مولّد كلمات السر

في 2026، أصبح اختراق الحسابات صناعة كاملة. الهجمات الآلية تجرّب ملايين كلمات المرور في الثانية. أي كلمة من قاموس أو معلومة شخصية ستُكسر في أقل من ثانية. كلمة المرور الضعيفة ليست عقبة — هي دعوة مفتوحة.

إحصائية مهمة: أكثر من 80% من اختراقات الحسابات سببها كلمات مرور ضعيفة أو مُعاد استخدامها. لذا تأمين حساباتك يبدأ من هنا.

1. الطول قبل التعقيد

كلمة من 20 حرف صغير فقط أقوى بكثير من كلمة 8 أحرف مع رموز. كل حرف إضافي يضاعف الوقت اللازم لكسرها. الحد الأدنى الموصى به في 2026: 16 حرف.

2. التعقيد المتنوّع

اخلط أربعة أنواع: حروف صغيرة، حروف كبيرة، أرقام، ورموز. هذا يرفع عدد الاحتمالات الممكنة لكل خانة من 26 إلى 90+.

3. العشوائية الحقيقية

الإنسان سيئ جداً في توليد عشوائية. كلماتك "العشوائية" تتبع أنماطاً يستطيع المهاجم تخمينها. استخدم مولّداً يستخدم crypto.getRandomValues — وهو ما تستخدمه أداتنا.

• 8 أحرف صغيرة فقط: ثوانٍ.
• 8 أحرف مع كبيرة وأرقام: ساعات.
• 12 حرف مع رموز: سنوات.
• 16 حرف مع رموز: ملايين السنوات.
• 20 حرف مع رموز: أعلى من عمر الكون.

هذه التقديرات على أساس قوة الحوسبة الحالية. مع تطوّر الكمبيوتر الكمي، قد تتغيّر — لكن الحد الأدنى يبقى 16 حرف.

• كلمة واحدة لكل المواقع: اختراق موقع واحد = اختراق كل حساباتك.
• الاعتماد على الأسماء أو التواريخ: اسم زوجتك، تاريخ ميلاد ابنك، اسم شركتك — كلها متاحة على فيسبوك ولينكدإن.
• الاستبدالات الذكية ("P@ssw0rd"): برامج الكسر تجرّبها كلها تلقائياً.
• كتابة كلمات المرور في ملاحظة على الهاتف: خطر كبير عند ضياع الجهاز.
• عدم تفعيل المصادقة الثنائية: حتى كلمة مرور قوية ليست كافية وحدها.

لا يمكنك حفظ 50 كلمة مرور مختلفة بطول 20 حرف. الحل: مدير كلمات مرور (Password Manager) مثل Bitwarden (مجاني)، 1Password، أو Apple Keychain.

أنت تحفظ كلمة مرور واحدة فقط (كلمة سيد قوية جداً)، والمدير يحفظ ويولّد لك كلمات فريدة لكل موقع، ويملأها تلقائياً. هذا الحل الواقعي الوحيد للأمان الكامل.

فعّل 2FA على كل حساب مهم: البريد الإلكتروني، البنك، وسائل التواصل، حسابات العمل. الخيارات من الأقل أماناً للأكثر:

1. رسائل SMS (الأضعف — قابلة للاختراق عبر SIM swap).
2. تطبيقات مثل Google Authenticator أو Authy.
3. مفاتيح فيزيائية مثل YubiKey (الأقوى).

الأداة في أعلى الصفحة تولّد كلمات مرور باستخدام crypto.getRandomValues — وهي دالة عشوائية تشفيرية موثوقة في المتصفّحات الحديثة. كل التوليد يحدث محلياً في جهازك، ولا تُرسَل أي بيانات لأي خادم. آمن للنسخ مباشرة إلى مدير كلمات مرورك.

عبارة المرور هي أربع أو خمس كلمات عشوائية متجاورة (مثل correct horse battery staple أو غلاف-تفاحة-مصباح-سفينة). إنتروبيا (entropy) تصل إلى 70+ بت وهو أعلى من كلمة مرور 12 حرف عشوائي، لكنّها أسهل بكثير في الحفظ. هذا الأسلوب اشتهر بعد مدوّنة XKCD #936.

الشرط: أن تختار الكلمات عشوائياً (مثل Diceware بالنرد) وليس بالتخيل. أربع كلمات مختارة عشوائياً من قائمة 7,776 كلمة أقوى إحصائياً من جملة 16 حرف مع رموز تختارها بعقلك.

في 2024-2026، بدأت Apple، Google، Microsoft، وبنوك رئيسية بالتحوّل إلى Passkeys — معيار WebAuthn/FIDO2 الذي يستبدل كلمة المرور بـمفتاح تشفيري ثنائي يُخزّن في جهازك ويُفتح ببصمتك أو وجهك.

الفائدة: استحالة تسرب كلمة مرور (لأنها لا توجد أصلاً)، استحالة التصيد الإلكتروني (phishing)، وتجربة دخول أسرع. في 2026 أصبح Passkey مدعوماً في Apple ID، Google، GitHub، PayPal، وعدد متزايد من البنوك الخليجية. دعّم على الحسابات التي تدعمه — لأنه الاتجاه الحتمي.

موقع haveibeenpwned.com (HIBP) يجمع كل تسربات البيانات العلنية في قاعدة واحدة. أدخل بريدك — يخبرك في أي مواقع اخترقت حساباتك. لو وجدت نتيجة، غيّر كلمة مرور ذلك الموقع فوراً وأي موقع آخر استخدمت فيه نفس الكلمة.

أغلب مديري كلمات المرور (Bitwarden، 1Password، iCloud Keychain) يدمجون HIBP تلقائياً ويتنبّهونك فور ظهور أي من كلماتك في تسريب جديد.

الأداة تعمل 100% في جهازك عبر جافاسكريبت المتصفح. لا توجد اتصالات بخوادم، لا تخزين لاچ، ولا تسجيل لاختياراتك. بعد إغلاق الصفحة، لا يبقى أي أثر للكلمات المتولدة. يمكنك حتى تشغيل الأداة أوفلاين بعد تحميل الصفحة.

كم طول كلمة المرور المثالي في 2026؟ 16 حرفاً كحد أدنى، 20+ للحسابات الحساسة (بنك، بريد رئيسي، إدارة خوادم). أي شيء تحت 12 حرفاً مع التعقيد الكامل أصبح قابلاً للكسر في أسابيع على GPU حديث.

هل الكمبيوتر الكمومي سيكسر كل كلمات المرور؟ لا. الكمبيوتر الكمومي يهدد التشفير غير المتناظر (RSA، ECC) لكن لا يتأثّر بـhashing كلمات المرور بـ bcrypt/Argon2. الطول 16+ حرفاً يبقى آمناً في عصر الكمبيوتر الكمومي.

إذا فقدت كلمة السيد لمدير كلمات مروري؟ تفقد كل حساباتك المحفوظة. لذلك 1Password و Bitwarden يوفرون Emergency Kit أو بدائل استرداد. اطبعه واحفظه في صندوق آمن فعلي (ليس جهازاً رقمياً).

SMS 2FA أو تطبيق Authenticator: أيّهما أفضل؟ التطبيق بفرق واضح. هجمات SIM swap في الخليج ارتفعت 200% خلال 2024-2025. تطبيق Authenticator (Google، Microsoft، Authy) لا يعتمد على شركة الاتصالات أصلاً.

هل Apple Keychain/iCloud Keychain آمن؟ نعم. مشفّر end-to-end ولا تستطيع Apple نفسها رؤيته. الوحيد الذي يفتح المفتاح: بصمتك/وجهك + رمز جهازك. للعائلات التي تستخدم Apple بالكامل، هو خيار ممتاز.

هل تحتاج تغيير كلمات المرور دورياً؟ NIST (المعهد الوطني للمعايير) غيّر توصيته في 2017: لا تغيرها إلا لو اشتبهت بتسرب. التغيير الدوري يدفع المستخدمين لاختيار كلمات أسهل وتكرارية.

ماذا لو حسابي البنكي اخترق؟ اتصل بالبنك فوراً (خط خدمة 24/7)، غير كلمة مرور التطبيق، غير رمز PIN للبطاقة، وبلّغ الجهات الرسمية (السعودية: الأمن السيبراني). البلاغ خلال 24 ساعة يرفع فرصة استرداد الأموال.

الأداة بأعلى الصفحة تولّد كلمات مرور حتى 64 حرفاً وعبارات مرور (passphrases) بطريقة Diceware. كل شيء يتولّد عبر crypto.getRandomValues داخل متصفحك — بدون خوادم، بدون تسجيل، بدون أثر بعد إغلاق الصفحة. انسخ مباشرة إلى مدير كلمات مرورك.