لنبدأ من النهاية، لأن الجواب قصير ولا يكاد أحد يقوله كاملًا: حين يكون هناك سبب. لا كل تسعين يومًا.
عادة تغييرها وفق التقويم متجذّرة إلى حدّ أنها تبدو نظافةً شخصية، كتنظيف الأسنان. لكنها كانت توصية لها تاريخ صلاحية، وقد انتهت: كتبها المعهد الأمريكي NIST عام 2003، وسحبها عام 2017، واعتذر مؤلف تلك الوثيقة علنًا في العام نفسه. نروي تلك الحكاية كاملةً في ما هي كلمة المرور؛ ما يهمّنا هنا هو الجانب الآخر، الذي لا يكاد يُشرح: ماذا تفعل أنت، اليوم، بكلمات مرورك.
التقويم لا يعرف إن كان قد سُرق منك شيء
مشكلة التدوير بحسب التاريخ أن التاريخ لا يحمل أي معلومة.
إن كان أحدهم قد حصل على كلمة مرورك في ثلاثاء من شباط، فتغييرها في الأول من نيسان لأن الدور قد حان يهديه شهرًا ونصفًا من الوصول. وإن لم يمسّها أحد، فالتغيير لم يحمِك من شيء: استبدلت كلمة مرور جيدة بأخرى أسوأ على الأرجح، لأن كلمات المرور المكتوبة عن واجب تُكتب بلا رغبة.
هنا تكمن آلية الفشل كاملة. التدوير الإجباري لا ينتج كلمات مرور جديدة، بل ينتج
تنويعات. Sayf2026! تصير Kharif2026! ثم Shita2026!، ومن يهاجمك يعرف ذلك،
لأن هذه المتتالية متوقَّعة تمامًا كالتقويم المعلَّق الذي خرجت منه. النظام يرضى
—كلمة المرور «تغيّرت»— والأمان الحقيقي نزل، لا صعد.
لذلك يقول NIST في SP 800-63B الأمرين معًا: لا تغيير اعتباطي بحكم الوقت، وفرض التغيير فور وجود دلائل على الاختراق. ليست القضية أن التغيير لا يهم. القضية أن الزناد يجب أن يكون واقعة، لا تاريخًا.
الأسباب التي تُحتسب فعلًا
هذه هي القائمة. إن حدث لك أي من هذه الأمور، تُغيَّر كلمة المرور اليوم، لا الشهر المقبل:
- ظهرت في تسريب. تسريب الخدمة نفسها، أو أي خدمة أخرى كنت تستعمل فيها الكلمة ذاتها.
- أعدت استعمالها. إذا تسرّبت
Xوكانت موضوعة في أربعة مواقع أخرى، فهناك خمس كلمات مرور تُغيَّر، لا واحدة. - كتبتها في موقع تبيّن أنه ليس الموقع. بريد على عجل، رابط، نموذج يشبهه. لا يهم أنك انتبهت بعد ثانيتين: كنت قد أرسلتها بالفعل.
- شاركتها. مع شريكك، مع زميل، في محادثة عمل، على ورقة. كلمة مرور مرّت بقناة لا تتحكّم فيمن يقرأها لم تعد لك.
- ترى حركة غريبة. تسجيل دخول من مكان لم تطأه قط، رسائل إعادة تعيين لم تطلبها، رسالة مُرسَلة لم تكتبها.
- الجهاز تعرّض للاختراق. حاسوب فيه برمجية خبيثة، هاتف ضائع، حاسوب محمول مرّ بمركز صيانة لا تعرفه.
- الخدمة تنبّهك. حين ترسل شركة ذلك البريد، تصرّف في اليوم نفسه. هذه حرفيًا الحالة التي يتوقّعها SP 800-63B.
- انتهت عشرة مشتركة. شريك سابق، بيت مشترك، شريك عمل. حسابات كانت لاثنين وصارت لواحد.
انظر إلى ما يجمعها: كلها وقائع. ولا واحدة منها «مضت تسعون يومًا».
للأولى أداة. إن أردت أن تعرف هل كلمة مرور بعينها موجودة في القوائم المتداولة بالفعل، وكم ستصمد بالمناسبة، فمرّرها عبر المدقق: تُحلَّل في متصفحك ولا تخرج منه.
حين يوجد سبب، الترتيب مهم
تغيير كلمة المرور هو الخطوة البديهية، وكثيرًا ما لا تكون الأولى. هذا هو الترتيب الذي يجنّبك أداء العمل مرتين:
أولًا، الجهاز. إن كنت تشك بوجود شيء مثبَّت يقرأ ما تكتبه، فتغيير كلمة المرور من الجهاز نفسه يعني تسليمه الجديدة. نظّفه، أو استعمل جهازًا آخر أولًا.
ثم البريد. حساب بريدك ليس حسابًا كسائر الحسابات: هو الذي يستقبل روابط «نسيت كلمة المرور» لكل الحسابات الأخرى. من يسيطر على البريد يسيطر على الباقي من الباب الرئيسي. إن كانت هناك كلمة مرور واحدة تبدأ بها، فهي تلك.
بعد ذلك، أغلق الجلسات المفتوحة. تغيير كلمة المرور لا يطرد دائمًا من هو في الداخل. ابحث في إعدادات الحساب عن خيار تسجيل الخروج من كل الأجهزة واستعمله: وإلا بقي المتسلّل متصلًا بجلسة لم تعد تحتاج كلمة مرورك أصلًا.
وأخيرًا، راجع ما تركه مثبَّتًا. هذه هي الخطوة التي يتخطاها أكثر الناس. من يدخل حسابًا لا يكتفي بالنظر: يغيّر بريد الاسترجاع، يضيف رقم هاتف، يفعّل عاملًا ثانيًا خاصًا به، يربط تطبيقًا، يضع قاعدة تحويل في صندوق البريد. إن غيّرت كلمة المرور ولم تراجع ذلك، عاد ودخل غدًا من باب لا يزال مشرَعًا. راجع طرق الاسترجاع، والأجهزة المصرّح لها، والتطبيقات المرتبطة، وقواعد التحويل.
وأمر أخير، بديهي ولهذا السبب هو الأكثر إهمالًا: حين تغيّر، يجب أن تكون الجديدة جديدة. لا المعتادة برقم آخر. ولّدها في المولّد واحفظها حيث لا تعتمد على ذاكرتك.
ماذا تفعل في الأيام الثلاثمائة والستين الأخرى
إن كان الزناد واقعة، والوقائع نادرة، صار السؤال آخر: أي أنه لا شيء يُفعل؟ على العكس. ما كان التدوير يحاول حلّه حلًّا سيئًا تحلّه أربعة أمور حلًّا جيدًا، وكلها تُفعل مرة واحدة.
أن تكون طويلة. يضع SP 800-63B الطول قبل التعقيد: كلمة مرور طويلة تساوي أكثر من قصيرة محشوّة بالرموز. هناك يقع معظم العمل.
أن تكون مختلفة في كل موقع. هذه هي التي تحوّل تسريب غيرك إلى حادثة صغيرة بدل حريق. إن كان لكل حساب كلمته، فتسرّب واحدة لا يمسّ الباقي؛ وإن شاركت كلمة المرور، فخدمة لا تكاد تذكر أنك استعملتها هي التي تقرّر أمان مصرفك.
أن تُقابَل بقوائم المسرَّبة. هذا بالضبط الاستبدال الذي أجراه NIST: بدل أن يطلب منك رمزًا، أن يتحقق من أن كلمة مرورك ليست متداولة أصلًا. هذا التحقق نعم تنتهي صلاحيته —كلمة مرور ليست اليوم في القوائم قد تكون فيها العام المقبل— ولهذا يكرّره المديرون الجيدون تلقائيًا وينبّهونك.
أن يكون هناك عامل ثانٍ حيثما أمكن. بوجود عامل ثانٍ، تتوقّف كلمة المرور المسروقة عن كونها مفتاحًا وتصير نصف مفتاح.
الأربعة مجتمعة تفعل ما لم يفعله التدوير قط: تغيّر كلمة المرور تحديدًا حين يوجد سبب، لأنك تعلم بوجوده. مدير يراقب القوائم هو نظام إنذار؛ أما التقويم فلا ينذر بشيء، إنه يمضي فحسب.
وإن كانت شركتك تفرضه كل تسعين يومًا
يحدث، ويحدث كثيرًا، لأن هناك سياسات كُتبت قبل خمسة عشر عامًا لم يعد أحد يفتحها. أمران.
الأول عملي: إن اضطررت إلى التغيير، غيّر فعلًا. ولّد واحدة جديدة بالكامل واحفظها في المدير. التنويعة الموسمية هي الشيء الوحيد الأسوأ من عدم التغيير، لأنها تمنح إحساسًا بأنك فعلت شيئًا.
الثاني، لمن يستطيع تحريك السياسة: الحجة ليست بحاجة إلى ابتكار. إنها في SP 800-63B، وهو الدليل الرسمي لـ NIST، ويقول حرفيًا إنه لا ينبغي طلب التغيير الدوري لكلمات المرور، وإنه ينبغي فرض التغيير عند وجود دلائل على الاختراق. من يُبقي اليوم على قاعدة التسعين يومًا يتبع وثيقة استبدلتها منذ سنوات الجهةُ نفسها التي نشرتها.
الجواب القصير، مرة أخرى
كل كم يجب تغيير كلمة المرور؟ حين يحدث شيء.
ولأن «حين يحدث شيء» لا يعمل إلا إذا علمتَ أنه حدث، فالجواب الطويل هو: اجعل كل كلمة مرور طويلة ومختلفة ومراقَبة، فيوم يلزم تغيير واحدة ستعلم، وستكون واحدة فقط، وستأخذ منك دقيقتين.
ما عدا ذلك فهو وضع علامة في مربع على تقويم كي تشعر بالأمان.
المصادر: NIST SP 800-63، «Electronic Authentication Guideline» (2003)، حيث تظهر قواعد التركيب والتغيير الدوري · NIST SP 800-63B، «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): الطول قبل التعقيد، بلا تغيير دوري اعتباطي، وتغيير مفروض عند وجود دلائل على الاختراق، ومطابقة بقوائم كلمات المرور المخترقة · تصريحات بيل بير، مؤلف دليل 2003، لصحيفة وول ستريت جورنال في آب/أغسطس 2017.
صورة بواسطة Hatice Baran · Pexels