حقل واحد، رمز فوري واحد
الصق مفتاحًا سريًا أو رابط otpauth:// الكامل ليبدأ عدّ رمز 2FA التنازلي فورًا — بلا إعداد، وبلا نماذج، وبلا طقوس «إضافة حساب».
المؤقّت
المفاتيح الأخيرة
خصوصية بالتصميم. تُولَّد الرموز داخل متصفحك عبر Web Crypto. تُخزَّن المفاتيح دون تشفير في التخزين المحلي لهذا الجهاز — لا تغادره أبدًا (فلا توجد خواديم أصلًا)، لكن أي شخص يستطيع فتح هذا الملف الشخصي للمتصفح سيكون قادرًا على قراءتها.
100% داخل متصفحك · zero-knowledge
مولّد رموز 2FA الفوري
الصق مفتاحًا سريًا واحصل على رمز من 6 أرقام فورًا. بديل لـ Google Authenticator وAuthy وMicrosoft Authenticator: سريع ومجاني وخاص — لحين يُفقد الهاتف أو يتعطل أو ببساطة لا يكون في متناول اليد.
بلا تطبيق. بلا حساب. لا مفتاح يلمس خادمًا أبدًا.
otp.rfc-6238.js
// The whole tool. No servers involved.
const step = Math.floor(Date.now() / 1000 / 30);
const key = await crypto.subtle.importKey(
'raw', base32(secret), { name: 'HMAC', hash: 'SHA-1' });
const mac = new Uint8Array(
await crypto.subtle.sign('HMAC', key, u64(step)));
const o = mac[19] & 15;
const code = ((mac[o] & 0x7f) << 24 | mac[o+1] << 16
| mac[o+2] << 8 | mac[o+3]) % 1e6;
code.toString().padStart(6, '0'); // ← your 2FA code
0
مفاتيح محفوظة لدى جانبنا — فلا توجد خواديم حيث تُحفظ
100%
من الحساب يجري على جهازك، عبر Web Crypto
6238
المعيار RFC المنفَّذ — متوافق مع كل تطبيق مصادقة
كيف يعمل
ثلاث خطوات تفصلك عن رمز 2FA الفوري — بلا هاتف.
يضيف التحقق بخطوتين قفلًا ثانيًا إلى حساباتك: رمزًا يتغير كل 30 ثانية ويُشتق من مفتاح سري مشترك مضافًا إليه الوقت الحالي (TOTP — RFC 6238). وهذه الصفحة هي ذلك القفل الثاني. متصفحك ينفذ الحساب نفسه تمامًا الذي ينفذه الموقع الذي تسجّل الدخول إليه.
ولأن السر هو كل ما يهم فعلًا، يمكنك حفظه في مدير كلمات مرور مشفّر وتوليد الرموز أينما شئت — على حاسوب محمول، أو ملف تعريف متصفح ثانٍ، أو جهاز سفر، دون اتصال.
هل أنت جديد على الموضوع؟ اقرأ الشرح بلغة مبسطة: ما هي المصادقة الثنائية (2FA)؟ وكيف يعمل TOTP
جرّبه الآن- 01
احصل على مفتاحك السري
حين توفر خدمةٌ ما خيارَ «المصادقة الثنائية ← تطبيق مصادقة»، اختر «لا تستطيع المسح؟ عرض مفتاح الإعداد». ستحصل على سلسلة Base32 من قبيل JBSWY3DPEHPK3PXP — أو على رابط otpauth:// كامل. وكلاهما يعمل هنا.
- 02
الصقه أو أفلت صورته أو امسحه
الصق المفتاح أو الرابط في المولّد، أو اسحب لقطة شاشة لرمز QR وأفلتها على الصفحة، أو امسح الرمز بالكاميرا. يجرى فك الترميز كله على جهازك — ولا يُرفع شيء.
- 03
انسخ الرمز الفوري
يظهر رمز جديد خلال ثوانٍ، متزامنًا مع ساعة جهازك. انقر زر النسخ وأكمل تسجيل دخولك. ويتجدد الرمز تلقائيًا كل 30 ثانية.
المزايا
كل ما تفعله تطبيقات 2FA — وجزء كبير منه على نحو أفضل
الصق لقطة شاشة، واحصل على مفتاح
اضغط Ctrl+V على صورة رمز QR، أو اسحب ملف صورة وأفلته، أو امسح الرمز بالكاميرا. ثلاث طرق للاستيراد، وصفر طرق لأن يتسرب مفتاحك.
جميع المعاملات، تُكتشف تلقائيًا
المفتاح المجرد يستخدم القيم القياسية، أما رابط otpauth:// الكامل فيحترم كل معامل يحمله — 6/7/8 أرقام، وفترة 15/30/60 ثانية، وSHA-1/256/512، بل وحتى HOTP القائم على العدّاد.
يصمد أمام إعادة التحميل — وتنتقل بين المفاتيح
أعد فتح الصفحة وآخر مفتاح لديك في انتظارك. قائمة المفاتيح الأخيرة تتيح لك التنقل بين مفاتيحك بنقرة واحدة — تُستعاد من التخزين المحلي لهذا الجهاز وحده، ولا من أي خادم.
لا شيء لتثبيته ولا تسجيل
بلا تطبيق هاتف، وبلا حساب، وبلا رسوم مزامنة، وبلا تتبّع. إن كنت تستطيع فتح متصفح، فتستطيع توليد رمز التحقق بخطوتين.
يعمل دون اتصال وقابل للتثبيت
يعمل والتطبيق معزول عن العالم — حرفيًا. وكتطبيق PWA يُثبَّت في شريطك أو شاشتك الرئيسية كتطبيق أصلي.
التوافق
يعمل أينما يعمل تطبيق مصادقة
أي خدمة توفر خيار «استخدام تطبيق مصادقة» تُولّد رمز TOTP القياسي نفسه — ومنها ما يلي:
- Discord
- GitHub
- Steam
- Binance
- X / Twitter
- AWS
- Coinbase
- Kraken
- Twitch
- Microsoft
- Proton Mail
هل تُعدّ إحدى هذه الخدمات؟ اقرأ الدليل خطوة بخطوة: GoogleMicrosoftDiscordGitHubXAWSCoinbaseKrakenSteamBinance
عن أداة 2FA هذه
2FA COUNTER — مصادق 2FA المجاني الذي يعيش داخل متصفحك
يأتي الزوار إلى هنا بغاية واحدة: رمز تحقق بخطوتين يعمل، الآن، دون تثبيت أي شيء. وهذا بالضبط ما هو عليه 2FA COUNTER. إنه مصادق 2FA مجاني ومولّد رموز 2FA داخل المتصفح: الصق مفتاحك السري، أو أفلت لقطة شاشة لرمز QR أو امسحها بالكاميرا، فيظهر الرمز الفوري المقابل خلال ثوانٍ ويتجدد تلقائيًا كل 30 ثانية، تمامًا كتطبيق هاتفك — غير أنه لا شيء هنا يحتاج إلى تثبيت.
ما هي المصادقة الثنائية (2FA)؟ إجابة في 60 ثانية
المصادقة الثنائية — 2FA — هي القفل الثاني لحسابك: شيءتملكه إلى جانب شيء تعرفه. عند تفعيلها يمنحك الخدمة مفتاحًا سريًا مشتركًا يُستخدم مرة واحدة. يشتق مصادقك من ذلك السر مضافًا إليه الوقت الحالي رمزًا من 6 أرقام — معيار TOTP، RFC 6238 — بينما ينفذ الموقع الذي تسجّل الدخول إليه الحسابَ نفسه ويقارن الناتجين. ولأن الرمز يتجدد كل 30 ثانية، فإن كلمة مرور مسروقة وحدها لم تعد تفتح شيئًا. وإن أردت الرحلة التشفيرية الكاملة، فاقرأ الشرح بلغة مبسطة ما هي المصادقة الثنائية (2FA)؟ كيف يعمل التحقق بخطوتين وTOTP، ثم عد إلى هنا لتوليد أول رمز لك.
مفتاح واحد، ثلاث خطوات، وانتهى الأمر
كلما احتجت رمزًا لتسجيل الدخول، تكفي ثلاث خطوات. أولًا، فعّل التحقق بخطوتين في الموقع واختر «تطبيق مصادقة»؛ فإن تعذّر مسح رمز QR، اعرض مفتاح الإعداد — سلسلة Base32 أو رابط otpauth:// الكامل. ثانيًا، الصق ذلك المفتاح أو الرابط في المولّد أعلى هذه الصفحة، أو أفلت لقطة شاشة للـQR أو استخدم الكاميرا. ثالثًا، انسخ الرمز المولّد حديثًا وأكمل تسجيل دخولك. ويحترم المولّد جميع معاملات otpauth التي يستقبلها: رموز من 6 أو 7 أو 8 أرقام، وفترات 15/30/60 ثانية، وتواقيع SHA-1 أو SHA-256 أو SHA-512، وHOTP القائم على العدّاد. لا يُرفع شيء ولا يُسجَّل شيء — فالرمز يُحسب على جهازك، ويمكنك التحقق من ذلك بنفسك في علامة الشبكة في المتصفح.
مصادق 2FA لا يحتاج إلى هاتفك أبدًا
يأتي معظم الناس إلى هنا لأن هاتفهم ذهب — بِيع أو انكسر أو غرق أو مُسحت بياناته أو نفدت بطاريته في خضم رحلة — بينما لا يعيش Google Authenticator وAuthy وMicrosoft Authenticator إلا على ذلك الجهاز. أداة 2FA داخل المتصفح تلغي نقطة الفشل الوحيدة تلك: يبقى السر في خزانة مدير كلمات المرور لديك، ويمكن إعادة توليد رمز 2FA على أي حاسوب موثوق. كما تناسب العمل المكتبي — تسجيل الدخول إلى GitHub أو لوحة AWS بشاشة ثانية، وإدارة عدة حسابات بقائمة المفاتيح الأخيرة، والعمل على جهاز تُمنع فيه الهواتف. ثبّتها كتطبيق وسيبقى المولّد يعمل والشبكة مقطوعة تمامًا. إنها الرياضيات نفسها من RFC 6238 التي تقبلها كل خدمة أصلًا، ببساطة منفلتة من الجيب.
أداة واحدة للعملات الرقمية والسحابة والألعاب والتواصل
أيًا كان ما تحميه، فإن TOTP القياسي هو اللغة المشتركة. التداول على Binance أو Coinbase أو Kraken، وتحصين حسابات AWS أو Microsoft أو Google، وحماية Steam وDiscord وX وبريدك — أي خدمة توفر «استخدام تطبيق مصادقة» تتحدث البروتوكول نفسه، فتغطي أداة واحدة كل شيء. وعندما يرفض موقعٌ رمزك، فالسبب في الأغلب ساعة الجهاز لا الأداة: اضبط وقت النظام على المزامنة التلقائية وستعود الرموز إلى الانسجام. وبالنسبة إلى الخدمات الأكثر شيوعًا ننشر أدلة إعداد خطوة بخطوةترافق هذا المولّد، من تفعيل الخاصية إلى لصق الرمز النهائي.
لا شيء يُرسل، ولا شيء يُحفظ، ولا شيء يُدفع
هذه واحدة من قلة قليلة من أدوات 2FA التي لا تخفي وراءها شيئًا، لأن ما يمكن إخفاءه غير موجود. لا خواديم تُرسل إليها المفاتيح، ولا حسابات تُنشأ، ولا خطة مميزة، ولا قياس عن بُعد. كل رمز يُحسب محليًا عبر Web Crypto API؛ ويقيم آخر مفتاح لديك وقائمة قصيرة بالمفاتيح الأخيرة في تخزين متصفحك وحده، ويُحذف بنقرة واحدة عبر «حذف الكل». احفظ النسخة الرئيسية لكل سر في مدير كلمات مرور مشفّر، واحفظ أيضًا رموز الاسترداد لكل خدمة، واعتبر أي طلب عاجل لرمز جديد على أنه العَلَم الأحمر الذي هو عليه.
جاهز حين تكون جاهزًا: المولّد في أعلى الصفحة. الصق مفتاحًا وشاهد الرمز الفوري يعدّ تنازليًا — مجاني وخاص ويعمل دون اتصال، إلى الأبد.
الأسئلة الشائعة
أسئلة تُجاب دون لفٍّ أو دوران
ما زلت تشك؟ كل ما تفعله هذه الأداة مرئي في علامة الشبكة في أدوات المطوّرين في متصفحك: صفر طلبات تحمل مفتاحك.
كيف أحصل على المصادقة الثنائية (2FA)؟
تحصل عليها من الحساب نفسه الذي تريد حمايته: افتح إعداداته، ثم انتقل إلى «الأمان» أو «تسجيل الدخول والأمان» وابحث عن «المصادقة الثنائية» أو «التحقق بخطوتين». اختر خيار تطبيق المصادقة، وامسح رمز QR — أو اضغط «لا تستطيع المسح؟» لعرض مفتاح الإعداد (سلسلة Base32 أو رابط otpauth://) — ثم الصقه في مولّد رموز 2FA الموجود في أعلى هذه الصفحة. أدخل الرمز الفوري الذي يظهر لتأكيد الإعداد، واحفظ رموز الاسترداد التي يعرضها الخدمة.
كيف أفعّل المصادقة الثنائية (2FA)؟
أربع خطوات تستغرق نحو دقيقتين: 1) افتح إعدادات الحساب أو الأمان واختر «المصادقة الثنائية». 2) اختر «استخدام تطبيق مصادقة» (وتجنّب الرسائل النصية SMS إن وُجد خيار أفضل). 3) امسح رمز QR بمصادقك — أو اعرض مفتاح الإعداد واحفظه إن تعذّر المسح. 4) أدخل الرمز الفوري لإنهاء العملية، ثم نزّل رموز الاسترداد أو اطبعها. ننشر أدلة لكل خدمة تشمل Google وGitHub وDiscord وBinance وغيرها.
كيف تعمل المصادقة الثنائية (2FA)؟
بعد كلمة المرور، يطلب الخدمة دليل هوية ثانيًا. في الطريقة القياسية TOTP (المعيار RFC 6238) يحسب المصادق لديك رمزًا من 6 أرقام انطلاقًا من مفتاح سري مشترك مضافًا إليه الوقت الحالي، ويجري الخادم الحسابَ نفسه ثم يقارن بين الناتجين. يُشتق رمز التحقق بخطوتين من جديد كل 30 ثانية وينتهي نفاذُه فور انتهاء مدته — وبذلك لا يكفي تسريب كلمة المرور وحدها لفتح حسابك.
ما فائدة المصادقة الثنائية (2FA)؟
تحمي أي عملية تسجيل دخول يشتهيها الآخرون: البريد وحزم العمل السحابية (Google وMicrosoft وApple)، والخدمات المصرفية والوساطة عبر الإنترنت، ومنصات تبادل العملات الرقمية (Binance وCoinbase وKraken)، ومنصات المطوّرين (GitHub وAWS)، وألعاب الفيديو (Steam وDiscord وTwitch)، وشبكات التواصل الاجتماعي (X وInstagram). كما تستخدمها الشركات لحماية الشبكات الافتراضية الخاصة (VPN) والبريد ولوحات الإدارة. وفي أي خدمة توفر خيار «تطبيق مصادقة»، هناك يقع مدخل المصادقة الثنائية.
هل المصادقة الثنائية آمنة بنسبة 100%؟
لا — وليس أي إجراء أمني آمنًا بهذه النسبة؛ والحق تقوله الأدلة الأمينة. المصادقة الثنائية تحسم هجمات كلمات المرور المسروقة، لكن رمزًا مولّدًا للتو إن كُتب في موقع مزيف أثناء صلاحيته سينتهي به المطاف في احتيال تصيّد، وبرمجيات خبيثة موجودة أصلًا في جهازك قد تختطف الجلسة نفسها، أما رموز SMS فتسقط أمام هجمات انتحال شريحة SIM. ومع كل ذلك، يبقى فتح حساب محمي بالمصادقة الثنائية أصعب بكثير من حساب بلا حماية.
هل المصادقة الثنائية إلزامية؟
لا تفرضها أي حكومة، لكن المنصات تفرضها تباعًا: GitHub تشترطها على من يساهمون بالشيفرة منذ 2023، والمصارف ومنصات تبادل العملات الرقمية تفرضها، وأصحاب العمل يطلبونها عادة للوصول إلى أنظمة العمل. وفي بقية الحالات فهي اختيارية لكنها شديدة التوصية بها. عامِلها كإلزامية في أثمن حساباتك — البريد الإلكتروني: فمن يسيطر على صندوق بريدك يستطيع استعادة جميع الحسابات الأخرى.
لماذا تكتسي المصادقة الثنائية أهمية بالغة؟
لأن كلمات المرور تفشل دائمًا بالطريقة نفسها. مليارات كلمات المرور الحقيقية أصبحت متاحة للعموم بسبب التسريبات، والمهاجمون يعيدون استخدامها بلا كلل في موقع بعد موقع (هجمات إعادة استخدام بيانات الاعتماد المسروقة — credential stuffing). وتشير Microsoft إلى أن المصادقة الثنائية تحجب أكثر من 99.9% من محاولات الاستيلاء الآلي على الحسابات — وهي التحسين الأقل كلفة الذي يحمي بريدك ومصرفك وألعابك وعملاتك الرقمية من التهديدات التي تحدث فعلًا.
ما مدى قوة المصادقة الثنائية؟
يعتمد ذلك كليًا على العامل الثاني. رموز SMS هي الأضعف: فمع هجوم انتحال شريحة SIM يسرق المهاجم رقمك ويستلم الرموز بنفسه. أما رموز TOTP من المصادق — رموز الـ30 ثانية — فهي قوية حسابيًا: لا يُبثّ شيء عبر الشبكة، ولا يمكن للمهاجم خارج الاتصال استنتاجها، وينتهي نفاذ كل رمز خلال ثوانٍ. ومفاتيح الأمان المادية ومفاتيح المرور (passkeys) هي الأقوى على الإطلاق، لأنها تصمد أمام التصيّد وترتبط تشفيريًا بالنطاق الحقيقي.
لماذا يعتمد الجميع المصادقة الثنائية الآن؟
لأن عصر كلمة المرور المجردة انهار. فقد كشفت التسريبات الواسعة مليارات من بيانات الاعتماد، وجعلت هجمات إعادة الاستخدام الآلية الاستيلاء على الحسابات شبه مجاني، وضقت المنصاتُ سدةً دفع ثمن الضرر. ثم جاءت الهيئات الرقابية: فمؤسسة NIST استبعدت SMS من معايير المصادقة في الولايات المتحدة، ويتطلب نظام PSD2 الأوروبي مصادقة قوية للعميل. وعندما أدخلَ عددٌ قليل من العمالقة المصادقةَ الثنائية إلى التيار العام، سارت خلفهم بقية الخدمات جميعًا.
هل أحتاج إلى هاتف لاستخدام مصادق 2FA هذا؟
لا. إنها أداة 2FA تعمل داخل المتصفح: تعمل على أي حاسوب محمول أو جهاز لوحي أو مكتبي فيه متصفح حديث، عبر الإنترنت أو دون اتصال تمامًا بعد تثبيتها كتطبيق. تحلّ محل تطبيق الهاتف حين يُفقد الهاتف أو يُباع أو يتعطل أو ينفد بطاريته — أو حين يُمنع استخدام الهواتف ببساطة في مكان عملك.
هل استخدام 2FA COUNTER آمن؟
نعم. يجري كل حساب محليًا في متصفحك عبر واجهة Web Crypto API. مفاتيحك السرية لا تُرسل مطلقًا إلى — ولا تُعرض على — أي خادم. ويمكنك فتح الصفحة ثم قطع الاتصال بالإنترنت وسيظل المولّد يعمل.
هل يمكنني استخدامه دون اتصال بالإنترنت؟
بالتأكيد. ثبّت 2FA COUNTER كتطبيق (إضافة إلى الشاشة الرئيسية / تثبيت) وسيعمل دون اتصال بالكامل كمصادق أصلي. فالرموز تُشتق من مفتاحك وساعة جهازك — ولا حاجة إلى شبكة.
لماذا يُرفض رمز 2FA لديّ؟
السبب في معظم الأحيان هو انحراف الساعة. فرموز TOTP تعتمد على الوقت: إذا كانت ساعة جهازك منحرفة ولو نصف دقيقة، يصبح الرمز غير صالح. تأكد من ضبط وقت النظام على المزامنة التلقائية (في Windows، «المزامنة الآن» في إعدادات التاريخ والوقت؛ وفي macOS، «ضبط التاريخ والوقت تلقائيًا») ثم أعد المحاولة. يحسب المولّد بالوقت الذي يبلغ عنه جهازك — وليس لديه ساعة خاصة يصححها.
ما الفرق بينه وبين Google Authenticator أو Authy؟
هي تطبيقات هاتف، أما هذا فمصادق يعمل في المتصفح. يستخدم خوارزمية TOTP ذاتها من معيار RFC 6238 بالضبط، ويعمل مع كل خدمة تقبل تطبيق مصادقة قياسي — لكنك لن تفقد الوصول أبدًا لأن الهاتف تعطل أو بيع أو نفدت بطاريته.
أين تُخزَّن مفاتيحي؟
في متصفحك وحده. يُحفظ آخر مفتاح لديك وقائمة قصيرة بـ«المفاتيح الأخيرة» (حتى 8 مفاتيح) في التخزين المحلي لهذا الجهاز كي يصمد المولّد أمام إعادة التحميل وتنقلك بين المفاتيح بنقرة واحدة — ولا يُحفظ شيء في خوادمنا لأنه لا توجد خوادمنا أصلًا. تُحفظ المفاتيح كنص صريح: فمن يفتح هذا الملف الشخصي للمتصفح يستطيع قراءتها، لذا عامِل الملف الشخصي كما تعامل مع خزانة مدير كلمات مرور. زر «حذف الكل» أعلى القائمة — وهو يطلب التأكيد — وإفراغ الحقل ومسح بيانات المتصفح، كلها تحذفها إلى الأبد؛ لذا احفظ السر الأصلي في مدير كلمات المرور نسخةً رئيسية.
هل يعمل مع HOTP أو رموز 8 أرقام أو خدمات SHA-256؟
نعم. الصق رابط otpauth:// الكامل الذي يوفره لك الخدمة وستُحترم تلقائيًا جميع المعاملات التي يحملها — 6 أو 7 أو 8 أرقام، وفترات 15/30/60 ثانية، وتواقيع SHA-1/SHA-256/SHA-512، وHOTP القائم على العدّاد. أما مفتاح Base32 المجرد فيُفسَّر بالقيم القياسية الافتراضية (6 أرقام، 30 ثانية، SHA-1)، وهي القيم التي تستخدمها الغالبية العظمى من الخدمات.
هل هو مجاني فعلًا؟
نعم — بلا حسابات، وبلا خطة مميزة، وبلا تسجيل دخول. إنها أداة، لا خدمة.
كفّاك من البحث عن هاتفك
احفظ أسرارك في مدير كلمات المرور، وولّد رموز التحقق بخطوتين هنا مباشرة، وابقَ متصلًا من أي جهاز — حتى دون اتصال بالإنترنت.
أنشئ رمز 2FA الآن