مديرو كلمات المرور: كيف يعملون وهل هم آمنون؟

ما مدير كلمات المرور؟

مدير كلمات المرور برنامج يولّد كلمات المرور ويحفظها ويملؤها نيابة عنك ^[2]. وقد يكون مدمجًا في متصفح الويب أو الهاتف، أو تطبيقًا مستقلًا من جهة خارجية ^[1]. وتفتحه بكلمة مرور أساسية واحدة (تُسمّى غالبًا كلمة المرور الرئيسية)، فلا تحتاج إلا إلى تذكّر كلمة مرور قوية واحدة ^[2].

وفائدته الرئيسية أنك تستطيع استخدام كلمة مرور فريدة لكل خدمة، لأنك لم تعد مضطرًا إلى تذكّرها ^[1]. وهذا مهم لأن إعادة استخدام كلمات المرور تنشر الضرر؛ إذ يوضح المركز الوطني للأمن السيبراني أنه إذا اختُرق حساب واحد، فقد يجرّب المخترق كلمة المرور نفسها على حساباتك الأخرى ^[1].

وتوفر معظم المديرات أيضًا ما يلي ^[1]:

• توليد كلمات المرور: إنشاء كلمة مرور قوية وفريدة لكل حساب.
• الملء التلقائي: إدخال كلمة المرور نيابة عنك، وهو ما يساعد أيضًا في مواجهة التصيّد لأنه لا يملؤها إلا في الموقع الصحيح.
• المزامنة: إتاحة كلمات مرورك على جميع أجهزتك.
• تنبيهات الاختراق: تنبيهك حين تتسرّب كلمة مرور محفوظة.

هل توصي بها الجهات الأمنية؟

نعم. إذ تنصح CISA، وكالة الأمن السيبراني الأمريكية، باستخدام مدير كلمات مرور لحفظ جميع كلمات المرور، وبحماية الخزنة بعبارة مرور قوية ^[3]. وتذهب إرشادات NIST الصادرة عام 2025 أبعد من ذلك بالنسبة إلى المواقع: إذ يجب على الخدمات أن تسمح بمديري كلمات المرور والملء التلقائي، وينبغي أن تسمح بلصق كلمات المرور ^[4].

كيف يحافظ مدير كلمات المرور على أمان كلمات المرور؟

تُحفظ كلمات مرورك في ملف مشفّر يُسمّى الخزنة. والورقة البيضاء الأمنية التي نشرتها Bitwarden مثال مفصّل على طريقة حماية مدير سحابي لها ^[5]:

1. تُمدَّد كلمة المرور الرئيسية بدالة اشتقاق مفاتيح، هي افتراضيًا PBKDF2-SHA256 بعدد 600,000 تكرار، لإنشاء مفتاح تشفير. ويمكن للمستخدمين التحول إلى Argon2id بدلًا منها ^[5].
2. تُشفَّر الخزنة على جهازك باستخدام AES-256 قبل رفع أي شيء ^[5].
3. لا تُرسَل كلمة المرور الرئيسية ولا مفاتيح التشفير المشتقة منها إلى خوادم Bitwarden ولا تُحفظ فيها أبدًا؛ إذ لا يتلقى الخادم سوى بصمة (hash) لكلمة المرور الرئيسية تُستخدم للتحقق من تسجيل الدخول ^[5].
4. لا تحفظ الخوادم بيانات الخزنة ولا تزامنها إلا في صورة مشفّرة، وتقول Bitwarden إن موظفيها لا يستطيعون رؤية كلمات مرورك ^[5].

وغالبًا ما يُسوَّق هذا التصميم باسم التشفير صفري المعرفة: أي أن الشركة لا ينبغي أن تستطيع قراءة خزنتك حتى لو اختُرقت خوادمها. ويشير الباحثون إلى أن ادعاءات الشركات المورّدة توحي بالحماية حتى من خادم خبيث بالكامل ^[6]. ويجعل تمديد المفاتيح كل محاولة لتخمين كلمة المرور الرئيسية بطيئة، ولهذا تهمّ كلمة المرور الرئيسية الطويلة إذا سُرقت خزنة مشفّرة يومًا ما؛ وقد أشار باحثون إلى كلمات مرور رئيسية ضعيفة وأعداد تكرار منخفضة في حسابات LastPass القديمة ^[9].

وماذا عن مديري كلمات المرور في المتصفح والهاتف؟

يقول المركز الوطني للأمن السيبراني إن السماح للمتصفح أو نظام التشغيل بحفظ كلمات المرور على أجهزتك الخاصة آمن، وإن Chrome وEdge وSafari كلها توفر ذلك ^[1]. ويحفظ تطبيق Passwords من Apple، الذي قُدّم مع iOS 18، كلمات المرور ومفاتيح المرور وكلمات مرور Wi-Fi ورموز التحقق. كما ينبّه إلى كلمات المرور السهلة التخمين أو المعاد استخدامها أو الموجودة في تسريبات بيانات معروفة ^[10]. ويشير المركز إلى أن كلمات المرور المحفوظة في المتصفح لا يتجاوز أمانها أمان أجهزتك وحساباتك، فأبقِ التحديثات الأمنية التلقائية مفعّلة ^[1].

هل مديرو كلمات المرور آمنون؟

يجمع مديرو كلمات المرور أسرارك في مكان واحد، ولذلك خضع أمانهم لاختبارات علنية من المهاجمين والباحثين على السواء. وثمة حالتان تستحقان المعرفة.

ماذا حدث في اختراق LastPass؟

في أغسطس 2022، اقتحم مهاجمون LastPass في حادثتين مترابطتين. وفي الثانية، استغلوا ثغرة في برنامج خادم وسائط على الحاسوب الشخصي لمهندس كبير، وثبّتوا برنامج تسجيل لضغطات المفاتيح لسرقة كلمة مروره الرئيسية ^[8]. ومنحهم ذلك المفاتيح اللازمة لتنزيل قاعدة بيانات النسخ الاحتياطي لدى LastPass ^[8]. وفي ديسمبر 2025 فرض مكتب مفوض المعلومات في المملكة المتحدة (ICO) على LastPass غرامة قدرها 1.2 مليون جنيه إسترليني، بعد أن وجد أن الشركة أخفقت في تطبيق تدابير أمنية متينة بما يكفي ^[8]. وتأثر ما يصل إلى 1.6 مليون مستخدم في المملكة المتحدة، وسُرقت الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وعناوين URL للمواقع المحفوظة ^[8].

ولم يجد المكتب أي دليل على فك تشفير كلمات مرور العملاء ^[8]. وبشكل منفصل، ربط باحثون أمنيون في 2023 أكثر من 150 ضحية وسرقات عملات مشفّرة تزيد على 35 مليون دولار بعبارات استرداد (seed phrases) محفوظة في LastPass، ورجّحوا أن كلمات مرور رئيسية ضعيفة لخزائن مسروقة كانت تُكسر دون اتصال ^[9]. وقال الباحثون إنهم على الأرجح لا يستطيعون ربط السرقات بالاختراق ربطًا قاطعًا، فيبقى ذلك اشتباهًا لا نتيجة مؤكدة ^[9].

ماذا وجدت دراسة ETH Zurich لعام 2026؟

اختبر باحثون من ETH Zurich وجامعة سويسرا الإيطالية (Università della Svizzera italiana، USI) ما إذا كانت ادعاءات «المعرفة الصفرية» لدى أربعة مديرين سحابيين تصمد إذا كان خادم الشركة خبيثًا بالكامل، كأن يحدث ذلك بعد اختراق ^[6]. وعرضوا 12 هجومًا متمايزًا على Bitwarden، و7 على LastPass، و6 على Dashlane، و6 على 1Password ^[6]. ويتيح معظمها استرداد كلمات المرور، وأخطرها يصل إلى الاختراق الكامل لجميع الخزائن في مؤسسة ما ^[6].

والسياق مهم؛ فالهجمات تفترض أن المهاجم يتحكم أصلًا في خوادم الشركة المورّدة ^[7]. ثم يحتاج كثير منها إلى إجراءات عادية من المستخدم مثل تسجيل الدخول أو المزامنة، في حين يحتاج بعضها إلى إجراءات مثل المشاركة أو تدوير المفاتيح ^[7]. وقد أفصح الباحثون عن النتائج للشركات المورّدة، والمعالجة جارية ^[6]. وقالت Dashlane إنها أزالت التشفير القديم الذي كان وراء أخطر مشكلاتها، واعترضت LastPass على أجزاء من تقييم الخطورة ^[7]. وقال الباحثون إنهم لا يستطيعون استبعاد أن يكون مهاجمون متقدمون على علم بهذه الثغرات بالفعل ^[7].

إذن، هل ما زال عليك استخدام أحدها؟

تبقى النصيحة الرسمية: نعم. إذ يوصي كل من المركز الوطني للأمن السيبراني ^[1] وCISA ^[3] بمديري كلمات المرور، لأن البديل لدى معظم الناس هو إعادة استخدام كلمات مرور ضعيفة. والدروس المستفادة من هاتين الحالتين هي اختيار كلمة مرور رئيسية قوية، وتفعيل التحقق بخطوتين، وإبقاء البرنامج محدّثًا ^[1][3].

كيف تُقارَن مديرات كلمات المرور بالطرق الأخرى لحفظ كلمات المرور؟

كل طريقة تقايض بين السهولة ومخاطر مختلفة. فالمركز الوطني للأمن السيبراني يقبل كتابة كلمات المرور في دفتر لبعض الناس، كمن يحتاجون إلى مساعدة أسرهم في إدارة حساباتهم، لأن المهاجم سيحتاج إلى وصول مادي ^[1]. لكنه يحذّر من أن بعض المصارف تحظر تدوين كلمات المرور، وأن أي شخص يصل إلى الدفتر يمكنه نسخها، وأنك تفقد الحماية التي يوفرها الملء التلقائي من مواقع التصيّد ^[1]. وتنصح CISA بعدم حفظ كلمات المرور في ملف على حاسوبك ^[2].

كيف تختار مدير كلمات مرور وتُعدّه؟

يقول المركز الوطني للأمن السيبراني إن أفضل مدير لكلمات المرور هو الذي يلبي احتياجاتك وتجده الأسهل استخدامًا ^[1]. ومن الأمور التي ينبغي الموازنة بينها: هل يعمل على جميع أجهزتك وأنظمة تشغيلك، وهل تستطيع التحكم في كلمات المرور التي يولّدها، وهل ستدفع أم ستستخدم نسخة مجانية، والمزايا الإضافية مثل مشاركة كلمات المرور أو تنبيهات الاختراق ^[1]. والميزة الرئيسية للمدير الخارجي على مدير المتصفح هي المزامنة عبر مزيج من المتصفحات والأجهزة ^[1].

1. أنشئ كلمة مرور رئيسية قوية. توصي CISA بكلمات مرور من 16 حرفًا على الأقل، إما عشوائية أو عبارة مرور من 4 إلى 7 كلمات غير مترابطة ^[2]، وتقول إن كلمة مرور الخزنة ينبغي أن تكون طويلة وفريدة وعشوائية ^[3].
2. فعّل التحقق بخطوتين للمدير. يقول المركز الوطني للأمن السيبراني إن ذلك يُبقي المجرمين خارجًا حتى لو عرفوا كلمة مرورك الأساسية ^[1].
3. اضبط وسائل الاستعادة. إذا نسيت كلمة المرور الأساسية، توفر كثير من المديرات تلميحات لكلمة المرور أو وصولًا طارئًا عبر جهات اتصال موثوقة ^[1]. اضبطها قبل أن تحتاج إليها.
4. استبدل كلمات المرور الضعيفة. راجع كلمات المرور الحالية وغيّر أي كلمة ليست طويلة وفريدة وعشوائية بأخرى يولّدها المدير ^[3].
5. تجنّب الحواسيب المشتركة. لا تحفظ كلمات المرور أبدًا في متصفح حاسوب مشترك أو عام ^[1].
6. أضف مفاتيح المرور حيثما أُتيحت. يوصي المركز الوطني للأمن السيبراني الآن بمفاتيح المرور خيارًا أول لتسجيل الدخول، مع كلمات مرور قوية والتحقق بخطوتين حيث لا تتوفر مفاتيح المرور ^[11]. وتحفظ كثير من المديرات مفاتيح المرور أيضًا، ويسمّي المركز هذه الأدوات مديري بيانات الاعتماد ^[12].

ما قواعد كلمات المرور التي توصي بها الإرشادات الرسمية الآن؟

غيّرت وثيقة NIST SP 800-63B-4، التي اعتُمدت بصيغتها النهائية في 2025، قواعد راسخة منذ زمن طويل بشأن كلمات المرور في المواقع والخدمات، على نحو يلائم مديري كلمات المرور ^[4]:

• يجب ألا تقل كلمات المرور المستخدمة عاملًا وحيدًا عن 15 حرفًا، وألا تقل المستخدمة مع عامل آخر عن 8 أحرف ^[4].
• ينبغي للخدمات أن تسمح بكلمات مرور من 64 حرفًا على الأقل ^[4].
• يجب ألا تفرض الخدمات قواعد تركيب، مثل اشتراط مزيج من أنواع الأحرف ^[4].
• يجب ألا تفرض الخدمات تغيير كلمات المرور دوريًا، لكن يجب أن تفرض تغييرها إذا وُجد دليل على اختراقها ^[4].
• يجب فحص كلمات المرور الجديدة مقابل قائمة حظر لكلمات المرور الشائعة أو المتوقعة أو المخترقة ^[4].
• يجب أن تسمح الخدمات بمديري كلمات المرور والملء التلقائي، وينبغي أن تسمح باللصق ^[4].

تنطبق هذه القواعد على الخدمات لا عليك مباشرة، لكنها تسهّل على المدير توليد كلمات مرور عشوائية طويلة وملأها.

ما الخطوة التالية لمديري كلمات المرور؟

يتحول مديرو كلمات المرور إلى مديري بيانات اعتماد عامين. فتطبيق Passwords من Apple يحفظ بالفعل مفاتيح المرور ورموز التحقق إلى جانب كلمات المرور ^[10]. ويتوقع المركز الوطني للأمن السيبراني أن يواصل الناس استخدام كلمات المرور، مُدارةً بمدير كلمات مرور، حيث لا تُتاح مفاتيح المرور بعد، بينما تنتشر مفاتيح المرور ^[11][12].

كما ضغطت أبحاث 2026 على الادعاءات الأمنية للشركات المورّدة. إذ يوصي الباحثون بتسجيل المستخدمين الجدد بأحدث أساليب التشفير افتراضيًا، وترك الخيار للعملاء الحاليين في الانتقال إليها ^[7]. وتتضمن النسخة الكاملة من الورقة، التي نُقّحت آخر مرة في أغسطس 2026، نتائج إضافية عن 1Password ^[6].

هذه معلومات أمنية عامة، لا توصية بمنتج بعينه. راجع الوثائق الأمنية المنشورة لأي مدير وسجل تحديثاته قبل أن تأتمنه على حساباتك.