيرة تترك عدد احتمالات أقل أمام أدوات التخمين، بينما تسمح العبارة الطويلة بزيادة مساحة الاحتمالات مع إمكانية جعلها أسهل في التذكر من سلسلة قصيرة ومعقدة.

• استهدف 15 حرفًا أو أكثر: خصوصًا للحسابات التي تعتمد على كلمة المرور وحدها كعامل أساسي للدخول.
• استخدم عبارة مرور عند الحاجة: عدة كلمات غير مترابطة قد تكون أسهل في التذكر من سلسلة قصيرة من الرموز.
• لا تجعل الطول شكليًا: تكرار الكلمة نفسها عدة مرات أو إضافة 123 في النهاية لا يصنع كلمة قوية تلقائيًا.
• دع مدير كلمات المرور يولّدها: عند عدم الحاجة إلى حفظها يدويًا يمكنك استخدام سلسلة طويلة وعشوائية.

توضح إرشادات NIST الحديثة لإنشاء كلمة مرور جيدة أن الطول عامل أساسي، وتوصي عمليًا بكلمات مرور لا تقل عن 15 حرفًا عندما تكون كلمة المرور هي وسيلة المصادقة الأساسية.

2. استخدم كلمة مختلفة لكل حساب مهم

إعادة استخدام كلمة المرور هي أحد أخطر الأخطاء لأن المهاجم لا يحتاج إلى كسر كل حساب بصورة منفصلة. إذا تسربت بيانات دخولك من موقع واحد، يمكن تجربة البريد والكلمة نفسيهما على خدمات أخرى فيما يعرف بهجوم Credential Stuffing.

التفرّد مهم خصوصًا للبريد الإلكتروني لأنه مفتاح إعادة تعيين كلمات مرور خدمات كثيرة. إذا كنت تستخدم كلمة واحدة للبريد والمتجر وحساب اجتماعي، فغيّر هذا النمط أولًا حتى لو كانت الكلمة نفسها طويلة.

3. تجنب الأسماء والتواريخ والأنماط سهلة التخمين

يمكن أن تكون كلمة المرور طويلة ومع ذلك ضعيفة إذا بنيتها من معلومات يعرفها الآخرون أو من أنماط يستخدمها ملايين الأشخاص. المهاجم لا يبدأ عادة بتجربة كل الاحتمالات عشوائيًا؛ بل يبدأ بالكلمات والتبديلات الأكثر شيوعًا.

• لا تستخدم اسمك أو اسم شخص قريب: المعلومات الشخصية قد تكون موجودة في حساباتك العامة.
• تجنب تاريخ الميلاد: السنوات والأيام أرقام سهلة التجربة عند معرفة صاحب الحساب.
• ابتعد عن Keyboard Patterns: مثل تسلسلات الحروف والأرقام المتجاورة على لوحة المفاتيح.
• لا تعتمد على الاستبدالات المتوقعة: تحويل حرف إلى رقم مشابه لا يجعل كلمة شائعة آمنة تلقائيًا.
• لا تستخدم اسم الموقع: إضافة اسم الخدمة مع السنة أو علامة تعجب نمط معروف وسهل التخمين.

وتوضح NIST في إرشاداتها الحالية أن فرض خلط الأحرف الكبيرة والصغيرة والأرقام والرموز ليس معيارًا كافيًا للقوة، لأن المستخدمين غالبًا يتبعون أنماطًا متوقعة عند محاولة تلبية هذه الشروط.

4. استخدم مدير كلمات المرور بدل محاولة حفظ عشرات الكلمات

إذا كان المطلوب كلمة طويلة وفريدة لكل خدمة، يصبح حفظها كلها يدويًا شبه مستحيل للمستخدم العادي. هنا تأتي فائدة مدير كلمات المرور: يولّد كلمات عشوائية ويحفظها ويملأها عند الحاجة بدل تكرار كلمة واحدة في كل مكان.

توصي CISA باستخدام مدير كلمات المرور لإنشاء كلمات طويلة وعشوائية وفريدة وحفظها. ويمكنك أيضًا استخدام Password Checkup من Google لمراجعة الكلمات الضعيفة أو المعاد استخدامها.

5. فعّل المصادقة الثنائية أو Passkey متى توفرت

حتى أفضل كلمة مرور يمكن أن تُسرق عبر صفحة تصيد أو جهاز مصاب أو تسريب من خدمة خارجية. لذلك لا يجب أن تكون كلمة المرور الحاجز الوحيد أمام الحساب، خصوصًا للبريد والحسابات المالية والخدمات التي تحتوي بيانات حساسة.

• فعّل MFA: أضف عامل تحقق إضافيًا إلى الحسابات المهمة.
• فضّل تطبيق المصادقة أو مفاتيح الأمان: عندما توفر الخدمة خيارات متعددة مناسبة لك.
• استخدم Passkeys: إذا كانت الخدمة والجهاز يدعمانها ويمكنك إدارتها بأمان.
• احفظ رموز الاسترداد: في مكان آمن بعيدًا عن الجهاز الذي تستخدمه للدخول.
• لا تشارك OTP: رمز التحقق مخصص للعملية التي بدأت بها أنت وليس لموظف يتصل بك.

توضح CISA أن المصادقة متعددة العوامل تضيف طبقة حماية إضافية حتى إذا تمكن مهاجم من الحصول على كلمة المرور، بينما تشير NIST إلى أن كلمات المرور وحدها ليست مقاومة للتصيد.

اختبار سريع لمعرفة هل كلمة المرور ضعيفة

لا تكتب كلمة مرورك الحقيقية في مواقع عشوائية تدعي قياس القوة. يمكنك إجراء تقييم محلي بنفسك عبر الأسئلة التالية؛ الهدف هو اكتشاف نقاط الضعف الأساسية دون كشف الكلمة نفسها لطرف آخر أو إرسالها إلى أداة لا تعرفها.

إذا كانت الإجابة «نعم» عن إعادة الاستخدام أو عن ظهور كلمة المرور في تسريب، فهذه أولوية أعلى من تعديل رمز أو حرف واحد. أنشئ كلمة جديدة بالكامل ولا تعِد تدوير النسخة القديمة بإضافة سنة جديدة فقط.

كيف تعرف أن كلمة مرور ظهرت في تسريب؟

أفضل طريقة ليست البحث عن كلمة المرور نفسها في محرك بحث أو إرسالها إلى موقع مجهول، بل استخدام أدوات مراقبة مدمجة في مدير كلمات المرور أو النظام. هذه الأدوات تستطيع تنبيهك إلى كلمات ضعيفة أو معاد استخدامها أو ظهرت ضمن تسريبات معروفة.

على iPhone توضح Apple طريقة مراجعة كلمات المرور الضعيفة أو المخترقة داخل تطبيق Passwords، ويمكن للنظام تنبيهك عندما تظهر إحدى كلماتك ضمن تسريب معروف.

هل يجب تغيير كلمة المرور كل شهر أو كل 90 يومًا؟

تغيير كلمات المرور دوريًا كان قاعدة منتشرة لسنوات، لكن الإرشادات الحديثة تركز أكثر على الطول والتفرّد وتغيير الكلمة عند وجود دليل على تسريب أو اختراق. التغيير الإجباري المتكرر قد يدفع المستخدم إلى إنشاء تعديلات متوقعة.

• غيّرها عند التسريب: إذا ظهر تنبيه أمني بأن الكلمة مكشوفة.
• غيّرها بعد التصيد: إذا كتبتها في صفحة اتضح أنها مزيفة.
• غيّرها عند وجود جلسة مشبوهة: خصوصًا إذا لم تتعرف على الجهاز أو الموقع.
• غيّر الكلمات المعاد استخدامها: حتى لو لم يظهر اختراق بعد.
• لا تغيّر لمجرد التاريخ فقط: إذا كانت الكلمة قوية وفريدة ولم يوجد دليل على تسريب.

ماذا تفعل إذا اكتشفت أن كلمة المرور مسروقة؟

إذا ظهرت كلمة المرور ضمن تسريب أو أدخلتها في موقع تصيد، لا تنتظر لترى هل سيحدث شيء. تعامل معها على أنها لم تعد سرية، ثم اتبع ترتيبًا يحمي الحساب الأساسي ويمنع انتقال الضرر إلى الخدمات التي استخدمت فيها الكلمة نفسها.

1. افتح الموقع الرسمي أو التطبيق الذي تستخدمه عادة ولا تعد إلى الرابط المشبوه.
2. غيّر كلمة المرور إلى كلمة جديدة طويلة وفريدة لم تستخدمها من قبل.
3. غيّر الحسابات الأخرى إذا كنت استخدمت الكلمة نفسها فيها.
4. راجع الجلسات وسجل خروج الأجهزة أو المواقع التي لا تعرفها.
5. فعّل MFA أو Passkey إذا كانت الخدمة تدعم ذلك.
6. راجع معلومات الاسترداد مثل البريد الاحتياطي ورقم الهاتف.
7. راقب التنبيهات لأي محاولة دخول أو تغيير لم تبدأه أنت.

أمثلة على كلمات تبدو قوية لكنها ليست كذلك

المشكلة ليست في المثال نفسه بل في النمط الذي يتبعه. الكلمات التالية لا ينبغي استخدامها؛ الهدف منها توضيح كيف يمكن لكلمة أن تحتوي أحرفًا كبيرة وأرقامًا ورمزًا وتظل سهلة التوقع بسبب اعتمادها على كلمة شائعة أو ترتيب معروف.

لهذا لا تجعل اختبار القوة عبارة عن عدّ الأحرف الكبيرة والرموز. كلمة مولدة عشوائيًا أو عبارة طويلة غير متوقعة وفريدة لكل موقع توفر أساسًا أفضل بكثير من حيل شكلية يعرفها المهاجمون أيضًا.

متى تكون عبارة المرور خيارًا جيدًا؟

عبارة المرور مناسبة خصوصًا لكلمة رئيسية تحتاج إلى تذكرها بنفسك، مثل كلمة مدير كلمات المرور. الفكرة ليست كتابة جملة مشهورة أو اقتباس معروف، بل إنشاء عبارة طويلة من عناصر لا تربطها علاقة واضحة يستطيع شخص آخر توقعها.

• اجعلها طويلة: الطول هو الهدف الأساسي وليس عدد الرموز فقط.
• استخدم كلمات غير مترابطة: لا تجعلها جملة مشهورة أو قولًا معروفًا.
• لا تستخدم المثال المنشور: أي عبارة تراها في مقال أصبحت مثالًا عامًا وليست سرًا خاصًا بك.
• لا تكررها في الحسابات: حتى العبارة الممتازة تصبح مخاطرة إذا استخدمتها في كل مكان.
• احمِها بـMFA: خصوصًا إذا كانت مفتاح مدير كلمات مرور يحتوي بقية حساباتك.

هل مدير كلمات المرور آمن فعلًا؟

لا توجد أداة بلا مخاطر، لكن محاولة حفظ كلمة مختلفة لكل حساب تدفع كثيرًا من المستخدمين إلى إعادة استخدام كلمات قصيرة. مدير موثوق ومحدث مع كلمة رئيسية قوية وMFA يتيح إدارة كلمات طويلة وفريدة بطريقة عملية أكثر.

إذا كنت تستخدم مديرًا عبر المتصفح، فراجع أيضًا الإضافات الأخرى التي يمكنها الوصول إلى الصفحات وحقول الإدخال. ويمكنك العثور على أدلة أوسع لحماية الحسابات والخصوصية داخل قسم أمن وخصوصية في تقنية برو.

أخطاء شائعة تضعف أمان كلمات المرور

قد يعرف المستخدم قواعد الأمان الأساسية لكنه يهدمها بعادة صغيرة، مثل حفظ كلمات المرور في ملف مكشوف أو إعادة استخدامها أو مشاركة رمز تحقق. القائمة التالية تجمع الأخطاء التي تستحق المراجعة قبل البحث عن أدوات حماية أكثر تعقيدًا.

• استخدام كلمة واحدة في كل مكان: يحول تسريبًا واحدًا إلى خطر على عدة حسابات.
• الاعتماد على تعديلات بسيطة: إضافة السنة أو علامة تعجب لا تجعل كلمة شائعة آمنة.
• حفظها في ملف نصي مكشوف: أي شخص يصل إلى الجهاز قد يجد الحسابات كلها.
• إرسال كلمة المرور لنفسك: البريد أو المحادثة ليسا خزنة كلمات مرور مناسبة.
• مشاركة OTP: رمز التحقق عامل أمني ولا يجب إعطاؤه لمتصل مجهول.
• تجاهل تنبيه تسريب: إذا أخبرك مدير كلمات المرور بأن الكلمة مكشوفة فغيّرها بدل إخفاء التنبيه.

قائمة فحص كلمة المرور القوية قابلة للنسخ

استخدم القائمة التالية مع البريد والحساب البنكي وحسابات Apple أو Google والشبكات الاجتماعية والخدمات التي تحتوي بيانات مهمة. لا تكتب كلمة المرور نفسها داخل القائمة؛ ضع علامة فقط أمام كل قاعدة تحققها ثم أصلح النقاط الناقصة.

□ كلمة المرور طويلة، وهدفي 15 حرفًا أو أكثر للحسابات المهمة
□ لا أستخدم كلمة المرور نفسها في أي حساب آخر
□ لا تحتوي على اسمي أو تاريخ ميلادي أو معلومات شخصية واضحة
□ لا تعتمد على كلمة شائعة مع 123 أو !
□ لا تستخدم نمطًا معروفًا من لوحة المفاتيح
□ لا أستخدم اسم الموقع كجزء أساسي من الكلمة
□ أستخدم مدير كلمات مرور موثوقًا عند الحاجة
□ راجعت تنبيهات الكلمات الضعيفة أو المسربة
□ فعّلت المصادقة الثنائية للحسابات المهمة
□ أستخدم Passkey إذا كانت الخدمة توفرها وتناسبني
□ لا أشارك رموز OTP مع أي شخص
□ لدي طريقة آمنة لاسترداد الحساب
□ إذا ظهرت كلمة المرور في تسريب سأغيرها فورًا
□ إذا استخدمت الكلمة في أكثر من خدمة سأغير كل النسخ المعاد استخدامها

رأي عملي

أسئلة شائعة حول كلمة المرور القوية

تغيرت بعض النصائح الأمنية خلال السنوات الماضية، ولذلك ما زال كثير من المستخدمين يعتمدون على قواعد قديمة مثل تغيير الكلمة شهريًا أو إضافة رمز واحد فقط. الإجابات التالية توضح أهم النقاط التي تحتاجها عند حماية الحسابات.

الخاتمة

إن إنشاء كلمة مرور قوية لا يعتمد على حيلة واحدة مثل إضافة رقم أو رمز، بل على مجموعة قواعد تعمل معًا: طول كافٍ، كلمة فريدة لكل حساب، بنية غير متوقعة، إدارة آمنة، ومصادقة إضافية تقلل الضرر إذا تسربت الكلمة.

ابدأ بالحسابات الأهم: البريد والحسابات المالية وApple أو Google، ثم غيّر الكلمات المكررة واستخدم مديرًا موثوقًا لبقية الخدمات. وإذا اكتشفت كلمة مسربة، لا تعِد تدويرها؛ أنشئ كلمة جديدة بالكامل وأوقف الجلسات المشبوهة.