كيف تعمل الأداة؟
تُولَّد كلمة المرور داخل متصفحك باستخدام الدالة crypto.getRandomValues، وهي مصدر أرقام عشوائية مصمَّم لأغراض التشفير وليس لألعاب الحظ. لا تُرسل كلمة المرور إلى أي خادم ولا تُخزَّن في أي مكان. وللتأكد بنفسك: حمّل الصفحة ثم افصل الإنترنت وجرّب التوليد، وستجد أنه يعمل.
إذا اخترت عدة أنواع من الأحرف، تضمن الأداة وجود حرف واحد على الأقل من كل نوع، ثم تخلط المواضع عشوائياً حتى لا يظهر نمط ثابت في بداية كلمة المرور أو نهايتها.
ما الطول المناسب؟
الطول هو العامل الأهم. كل حرف تضيفه يضاعف عدد الاحتمالات عدة مرات، بينما تأثير الرموز الإضافية محدود إذا كانت كلمة المرور قصيرة. يوضح الجدول التالي كيف يتغير متوسط وقت التخمين مع الطول:
| الطول | الإنتروبيا | متوسط وقت التخمين |
|---|---|---|
| 8 أحرف | 52 بت | 6 ساعات |
| 10 أحرف | 66 بت | 6 سنوات |
| 12 حرفاً | 79 بت | 50 ألف سنة |
| 14 حرفاً | 92 بت | 444 مليون سنة |
| 16 حرفاً | 105 بت | 4 تريليون سنة |
| 20 حرفاً | 131 بت | 3.1 × 1020 سنة |
هذه أرقام نموذج حسابي وليست وعداً: افترضنا أن المهاجم يملك قاعدة بيانات مسرَّبة ويخمّن بسرعة 150 مليار محاولة في الثانية على تجزئة سريعة. المواقع التي تحمي كلمات المرور بخوارزميات بطيئة (مثل bcrypt أو Argon2) تجعل الهجوم أبطأ بكثير، لكنك لا تعرف كيف يخزّن كل موقع كلمتك، فالأسلم أن تفترض الأسوأ. شرح النموذج بالتفصيل في دليل زمن الكسر (بالإنجليزية).
قاعدة عملية: اختر 16 حرفاً أو أكثر للحسابات المهمة (البريد والبنك ومدير كلمات المرور). وإذا كانت كلمة المرور هي الحماية الوحيدة للحساب، فمعيار NIST الأحدث يوصي بـ15 حرفاً على الأقل.
أخطاء تُضعف كلمة المرور حتى لو بدت معقدة
- استخدام معلومات شخصية: الاسم وتاريخ الميلاد ورقم الهاتف واسم النادي أول ما يجرّبه المخترق.
- استبدال الحروف بالرموز: تحويل
passwordإلىP@ssw0rdحيلة معروفة، وبرامج التخمين تجرّبها تلقائياً. - إعادة استخدام كلمة المرور: إذا تسرّبت كلمة المرور من موقع واحد، يجرّبها المخترقون على بقية حساباتك. هذا أخطر من ضعف كلمة المرور نفسها.
- الحروف العربية: قد ترفضها بعض المواقع، ويتغيّر إدخالها بتغيّر تخطيط لوحة المفاتيح، وقد تعجز عن كتابتها على جهاز آخر. الأفضل حروف لاتينية وأرقام ورموز.
- إرسالها عبر واتساب أو البريد: تبقى في سجل المحادثة. إن اضطررت لمشاركتها فغيّرها بعد الاستخدام.
كيف تتذكر كلمات مرور طويلة وعشوائية؟
لا يُنتظر منك أن تحفظها. استخدم مدير كلمات مرور يولّد ويخزّن كلمة مرور مختلفة لكل حساب، ولا تحفظ في ذاكرتك إلا كلمة مرور رئيسية واحدة. اجعل هذه الكلمة الرئيسية عبارة مرور من عدة كلمات عشوائية، فهي أسهل في الحفظ وقوية عند الطول الكافي (جرّب مولد عبارات المرور). وإن كان الموقع يدعم مفاتيح المرور (Passkeys) فهي بديل أقوى من كلمة المرور نفسها.
ماذا تفعل بعد التوليد؟
- احفظ كلمة المرور في مدير كلمات المرور قبل أن تغلق الصفحة.
- غيّر كلمة المرور في الموقع نفسه، ثم تأكد أنك تستطيع الدخول بها.
- فعّل التحقق بخطوتين، ويفضّل تطبيق مصادقة بدل الرسائل النصية.
- لا تغيّرها دورياً بلا سبب؛ غيّرها عند الاشتباه باختراق أو عند تسريب من الموقع. هذا ما يوصي به معيار NIST الأحدث.
المصادر
- NIST, SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management (أغسطس 2025)
- تفاصيل افتراضات نموذج زمن الكسر: How Long Does It Take to Crack a Password?