كيف تنتقل من SMS 2FA إلى passkey

لماذا تنتقل من SMS 2FA إلى passkey الآن؟

يمكن اعتراض رموز SMS داخل شبكات الهاتف، أما passkey فمصمم لمقاومة التصيد، كما أن كبار المزودين يبتعدون الآن عن SMS: إذ تُنهي Microsoft رموز SMS والمكالمات الصوتية الخاصة بها لمعظم حسابات العمل والدراسة من 1 فبراير 2027 ^[1][8].

الخطر ليس نظريًا. ففي 11 نوفمبر 2026 قالت شركة أمن الهواتف Enea إن جهة جديدة جرى رصدها وتسميها SilentAir استخدمت طلبات تحديث موقع خبيثة على شبكات الهاتف المحمول لاعتراض الرسائل النصية والمكالمات، وإن عناصر شبكة مرتبطة بـ SilentAir وُجدت في ست دول آسيوية على الأقل، وإن بعض الأهداف تلقت رموز 2FA مباشرة بعد الاعتراض ^[11]. القصة الكاملة في دليل Pouyam بعنوان Is SMS 2FA Safe? What the SilentAir Attacks Show.

والإرشادات الرسمية تشير إلى الاتجاه نفسه. فقد قالت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) للأفراد المستهدفين بدرجة عالية في ديسمبر 2024: «لا تستخدم SMS كعامل ثانٍ»، ووضعت مفاتيح أمان FIDO ومفاتيح passkey فوق تطبيقات المصادقة ^[9]. ويصنف المعهد الأمريكي للمعايير NIST رموز SMS والمكالمات الصوتية كوسيلة مصادقة «مقيدة» يجب على الخدمات تقديم بديل لها ^[10].

يعمل passkey بطريقة مختلفة. فهو زوج مفاتيح تشفير يُخزَّن على هاتفك أو حاسوبك أو مفتاح الأمان، ويُفتح بوجهك أو بصمتك أو رمز PIN للشاشة، وتصفه FIDO Alliance بأنه مقاوم للتصيد ^[8]. لا يوجد رمز يُقرأ بصوت عالٍ أو يُعاد توجيهه، وتقول Google إن مفاتيح passkey «أكثر أمانًا في مواجهة التصيد» من كلمات المرور ^[2]. لمقارنة كل الطرق جنبًا إلى جنب، راجع Two-Factor Authentication Explained: Which 2FA Method Is Safest?

كيف أنقل أي حساب من SMS 2FA إلى passkey؟

في أي حساب، الترتيب الآمن هو: تحقق من دعم passkey، وأنشئ passkey، وأضف طريقة دخول ثانية، واحفظ الرموز الاحتياطية، ثم احذف رقم الهاتف كخطوة ثانية وجرّب الدخول ^[2][3][12]. تخطي الخطوة الاحتياطية هو أكثر ما يجعل الناس يُحرمون من حساباتهم.

1. تحقق من الدعم. افتح إعدادات الأمان أو تسجيل الدخول في الحساب وابحث عن «Passkeys». ويعرض الفهرس المجتمعي passkeys.directory، الذي تديره 1Password، المواقع التي تتيح passkey لتسجيل الدخول أو كعامل ثانٍ ^[12].
2. أنشئ passkey على الجهاز الذي تستخدمه أكثر، وأكّد بوجهك أو بصمتك أو قفل الشاشة ^[2][4].
3. أضف وسيلة احتياطية. أنشئ passkey ثانيًا على جهاز آخر أو مفتاح أمان مادي، أو أعدّ تطبيق مصادقة. يمكن مزامنة مفاتيح passkey بأمان بين أجهزتك أو ربطها بجهاز واحد ^[8].
4. احفظ رموز الاسترداد إن وفّرتها الخدمة، واحتفظ بها دون اتصال. فمثلًا توفر Google رموزًا احتياطية قابلة للطباعة لحالة فقدان الهاتف ^[3].
5. احذف SMS كخطوة ثانية. تنصح CISA بتعطيل SMS بعد تسجيل وسيلة أقوى، لأن البديل الضعيف يُبطل الفائدة ^[9].
6. جرّب: سجّل الخروج ثم ادخل مجددًا بـ passkey قبل إغلاق صفحة الإعدادات.

تحتفظ بعض الخدمات برقم هاتفك لاسترداد الحساب حتى بعد إيقاف رموز الدخول عبر SMS ^[9]. هذا ليس سببًا لتأجيل الانتقال، لكنه سبب لحماية حساب هاتفك المحمول برمز PIN لدى شركة الاتصالات أو قفل نقل الرقم حيث يتوفر. ولخلفية عن طريقة عمل passkey، راجع What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer.

كيف أنقل حساب Google إلى passkey؟

أنشئ passkey في إعدادات أمان حساب Google، ثم افتح 2-Step Verification واحذف رقم الهاتف بنفسك، لأن إضافة passkey لا تغيّر ولا تحذف أي وسيلة دخول أو استرداد موجودة ^[2]. وتقول Google إنه في الحسابات المفعّل عليها 2-Step Verification، يتخطى الدخول بـ passkey الخطوة الثانية، لأن passkey يؤكد أنك تتحكم بالجهاز ^[2].

1. اذهب إلى حساب Google، واضغط Security & sign-in، ثم تحت How you sign in to Google افتح Passkeys and security keys لإنشاء passkey ^[2].
2. أكّد ببصمتك أو مسح وجهك أو قفل الشاشة. تدعم Google مفاتيح passkey على Windows 10 وmacOS Ventura وChromeOS 109 أو أحدث، وAndroid 9 وiOS 16 أو أحدث، وعلى مفاتيح الأمان المادية FIDO2 ^[2].
3. أنشئ passkey ثانيًا على جهاز آخر، أو أضف مفتاح أمان، حتى لا تعتمد على هاتف واحد.
4. في Security افتح 2-Step Verification. نزّل الرموز الاحتياطية أو اطبعها؛ تصفها Google بأنها رموز من 8 أرقام لحالة فقدان الهاتف ^[3].
5. احذف رقم الهاتف المسجل كوسيلة لـ 2-Step Verification، أو استبدله بإشعار Google أو بتطبيق مصادقة.

هناك تفصيلان مهمان. أولًا، قد تستغرق Google حتى سبعة أيام لتثق برقم هاتف جديد أضيف لـ 2-Step Verification، ووجود passkey أو مفتاح أمان موثوق قد يسرّع ذلك ^[3]. وتحذر Google أيضًا من إنشاء passkey إلا على أجهزة تملكها شخصيًا، لأن أي شخص يستطيع فتح قفل الجهاز يمكنه حينها تسجيل الدخول ^[2]. ثانيًا، في حساب Google Workspace التابع للعمل أو الدراسة، يقرر المسؤول ما إذا كان بإمكانك الدخول بـ passkey وحده؛ لكن يمكنك مع ذلك إنشاء passkey كعامل ثانٍ وكخيار للاسترداد ^[2].

كيف أضيف passkey إلى حساب Microsoft؟

سجّل الدخول إلى Advanced Security Options في حساب Microsoft عبر account.live.com/proofs/manage، واختر Add a new way to sign in or verify، ثم اختر Face أو Fingerprint أو PIN أو Security Key ^[4]. وتغطي هذه الصفحة حسابات Microsoft الشخصية ^[4].

1. على الجهاز الذي تريد عليه passkey، افتح account.live.com/proofs/manage وسجّل الدخول ^[4].
2. اختر Add a new way to sign in or verify ^[4].
3. اختر Face أو Fingerprint أو PIN أو Security Key واتبع التعليمات ^[4].
4. اختر Continue أو Create لحفظ passkey في المكان المقترح، أو Save another way لاختيار هاتف أو مفتاح أمان ^[4].
5. أعدّ تطبيق مصادقة، تعتمد عليه خطوات Microsoft للدخول بلا كلمة مرور، قبل حذف أي شيء ^[5].

تتيح Microsoft للحسابات الشخصية خطوة أبعد بحذف كلمة المرور. ففي Additional security options اختر Turn on بجوار Passwordless account، ثم وافق على الطلب في تطبيق المصادقة ^[5]. وتلفت Microsoft إلى أنك تحتاج، مع تفعيل التحقق بخطوتين، إلى الوصول إلى وسيلتي استرداد ^[5].

لإيقاف رموز SMS، راجع قائمة طرق إثبات الهوية في قسم الأمان نفسه واحذف رقم الهاتف كوسيلة دخول بعد أن يعمل passkey والتطبيق. وإذا استبدلت هاتفك، تقول Microsoft إن عليك حذف الوسائل المرتبطة بالجهاز القديم ^[5].

هل تنهي Microsoft رموز SMS لحسابات العمل؟

نعم، بالنسبة للرموز التي ترسلها Microsoft بنفسها: فاعتبارًا من 1 فبراير 2027 تتوقف مصادقة SMS والمكالمات الصوتية التي توفرها Microsoft في Microsoft Entra ID، خدمة تسجيل الدخول التي تقدمها Microsoft للمؤسسات، لجميع المستخدمين باستثناء Global Administrators والمستخدمين الخارجيين ^[1]. وتلحق هاتان الفئتان في 1 يوليو 2027 ^[1].

بدأ التغيير قبل ذلك. فمنذ 1 سبتمبر 2026 أصبح passkey تجربة المصادقة الافتراضية في Entra ID، وفُعّل تلقائيًا للمستخدمين المفعّل لديهم SMS أو المكالمات الصوتية، والذين يُحثّون على تسجيل passkey عند الدخول ^[1]. وتقول صفحة Microsoft إن SMS والمكالمات الصوتية «لم تعد تُقدَّم كوسائل مصادقة آمنة» ^[1].

ماذا يعني ذلك لك:

• إذا طلب منك حساب العمل إعداد passkey فوافق: فخطة Microsoft تحثّ المستخدمين على تسجيل passkey عند الدخول وإكمال المصادقة متعددة العوامل ^[1]. لا تتصرف إلا بناءً على طلب يظهر داخل صفحة الدخول المعتادة لـ Microsoft.
• بحسب إعدادات مؤسستك، يمكن حفظ passkey في Microsoft Authenticator أو مفتاح أمان FIDO2 أو Windows أو مدير بيانات اعتماد متزامن ^[1].
• المستخدمون الضيوف الداخليون يتبعون موعد 1 فبراير 2027 لا الموعد اللاحق ^[1].
• الأسئلة عن الوسائل المسموح بها توجَّه إلى قسم تقنية المعلومات الذي يتحكم في السياسة.

لا توافق أبدًا على طلب دخول أو passkey لم تبدأه بنفسك، ولا تُعدّه أبدًا من رابط في بريد أو رسالة غير متوقعة.

هل يمكنني استخدام passkey لحساب Apple؟

ليس كعامل ثانٍ: تستخدم حسابات Apple رمز تحقق من ستة أرقام للمصادقة الثنائية، والترقية المقاومة للتصيد التي تقدمها Apple هي مفاتيح أمان FIDO المادية لا مفاتيح passkey ^[7]. وصفحة Apple عن هذه الميزة لا تذكر مفاتيح passkey ^[7].

متطلبات Apple لـ Security Keys for Apple Account محددة ^[7]:

• مفتاحا أمان معتمدان من FIDO على الأقل؛ ويمكنك إضافة حتى ستة ^[7].
• iOS 16.3 أو iPadOS 16.3 أو macOS Ventura 13.2 أو أحدث على كل جهاز مسجل الدخول بحساب Apple ^[7].
• أن تكون المصادقة الثنائية مفعّلة مسبقًا ^[7].
• حسابات الأطفال وManaged Apple Accounts غير مدعومة ^[7].

على iPhone افتح Settings، واضغط اسمك، ثم Sign-in & Security، ثم Two-Factor Authentication وSecurity Keys، واتبع الخطوات ^[7]. وتحذر Apple من أنك ستُسجَّل خروجك من الأجهزة غير النشطة (التي لم تُستخدم لأكثر من 90 يومًا) أثناء الإعداد، وأنك إذا فقدت كل أجهزتك الموثوقة ومفاتيح الأمان فقد تُحرم من حسابك نهائيًا ^[7]. وإذا حذفت كل مفاتيح الأمان يعود الحساب إلى الرموز المكونة من ستة أرقام ^[7].

تصف Apple مفاتيح الأمان بأنها مصممة لمن يريدون حماية إضافية من الهجمات الموجّهة مثل التصيد أو عمليات الاحتيال بالهندسة الاجتماعية ^[7].

كيف أُعدّ passkey في WhatsApp؟

في WhatsApp افتح Settings، واضغط Account، ثم Passkeys وCreate passkey وContinue، وأكّد بقفل الشاشة ^[6]. وتقول WhatsApp إن مفاتيح passkey، خلافًا لكلمات المرور أو رموز التحقق عبر SMS، مؤمّنة بالتشفير ولا يمكن الوصول إليها إلا بجهازك المادي وبياناتك الحيوية أو قفل الشاشة ^[6].

1. على Android تحتاج إلى Android 9 أو أحدث، وقفل شاشة، وحساب مدير كلمات مرور مرتبط بالهاتف، مثل Google Password Manager أو Samsung Password Manager ^[6].
2. افتح WhatsApp واضغط القائمة ثم Settings ^[6].
3. اضغط Account ثم Passkeys ثم Create passkey ثم Continue ^[6].
4. أكّد ببصمتك أو وجهك أو قفل الشاشة عند الطلب ^[6].

تشير WhatsApp إلى أنك إذا أعدت تثبيت التطبيق بعد إنشاء passkey، فقد يُطلب منك استخدامه عند التسجيل ^[6]. ولتغيير passkey تحذفه وتنشئ واحدًا جديدًا من القائمة نفسها ^[6].

لا تذكر صفحة WhatsApp أن passkey يحل محل رمز SMS عند التسجيل، لذا تعامل معه كطبقة إضافية. احتفظ أيضًا برمز PIN للتحقق بخطوتين، حتى يحتاج من يستولي على رقمك إلى شيء لا يعرفه سواك.

ما الحسابات التي تدعم passkey بدل SMS؟

تتيح Google وMicrosoft وWhatsApp استخدام passkey كخيار أقوى من رموز SMS، بينما تستخدم حسابات Apple مفاتيح الأمان بدلًا من ذلك، ولا تزال خدمات أصغر كثيرة تقدم SMS أو تطبيق مصادقة فقط ^[2][4][6][7]. ويلخص الجدول أدناه مكان الإعداد في كل منها حتى 15 نوفمبر 2026.

يتغير الدعم كثيرًا، لذا راجع صفحة الأمان الخاصة بكل خدمة قبل البدء؛ ويعرض فهرس passkeys.directory الخدمات التي تدعم passkey لتسجيل الدخول أو كعامل ثانٍ ^[12].

قدّم الحسابات التي تفتح كل ما عداها: بريدك الرئيسي، وحساب هاتفك السحابي (Google أو Apple)، ومدير كلمات المرور، والحسابات المصرفية وحسابات العمل. إذا سقط بريدك يستطيع المهاجم إعادة تعيين معظم كلمات المرور الأخرى.

ماذا لو لم يدعم الحساب passkey؟

استخدم تطبيق مصادقة بدل SMS، وأوقف SMS كبديل بعد أن يعمل التطبيق ^[9]. تضع CISA تطبيقات المصادقة تحت مفاتيح FIDO ومفاتيح passkey لأن رموزها لا تزال قابلة للسرقة بالتصيد، لكنها تقول إنها أفضل من SMS، الذي لا يُشفَّر ويمكن قراءته إذا اعتُرض على شبكة المزود ^[9]. والاعتراض عبر إشارات الاتصالات، وهي الطريقة التي تصفها Enea في SilentAir ^[11]، يستهدف الرسائل المرسلة عبر شبكة الهاتف، أما الرموز المولدة داخل التطبيق فليست كذلك.

• اختر تطبيق مصادقة يستطيع نسخ الرموز احتياطيًا أو نقلها إلى هاتف جديد، حتى لا يحرمك فقدان الهاتف من الدخول.
• احفظ رموز الاسترداد الخاصة بالخدمة على الورق.
• لا تقرأ رمزًا أبدًا لأي شخص يتصل بك أو يراسلك، حتى لو ادعى أنه دعم الخدمة.
• تحقق مجددًا بعد بضعة أشهر: دعم passkey ينتشر بسرعة، وابتعاد Microsoft عن SMS لحسابات العمل يوضح الاتجاه ^[1].

إذا كان بنك أو خدمة حكومية لا يقدم سوى SMS فلا يمكنك تغيير ذلك بنفسك، لكن يمكنك تقليل الخطر: احمِ حساب هاتفك المحمول برمز PIN لدى شركة الاتصالات، وأبقِ رمز البريد الصوتي سريًا، وانتبه لانقطاع الإشارة المفاجئ الذي قد يكون علامة على تبديل الشريحة (SIM swap). هذا إرشاد أمني عام، والكلمة الأخيرة بشأن إعدادات كل خدمة لصفحات المساعدة الخاصة بها.