passkeys: الدليل الشامل مع الفوائد والحدود

كيف يعمل التحقق الجديد تقنيًا: زوج المفاتيح بلغة بسيطة

الفكرة التقنية التي تُبنى عليها passkeys تسمى التشفير غير المتماثل. تعرف أيضًا باسم زوج المفاتيح العام والخاص. عند تفعيل passkey لحسابك على Google مثلًا، يُنشئ جهازك مفتاحين. مفتاح عام يُرسل إلى خوادم Google ويُحفظ هناك. ومفتاح خاص يبقى داخل جهازك محميًا بشريحة أمان. على Apple اسمها Secure Enclave، وعلى ويندوز Trusted Platform Module، وعلى Pixel شريحة Titan M2. المفتاح الخاص لا يغادر الجهاز تحت أي ظرف، ولا تراه حتى الشركة المصنّعة.

عند تسجيل الدخول، يرسل الخادم تحديًا مشفرًا. يوقّعه جهازك بالمفتاح الخاص بعد أن تتحقق البصمة أو الوجه من هويتك. ثم يعيد التوقيع إلى الخادم الذي يتحقق منه بالمفتاح العام. العملية كلها تستغرق أقل من ثانية. Microsoft توضح في وثائقها أن هذا التحقق يجعل passkeys مقاومة للتصيد الاحتيالي. السبب أن التوقيع يرتبط بنطاق الموقع الحقيقي. فإذا حاول موقع مزيف أن يستدرج توقيعك فلن يحصل عليه. Bitwarden تصفها بأنها تشفير غير متماثل مع تحقق بيومتري. تعطي حماية أقوى من أي كلمة مرور تقليدية.

الجزء المهم للمستخدم العادي هو أن بصمتك لا تُرسل إلى أي خادم. FIDO Alliance وGoogle كلاهما يؤكد على موقعيهما الرسميين أن البيانات البيومترية تبقى محلية على الجهاز. لا تشاركها Google أو Apple مع أي طرف. الذي يُشارك فقط هو "نعم، البصمة طابقت" أو لا.

passkeys مقابل كلمات المرور: المقارنة بالأرقام الحقيقية

الفروق بين النظامين ليست رأيًا بل أرقام موثّقة من Google وAmazon وMicrosoft وتحالف FIDO. إذا كنت تتردد في الانتقال، هذا الجدول يضع كل شيء في مكان واحد:

الخلاصة التي يراها المستخدم يوميًا: مع passkey، لا توجد كلمة تُكتب، ولا رسالة SMS تنتظرها، ولا سؤال أمان تتذكّره. لمسة إصبع وأنت داخل الحساب. Microsoft وأمازون كلتاهما نشرت دراسات داخلية تُظهر أن معدلات التخلي عن تسجيل الدخول انخفضت بنسبة قابلة للقياس بعد تفعيل passkeys، وهي النقطة التي تفسّر لماذا تتسابق كبرى الشركات في نشرها.

النقطة الحرجة: passkeys ليست خيارًا "سحريًا" يحلّ كل مشكلة. فقدان الهاتف من دون نسخة احتياطية في iCloud Keychain أو Google Password Manager قد يُفقدك الحساب. لهذا السبب ينصح NCSC البريطاني بأن تبقى لديك كلمة مرور قوية احتياطية مع تطبيق Authenticator حتى يكتمل انتقال كل حساباتك.

متطلبات الأجهزة والمتصفحات لاستخدام passkeys

قبل أن تبدأ، تأكّد أن جهازك يدعم التقنية. المتطلبات التي أعلنتها Microsoft رسميًا في أكتوبر 2026 هي الأوضح. وهي قريبة من متطلبات Google وApple:

على صعيد المتصفحات، الصورة واضحة أيضًا. Chrome 109 فأعلى، Edge 109 فأعلى، وSafari 16 فأعلى. Microsoft Password Manager يصبح متاحًا داخل Edge فقط من الإصدار 142. على لينكس، الدعم الكامل غير متاح. يمكنك حاليًا استخدام passkey من الهاتف عبر QR code والبلوتوث، أو مفتاح أمان مادي مُوصّل بمنفذ USB حسب موقع passkeys.io التجريبي.

الخبر الجيد للمستخدم العربي هو أن كل الأجهزة الحديثة في المنطقة جاهزة. iPhone بدءًا من XS، وأي أندرويد اشتريته من 2021 فصاعدًا، وأي حاسوب ماك محمول من السنوات الست الأخيرة. التحقق سريع: افتح إعدادات حسابك في Google وابحث عن "passkeys". إذا رأيت الخيار فأنت جاهز للبدء الآن.

تفعيل passkeys على حساب Google خطوة بخطوة

Google كانت أول من دفع passkeys إلى المستخدم العادي في مايو 2023، واليوم تضع التقنية كخيار افتراضي لأي حساب جديد. الخطوات التي أوصت بها Google رسميًا على صفحة الدعم:

الخطوات العملية لحساب Google شخصي

ادخل إلى العنوان الرسمي myaccount.google.com/signinoptions/passkeys من المتصفح. سجّل الدخول بكلمة المرور الحالية مرة إضافية، ثم اضغط على زر "إنشاء passkey". الجهاز سيطلب منك التحقق بالبصمة أو Face ID أو PIN ويخزّن passkey في المدير الافتراضي للجهاز. على iPhone يُحفظ في iCloud Keychain، على Pixel وأندرويد في Google Password Manager، وعلى ويندوز في Windows Hello.

كيف تضيف passkey على جهاز إضافي

إذا كنت تملك iPhone وجهاز ويندوز، كرّر الخطوات من كل جهاز لتحصل على passkey منفصلة على كل منهما. هذه خطوة مهمة لأنها تمنحك خطة بديلة إذا فقدت أحد الأجهزة. كل مفاتيحك ستظهر في صفحة إعدادات الحساب تحت قسم "passkeys وأجهزتك"، ومنها تستطيع حذف أي مفتاح قديم لجهاز بعته.

تسجيل الدخول من جهاز ليس لك

عند تسجيل الدخول من كمبيوتر عام أو جهاز صديق، اختر "استخدم جهازًا آخر". سيظهر رمز QR، امسحه بكاميرا هاتفك، وسيُطلب منك التحقق بالبصمة أو الوجه على الهاتف. البلوتوث يجب أن يكون مُشغّلًا على الجهازين لأن Google تستخدم تحقق القرب (proximity check) لمنع الهجمات عن بُعد. هذه التفصيلة الصغيرة تجعل passkey آمنة حتى في المقاهي والفنادق، لأن ببساطة من لا يقف قرب هاتفك لا يستطيع أن يسجّل الدخول باسمك.

تفعيل مفاتيح المرور على Apple ID وأجهزة iPhone وiPad

Apple دمجت passkeys في iCloud Keychain منذ iOS 16 وmacOS Ventura، ومعظم المستخدمين لا يعلمون أنهم يمتلكون passkeys بالفعل. الإعداد على نظام Apple تلقائي إلى حدٍ بعيد.

تفعيل iCloud Keychain كشرط أساسي

افتح الإعدادات على iPhone، اضغط اسمك في الأعلى، ثم "iCloud" ثم "كلمات المرور وسلسلة المفاتيح" ثم فعّل الخيار. هذا يُشغّل المزامنة المشفّرة من طرف إلى طرف بين كل أجهزة Apple التي تملكها حسب موقع Apple للمطورين، ويعني أن أي passkey تُنشئها على iPhone ستظهر فورًا على iPad وMac بدون أي إعداد إضافي.

إنشاء passkey لحسابك على أبل

ادخل إلى account.apple.com من أي متصفح، سجّل الدخول، ثم ابحث عن قسم "تسجيل الدخول والأمان". اختر "passkey" واتّبع التعليمات. سيُنشئ الجهاز passkey لـ Apple ID ويخزّنها في Secure Enclave، وهي شريحة أمان منفصلة داخل معالج Apple لا يصل إليها نظام iOS نفسه حتى. عند تسجيل الدخول لاحقًا من أي موقع يطلب Apple ID، سترى خيار passkey بدلاً من كلمة المرور.

Apple Passwords كتطبيق مستقل منذ iOS 18

منذ إطلاق iOS 18، لدى Apple تطبيق مستقل اسمه "Passwords" يفتح بشكل مباشر كل passkeys وكلمات المرور المخزنة في iCloud Keychain. التطبيق يعرض passkeys مرتبة حسب الموقع، ويسمح لك بحذف passkey معينة أو مشاركتها مع العائلة عبر iCloud Family. على ماك، التطبيق متوفر منذ macOS Sequoia. إذا انتقلت لاحقًا إلى أندرويد أو ويندوز، تستطيع تصدير passkeys عبر معيار CXF (Credential Exchange Format) الذي بدأ تحالف FIDO بتوحيده في 2025.

تفعيل مفاتيح المرور على حسابات Microsoft وXbox

Microsoft كانت متأخرة قليلًا عن Google وApple في طرح passkeys للمستخدم النهائي، لكنها عوّضت بسرعة. اليوم passkey تدعم حسابات Microsoft الشخصية، حسابات Xbox، وحسابات العمل والمدرسة ضمن Microsoft Entra ID حسب صفحة الدعم الرسمية التي حُدّثت في 22 يوليو 2026.

تفعيل passkey على حساب Microsoft الشخصي

ادخل إلى account.microsoft.com، سجّل الدخول، ثم اختر "الأمان" ومنها "خيارات تسجيل الدخول المتقدمة". ابحث عن "إضافة passkey" واتبع التعليمات. على ويندوز، Microsoft تستخدم Windows Hello كمزوّد للتحقق البيومتري، فإذا لم تكن قد ضبطت بصمة أو وجهًا على جهازك، سيطلب منك النظام ضبطهما أولًا. العملية كلها تستغرق دقيقتين.

Windows 11 كمدير passkey أصلي

Windows 11 بالتحديث الحالي أضاف واجهة لإدارة passkeys داخل الإعدادات: الحسابات ثم passkeys. من هناك ترى كل passkeys الموجودة على جهازك، تحذف القديمة، وتربطها بمديري كلمات مرور خارجيين مثل 1Password أو Bitwarden. Edge الإصدار 142 وما بعده يدمج Microsoft Password Manager داخل المتصفح نفسه، بينما Chrome وFirefox يحتاجان إلى إضافة من مدير كلمات المرور الذي تستخدمه.

Xbox وحسابات الألعاب

حساب Microsoft هو حساب Xbox نفسه. تفعيل passkey على حسابك يسري على كل خدمات Microsoft المرتبطة: Outlook، OneDrive، Xbox Live، Microsoft 365. هذا يعني أنك ستسجّل الدخول بـ passkey على Xbox من خلال رمز يظهر على الشاشة تمسحه بهاتفك، بدلاً من كتابة كلمة مرور طويلة بذراع التحكم. التفاصيل متوفرة على مدوّنة Xbox للأمان.

مزامنة passkeys عبر Microsoft Authenticator

تطبيق Microsoft Authenticator يعمل جسرًا بين الهاتف والحاسوب. تنشئ passkey على iPhone، وتسجّل الدخول من ويندوز عبر رمز QR يُظهر على شاشة المتصفح. يطلب منك الهاتف الإذن بالبصمة، ثم يُكمل Chrome أو Edge تسجيل الدخول في ثوانٍ. Microsoft تنصح بتفعيل التطبيق على هاتفين مختلفين لمن يملك واحدًا. الهدف نسخة احتياطية في حال فقدان الهاتف الأساسي، تضمن لك الوصول دون الحاجة لإعادة تعيين كلمة مرور قديمة.

الخدمات التي تدعم passkeys اليوم: ماذا تستطيع أن تربطه فعلًا

قائمة الخدمات التي تدعم passkeys تنمو أسبوعيًا، لكن هذه هي الخدمات الموثّقة رسميًا على صفحة Google الأمنية وقائمة شركاء 1Password وتحالف FIDO حتى نوفمبر 2026:

الخدمات العربية حاليًا لا تدعم passkeys بشكل واسع، لكن حسابات Google وApple وMicrosoft التي تستخدمها يوميًا تُغطّي معظم مخاطر التصيد التي تستهدف المستخدم العربي. تقرير Bitwarden أشار إلى أن passkey استُخدمت أكثر من مليار مرة عبر 400 مليون حساب حتى الربع الثاني من 2024، ومع إعلان Apple وGoogle في 2025 توحيد معيار CXF لنقل passkeys بين مديري كلمات المرور، أصبح الانتقال بين الأنظمة أكثر سلاسةً.

إذا كنت تعتمد على حماية حساب ChatGPT بـ passkeys، أو حسابات مالية في بنك إلكتروني يدعم FIDO2، فأنت تحمي أهم ما تملكه بالفعل. أي خدمة تستخدمها ولا تدعم passkey بعد، استمر مؤقتًا بكلمة مرور قوية وتطبيق Authenticator حتى تضاف الميزة.

GitHub دخل القائمة منذ يوليو 2023، وGitLab لحق به في الربع الأول من 2024. هذا مهم للمطورين الذين يحمون مستودعات تحتوي على مفاتيح API وأسرار الإنتاج. منصات التطوير هدف مغرٍ للمهاجمين، وحسابك المسروق قد يفتح الباب لشركة كاملة. Shopify أتاحت passkeys للتجار منذ 2024، وأمازون أعلنت دعمها على مستوى الحساب الرئيسي والمتاجر في AWS. القاعدة العملية: راجع إعدادات الأمان في كل حساب تستخدمه كل ثلاثة أشهر، وفعّل المفتاح لحظة ظهور الخيار بدلًا من تأجيله.

الحدود والمخاطر الحقيقية لمفاتيح المرور: ما لا يُقال بوضوح

passkeys تحلّ مشكلة التصيد، لكنها ليست حصنًا منيعًا. قبل أن تحذف كل كلمات مرورك، ضع هذه النقاط في الحسبان.

خسارة الجهاز بلا مزامنة

passkey الأصلية ترتبط بالجهاز، وإن لم تكن مُزامنة عبر iCloud Keychain أو Google Password Manager أو مدير كلمات مرور خارجي، فإن كسر هاتفك يعني فقدان الوصول. NCSC البريطاني يُشدّد في دليله الرسمي على ضرورة استخدام مدير بيانات الاعتماد يحفظ نسخة احتياطية مشفّرة ويُزامن بين أجهزتك. من دون ذلك، قد تجد نفسك تنتظر أيامًا حتى يُعيد Google أو Apple التحقق من هويتك عبر مكالمات دعم.

هجمات التصيد المتطوّرة لا تختفي تمامًا

الباحثون الأمنيون كشفوا في 2026 عن حملات تصيّد لا تهاجم passkey نفسه، بل تخدع المستخدم ليعود مؤقتًا إلى كلمة المرور. الهجوم يقدّم للمستخدم زر "لم تعمل passkey، استخدم كلمة المرور بدلًا منها" فتضغط الضحية ويُسلّم كلمة مرور قديمة محفوظة. الحل هو أن تحذف كلمة المرور نهائيًا من الحساب بعد تفعيل passkey، أو تُفعّل خيار "skip password" في حساب Google الذي يُعطّل كلمة المرور كخيار احتياطي.

المزامنة بين الأنظمة ليست سلسة دائمًا

passkey أنشأتها على iPhone لن تظهر تلقائيًا على جهاز أندرويد. كل بيئة (Apple، Google، Microsoft) تملك مدير passkey خاصًا بها. معيار CXF الذي يوحّد نقل passkeys بين الأنظمة بدأ في أواخر 2025، وما زال التطبيق الفعلي غير مكتمل في معظم مديري كلمات المرور. الحل العملي: استخدم مدير كلمات مرور خارجيًا مثل Bitwarden أو 1Password إذا كنت تتنقّل بين أنظمة تشغيل، لأنه يُزامن passkeys لك عبر منصاته.

حسابات العمل والمدرسة قد تُقيّد الخيار

Microsoft توضح في وثائقها أن حسابات Entra ID (العمل والمدرسة) قد تمنع passkey في بعض المؤسسات. سياسات الأمان المركزية تتحكم بما يُسمح به للموظف. إذا كان هذا حسابك المهم، تحقّق من قسم IT قبل الاعتماد على passkey منفردة.

الخصوصية البيومترية ليست مطلقة

البصمة ومسح الوجه لا يصلان إلى Google أو Apple أو Microsoft حقيقةً. لكن القرار بأن "البصمة طابقت" يصل. إذا سُرق هاتفك وكان مفتوحًا، صاحب اليد قد يفتح حساباتك. هذه ليست مشكلة passkey تحديدًا بل مشكلة الأمن المادي لأي جهاز. الحل البسيط: فعّل قفل الشاشة التلقائي بعد 30 ثانية. وفعّل خاصية مسح الجهاز عن بُعد في iCloud أو Find My Device. هذه الخطوتان تحميانك أكثر من أي مدير كلمات مرور.

التبعية لنظام واحد: مخاطرة طويلة الأمد

إذا فعّلت passkey لحسابك على Google وتبنيت iCloud Keychain كمدير أساسي، فأنت تربط هويتك الرقمية بشركة واحدة. لها جانبان. من جهة، الراحة والمزامنة سلسة. من جهة أخرى، قرار إغلاق حسابك أو خطأ تقني قد يُفقدك الوصول إلى كل شيء. الحل العملي هو التنويع. احتفظ بنسخة من passkey على مدير كلمات مرور خارجي مستقل. Bitwarden مجاني للاستخدام الفردي ويكسر هذه الحلقة.

المصادر

• FIDO Alliance: صفحة passkeys الرسمية وإحصاءات الاعتماد 2024
• Google: Passkey - Simple and secure passwordless sign-in
• Google Account: Create a Passkey to Log Into Your Google Account
• Microsoft Support: What are passkeys and why they matter
• Apple Developer: Passkeys Overview و iCloud Keychain
• UK NCSC: Passkeys - what you need to know
• 1Password: Sign in faster with passkeys وقائمة شركاء FIDO
• Bitwarden: Passkey vs password - ما الفرق؟
• Google for Developers: Passkeys documentation
• Passkeys.io: Real-World Passkey Demo
• TechCrunch: أسوأ اختراقات 2026 حتى الآن