تسجيل الدخول بخطوتين في WordPress: رموز التطبيق ومفاتيح المرور وكيف تتجنب إغلاق الباب على نفسك

في وضعه الافتراضي لا يطلب WordPress سوى اسم مستخدم وكلمة مرور. تسجيل الدخول بخطوتين يضيف خطوة ثانية: بعد كلمة المرور تكتب رمزًا من تطبيق على هاتفك، أو تؤكد الدخول بمفتاح مرور. وعندئذٍ لا تفتح كلمة المرور وحدها لوحة التحكم. يمكنك إعداده مجانًا بإضافة من دليل WordPress.org، ويستغرق بضع دقائق لكل حساب.

يتناول هذا الدليل أنواع الخطوة الثانية، وكيف تقيّمها، وكيف تطبّقها على موقع فيه عدة مستخدمين، وما الذي يجب تجهيزه قبل أن يفقد أحدهم هاتفه.

لماذا العناء إن كانت كلمة المرور قوية

كلمة المرور القوية تمنع التخمين. لكنها لا تنفع في ثلاث حالات شائعة:

• استُخدمت كلمة المرور نفسها في خدمة أخرى، وتسرّبت من تلك الخدمة،
• كتبها أحدهم في صفحة دخول مزيفة وصلته بها رسالة بريد،
• حُفظت في المتصفح على جهاز يستخدمه آخرون.

في كل حالة يعرف شخص آخر كلمة المرور. ومع الخطوة الثانية لا تكفي معرفتها للدخول إلى لوحة التحكم.

ثلاثة أنواع للخطوة الثانية

رمز من تطبيق مصادقة (TOTP). عند الإعداد تمسح رمز QR بتطبيق على هاتفك. ومن ذلك الحين يعرض التطبيق رمزًا من ست خانات يتغير كل 30 ثانية. ولا يحتاج الهاتف إلى اتصال لذلك: يُحسب الرمز من سر مخزّن ومن الوقت الحالي. وكل تطبيقات المصادقة الشائعة تدعمه.

نقطة الضعف: يمكن كتابة الرمز في صفحة دخول مزيفة تمامًا كما تُكتب كلمة المرور، ومهاجم سريع قد يستخدمه قبل أن تنتهي صلاحيته.

رمز يُرسل بالبريد الإلكتروني. مريح، لأنه لا يتطلب تثبيت تطبيق. لكنه قوي بقدر قوة صندوق البريد فقط. فإذا كان صندوق البريد يستخدم كلمة المرور نفسها التي لـWordPress، فالخطوة الثانية لا تضيف إلا القليل.

مفتاح المرور (معيار WebAuthn). بدل كتابة رمز، تؤكد ببصمة الإصبع أو الوجه أو رقم PIN للهاتف أو مفتاح أمان USB. يربط المتصفح كل مفتاح مرور بالنطاق الذي أُنشئ عليه. وفي صفحة مشابهة تحت نطاق آخر لا يعرض المتصفح مفتاح المرور أصلًا، فلا يوجد ما يُسرق. ومفاتيح المرور تشترط أن يعمل الموقع عبر HTTPS.

هل يمكن ذلك دون إضافة مدفوعة

نعم. يشير دليل Advanced Administration على WordPress.org (بتحديثه في 14 أكتوبر 2026) إلى إضافات في الدليل للدخول بخطوتين، لأن WordPress لا يتضمنه. وتقوم بذلك عدة إضافات مجانية. مثال واحد: في 19 أكتوبر 2026 ذكرت صفحة إضافة Two Factor على WordPress.org (من WordPress.org، الإصدار 0.17.0) رموز تطبيقات المصادقة ورموز البريد ورموز النسخ الاحتياطي، ووصفت دعم مفاتيح المرور WebAuthn بأنه إضافة منفصلة.

قبل أن تثبّت واحدة، ابحث في وصفها عن أربعة أمور:

1. ما طرق الخطوة الثانية التي تدعمها، وهل تطبيق المصادقة منها.
2. هل تعطيك رموز استرداد لهاتف مفقود.
3. هل يستطيع من لديه وصول إلى الخادم إيقاف الخطوة الثانية لحساب أُغلق عليه.
4. هل تستطيع فرض الخطوة الثانية على أدوار تختارها.

التطبيق دون إغلاق الباب على أحد

1. ابدأ بحسابك أنت. الإضافة الجيدة لا تطلب الرموز إلا بعد أن تكتب رمزًا صحيحًا أثناء الإعداد. وهذا يؤكد أن التطبيق ينتج الرموز الصحيحة قبل أن يعتمد عليه أي شيء.
2. لا تحتفظ برموز الاسترداد على الهاتف. مدير كلمات المرور مكان جيد. الرموز المخزنة على الهاتف نفسه الذي عليه التطبيق تضيع معه.
3. حدّد من ينقذ حسابًا مغلقًا. اعرف من لديه وصول إلى الخادم (أنت، أو مطوّرك، أو استضافتك) وكيف يوقف هناك الخطوة الثانية لحساب واحد. دوّن ذلك قبل أن تحتاج إليه.
4. افرضها على الأدوار ذات الصلاحيات. المديرون والمحررون ومديرو المتجر يستطيعون تغيير الموقع أو رؤية بيانات العملاء. امنحهم بضعة أيام للإعداد، وأخبرهم بالبريد الإلكتروني أولًا.
5. انقل التطبيقات إلى كلمات مرور التطبيقات. تطبيق WordPress للجوال، أو أداة تنشر عبر REST API، لا تستطيع عرض شاشة لإدخال الرمز. ولهذا يوفر WordPress كلمات مرور التطبيقات (application passwords): في ملف المستخدم تنشئ كلمة مرور مستقلة لأداة واحدة، وتستطيع إلغاءها في أي وقت.
6. أنهِ الجلسات القديمة. يُبقيك WordPress مسجلًا يومين، أو 14 يومًا مع تفعيل «تذكرني». بعد تفعيل الخطوة الثانية سجّل خروج الحساب من أجهزته الأخرى حتى لا تتجاوز الجلسات القديمة القاعدة الجديدة.

أمور يجب الانتباه إليها

• ساعة الهاتف. تعتمد رموز التطبيق على الوقت. إذا توقفت الرموز عن العمل فجأة، تحقق من أن الهاتف يضبط الوقت تلقائيًا.
• نطاق جديد. يعمل مفتاح المرور للنطاق الذي أُنشئ عليه. بعد نقل الموقع إلى عنوان جديد ستحتاج إلى إضافة مفتاح جديد، فاحتفظ بالتطبيق أو برموز الاسترداد كطريق دخول ثانٍ.
• حين يغادر أحدهم. احذف حسابه أو اسحب دوره. إطفاء هاتفه لا يغلق حسابه.
• يحمي تسجيل الدخول ولا شيء غيره. الثغرة في إضافة قديمة لا تحتاج إلى تسجيل دخول. تبقى التحديثات مهمة، كما يشرح مقال إضافات WordPress القديمة.

كيف تفعل ذلك Ensomedia Security

Ensomedia Security إضافة مجانية في دليل WordPress.org بنيتُها لـShieldWave. كل ما فيها يعمل بالطريقة نفسها دون حساب ShieldWave. والحقائق من صفحتها ومن شيفرتها:

• الخطوة الثانية رمز من تطبيق مصادقة (TOTP)، وتحصل عند الإعداد على عشرة رموز استرداد،
• أمر WP-CLI wp shieldwave two-factor disable <user> يوقفها لحساب واحد، فلا يُغلق الباب على أحد نهائيًا،
• التطبيقات تسجّل الدخول بكلمة مرور تطبيق،
• يمكنك فرض تسجيل الدخول بخطوتين على الأدوار التي تختارها، مع مهلة للإعداد من 0 إلى 30 يومًا (7 افتراضيًا)،
• تعمل مفاتيح المرور (WebAuthn) كخطوة ثانية بعد كلمة المرور، وتبقى كلمة المرور مطلوبة. وهي تحتاج إلى HTTPS وإلى امتداد OpenSSL في PHP،
• ولأن المتصفح يربط مفتاح المرور بنطاق الموقع، فإن صفحة دخول مشابهة تحصل على كلمة المرور على أكثر تقدير، ولا تحصل أبدًا على الخطوة الثانية،
• إضافة مفتاح مرور أو إزالته تطلب أولًا كلمة المرور أو رمزًا حاليًا، ويتلقى صاحب الحساب رسالة بريد حين يُضاف مفتاح،
• قسم الجلسات يبيّن أين سُجّل دخول الحساب، ويُخرجك من كل مكان آخر أو يُخرج كل المستخدمين، ويحدد مدة جلسة المدير،
• تحدّ حماية تسجيل الدخول من المحاولات الفاشلة لكل عنوان (5 افتراضيًا، ثم فترة تهدئة) ولكل اسم مستخدم عبر جميع العناوين (20 في الساعة افتراضيًا). والحظر مؤقت دائمًا، والعناوين الموثوقة لا تُحظر أبدًا.

وهي ليست جدار حماية كاملًا لتطبيقات الويب، ولا تزيل البرمجيات الخبيثة من الملفات. تسرد صفحة الإضافة ما ترسله كل خدمة اختيارية، ويستعرض الدليل شاشة بشاشة الإعدادات.

قائمة قصيرة لليوم

1. فعّل الخطوة الثانية لحساب المدير الخاص بك، وضع رموز الاسترداد في مدير كلمات مرور.
2. اعرف كيف توقفها لحساب واحد حين يفقد أحدهم هاتفه.
3. افرضها على كل دور يستطيع تغيير الموقع، مع بضعة أيام للإعداد.
4. أعطِ الأدوات والتطبيقات كلمات مرور تطبيقات خاصة بها.
5. سجّل خروج حسابك من الأجهزة التي لم تعد تستخدمها.

افحص موقعك من الخارج. أدخل عنوانك في shieldwave.io. يستغرق الأمر نحو 90 ثانية، ولا يحتاج إلى كلمة مرور ولا إلى إضافة.