مؤشر مفاتيح المرور 2026: ثلث عمليات تسجيل الدخول دون كلمة مرور، ودليل تقييم للوصول إلى ذلك

في 15 أكتوبر 2026، ومع افتتاح مؤتمره Authenticate، نشر تحالف FIDO النسخة الثانية من مؤشر مفاتيح المرور وراجع تقديره العالمي: نحو 7 مليارات مفتاح مرور باتت قيد الاستخدام، مقابل 5 مليارات أُعلن عنها في مايو. وخلف هذا الرقم اللافت، تكمن قيمة التقرير في مكان آخر: خمس عشرة خدمة كبرى موجّهة للجمهور، من بينها بنوك وتطبيقات مراسلة ومشغّلو اتصالات ومنصات دفع، شاركت بياناتها الفعلية لتسجيل الدخول. وبالنسبة لفريق منتج، هذه أول مرة يمكن فيها مقارنة ما تعِد به مفاتيح المرور بما تحققه فعلاً على نطاق واسع.

ماذا تقول الأرقام

• أكثر من عملية تسجيل دخول ناجحة واحدة من كل ثلاث تتم عبر مفتاح مرور: 36% في المتوسط لدى المشاركين، مقابل 26% في نسخة 2025.
• مفاتيح المرور تنجح أكثر: 93% من المحاولات تنجح، مقابل 78% لكلمات المرور والمصادقة متعددة العوامل التقليدية، بما فيها رموز الرسائل القصيرة. وهي أسرع بنحو ثلاث مرات وتوفّر في المتوسط 27 ثانية في كل عملية تسجيل دخول.
• الأهلية شبه كاملة: 90% من الحسابات النشطة يمكنها إنشاء مفتاح مرور، و42% من الحسابات المؤهلة تملك واحداً، أي نحو 38% من مجموع الحسابات.
• الفجوة بين التسجيل والاستخدام تضيق: 38% من الحسابات مجهّزة مقابل 36% من عمليات تسجيل الدخول، بعد أن كانت 34% و26% في العام الماضي.
• الفائدة الأمنية باتت مُقاسة أخيراً: المشاركون الثمانية جميعهم الذين يتتبعون التصيّد الاحتيالي سجّلوا انخفاضاً في الهجمات الناجحة منذ النشر، والأربعة الذين شاركوا بيانات التكاليف يرون فاتورة رموز الرسائل القصيرة تتراجع.
• الخطوة التالية مكتوبة سلفاً: تسعة مشاركين من أصل ثلاثة عشر يعتزمون تقديم حسابات بلا أي كلمة مرور خلال اثني عشر شهراً.

ويوضح تحالف FIDO بنفسه حدود الدراسة: المتوسطات غير مرجّحة، فالخدمة الصغيرة تزن بقدر منصة عالمية، كما ارتفع عدد المشاركين من تسعة إلى خمسة عشر، ما يجعل المقارنة مع 2025 استرشادية لا صارمة. غير أن الاتجاهات العامة تتقاطع.

العائق الحقيقي لم يعد تقنياً

يحدد التقرير سبباً دقيقاً للفجوة بين الحسابات المجهّزة وعمليات تسجيل الدخول الفعلية: مشاركان يقرّان بأن مسارهما ما زال يعرض كلمة المرور أو رمزاً قبل مفتاح المرور، حتى على المستخدمين الذين يملكون واحداً. بعبارة أخرى، التقنية جاهزة، والمتصفحات وأنظمة التشغيل تدعمها، لكن شاشة تسجيل الدخول تواصل دفع الطريقة القديمة. والحال أن المكسب الأمني لمفتاح المرور يتلاشى ما دامت كلمة مرور قابلة للتصيّد مقبولة على الحساب نفسه. إنها مسألة تصميم مسار، أي قرار منتج، وليست ورشة بنية تحتية.

دليل FIDO للتقييم: أربعة مستويات للتقييم الذاتي

لمساعدة الفرق على تجاوز هذه العتبة، ينشر تحالف FIDO على Passkey Central دليل تقييم من أربع درجات تراكمية. وهو أداة تشخيص ذاتي، لا شهادة اعتماد.

• البرونزي، الحد الأدنى الوظيفي: السماح بعدة مفاتيح مرور لكل حساب تفادياً للإقفال، وشاشة إدارة ظاهرة، وبدائل احتياطية صريحة، ومصطلحات متسقة.
• الفضي، الهدف الموصى به عند الإطلاق: التعبئة التلقائية في حقل تسجيل الدخول، ودعوة إلى إنشاء مفتاح مرور في التوقيت المناسب، ومعالجة الأخطاء، وإمكانية الوصول.
• الذهبي: التحويل التلقائي لكلمة مرور محفوظة إلى مفتاح مرور بعد تسجيل دخول ناجح، مع إشعار، ودمج واجهة Signal API لإزالة مفاتيح المرور التي لم تعد صالحة، واستعادة الحساب بما يتناسب مع المخاطر.
• البلاتيني: سحب العوامل القابلة للتصيّد، أي كلمات المرور ورموز الرسائل القصيرة، والمواءمة بين النطاقات المختلفة للعلامة التجارية الواحدة.

ويعدّد الدليل أيضاً الأخطاء الشائعة: النافذة الحاجبة التي تفرض إنشاء مفتاح مرور، وقصر الحساب على مفتاح مرور واحد، أو التحويل الصامت دون إعلام المستخدم.

من المعني

كل خدمة تصادق على هوية الأشخاص: بوابة عملاء، فضاء أعضاء، تطبيق أعمال داخلي، أداة برمجية كخدمة. يجد صانعو القرار فيه حجة مرقّمة حول تكاليف الرسائل القصيرة والاحتيال؛ وفرق المنتج، خارطة طريق واضحة؛ وفرق الأمن، دليلاً ميدانياً على مقاومة التصيّد. أما المؤسسات التي تنشر مفاتيح المرور لموظفيها فباتت تملك قسماً مخصصاً على Passkey Central، مع دليل نشر وتجارب موثّقة.

من أين تبدؤون

1. قيسوا ثلاثة مؤشرات: نسبة الحسابات المؤهلة، ونسبة الحسابات المجهّزة، ونسبة عمليات تسجيل الدخول الناجحة عبر مفتاح مرور. من دون هذه الأرقام، لا يمكن الدفاع عن أي قرار.
2. حددوا موقعكم على الدليل. النقصان اللذان يشير إليهما الدليل نفسه بوصفهما الأكثر شيوعاً هما قصر الحساب على مفتاح مرور واحد وغياب شاشة الإدارة.
3. اجعلوا مفتاح المرور المسار الافتراضي لمن يملك واحداً، بالاعتماد على التعبئة التلقائية في المتصفح. هناك تُحسم الفجوة بين 38% و36%.
4. جهّزوا الحساب بلا كلمة مرور للفئات الجاهزة، بدءاً بالحسابات عالية المخاطر، وحددوا آلية الاستعادة قبل إزالة البديل الاحتياطي.
5. ضعوا في الميزانية خفض الرسائل القصيرة: فهو غالباً البند الذي يموّل المشروع.

نرافق فرق المنتج والفرق التقنية في هذا التشخيص وفي تصميم المسار، من الحد الأدنى البرونزي إلى الحساب بلا كلمة مرور. لنتحدث عن مسار تسجيل الدخول لديكم.