تطبيق مصادقة دون هاتف: كيف تحصل على رموز 2FA على جهاز الكمبيوتر

تسجّل الدخول إلى معظم خدماتك في Chrome. إضافة المتصفح تُبقي الرموز حيث تكتبها. تُدرج 2FA Authenticator مصادقة الرمز في الحقل بالنقر بزر الفأرة الأيمن أو Ctrl+Shift+Y، وتمسح رمز QR للإعداد من الصفحة مباشرةً؛ وقد يكون للتثبيت الجديد حدّ لعدد الحسابات المجانية، يزيله Pro. أما Authenticator (authenticator.cc) فمجاني، وله عدد أكبر بكثير من المستخدمين، ويدعم أنواعًا أكثر من الرموز، وإن كان آخر تحديث لنسخته في Chrome Web Store في أغسطس 2024.

تريد تطبيقًا خارج المتصفح. Proton Authenticator وEnte Auth مجانيان ومفتوحا المصدر، ويعملان على Windows وmacOS وLinux إلى جانب الهواتف، ولا يحتاجان إلى حساب إلا إذا أردت المزامنة — فيمكن أن يصبح الهاتف نسخة ثانية لاحقًا، أو لا يصبح أبدًا. ويحفظ KeePassXC الرموز في ملف قاعدة بياناته المشفّر على جهازك، ويمكنه ملؤها في المتصفح عبر إضافته.

تدفع أصلًا مقابل مدير كلمات مرور. يولّد Bitwarden (Premium، $19.80 سنويًا) و1Password الرموز ويملآنها مباشرةً بعد كلمة المرور، وكلاهما يوثّق قراءة رمز QR للإعداد من الشاشة. أما العيب فتجده أدناه، في القسم الخاص بحفظ الرموز وكلمات المرور معًا.

تريد إخراج المفاتيح السرية من الكمبيوتر تمامًا. يحفظ مفتاح YubiKey مع تطبيق Yubico Authenticator المفتاح السري لكل حساب في العنصر الآمن (secure element) داخل المفتاح، حيث تقول Yubico إنه لا يمكن استخراجه. يعمل التطبيق على Windows وmacOS وLinux، ويمسح رمز QR للإعداد من الشاشة، ويعرض الرموز ما دام المفتاح موصولًا. ويتسع YubiKey 5 لما يصل إلى 64 حسابًا مع البرنامج الثابت 5.7 وما بعده، و32 حسابًا مع الإصدارات الأقدم. تشتري المفتاح بنفسك — ولأن المفاتيح السرية لا يمكن نسخها منه، توصي Yubico بتسجيل مفتاح ثانٍ احتياطيًا.

يستطيع الكمبيوتر أن يحل محل تطبيق المصادقة. لكنه لا يستطيع أن يحل محل الهاتف حين تكون الخدمة نفسها قد جعلت الهاتف هو العامل الثاني:

الرموز برسائل نصية أو بريد إلكتروني فقط. بعض الخدمات لا تتيح خيار تطبيق المصادقة أصلًا: يصل الرمز عبر رسالة نصية قصيرة أو بريد إلكتروني، ولا يوجد ما يولّده تطبيق المصادقة. وحساب Apple مثال معروف — إذ تقول مساعدة Apple إن الرمز يظهر على أجهزة Apple الموثوق بها أو يُرسل إلى رقم هاتفك الموثوق به، ولا تصف أي تطبيق مصادقة من جهة خارجية.

تطبيق الخدمة الخاص. بعض البنوك تؤكد تسجيل الدخول في تطبيقها الخاص بدلًا من الرموز القياسية؛ فـ Truist مثلًا تستخدم تطبيقها للهاتف Truist Authenticator. وإن كانت جهة عملك تشترط الموافقة في تطبيق معيّن، فهذا قرارها أيضًا، ولن تُقبل رموز تطبيق آخر.

الإعداد في تطبيق الهاتف فقط. تصف مساعدة TikTok تفعيل التحقق بخطوتين بتطبيق المصادقة في تطبيق TikTok للهاتف فقط، ويطلب TikTok طريقة ثانية مثل رقم هاتف أو بريد إلكتروني. وبعد إعداده يمكن أن تكون الرموز في أي مكان — ويبيّن دليل TikTok لدينا كيف تنقل رمز QR من الهاتف إلى الإضافة.

رموز موجودة على هاتف أصلًا. إن كانت حساباتك اليوم في Google Authenticator، فستحتاج إلى الهاتف مرة واحدة لتصديرها — راجع الاستيراد من Google Authenticator — أو تعيد إعداد كل حساب من الكمبيوتر.

المقصود بالمصادقة الثنائية أن تتطلب شيئين مختلفين. فإن كان الكمبيوتر الذي يتذكر كلمات مرورك يولّد رموزك أيضًا، فمن يستولي على ذلك الكمبيوتر — برمجية خبيثة تنسخ بيانات المتصفح، أو شخص يجلس إلى مكتبك وجهازك غير مقفل — قد يحصل على الاثنين. ويقولها دليل KeePassXC نفسه صراحةً: حفظ رموز TOTP في قاعدة البيانات نفسها مع كلمة المرور يُلغي مزايا المصادقة الثنائية، ويقترح قاعدة بيانات منفصلة لا تفتحها إلا عند الحاجة.

أما ما تظل الرموز على الكمبيوتر توقفه فهو أغلب حالات الاستيلاء على الحسابات: كلمة مرور مسرّبة من موقع آخر، أو مُخمَّنة، أو مكتوبة في صفحة تصيّد احتيالي. يملك المهاجم كلمة المرور لكنه لا يملك جهازك، فلا رمز لديه. والهاتف يضيف حماية أساسًا في مواجهة من يسيطر على جهازك أصلًا.

1. اقفل الرموز. فعّل الحماية بكلمة مرور في 2FA Authenticator مصادقة: تصبح الرموز حينها مشفّرة على جهازك، بما في ذلك النسخ الاحتياطية، ولا يمكن قراءتها دون كلمة مرورك. ولتطبيقات سطح المكتب ومديري كلمات المرور أقفالها الخاصة — استخدمها.

2. افصل الرموز عن كلمات المرور. وضع الرموز في تطبيق أو إضافة منفصلة، لا في الخزنة التي تحفظ كلمات المرور، يعني أن سرقة كلمة مرور رئيسية واحدة لا تكفي.

3. احتفظ بنسخة احتياطية خارج الكمبيوتر. تأخذ 2FA Authenticator مصادقة نسخة تلقائية مرة يوميًا وتحتفظ بآخر سبع نسخ، لكن هذه النسخ موجودة داخل الإضافة وتُحذف معها إن أُزيلت. صدّر ملفًا محميًا بكلمة مرور إلى ذاكرة USB أو مكان آخر تتحكم فيه — كيف تنسخ احتياطيًا.

4. احفظ رموز الاسترداد لكل موقع. فهي تعيدك إلى حسابك إن ضاع الكمبيوتر أو تعطّل، دون أي تطبيق مصادقة. اطبعها أو احفظها بعيدًا عن هذا الكمبيوتر.

5. أضف هاتفًا لاحقًا إن صار لديك واحد. مسح رمز QR نفسه بتطبيق على الهاتف أثناء الإعداد يمنحك جهازًا ثانيًا يعرض الرموز نفسها — نسخة احتياطية، لا شرطًا.

1. ثبّت تطبيق مصادقة على الكمبيوتر — إضافتنا هي 2FA Authenticator مصادقة.

2. سجّل الدخول إلى الموقع وافتح إعدادات الأمان فيه. فعّل المصادقة الثنائية (وتُسمى أحيانًا التحقق بخطوتين)، وإن عرض عليك الرسائل النصية أولًا، فاختر تطبيق المصادقة. تبيّن أدلة التفعيل لدينا مكان هذا الإعداد في 108 خدمة.

3. يعرض الموقع رمز QR. في 2FA Authenticator مصادقة: «إضافة حساب» ← «رمز QR» ← «مسح QR من الشاشة». وإن تعذّر المسح، فاستخدم رابط «لا يمكنك مسح رمز QR؟» أو «إدخال يدوي» في الموقع والصق المفتاح النصي — أين تجد المفتاح السري.

4. اكتب الرمز المكوّن من ستة أرقام من الإضافة في الموقع. وما لم تفعل ذلك، فالمصادقة الثنائية غير مفعّلة.

5. احفظ رموز الاسترداد التي يعرضها الموقع بعد ذلك، ثم انسخ تطبيق المصادقة نفسه احتياطيًا.

إن رفض الموقع الرمز، فالسبب المعتاد أنه أنشأ رمز QR جديدًا بعد أن مسحت الأول — ابدأ الإعداد من جديد وامسح الرمز الظاهر على الشاشة الآن. أسباب أخرى في لماذا لا تعمل الرموز.