ما الذي يفعله auth_token و ct0 فعليًا على X (تويتر)

أنت بصدد إعداد أداة تتصل بـ X، والنموذج لا يطلب اسم مستخدم وكلمة مرور. إنه يطلب سلسلتين نصيتين تُسمَّيان auth_token وct0، تُنسخان من أدوات المطوّر في متصفحك. يبدو الأمر وكأنه حلّ مبتكر اخترعه أحدهم.

لكنه ليس كذلك. إنها نفس الآلية التي يستخدمها متصفحك بالفعل في كل مرة تفتح فيها x.com ولا يُطلب منك تسجيل الدخول مجددًا. فهم هذين العنصرين يجعل من الأسهل بكثير الحكم على ما إذا كانت الأداة التي تطلبها معقولة، ومدى الحذر المطلوب في حماية هذه القيم بمجرد حصولك عليها.

ملفّا تعريف ارتباط، ولا فائدة من أيٍّ منهما بمفرده

عندما تسجّل الدخول بكلمة مرور، تضع X مجموعة من ملفات تعريف الارتباط حتى لا تضطر إلى سؤالك مجددًا عند تحميل الصفحة التالية. اثنان منها يقومان بالعمل.

auth_token هو الهوية. يحدد الحساب الذي تم تسجيل دخول المتصفح به، وهو الأهم. أي شخص يحمله يملك صلاحية الدخول إلى حسابك.

ct0 هو رمز منع التزوير عبر المواقع (CSRF). لا يحمل أي هوية على الإطلاق. وظيفته أن يكون حاضرًا ومطابقًا في إجراءات الكتابة، حتى لا يتمكن موقع آخر من جعل متصفحك المسجّل دخوله ينشر شيئًا بهدوء.

إذن، auth_token وحده يثبت هويتك لكنه لن يمرر إجراء كتابة عبر الفحص. أما ct0 وحده فلا معنى له. الأداة تحتاج إلى كليهما للتصرف في الحساب كما تفعل علامة تبويب مسجّلة الدخول، وهذا بالضبط سبب طلب الأزواج من الأدوات.

مدة صلاحيتهما، ولماذا لن نخبرك بها

تذكر الأدلة الإرشادية أعمارًا واثقة لهذه القيم. أشهر لأحدهما، وساعات أو أيام للآخر. وكذلك فعلت النسخة السابقة من هذه الصفحة.

لا شيء من ذلك منشور رسميًا. هذه تفاصيل تنفيذية داخلية لمنصة خاصة، وصفحات مساعدة X ترفض الطلبات الآلية لذا لا يمكننا قراءتها، وكل رقم متداول يعود في أصله إلى توثيق أدوات طرف ثالث يكرر توثيق أدوات طرف ثالث آخر. رقم لا يمكن التحقق منه أسوأ من عدم وجود رقم، لأنه يخبرك بالتوقف عن البحث.

الخبر الجيد أنك لا تحتاج إلى تقدير أي شخص، لأن ملف تعريف الارتباط يحمل تاريخ انتهاء صلاحيته الخاص وسيعرضه لك متصفحك. افتح أدوات المطوّر، وانتقل إلى تبويب Application أو Storage، وابحث عن Cookies، واختر x.com، واقرأ عمود Expires في الصف الذي يهمك. هذه هي إجابتك الفعلية، لجلسة استخدامك الفعلية، اليوم. تتفوق على كل الأرقام على الإنترنت بما في ذلك أي رقم كان يمكننا طباعته هنا.

لماذا تطلب أداة ملفات تعريف الارتباط بدلًا من كلمة المرور

أسباب عملية، وليست خبيثة. استيراد ملفات تعريف الارتباط يتجاوز تكرار تسجيل دخول متعدد الخطوات في كل مرة تنتهي فيها الجلسة، ويعمل على حساب مفعّل فيه التحقق بخطوتين، لأن ملف تعريف الارتباط يمثل بالفعل جلسة تجاوزت العامل الثاني. لأي شخص يدير عدة حسابات عبر أداة واحدة، يزيل ذلك الكثير من التكرار.

المقايضة حقيقية وتستحق أن تُذكر بوضوح. كلمة المرور يمكن تغييرها وينتهي الأمر عند هذا الحد. أما تسريب auth_token فيمنح من يحمله نفس الوصول الذي تملكه، طوال عمر تلك الجلسة، دون الحاجة إلى كلمة مرورك ودون إثارة العامل الثاني لديك، لأن العامل الثاني كان قد استُوفي بالفعل عند إنشاء ملف تعريف الارتباط.

تسجيل الدخول بكلمة المرور مقابل تسجيل الدخول بملفات تعريف الارتباط، مقارنة صادقة

لا يوجد خيار صحيح تلقائيًا. يعتمد الأمر على ما تفعله ومدى ثقتك بالشيء الذي يطلب.

• جهد الإعداد المتكرر. كلمة المرور والعامل الثاني: أبطأ، ويتكرر. استيراد ملفات تعريف الارتباط: أسرع بمجرد حصولك على القيم.
• قطع الوصول مجددًا. كلمة المرور: ليست كافية بحد ذاتها، انظر أدناه. ملفات تعريف الارتباط: إنهاء الجلسة من قائمة الجلسات.
• إذا تم اعتراضها. كلمة المرور: العامل الثاني يمنع عادةً استخدامها. ملفات تعريف الارتباط: تعمل فورًا، بمفردها.
• ما يناسبها. كلمة المرور: الاستخدام اليدوي اليومي. ملفات تعريف الارتباط: أداة بحثت عنها وتعتزم الاحتفاظ بها.

هناك خيار ثالث يتجاهله معظم الناس، وهو الخيار الصحيح لأي شيء طويل الأمد. التطبيق المصرَّح به عبر مسار المطوّر الرسمي لـ X يحمل تفويضًا خاصًا به. لا يعتمد على جلسة متصفح، لذا فإن التدابير الأمنية الروتينية العادية لا تعطّله، ويمكن إيقافه بشكل فردي دون المساس بأي شيء آخر. على رفّنا الخاص بـ X، هو أيضًا الصيغة الأندر والأرخص: القوائم الموسومة بمسار التفويض الرسمي تبلغ حوالي واحد من كل ثلاثة عشر، بسعر يبلغ نحو خُمسَي السعر الوسيط.

إبطال الرمز، والأمر الذي يخطئ فيه الجميع هنا

من الشائع القول — وقد قالته النسخة السابقة من هذه الصفحة — إن تغيير كلمة المرور يبطل ملفات تعريف الارتباط القديمة للجلسات، لذا فإن تغيير كلمة المرور هو مكبح الطوارئ لديك.

لا تعتمد على ذلك. X لا تنشر بيانًا يمكننا قراءته في أي من الاتجاهين، وفي سبتمبر 2022 كشفت تويتر أن تغييرات كلمة المرور الطوعية لم تكن تنهي الجلسات على الأجهزة الأخرى على الإطلاق، وهو خلل استمر لأشهر قبل إصلاحه. مهما كان السلوك اليوم، فإن عنصر تحكم لا يمكنك التحقق من تأثيره ليس مكبح طوارئ.

الإجراء الذي يعمل فعلًا هو صريح وموجود في إعداداتك: Security and account access، ثم Apps and sessions، ثم Sessions. سجّل الخروج من جميع الجلسات الأخرى. كل ملف تعريف ارتباط أنتجته تلك الجلسات يموت معها، بما في ذلك أي نسخة صنعها شخص آخر. غيّر كلمة المرور أيضًا إذا أردت، لكن قائمة الجلسات هي التي تقوم بالعمل. التسلسل الكامل، وأسباب تنفيذه بترتيب معين على حساب استحوذت عليه للتو، موجود في تغيير كلمة مرور X دون أن تقفل على نفسك.

التعامل مع القيم، إذا كنت ستستخدمها

تعامل مع السلسلة النصية تمامًا كما تتعامل مع كلمة المرور، لأنها وظيفيًا كذلك. الصقها فقط في أداة بحثت فيها. لا تلتقط لها لقطة شاشة، ولا تضعها في محادثة أو تذكرة دعم، ولا تتركها في ملف نصي تتم مزامنته مع التخزين السحابي. عندما تتوقف عن الثقة بأداة، أنهِ الجلسة بدلًا من مجرد إزالة الأداة، لأن حذف الأداة لا يحذف النسخة التي صنعتها.

إذا كان الحساب جاء مع ملف رموز

الكثير من القوائم تشحن واحدًا، وعلى رفّنا هو صيغة عادية وليست نادرة: أقل بقليل من ثلث قوائم X النشطة موسومة على أنها تتضمن ملفات تعريف ارتباط. واللافت أنها تكلف أقل من الوسيط على الرف وليس أكثر، بنحو أربعة أخماس السعر الوسيط، مما يخبرك أن السوق يتعامل مع الرمز المرفق كتسهيل وليس كأصل.

السبب في تسعيره كتسهيل هو سبب الحذر معه. الرمز الذي وصل مع عملية بيع رآه شخص واحد على الأقل، وربما كل من استلم نفس الدفعة. افترض أنه بيانات اعتماد مشتركة، لأن هذا ما هو عليه.

لذا استخدمه للدخول، ثم توقف عن استخدامه. سجّل الدخول، وسجّل الخروج من جميع الجلسات الأخرى، وضع بريدك الإلكتروني ورقم هاتفك للاسترداد على الحساب، وعندها فقط غيّر كلمة المرور. الرمز الذي حصلت عليه يتوقف عن العمل عند خطوة الجلسات، وهذه هي النتيجة التي تريدها. توليد رمز جديد بعد ذلك، من متصفحك المسجّل دخوله بنفسك، يستغرق دقيقة.

ما يكشفه البائعون عن تسليم الرموز يتفاوت كثيرًا، وهذا بالضبط سبب أهمية المقارنة بدلًا من أخذ أول قائمة. صفحة قوائم حسابات X الكاملة تعرض ما يذكره كل واحد منها.

قبل أن تعتمد على تسجيل الدخول بملفات تعريف الارتباط لأي شيء مهم

• تعرف ما الذي تفعله كل قيمة من القيمتين، وليس فقط أن الزوج يعمل
• قرأت تاريخ انتهاء الصلاحية الفعلي من متصفحك الخاص بدلًا من الوثوق برقم في دليل
• الأداة لها سجل موثوق، أو تدعم مسار التفويض الرسمي بدلًا من ذلك
• أي رمز جاء مع عملية شراء تم إبطاله بتسجيل الخروج من جميع الجلسات الأخرى
• لا توجد قيمة خام جالسة في سجل محادثة، أو لقطة شاشة، أو ملف نصي متزامن
• تعرف مكان قائمة الجلسات، لأنها ما ستحتاجه في حالة الاستعجال

صفحات مساعدة X الخاصة هي المرجع الرسمي لطرق تسجيل الدخول المدعومة. لم نتمكن من قراءتها من هنا، لذا لن نلخصها لك.