OAuth2 وGraph API وكلمات مرور التطبيقات: ما تخبرك به قوائم Outlook

كل قائمة في Outlook وHotmail تحمل وسمًا مثل OAuth2 [Graph] أو OAuth2 [IMAP/POP3]، وتشمل التسليمات حقولًا باسم refresh_token وclient_id بدلًا من كلمة المرور. هذا ليس اختراعًا من البائع. مايكروسوفت غيّرت الطريقة التي يمكن بها الوصول إلى هذه الحسابات.

ملاحظة قبل التفاصيل: شروط معظم المنصات تمنع نقل الحسابات، ولا يجب قراءة أي شيء هنا على أنه تأييد من مايكروسوفت لتداول الحسابات. هذا الشرح يوضح معنى الوسوم التقنية، وهو أمر منفصل عن مسألة ما إذا كانت أي صفقة معينة مسموحة أم لا.

ما الذي تغيّر، ومتى

في 16 سبتمبر 2024، انتهى المصادقة الأساسية لحسابات Outlook.com الشخصية وHotmail وLive.com. المصادقة الأساسية هي الترتيب الذي يرسل فيه عميل البريد اسم المستخدم وكلمة المرور مباشرة إلى خادم البريد. بعد ذلك التاريخ، يجب على العملاء والبرامج النصية التابعة لجهات خارجية التي تصل إلى هذه الصناديق استخدام OAuth2، وهو ما تسميه مايكروسوفت المصادقة الحديثة.

هذا التغيير الوحيد هو السبب في أن الرف يبدو بهذا الشكل. القائمة التي تعرض بيانات اعتماد عادية لحساب Outlook شخصي تصف شيئًا لم يعد يتصل، لذا فإن الوسوم هي نتيجة وليست خيارًا تسويقيًا.

OAuth2 مقابل كلمة مرور التطبيق، وهي المقارنة التي يجريها الناس فعلًا

اقتراحات البحث باللغة الإنجليزية تقارن OAuth2 بـكلمة مرور التطبيق أكثر بكثير من مقارنتها بكلمة مرور عادية، وهذا هو السؤال الصحيح. كلاهما إجابة على "كلمة المرور لم تعد تعمل"، لكنهما يتصرفان بشكل مختلف تمامًا.

	كلمة مرور التطبيق	OAuth2
ما تملكه	سلسلة واحدة مولّدة	رمز تحديث بالإضافة إلى بيانات اعتماد العميل التي صدر تحتها
الإعداد	توليدها في إعدادات الحساب	تسجيل تطبيق وإكمال تدفق الموافقة
الصلاحيات	كل ما يسمح به البروتوكول، دون تقسيم	محددة النطاق، لذا القراءة فقط ممكنة
التجديد	صالحة حتى يتم إلغاؤها	استبدال رمز التحديث برموز وصول جديدة
إذا فشلت	توليد أخرى	يعتمد كليًا على ما حصلت عليه

الصف الأخير هو ما يهم عند الشراء، وهو سبب وجود القسم التالي.

النقص الذي يفشل بصمت

رمز التحديث ليس مكتفيًا بذاته. استبداله برمز وصول جديد يتطلب معرف العميل، وغالبًا سر العميل، الذي صدر ضده. إذا استلمت رمز التحديث وحده، فأنت تحمل شيئًا يعمل حتى تنتهي صلاحية رمز الوصول الحالي، ثم يتوقف نهائيًا دون أي طريقة لتجديده.

كل شيء يبدو صحيحًا عند التسليم، وهذه هي الفخ بالضبط. الاتصال ينجح، والبريد يصل، والشراء يبدو جيدًا. الفشل يقع بعد أيام أو أسابيع، بعد فترة طويلة من إغلاق أي نافذة ضمان.

لذا فإن الاختبار عند التسليم ليس "هل يتصل". بل "هل يمكنني تنفيذ تحديث". قم بفرض تبادل رمز مع بيانات الاعتماد التي حصلت عليها، وتأكد من استلام رمز وصول جديد. هذا إجراء مختلف عن قراءة صندوق البريد، وهو الوحيد الذي يخبرك بما اشتريته فعلًا.

قراءة الوسوم

• OAuth2 [IMAP/POP3]: الرمز يصرّح ببروتوكولات البريد. عملاء البريد العاديون ومكتبات البريد تعمل، بشرط دعم OAuth2 بدلًا من كلمات المرور فقط. العملاء الأقدم غالبًا لا يدعمون ذلك، وهذا قيد حقيقي.
• OAuth2 [Graph]: الرمز يصرّح بـMicrosoft Graph، الواجهة البرمجية التي تغطي البريد والتقويم وجهات الاتصال. مناسبة لشيء تقوم ببنائه؛ غير قابلة للاستخدام من قبل عميل بريد، الذي يتحدث IMAP وليس Graph.
• كلاهما: نطاقات الرمز تغطي المسارين. أكثر مرونة، وما زالت النطاقات تستحق القراءة بدلًا من الافتراض.

الاختيار بينهما هو نفس القرار في أي مكان آخر في هذا الكتالوج: اشترِ ما يتحدث به أداتك. منح Graph لا يساعد عميل بريد، ومنح IMAP لا يساعد برنامجًا مكتوبًا ضد Graph.

النمط نفسه على جانب Google

جدير بالذكر لأنه يمنع قراءة هذا على أنه خصوصية مايكروسوفت. قامت Google بالخطوة المكافئة: توقفت كلمات مرور الحسابات عن العمل من عملاء البريد، وأصبحت كلمات مرور التطبيقات المسار الخفيف، وأصبح Gmail API مع OAuth2 المسار البرمجي. أسماء مختلفة، نفس الشكل.

الاتجاه العام هو أن كلمات المرور تُتقاعد كبيانات اعتماد آلية على نطاق واسع. مفاتيح المرور (Passkeys)، التي تظهر أيضًا في اقتراحات البحث هنا، هي نفس الحركة المطبقة على تسجيل دخول البشر. إذا كنت تختار ما تعتمد عليه، فهذا الاتجاه يستحق الوزن.

قبل أن تشتري

1. تأكد مما إذا كانت أداتك تدعم OAuth2 أصلًا. العديد من عملاء البريد الأقدم لا يدعمونه، ولا يمكن لأي قائمة إصلاح ذلك.
2. تأكد من أن التسليم يشمل معرف العميل وسر العميل بجانب رمز التحديث، وليس الرمز فقط.
3. عند الاستلام، نفّذ تحديثًا بدلًا من قراءة. إنه الفحص الوحيد الذي يميز المنح الكامل عن الذي سينتهي إلى لا شيء.

قوائم Outlook وHotmail مع وسوم OAuth2 القابلة للتصفية موجودة على رف Outlook ورف Hotmail.