كلمات المرور وفق توصيات NIST: ما الذي تغيّر؟

مقدمة: كلمة المرور ما زالت الباب الأول

رغم كل التطورات في المصادقة، تبقى كلمة المرور الباب الأول لأغلب حساباتنا. ولسنوات طويلة نصحنا الناس بقواعد معقدة: حروف كبيرة وصغيرة وأرقام ورموز، وتغيير دوري كل شهور. لكن كثيراً من هذه القواعد أنتج كلمات مرور ضعيفة ومتشابهة، لأن الناس يحاولون تذكرها بطرق متوقعة.

لهذا راجع المعهد الأمريكي للمعايير والتقنية (NIST) هذه التوصيات، وأصدر إرشادات حديثة في إطار إرشادات المصادقة الرقمية SP 800-63B. وفيما يلي شرح لأهم ما تغيّر، وكيف تطبقه في حياتك اليومية.

ما هو NIST؟

المعهد الوطني للمعايير والتقنية (NIST) هيئة حكومية أمريكية تضع معايير تقنية تستخدمها الجهات الحكومية والشركات في العالم. وإرشاداته في المصادقة الرقمية من أكثر المراجع احتراماً في هذا المجال، لأنها مبنية على أبحاث وتجارب واقعية وليس على الحدس فقط.

وإرشادات NIST لا تُلزم الأفراد مباشرة، لكنها تعكس أفضل ما توصل إليه المختصون، ويمكنك الاستفادة منها في حياتك الشخصية.

أهم ما تغيّر في التوصيات

• الطول أهم من التعقيد: الطول مهم، لكنه لا يجعل عبارة مشهورة أو متوقعة آمنة؛ استخدم كلمات عشوائية أو كلمة مولّدة وفريدة.
• لا تفرض تغييراً دورياً دون سبب: التغيير الإجباري كل فترة يدفع الناس إلى تعديل بسيط ومتوقع.
• امنع الكلمات الشائعة والمسربة: فالكلمة الموجودة في قوائم التسريب تُعد ضعيفة مهما بدت معقدة.
• لا تفرض أسئلة أمان تقليدية: مثل اسم أول مدرسة، فهي معلومات يمكن استنتاجها أو البحث عنها.
• ادعم مدير كلمات المرور: والنسخ واللصق، فهي تشجع على كلمات قوية وفريدة.
• فعّل المصادقة متعددة العوامل: فكلمة المرور وحدها لم تعد كافية.

لماذا تفشل القواعد المعقدة؟

القواعد التي تطلب “حرفاً كبيراً ورقماً ورمزاً” تنتج غالباً كلمات مثل “Password1!” أو “Summer2026!”، وهي كلمات يعرف المهاجمون أنماطها جيداً. كما أن الإلزام بتغيير كلمة المرور كل 90 يوماً يدفع المستخدم إلى إضافة رقم في آخر الكلمة، مثل “Summer2026!” ثم “Summer2027!”، وهو تغيير شكلي لا يحمي فعلياً.

لذلك فالأهم هو أن تكون كلمة المرور طويلة وفريدة لكل حساب، وألا تكون مكشوفة في أي تسريب، وأن تُحمى بعامل ثانٍ.

كيف تبني كلمة مرور قوية؟

أفضل طريقة هي استخدام عبارة طويلة تسهل تذكرها لكنها يصعب تخمينها. اختر كلمات مستقلة عشوائيًا، لا مجرد كلمات تبدو غير مرتبطة. المثال “قهوة-نافذة-مطر-جبل-سرعة” منشور للتوضيح؛ لا تستخدمه كلمة مرور. هذه العبارة طويلة، وتجمع بين الطول والبساطة.

القاعدة العملية:

1. وفق SP 800-63B-4، يجب على الجهة المتحققة اشتراط 15 محرفًا على الأقل لكلمة المرور المستخدمة وحدها، ويمكن السماح بحد أدنى 8 محارف عندما تكون جزءًا من مصادقة متعددة العوامل. هذه حدود امتثال للخدمة، وليست دعوة لاختيار أقصر كلمة مسموحة.
2. لا تستخدم معلومات شخصية واضحة، مثل اسمك أو تاريخ ميلادك أو اسم أطفالك.
3. لا تعيد استخدام كلمة المرور نفسها في أكثر من حساب.
4. امنع نفسك من الكلمات الشائعة أو المتوقعة.

دور مدير كلمات المرور

من المستحيل تقريباً أن تتذكر كلمة فريدة وطويلة لكل حساب دون مساعدة. لذلك يُعد مدير كلمات المرور أهم أداة عملية. يحفظ كلمات مرورك مشفرة، ويولّد كلمات قوية عشوائية، ويملأها تلقائياً في المواقع الصحيحة.

عند اختيار مدير كلمات المرور، ابحث عن خدمة معروفة، ويفضل أن تكون مفتوحة المصدر أو مراجعة من خبراء مستقلين، وفعّل المصادقة الثنائية على حساب المدير نفسه، واحفظ كلمة السر الرئيسية في مكان آمن لا تكتبه في ملف على الحاسوب.

ماذا عن تغيير كلمة المرور؟

غيّر كلمة المرور في حالتين: إذا علمت أنها تسربت، أو إذا اشتبهت في نشاط غريب على الحساب. ولا تغيّرها تلقائياً كل بضعة أشهر دون سبب. وإذا كان الموقع يسمح بذلك، فابحث عن البريد الإلكتروني أو الخدمة في قوائم التسريب، فإن ظهرت حسابات مرتبطة بك، فغيّر كلمة المرور فوراً.

المصادقة الثنائية: الطبقة التي لا تستغني عنها

حتى أقوى كلمة مرور قد تُسرق عبر تصيّد أو تسريب من موقع آخر. لذلك تنصح توصيات الأمان الحديثة بتفعيل عامل ثانٍ دائماً. وأفضل الخيارات هي تطبيقات المصادقة أو المفاتيح الأمنية، لأنها أقوى من الرسائل النصية. وقد شرحنا ذلك في دليل المصادقة الثنائية.

أخطاء شائعة

• كتابة كلمات المرور على ورق بجوار الحاسوب: فالمكان المكشوف يفقد الحماية كلها.
• حفظ كلمة المرور في متصفح غير محمي: وخاصة إن كان الجهاز مشتركاً.
• استخدام كلمة واحدة لكل شيء: فسقوط حساب واحد يفتح الباب لكل الحسابات.
• الاعتماد على تغيير رقم في آخر الكلمة: فهذا تغيير شكلي ويعرفه المهاجمون.
• مشاركة كلمة المرور مع الآخرين: حتى الأصدقاء المقربون قد يتعرضون للاختراق.

أسئلة شائعة

هل يجب أن تحتوي كلمة المرور على رموز؟ ليس شرطاً، فالطول والفرادة أهم. الرموز مفيدة إن زادت الطول بشكل معقول.

هل المتصفح يحفظ كلمات المرور بأمان؟ قد يكون مناسباً في أغلب الحالات إذا كان الجهاز محمياً بقفل قوي، لكن مدير كلمات مرور مخصص يوفر حماية وإدارة أفضل.

ماذا أفعل إن نسيت كلمة المرور الرئيسية للمدير؟ الكثير من المديرين لا يستطيعون استرجاعها، لذلك احفظها بعناية وخزّن رموز الاسترداد في مكان آمن.

الخلاصة

توصيات NIST الحديثة تدعونا إلى الواقعية: كلمة مرور طويلة وفريدة، ومدير كلمات مرور، وعامل ثانٍ للتحقق، دون قواعد معقدة تدفعنا إلى الحيل. ابدأ اليوم بتغيير كلمة المرور لحسابك البريدي، ثم انتقل إلى الحسابات المالية والتواصل، وستحصل على حماية أقوى بكثير من أي قاعدة شكلية.

كيف تبني عبارة مرور تتذكرها بسهولة؟

العبارة الطويلة تنجح عندما تكون مرتبطة بصورة ذهنية أو قصة قصيرة لا تعرفها غيرك. مثلاً، يمكنك أن تتخيل مشهداً غريباً يضم أربعة أشياء، ثم تكتب أسماءها بالتسلسل مع أرقام أو رموز بسيطة. المهم أن تكون العبارة غير مرتبطة بحياتك الشخصية ولا بعبارات مشهورة.

أخطاء تتكرر حتى عند المحترفين

• تكرار كلمة المرور نفسها مع تغيير رقم بسيط في آخرها.
• كتابة كلمة المرور في ملاحظة على الهاتف دون قفل قوي.
• استخدام اسم الحيوان الأليف أو المدينة مع سنة الميلاد.
• إرسال كلمة المرور عبر رسالة نصية أو بريد لشخص تثق به، فتبقى محفوظة في سجلات لا تتحكم فيها.

ماذا تفعل إذا اكتشفت تسريباً؟

إذا ظهر بريدك أو اسم مستخدمك في قاعدة بيانات مسربة، فلا تنتظر. غيّر كلمة المرور للحساب المعني، ثم لأي حساب آخر استخدمت فيه الكلمة نفسها. راجع إعدادات الأمان، واحذف أي تحويل أو جهاز مرتبط لا تتعرف عليه. يمكنك أيضاً استخدام خدمات التحقق من التسريبات الموثوقة لمعرفة الحسابات المتأثرة.

الأسئلة الأمنية التقليدية

أسئلة مثل اسم أول مدرسة أو اسم الأم قبل الزواج أصبحت ضعيفة، لأن المعلومات متاحة على الإنترنت، خاصة عبر وسائل التواصل. إذا طلبت الخدمة أسئلة من هذا النوع، فاجعل الإجابة عبارة عشوائية تحفظها في مدير كلمات المرور، لا الإجابة الحقيقية.

ابدأ بالحسابات التي قد تعيد ضبط البقية

احمِ البريد الإلكتروني أولاً، لأنه غالباً وسيلة استعادة الحسابات الأخرى. استخدم له كلمة مرور فريدة وطويلة، وفعّل عامل تحقق إضافياً، واحفظ رموز الاسترداد في مكان آمن منفصل عن الهاتف. بعد ذلك راجع الحسابات المالية وحسابات العمل والتخزين السحابي ووسائل التواصل. أنشئ ترتيباً للأولويات بدلاً من محاولة تغيير كل كلمات المرور في جلسة واحدة.

إذا كنت تشك في اختراق حساب، استخدم جهازاً موثوقاً وافتح الموقع الرسمي مباشرة. غيّر كلمة المرور، وألغِ الجلسات والأجهزة غير المعروفة، وافحص عناوين البريد وأرقام الاسترداد وقواعد إعادة التوجيه. لا تتبع رابطاً في رسالة تدعي أنها من الدعم، ولا تشارك رمزاً يطلبه المتصل.

استخدم مدير كلمات المرور بأمان

اختَر مديراً موثوقاً يدعم التشفير والمزامنة الآمنة والتصدير أو النسخ الاحتياطي، وتحقق من طريقة استعادة الحساب عند فقد كلمة المرور الرئيسية. اجعل كلمة المرور الرئيسية طويلة وفريدة ولا تستخدمها في أي موقع آخر. فعّل المصادقة متعددة العوامل على حساب المدير، واحفظ رموز الاسترداد في مكان آمن لا يعتمد على الجهاز نفسه وحده.

استخدم أداة التوليد العشوائي في المدير لإنشاء كلمات مختلفة لكل حساب. هذا أفضل من محاولة صنع عبارة يدوية لكل موقع، لأن العبارات التي تبدو عشوائية قد تتبع أنماطاً متوقعة. إذا كان لا بد من كتابة كلمة رئيسية على ورق، احفظها في مكان مادي آمن لا يراه الزوار، ولا تضعها على ورقة بجوار الحاسوب.

المصادقة متعددة العوامل ومفاتيح المرور

كلمة المرور الفريدة تقلل أثر تسرب موقع واحد، لكن عاملاً إضافياً يساعد إذا انكشفت. مفاتيح المرور أو مفاتيح الأمان المادية تقاوم التصيد في كثير من السيناريوهات، بينما قد تكون تطبيقات المصادقة خياراً جيداً، والرسائل النصية أضعف لكنها أفضل من عدم وجود أي عامل إضافي في بعض الحالات. اختر ما تدعمه الخدمة، واحفظ وسائل الاسترداد قبل أن تفقد الهاتف.

احذر من الموافقة على طلب تسجيل دخول لم تطلبه. قد يحاول مهاجم إغراقك بالإشعارات حتى تضغط «موافقة» بالخطأ. ارفض الطلبات غير المتوقعة وغيّر كلمة المرور من الموقع الرسمي، ثم راجع الأجهزة النشطة.

كيف تتعامل مع المواقع التي تفرض قواعد ضعيفة؟

بعض الخدمات تحد طول كلمة المرور أو تمنع استخدام مدير كلمات المرور أو تفرض تغييراً دورياً. استخدم أطول قيمة فريدة تسمح بها، ولا تختصرها بطريقة يسهل توقعها. إذا طلبت الخدمة تغييراً دورياً، أنشئ كلمة جديدة عشوائية من المدير بدلاً من زيادة رقم في النهاية. أبلغ فريق دعم الموقع إذا كانت القيود تمنع استخدام كلمة آمنة.

لا تستخدم البريد نفسه أو كلمة المرور نفسها كإجابة لأسئلة الاسترداد. إذا أجبرك الموقع على أسئلة أمنية، خزّن إجابات عشوائية في مدير كلمات المرور، لأن إجاباتك الحقيقية قد تكون منشورة على وسائل التواصل أو سجلات عامة.

راقب التسريبات دون ذعر

قد تتسرب بيانات موقع دون أن يكون جهازك مخترقاً. إذا تلقيت إشعاراً موثوقاً، غيّر كلمة المرور للحساب المتأثر وأي حساب أعاد استخدامها، وراجع النشاط الأخير. استخدم خدمات معروفة للتحقق من عناوين البريد، لكن لا تدخل كلمة مرورك في موقع يدعي فحص قوتها. لا يعني ظهور البريد في تسريب أن كل حساباتك مخترقة، لكنه سبب جيد لمراجعة الحماية.

إذا استُخدمت كلمة المرور في حساب عمل، أبلغ مسؤول الأمن أو تقنية المعلومات وفق سياسة المؤسسة، ولا تخف من الإبلاغ. استجابة سريعة قد تمنع دخولاً غير مصرح به إلى أنظمة أخرى.

قائمة مراجعة شهرية مختصرة

• هل البريد والحسابات المهمة محمية بكلمات فريدة؟
• هل المصادقة الإضافية مفعلة، ورموز الاسترداد محفوظة؟
• هل توجد أجهزة أو جلسات لا تعرفها؟
• هل ما زلت تستخدم حسابات قديمة أو كلمات مكررة؟
• هل مدير كلمات المرور محدث ومحمي بكلمة رئيسية قوية؟

مقالات ذات صلة

• صلاحيات التطبيقات: دليل لمراجعة الكاميرا والميكروفون والموقع
• قاعدة 3-2-1 للنسخ الاحتياطي: حماية بياناتك من الفقدان والفدية
• عادات الأمان الرقمي اليومية: عشر خطوات بسيطة تغيّر حمايتك
• التشفير من طرف إلى طرف: ما هو وكيف يحمي رسائلك؟
• هلوسة الذكاء الاصطناعي: لماذا تكذب الآلة بثقة؟

مراجعة الدقة وحدود المعلومات

مراجعة تحريرية: 10 أكتوبر 2026. المرجع هو الإصدار الرابع SP 800-63B-4، لا الإصدار الثالث. لا يفرض تغييرًا دوريًا بلا دليل اختراق، ولا قواعد تركيب إضافية؛ ويوصي بالسماح بطول أقصى لا يقل عن 64 محرفًا. اختيار المدير وتخزين الاسترداد يعتمدان على تهديدك وطريقة الخدمة، ولا يضمن الطول وحده الأمان.

المصادر الرسمية المباشرة

• NIST: متطلبات كلمات المرور والعوامل

مصادر إضافية

• NIST - SP 800-63B إرشادات المصادقة الرقمية: NIST SP 800-63B
• CISA - Secure Our World: CISA Secure Our World
• EFF - Surveillance Self-Defense: EFF Surveillance Self-Defense