الانتقال إلى المحتوى الرئيسي

ما هو 2FA؟ دليل المصادقة الثنائية

ما هو 2FA؟ كيف تعمل المصادقة الثنائية، الأنواع الخمسة لـ 2FA، وكيفية تمكينها على أهم حساباتك.

آخر تحديث: 5 أبريل 2026

كلمات المرور وحدها لا تكفي لحماية حساباتك على الإنترنت. تكشف خروقات البيانات مليارات بيانات الاعتماد كل عام، وحتى كلمات المرور القوية يمكن أن تتعرض للاختراق من خلال التصيد الاحتيالي، أو راصدات لوحة المفاتيح، أو هجمات القوة الغاشمة. تضيف المصادقة الثنائية (2FA) طبقة دفاع ثانية — حتى لو سرق شخص ما كلمة المرور الخاصة بك، فلا يزال لا يمكنه الوصول إلى حسابك بدون العامل الثاني. يشرح هذا الدليل ما هو 2FA، وكيف تعمل كل طريقة، وأي الأنواع هي الأكثر أمانًا، وكيفية إعدادها على أهم حساباتك. إنها واحدة من أكثر الخطوات المنفردة فعالية التي يمكنك اتخاذها لحماية حياتك الرقمية.

أنواع المصادقة الثنائية

رموز الرسائل القصيرة

يتم إرسال رمز لمرة واحدة إلى رقم هاتفك عبر رسالة نصية. أدخل هذا الرمز بعد كلمة المرور الخاصة بك لإكمال تسجيل الدخول. SMS 2FA هي الطريقة الأكثر توفرًا على نطاق واسع — تدعمها كل خدمة تقريبًا، ولا تتطلب تطبيقات أو أجهزة إضافية. ومع ذلك، فهي أضعف أشكال 2FA بسبب الضعف أمام هجمات تبديل بطاقة SIM (حيث يقنع المهاجم مشغل الشبكة الخاصة بك بنقل رقم هاتفك إلى بطاقة SIM الخاصة به) وثغرات بروتوكول SS7 التي يمكنها اعتراض الرسائل النصية.

  • الإيجابيات: مدعوم على نطاق واسع، لا حاجة إلى تطبيق، يعمل على أي هاتف
  • السلبيات: عرضة لتبديل بطاقة SIM، واعتراض SS7، وهجمات الهندسة الاجتماعية على مشغلي الهواتف

تطبيقات المصادقة (TOTP)

تقوم تطبيقات كلمة المرور لمرة واحدة المعتمدة على الوقت (TOTP) بإنشاء رمز جديد من 6 أرقام كل 30 ثانية باستخدام سر مشترك والوقت الحالي. تشمل التطبيقات الشائعة Google Authenticator و Authy و Microsoft Authenticator و Ente Auth. TOTP أكثر أمانًا بكثير من الرسائل القصيرة لأن الرموز يتم إنشاؤها محليًا على جهازك — لا توجد قناة نقل لاعتراضها. تعمل الرموز دون اتصال بالإنترنت وغير مرتبطة برقم هاتفك. هذه هي طريقة 2FA الموصى بها لمعظم الأشخاص، حيث توازن بين الأمان القوي وسهولة الاستخدام.

  • الإيجابيات: آمن، قادر على العمل دون اتصال، تطبيقات مجانية متاحة، غير مرتبط برقم الهاتف
  • السلبيات: فقدان جهازك بدون رموز نسخ احتياطي يقفلك خارج الحساب؛ يمكن لمواقع التصيد الاحتيالي التقاط الرموز في الوقت الفعلي

مفاتيح الأمان الأجهزة

تتصل الأجهزة المادية مثل YubiKey و Google Titan و SoloKeys بمنفذ USB الخاص بك أو تنقر عبر NFC للمصادقة. تستخدم مفاتيح الأجهزة معيار FIDO2/WebAuthn، الذي يقاوم التصيد الاحتيالي حسب التصميم — يتحقق المفتاح بشكل مشفر من نطاق الموقع قبل المصادقة، مما يجعل من المستحيل لمواقع التصيد الاحتيالي الاعتراض. تطلب Google من جميع الموظفين استخدام مفاتيح الأجهزة وأبلغت عن صفر هجمات تصيد ناجحة منذ التنفيذ. تكلف المفاتيح 25-70 دولارًا وهي طريقة 2FA الأكثر أمانًا المتاحة.

  • الإيجابيات: أقوى أمان، مقاوم للتصيد الاحتيالي، بدون بطاريات، يعمل دون اتصال، متين
  • السلبيات: يكلف 25-70 دولارًا، قد يضيع أو يُنسى، لا تدعمه جميع الخدمات

القياسات الحيوية

تستخدم ماسحات بصمات الأصابع (Touch ID)، والتعرف على الوجه (Face ID)، وماسحات قزحية العين خصائصك الجسدية كعامل مصادقة. القياسات الحيوية مريحة — لديك دائمًا معك ولا يمكن نسيانها. تعمل كعامل ثانٍ إلى جانب كلمات المرور على العديد من الأجهزة والخدمات. ومع ذلك، لا يمكن تغيير القياسات الحيوية إذا تم اختراقها (على عكس كلمة المرور)، ويمكن إجبارها قانونيًا من قبل جهات إنفاذ القانون في العديد من الولايات القضائية. تتفاوت الجودة بشكل كبير بين الأجهزة.

  • الإيجابيات: مريح، متاح دائمًا، مصادقة سريعة، يصعب نسخه
  • السلبيات: لا يمكن تغييره إذا تم اختراقه، يمكن إجباره قانونيًا، تتفاوت الجودة حسب الجهاز

مفاتيح المرور (Passkeys)

مفاتيح المرور هي أحدث معيار للمصادقة، مصممة لتحل محل كلمات المرور تمامًا. استنادًا إلى FIDO2/WebAuthn، تستخدم مفاتيح المرور تشفير المفتاح العام — يخزن جهازك مفتاحًا خاصًا، وتخزن الخدمة المفتاح العام المقابل. تحدث المصادقة من خلال مستشعر القياسات الحيوية أو رقم التعريف الشخصي لجهازك، بدون كلمة مرور لكتابتها أو تصيدها أو سرقتها. قامت Apple و Google و Microsoft بدمج دعم مفتاح المرور في أنظمة التشغيل الخاصة بها. تتزامن مفاتيح المرور عبر الأجهزة عبر iCloud Keychain أو Google Password Manager أو مزودين آخرين، مما يجمع بين أمان مفاتيح الأجهزة وراحة القياسات الحيوية.

  • الإيجابيات: مقاوم للتصيد الاحتيالي، لا توجد كلمات مرور لتذكرها، يتزامن عبر الأجهزة، سريع
  • السلبيات: جديد نسبيًا، غير مدعوم عالميًا بعد، مخاوف الإغلاق على المنصة مع مفاتيح المرور المتزامنة

أفضل ممارسات 2FA

  1. قم بتمكين 2FA على حساب بريدك الإلكتروني أولاً — إنه المفتاح الرئيسي لجميع حساباتك الأخرى. إذا اخترق شخص ما بريدك الإلكتروني، يمكنه إعادة تعيين كلمات المرور على كل خدمة مرتبطة به. بريدك الإلكتروني هو الحساب الأكثر أهمية لحمايته بـ 2FA.
  2. استخدم تطبيق مصادقة بدلاً من الرسائل القصيرة كلما أمكن. تطبيقات TOTP محصنة ضد تبديل بطاقة SIM وهجمات SS7. إذا كانت الخدمة تقدم 2FA المعتمد على الرسائل القصيرة فقط، فاستخدمه على أي حال — لا تزال SMS 2FA أفضل بشكل كبير من عدم وجود 2FA على الإطلاق.
  3. احفظ رموز النسخ الاحتياطي في مكان آمن ومنفصل. قم بتخزينها في مدير كلمات المرور (مختلف عن الذي يحميه 2FA)، أو طباعتها والاحتفاظ بها في خزنة، أو كتابتها على ورق محفوظ بأمان. لا تخزن أبدًا رموز النسخ الاحتياطي في ملاحظة غير مشفرة على نفس الجهاز الذي يوجد عليه المصادق.
  4. فكر في مفتاح أمان أجهزة لأهم حساباتك — البريد الإلكتروني، والخدمات المصرفية، والتخزين السحابي، ومديري كلمات المرور. يعمل YubiKey 5 NFC (50 دولارًا) مع USB-A و USB-C و NFC، ويغطي تقريبًا كل جهاز. قم بتسجيل مفتاحين لكل حساب بحيث يكون لديك نسخة احتياطية.
  5. قم بتدقيق الحسابات التي تم تمكين 2FA فيها بانتظام. استخدم مدير كلمات المرور لتتبعها. ترتيب الأولوية: البريد الإلكتروني، والخدمات المصرفية والمالية، والتخزين السحابي، ووسائل التواصل الاجتماعي، ومواقع التسوق ذات طرق الدفع المحفوظة، وأي حسابات عمل أو مهنية.

كيفية إعداد 2FA

يستغرق إعداد 2FA أقل من خمس دقائق لكل حساب. إليك العملية لـ 2FA المعتمد على تطبيق المصادقة، وهو الأسلوب الموصى به لمعظم الأشخاص:

  1. افتح إعدادات الأمان:انتقل إلى إعدادات الأمان الخاصة بحسابك. ابحث عن "المصادقة الثنائية" أو "التحقق بخطوتين" أو "أمان تسجيل الدخول". على Google، انتقل إلى myaccount.google.com > الأمان > التحقق بخطوتين. على Apple، انتقل إلى الإعدادات > [اسمك] > تسجيل الدخول والأمان.
  2. اختر طريقة 2FA:حدد طريقة 2FA الخاصة بك. اختر "تطبيق المصادقة" للحصول على أفضل توازن بين الأمان والراحة. قم بتثبيت تطبيق TOTP إذا لم يكن لديك واحد — Google Authenticator أو Authy أو Ente Auth كلها خيارات قوية. توفر Authy و Ente Auth نسخًا احتياطيًا سحابيًا مشفرًا لرموزك.
  3. امسح رمز QR:امسح رمز QR المعروض على الشاشة باستخدام تطبيق المصادقة الخاص بك. سيقوم التطبيق بإنشاء رمز مكون من 6 أرقام يتم تحديثه كل 30 ثانية. أدخل الرمز الحالي للتحقق من أن الإعداد يعمل بشكل صحيح.
  4. احفظ رموز النسخ الاحتياطي:احفظ رموز النسخ الاحتياطي الخاصة بك على الفور. توفر معظم الخدمات رموز استرداد لمرة واحدة تتيح لك استعادة الوصول إذا فقدت جهاز المصادقة الخاص بك. قم بتخزينها في مدير كلمات المرور أو طباعتها أو كتابتها والاحتفاظ بها في مكان آمن منفصل عن أجهزتك. بدون رموز النسخ الاحتياطي، قد يؤدي فقدان هاتفك إلى قفلك بشكل دائم خارج حسابك.

الأسئلة الشائعة

لهذا السبب تعتبر رموز النسخ الاحتياطي ضرورية. عند إعداد 2FA، توفر معظم الخدمات رموز استرداد — رموز للاستخدام لمرة واحدة تتجاوز 2FA. استخدم واحدًا لاستعادة الوصول، ثم قم بإعداد 2FA مرة أخرى على جهازك الجديد. إذا كنت تستخدم Authy أو Ente Auth، يتم نسخ احتياطي لرموزك في تخزين سحابي مشفر ويمكن استعادتها على جهاز جديد. يدعم Google Authenticator الآن أيضًا النسخ الاحتياطي السحابي. إذا لم يكن لديك رموز النسخ الاحتياطي وليس لديك طريقة استرداد، فستحتاج إلى المرور بعملية استرداد الحساب الخاصة بالخدمة، والتي قد تستغرق أيامًا أو أسابيع وتتطلب التحقق من الهوية.

بالتأكيد نعم. على الرغم من نقاط ضعفها أمام تبديل بطاقة SIM وهجمات SS7، فإن SMS 2FA يحجب الغالبية العظمى من الهجمات الآلية. أظهرت أبحاث Google أنه يوقف 100% من الروبوتات الآلية و 96% من التصيد الجماعي. لا يتضمن نموذج التهديد الواقعي لمعظم الأشخاص تبديل بطاقة SIM المستهدف — وهو في المقام الأول خطر للأهداف عالية القيمة مثل حاملي العملات المشفرة والشخصيات العامة. إذا كانت الخدمة تقدم SMS 2FA فقط، فقم بتمكينها. أي 2FA أفضل بشكل كبير من عدم وجود 2FA.

لا توجد طريقة 2FA غير قابلة للاختراق بنسبة 100%، ولكن الصعوبة تتفاوت بشكل كبير. يمكن اعتراض رموز SMS عبر تبديل بطاقة SIM. يمكن التصيد الاحتيالي لرموز TOTP في الوقت الفعلي بهجمات متطورة تنقل الرموز إلى صفحة تسجيل الدخول الحقيقية. ومع ذلك، فإن مفاتيح الأمان الأجهزة التي تستخدم FIDO2 مقاومة للتصيد الاحتيالي حسب التصميم — تتحقق المفاتيح بشكل مشفر من نطاق الموقع، مما يجعل التصيد الاحتيالي مستحيلًا. ترث مفاتيح المرور نفس الحماية. بالنسبة لمعظم الأشخاص، توفر 2FA المعتمدة على TOTP حماية أكثر من كافية ضد التهديدات الواقعية.

من الناحية المثالية نعم، ولكن قم بترتيب الأولويات بشكل استراتيجي. حساب بريدك الإلكتروني هو الأكثر أهمية — إنه آلية الاسترداد لكل شيء آخر. بعد ذلك، قم بتمكين 2FA على الخدمات المصرفية والمالية، والتخزين السحابي (Google Drive و iCloud و Dropbox)، ووسائل التواصل الاجتماعي، وأي حساب يحتوي على معلومات دفع محفوظة، ومدير كلمات المرور الخاص بك. يمكن تخطي الحسابات الجانبية ذات الأولوية المنخفضة بدون بيانات شخصية إذا كنت مرهقًا، لكن الهدف يجب أن يكون 2FA في كل مكان.

مفاتيح الأمان الأجهزة (YubiKey و Google Titan) التي تستخدم معيار FIDO2/WebAuthn هي أكثر أشكال 2FA المتاحة أمانًا. إنها مقاومة للتصيد الاحتيالي حسب التصميم، وتتطلب الحيازة المادية، وليس لديها رموز يمكن اعتراضها أو نقلها. توفر مفاتيح المرور أمانًا مماثلًا مع راحة إضافية للمزامنة السحابية. تطبيقات مصادقة TOTP هي الخيار التالي الأفضل — أكثر أمانًا بكثير من الرسائل القصيرة. تُعتبر الرسائل القصيرة أضعف 2FA لكنها لا تزال أفضل بكثير من المصادقة باستخدام كلمة المرور فقط.

نعم، هذا هو الغرض من تصميمها. تجمع مفاتيح المرور بين كلمة المرور والعامل الثاني في خطوة مصادقة واحدة مقاومة للتصيد الاحتيالي. بدلاً من كتابة كلمة المرور ثم إدخال رمز، يمكنك ببساطة المصادقة باستخدام مستشعر القياسات الحيوية أو رقم التعريف الشخصي لجهازك. توفر تشفير FIDO2 الأساسي أمانًا أقوى من كلمة المرور + TOTP مجتمعة. ومع ذلك، لا يزال اعتماد مفتاح المرور في تزايد — لا تدعمها جميع الخدمات بعد. في الفترة الانتقالية، استمر في استخدام 2FA التقليدي (تطبيق المصادقة أو مفتاح الأجهزة) على الخدمات التي لا تدعم بعد مفاتيح المرور.