ماذا يحدث لكلمة المرور الخاطئة بعد الضغط على تسجيل الدخول؟

تكتب اسم المستخدم، تدخل كلمة المرور، ثم تضغط على زر تسجيل الدخول... وبعد أقل من ثانية تظهر أمامك رسالة: كلمة المرور غير صحيحة.

بالنسبة لك، انتهى الأمر عند هذه الرسالة، لكن خلفها تحدث سلسلة من العمليات التقنية بين المتصفح والخادم وأنظمة المصادقة والحماية، وكل ذلك في وقت قصير جدًا.

فماذا يحدث فعلًا لكلمة المرور التي كتبتها؟ وهل يراها الموقع كما كتبتها؟ وكيف يعرف أن كلمة المرور خاطئة؟ وماذا يحدث إذا كررت المحاولة عدة مرات؟

في هذا المقال من تك ستار سنأخذك في رحلة كاملة تبدأ من لحظة الضغط على زر تسجيل الدخول وتنتهي بظهور رسالة الخطأ على شاشتك.

أولًا: ماذا يحدث بمجرد الضغط على تسجيل الدخول؟

عندما تضغط على زر تسجيل الدخول، لا يحدث الأمر بالطريقة البسيطة التي قد تتخيلها، أي أن الموقع لا يفتح قاعدة البيانات ويبحث عن كلمة المرور التي كتبتها حرفيًا.

المتصفح ينشئ طلبًا ويرسله إلى الخادم المسؤول عن الموقع أو التطبيق، ويحتوي الطلب على بيانات يحتاجها النظام لمعالجة عملية تسجيل الدخول.

في المواقع التي تستخدم الاتصال الآمن، تنتقل هذه البيانات عبر HTTPS/TLS، وهي طبقة مهمة لحماية البيانات أثناء انتقالها بين جهازك والخادم.

وهنا تبدأ الرحلة الحقيقية.

رحلة طلب تسجيل الدخول تبدأ من المتصفح

المتصفح هو أول حلقة في السلسلة.

بعد إدخال بيانات تسجيل الدخول والضغط على الزر، يتعامل المتصفح مع صفحة الموقع ويرسل الطلب إلى العنوان المخصص لمعالجة عملية المصادقة.

إذا كان الموقع يستخدم HTTPS، يتم إنشاء اتصال آمن مع الخادم قبل تبادل البيانات الحساسة.

وبالتالي، فإن الضغط على زر واحد يمكن أن يؤدي إلى سلسلة من عمليات الاتصال التي لا تراها على الشاشة.

كيف يصل الطلب إلى خادم الموقع؟

لكي يصل طلب تسجيل الدخول إلى الخادم، يحتاج جهازك أولًا إلى معرفة المكان الذي يوجد فيه الموقع على الإنترنت.

هنا يأتي دور DNS، الذي يساعد على تحويل اسم النطاق الذي تعرفه، مثل:

example.com

إلى عنوان IP يمكن للأجهزة استخدامه للوصول إلى الخادم.

بعد ذلك يبدأ المتصفح في التواصل مع الخادم وإرسال طلب تسجيل الدخول.

هل كلمة المرور التي كتبتها محفوظة في الموقع كما هي؟

في النظام المصمم بطريقة آمنة، لا ينبغي أن تكون كذلك.

من أكبر الأخطاء الأمنية أن تقوم خدمة ما بتخزين كلمات المرور في قاعدة البيانات كنص واضح يمكن لأي شخص قراءته عند الوصول إلى قاعدة البيانات.

بدلًا من ذلك، تستخدم الأنظمة الآمنة تقنيات تجزئة كلمات المرور Password Hashing، بحيث يتم تخزين قيمة ناتجة عن عملية حسابية مصممة خصيصًا لحماية كلمات المرور.

ومن الخوارزميات المستخدمة في هذا المجال:

Argon2id
bcrypt
PBKDF2

وتوصي OWASP باستخدام خوارزميات مخصصة لتخزين كلمات المرور، مع استخدام Salt مناسب لكل كلمة مرور.

راجع دليل OWASP لتخزين كلمات المرور بشكل آمن.

إذن كيف يعرف الموقع أن كلمة المرور خاطئة؟

عندما تصل بيانات تسجيل الدخول إلى الخادم، يبدأ النظام في التعامل معها وفق آلية المصادقة الخاصة بالخدمة.

إذا كان اسم المستخدم أو البريد الإلكتروني مرتبطًا بحساب موجود، يستطيع النظام استخدام بيانات الاعتماد المخزنة للتحقق من كلمة المرور التي تم إدخالها.

بدلًا من مقارنة كلمة المرور كنص عادي، يتم التعامل معها باستخدام آلية التجزئة المناسبة، ثم تتم مقارنة النتيجة بما هو محفوظ للحساب.

إذا تطابقت القيم بالطريقة الصحيحة، يمكن أن تنجح عملية تسجيل الدخول.

أما إذا لم تتطابق، يعرف النظام أن كلمة المرور التي أدخلتها غير صحيحة.

وهنا تظهر رسالة: كلمة المرور غير صحيحة

بعد فشل عملية المصادقة، يعيد الخادم استجابة إلى المتصفح.

المتصفح يستقبل النتيجة ويعرض لك رسالة مثل:

كلمة المرور غير صحيحة.

أو قد تستخدم الخدمة رسالة أكثر عمومية مثل:

اسم المستخدم أو كلمة المرور غير صحيحة.

وهذه النقطة الأخيرة مهمة جدًا من الناحية الأمنية.

لماذا لا يخبرك الموقع دائمًا أن اسم المستخدم صحيح؟

لأن إعطاء تفاصيل أكثر من اللازم يمكن أن يساعد المهاجمين.

تخيل مثلًا أن الموقع يقول:

البريد الإلكتروني موجود، لكن كلمة المرور خاطئة.

بهذه الطريقة أصبح من الممكن معرفة أن البريد الإلكتروني مرتبط بحساب فعلي.

لذلك تستخدم العديد من الأنظمة رسائل عامة لا تكشف بالضبط أي جزء من بيانات تسجيل الدخول كان صحيحًا.

وهذا جزء من مفهوم أمني يعرف باسم User Enumeration، أي محاولة اكتشاف الحسابات الموجودة على الخدمة.

ماذا يحدث إذا كررت كتابة كلمة المرور الخاطئة؟

هنا تبدأ أنظمة الحماية في الدخول إلى الصورة.

إذا أخطأت مرة أو مرتين، غالبًا لن يحدث شيء غير طبيعي.

لكن ماذا لو حاول شخص إدخال عشرات أو مئات أو آلاف كلمات المرور على الحساب نفسه؟

هنا يصبح الأمر مختلفًا تمامًا.

يمكن للخدمة استخدام آليات مثل:

تحديد عدد محاولات تسجيل الدخول.
إضافة تأخير بين المحاولات.
إظهار CAPTCHA.
حظر أو تقييد النشاط المشبوه مؤقتًا.
إرسال تنبيه أمني للمستخدم.

والهدف هو جعل تجربة عدد ضخم من كلمات المرور أكثر صعوبة على الأنظمة الآلية.

ماذا علاقة ذلك بالتصيد والروابط المزيفة؟

هناك نقطة مهمة جدًا هنا: ليس كل خطر متعلق بكلمة المرور يحدث داخل صفحة تسجيل الدخول الحقيقية.

أحيانًا تكون المشكلة أن المستخدم يدخل كلمة المرور في صفحة مزيفة صُممت لتبدو مثل الموقع الأصلي.

وهذا هو السبب الذي يجعل معرفة كيفية اكتشاف الروابط المزيفة ورسائل التصيد أمرًا مهمًا، خصوصًا عندما تصل إليك رسالة تطلب منك تسجيل الدخول بشكل عاجل.

يمكنك أيضًا قراءة مقالنا عن كيفية اكتشاف الروابط المزيفة ومحاولات التصيد لمعرفة العلامات التي تساعدك على تمييز الرابط المشبوه قبل إدخال بياناتك.

هل الموقع يرى كلمة المرور التي كتبتها؟

الخادم يحتاج إلى استقبال بيانات الاعتماد حتى يتمكن من تنفيذ عملية المصادقة، لكن هذا لا يعني أن كلمة المرور يجب أن يتم تخزينها في قاعدة البيانات كنص واضح.

الفرق هنا مهم جدًا.

هناك فرق بين استقبال كلمة المرور للتحقق منها وبين تخزين كلمة المرور بشكل مكشوف.

النظام الآمن يجب أن يتعامل مع كلمات المرور بطريقة تقلل من إمكانية كشفها أو إساءة استخدامها.

ماذا يحدث إذا كانت كلمة المرور صحيحة؟

إذا نجحت عملية التحقق، لا ينتهي الأمر عند مقارنة كلمة المرور.

يحتاج الموقع إلى معرفة أن المستخدم أصبح مسجل الدخول بالفعل، ولذلك يتم إنشاء أو تحديث جلسة للمستخدم.

قد يستخدم الموقع Cookie أو رمز جلسة يسمح للخادم بالتعرف على المستخدم في الطلبات التالية دون الحاجة إلى إرسال كلمة المرور في كل مرة.

وهذا يعني أن حماية جلسة تسجيل الدخول نفسها مهمة أيضًا، وليس كلمة المرور فقط.

وماذا يحدث إذا كانت كلمة المرور خاطئة ثم صحيحة؟

كل محاولة تسجيل دخول يتم التعامل معها وفق نظام المصادقة والحماية الخاص بالخدمة.

إذا أخطأت في المحاولة الأولى ثم أدخلت كلمة المرور الصحيحة في المحاولة الثانية، يمكن أن تنجح عملية تسجيل الدخول إذا لم تكن هناك قيود أمنية أخرى تمنع ذلك.

لكن إذا كانت هناك محاولات كثيرة أو نشاط غير طبيعي، فقد يقرر النظام فرض إجراءات حماية إضافية حتى لو أصبحت كلمة المرور صحيحة.

ماذا يحدث بعد عدد كبير من المحاولات الفاشلة؟

لا توجد قاعدة واحدة تنطبق على جميع المواقع.

بعض الخدمات قد تسمح بعدد من المحاولات ثم تفرض تأخيرًا، وبعضها قد يعرض اختبار CAPTCHA، بينما تستخدم خدمات أخرى أنظمة أكثر تطورًا لمراقبة النشاط.

وهذا مهم لأن الهجمات الآلية لا تعتمد بالضرورة على محاولة تخمين كلمة مرور واحدة بشكل متكرر.

ما هو Brute Force؟

هجوم Brute Force يعتمد على تجربة عدد كبير من كلمات المرور المحتملة حتى يتم العثور على كلمة المرور الصحيحة.

كلما كانت كلمة المرور أقصر وأسهل، أصبح هذا النوع من الهجمات أكثر قابلية للتنفيذ، خصوصًا عندما لا توجد أنظمة تحد من عدد المحاولات.

ولهذا تعتبر كلمات المرور الطويلة والفريدة مع المصادقة متعددة العوامل جزءًا مهمًا من حماية الحسابات.

وما هو Credential Stuffing؟

هناك نوع آخر مختلف يسمى Credential Stuffing.

في هذه الحالة لا يحتاج المهاجم بالضرورة إلى تخمين كلمة المرور من الصفر، بل يمكن أن يحاول استخدام بيانات تسجيل دخول حصل عليها من تسريب سابق على خدمات أخرى.

وهنا تظهر خطورة استخدام كلمة المرور نفسها في أكثر من موقع.

إذا تسربت بيانات أحد المواقع، فإن إعادة استخدام كلمة المرور نفسها في خدمة أخرى قد تمنح المهاجم فرصة لتجربة البيانات المسربة هناك.

هل تغيير كلمة المرور باستمرار هو الحل؟

ليس الهدف أن تقوم بتغيير كلمة المرور بشكل عشوائي كل فترة قصيرة دون سبب.

الأهم هو استخدام كلمة مرور قوية وفريدة لكل خدمة، وعدم إعادة استخدام كلمة المرور نفسها، وتفعيل المصادقة متعددة العوامل عندما تكون متاحة.

كما أن حماية الجهاز نفسه مهمة، خصوصًا إذا كنت تستخدم الهاتف أو الكمبيوتر لإدارة حساباتك.

وإذا كنت تستخدم هاتف Android، فمن المفيد مراجعة المعلومات التي يمكن للهاتف والتطبيقات الوصول إليها، وهو ما شرحناه بالتفصيل في مقال 15 معلومة يعرفها هاتفك عنك وأنت لا تعرفها.

أين تدخل المصادقة الثنائية MFA؟

تخيل أن شخصًا حصل على كلمة المرور الخاصة بك بطريقة ما.

إذا كان الحساب يعتمد على كلمة المرور فقط، فقد تكون هذه مشكلة كبيرة.

لكن عند تفعيل MFA، قد يحتاج المهاجم إلى عامل إضافي لإكمال عملية تسجيل الدخول.

يمكن أن يكون العامل الإضافي تطبيق مصادقة أو مفتاح أمان أو وسيلة أخرى حسب الخدمة.

وهذا يجعل امتلاك كلمة المرور وحدها غير كافٍ في كثير من الحالات.

رحلة كلمة المرور الخاطئة في ثوانٍ

يمكن تلخيص ما يحدث في الصورة التالية:

أنت
 ↓
تكتب كلمة المرور
 ↓
المتصفح
 ↓
HTTPS / TLS
 ↓
خادم الموقع
 ↓
البحث عن الحساب
 ↓
التحقق من بيانات الاعتماد
 ↓
فشل المطابقة
 ↓
فحص أنظمة الحماية
 ↓
إرسال الاستجابة
 ↓
المتصفح يعرض رسالة الخطأ

كل هذه الخطوات قد تحدث بسرعة كبيرة لدرجة أنك لا تشعر إلا بظهور الرسالة أمامك.

هل كتابة كلمة مرور خاطئة تعني أن حسابك تعرض للاختراق؟

لا.

إذا كتبت كلمة مرور خاطئة لأنك نسيتها أو أخطأت في حرف، فهذا أمر طبيعي جدًا.

الخطر يبدأ عندما تلاحظ سلوكًا غير معتاد، مثل وصول تنبيهات تسجيل دخول لم تقم بها، أو رسائل تغيير كلمة مرور لم تطلبها، أو محاولات متكررة للدخول إلى حسابك.

في هذه الحالات يجب مراجعة نشاط الحساب وتغيير كلمة المرور وتفعيل المصادقة متعددة العوامل إذا كانت متاحة.

لماذا يجب أن تهتم بهذه الرحلة؟

لأنها توضح شيئًا مهمًا: تسجيل الدخول ليس مجرد مربع تكتب فيه كلمة مرور.

خلف زر واحد توجد طبقات من الاتصال والمصادقة والتجزئة وإدارة الجلسات ومراقبة المحاولات وأنظمة مكافحة الهجمات.

ولهذا فإن أي ضعف في إحدى هذه الطبقات يمكن أن يؤثر على مستوى حماية الحساب.

الخلاصة

عندما تكتب كلمة مرور خاطئة وتضغط على تسجيل الدخول، لا تختفي الكلمة ببساطة ويظهر لك تنبيه أحمر.

يبدأ المتصفح بإرسال طلب إلى الخادم عبر الاتصال المناسب، ثم يتعامل الخادم مع بيانات الاعتماد، ويتحقق من كلمة المرور باستخدام آلية المصادقة الخاصة بالخدمة.

إذا فشلت المطابقة، يعيد الخادم استجابة تخبر الموقع بأن عملية تسجيل الدخول لم تنجح، وقد تدخل أنظمة الحماية في الصورة إذا تكررت المحاولات بشكل غير طبيعي.

والأهم أن المواقع الآمنة لا يفترض أن تخزن كلمات المرور كنص واضح، بل تستخدم تقنيات مخصصة لحمايتها وتقليل مخاطر كشفها في حال تعرضت قاعدة البيانات للخطر.

وفي المرة القادمة التي ترى فيها رسالة «كلمة المرور غير صحيحة»، تذكر أن هذه الرسالة الصغيرة تخفي وراءها رحلة تقنية كاملة تحدث في ثوانٍ.

مصادر ومراجع

ملاحظة: تفاصيل عملية تسجيل الدخول تختلف من موقع إلى آخر حسب البنية البرمجية وأنظمة المصادقة والحماية المستخدمة، لذلك يشرح هذا المقال النموذج العام للعملية.