البريد الإلكتروني هو المكان الذي تبقى فيه بيانات الدخول إلى الأبد. كلمة المرور التي أُرسلت يوم الاثنين تبقى في صندوق الصادر لدى المرسل، وفي صندوق الوارد لدى المستلم، وفي كل هاتف وحاسوب محمول يزامن أيًّا من الحسابين، وفي النسخ الاحتياطية لدى مزودَي البريد. وإذا أعدت توجيهها مرة واحدة تضاعف عدد النسخ.
مشاركة بيانات الدخول بأمان دون البريد الإلكتروني تعني أن تختار قناة لا تترك نسخًا، أو على الأقل لا تترك نسخًا خارج سيطرتك. وأمامك أربعة خيارات جيدة. يتوقف اختيارك على أمرين: هل يحتاج المستلم بيانات الدخول مرة واحدة أم على الدوام، وهل هو من داخل مؤسستك أم من خارجها.
أربع طرق لمشاركة بيانات الدخول دون البريد الإلكتروني
| الطريقة | متى تناسب | ما لا تفعله |
|---|---|---|
| المشاركة عبر مدير كلمات المرور | زملاء يحتاجون وصولًا مستمرًا | لا تفيد مع مستلم عابر من خارج خزنتك |
| رابط سري لمرة واحدة | تسليم واحد لأي شخص، من الداخل أو الخارج | لا تتحكم فيما يحدث بعد الإظهار |
| تطبيق مراسلة مشفر برسائل تختفي | تسليم سريع بين أشخاص يستخدمون التطبيق أصلًا | لا تمنع لقطات الشاشة ولا المزامنة مع أجهزة أخرى |
| مكالمة هاتفية أو لقاء شخصي | أسرار عالية القيمة جدًا وسلاسل قصيرة | لا تصلح على نطاق واسع، ولا تترك أي سجل للتسليم |
مدير كلمات المرور هو المكان الصحيح لبيانات الدخول التي يعيد الفريق استخدامها. فالخزائن المشتركة في 1Password و Bitwarden وغيرهما تمنح وصولًا بأسماء أصحابه، مع إمكانية الإبطال والتغيير. والثغرة هي الشخص الذي ليس في خزنتك: متعاقد أو عميل أو موظف جديد في يومه الأول أو مهندس دعم لدى أحد المورّدين. دعوته من أجل كلمة مرور واحدة إجراء ثقيل، وروابط المشاركة العامة في كثير من مديري كلمات المرور ليست إلا صفحات عادية محدودة المدة.
الرابط السري لمرة واحدة مصمم لهذا التسليم الواحد. يُشفَّر المحتوى السري قبل تخزينه، ولا تحمل الرسالة التي ترسلها إلا رابطًا، وتُحذف النسخة المخزنة عند أول فتح للرابط. لا يبقى شيء في المحادثة أو في التذكرة، ويتوقف الرابط عن العمل عند انتهاء صلاحيته إن لم يفتحه أحد. ويشرح دليل الروابط السرية مقابل مديري كلمات المرور متى تتفوق كل طريقة.
الرسائل التي تختفي في Signal أو WhatsApp تحمي الرسالة أثناء انتقالها وتزيلها من المحادثة بعد مدة محددة. لكنها لا تمنع لقطة الشاشة، ومعظم الناس لديهم نسخ احتياطية لمحادثاتهم أو مزامنة مع جهاز ثانٍ. استخدمها للتسليم قليل الأهمية بين أشخاص يستخدمون التطبيق أصلًا.
المكالمة الهاتفية ما زالت تصلح لسلسلة قصيرة تذهب إلى شخص واحد تعرفه من صوته. لكنها لا تصلح على نطاق واسع، والمستلم سيكتب ما سمعه في مكان ما، ولذلك تناسب عبارة المرور التي تحمي الرابط أكثر مما تناسب بيانات الدخول نفسها.
طريقة إنشاء رابط مؤقت لمشاركة بيانات تسجيل الدخول
يستغرق الرابط لمرة واحدة نحو دقيقة. تستخدم الخطوات أدناه الأداة المجانية لإنشاء رابط سري من LinkPilot، وهي تعمل بدون حساب لنص يصل إلى 10,000 حرف. ومع حساب مسجَّل تحصل على خيارات الصلاحية الجاهزة وحدود المشاهدة والملفات المرفقة.
- تحقق من المستلم أولًا. تأكد من الشخص ومن عنوانه أو اسم حسابه عبر قناة سبق أن استخدمتها معه. فمعظم بيانات الدخول التي تصل إلى الشخص الخطأ سببها الإكمال التلقائي الذي يختار الاسم الخطأ.
- الصق كلمة المرور وحدها. اسم المستخدم وعنوان صفحة تسجيل الدخول وأي تعليمات تذهب في رسالة منفصلة. فالرابط الذي يتسرب يجب أن يعطي المهاجم رابطًا ميتًا أو سياقًا لا فائدة منه، لا النصفين معًا.
- اجعل مدة الصلاحية بقدر الحاجة الفعلية. ساعة واحدة إن كان المستلم ينتظر، و24 ساعة إن كان في منطقة زمنية أخرى، وسبعة أيام فقط إن كان لذلك سبب. ويُحذف الرابط نهائيًا عند أول فتح، فانتهاء الصلاحية احتياط للرابط الذي لا يفتحه أحد.
- اجعل حد المشاهدة مرة واحدة ما لم يحتج شخصان فعلًا إلى فتحه. الروابط متعددة المشاهدات موجودة لهذه الحالة، لكن الأصل في بيانات الدخول إظهار واحد.
- أضف عبارة مرور مع خطة Pro لأي شيء لا تريده في قناة عامة، وأرسل عبارة المرور بطريق آخر، كرسالة نصية أو مكالمة.
- أرسل الرابط مع سطر واحد يشرح السياق: الغرض منه ومتى تنتهي صلاحيته. ثم أرسل اسم المستخدم وعنوان صفحة تسجيل الدخول في رسالة ثانية.
- تأكد من الفتح. إذا تبيّن من الرابط أنه فُتح من قبل وقال المستلم إنه لم يفتحه، فغيّر كلمة المرور فورًا. ويستطيع أصحاب حسابات Pro مراجعة سجل التدقيق لمعرفة وقت الإظهار بالضبط.
يحدث التشفير في متصفحك قبل إرسال أي شيء إلى LinkPilot. وينتقل مفتاح فك التشفير في جزء من عنوان URL تحتفظ به المتصفحات لنفسها، فلا تملك الخدمة النص الأصلي أبدًا، ولا يملكه أي شخص يرى الرابط أثناء انتقاله. والتفاصيل في التشفير من جهة العميل لمشاركة الأسرار.
جهّز بيانات الدخول كما تجهّز القناة
القناة الآمنة لا تعالج ضعف بيانات الدخول نفسها. وقبل أن تشارك أي شيء:
- أعطِ المستلم حساب دخول خاصًا به حين يسمح النظام بذلك. فالحساب المنفصل يمكن تحديد صلاحياته وإزالته، أما الحساب المشترك فلا.
- اجعل كلمة المرور فريدة. إذا كانت السلسلة نفسها تفتح شيئًا آخر، فأنت تشارك ذلك الشيء أيضًا.
- احذف كل ما لا يحتاجه المستلم. لا رموز استرداد، ولا بيانات حساب ثانٍ، ولا إضافات من قبيل «ما دمت أرسل هذا».
- حدّد تاريخ النهاية الآن. إذا كان الوصول يجب أن يتوقف حين ينتهي العمل، فضع التاريخ في تقويمك قبل إرسال الرابط.
بعد التسليم
حين يسجّل المستلم دخوله، تصبح بيانات الدخول في جهته وخارج يدك. لكن تبقى عليك ثلاثة أمور:
- أبطل الرابط إن لم يُفتح ولم تعد بحاجة إليه، بدل انتظار انتهاء صلاحيته.
- غيّر بيانات الدخول أو أزل الحساب حين ينتهي العمل. فانتهاء صلاحية الرابط لا يغيّر شيئًا في الحساب.
- راقب سجل تسجيل الدخول في الحساب نفسه يومًا أو يومين. فتسجيل الدخول من مكان غير متوقع يستحق سؤالًا.
ستظل بيانات الدخول تنتقل بين الناس. والمهم ألا يترك انتقالها شيئًا خلفه، فلا يجد أحد ما يبحث عنه في أي صندوق بريد لاحقًا.