WebAuthn Level 3: نشر passkeys مع خطة استرداد حسابWebAuthn Level 3: نشر passkeys مع خطة استرداد حساب

يعالج موضوع «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» مشكلة محددة: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وينطلق من عناصر فعلية هي WebAuthn Level 3, passkey, authenticator, relying party, recovery للوصول إلى قرار يمكن التحقق منه بدلا من وصف عام.

المشكلة العملية: WebAuthn Level 3 مع passkey

نقطة البداية ليست ميزة جديدة، بل حد قرار يمكن ملاحظته وتدقيقه.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c11 من relying party ويعامل recovery كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على WebAuthn Level 3 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ passkey بإحداث الأثر المقصود حول authenticator. بعد ذلك يراقب التشغيل الانتقال بين WebAuthn Level 3 و passkey، بينما يتحقق الأمن من أن authenticator لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق passkey يعيد rollback الإعداد المرتبط بـ authenticator ثم يشغل webauthn3-passkeys-ar-c11 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من relying party. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى recovery وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c12 من recovery ويعامل WebAuthn Level 3 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على passkey إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ authenticator بإحداث الأثر المقصود حول relying party. وتبقى الخلاصة محكومة بحدود passkey و relying party؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c12 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل recovery نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار WebAuthn Level 3 تتضمن fixture ‏webauthn3-passkeys-ar-c12 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى passkey.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c13 من WebAuthn Level 3 ويعامل passkey كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على authenticator إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ relying party بإحداث الأثر المقصود حول recovery. بعد ذلك يراقب التشغيل الانتقال بين authenticator و relying party، بينما يتحقق الأمن من أن recovery لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق relying party يعيد rollback الإعداد المرتبط بـ recovery ثم يشغل webauthn3-passkeys-ar-c13 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من WebAuthn Level 3. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى passkey وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c14 من passkey ويعامل authenticator كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على relying party إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ recovery بإحداث الأثر المقصود حول WebAuthn Level 3. وتبقى الخلاصة محكومة بحدود relying party و WebAuthn Level 3؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c14 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل passkey نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار authenticator تتضمن fixture ‏webauthn3-passkeys-ar-c14 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى relying party.

حالة تقنية لـ WebAuthn Level 3 ضمن WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب
لقطة سياقية لقسم «المشكلة العملية: WebAuthn Level 3 مع passkey»: حالة محلية منتجة فعليا للتحقق webauthn3-passkeys-ar.
نقطة دليل: توضح IETF / RFC Editor أن RFC 9700 updates OAuth 2.0 security practice, including exact redirect URI matching and avoiding open redirectors and insecure legacy patterns. ويُستخدم هذا المرجع لتأطير القسم «المشكلة العملية: WebAuthn Level 3 مع passkey» من دون أن يحل محل الاختبار المحلي. [S1]

حدود الثقة حول authenticator

التصميم القابل للتشغيل يوضح من يقرر، وما الدليل المتاح، وما الذي يمكن الرجوع عنه.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c21 من recovery ويعامل WebAuthn Level 3 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على passkey إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ authenticator بإحداث الأثر المقصود حول relying party. لاختبار WebAuthn Level 3 تتضمن fixture ‏webauthn3-passkeys-ar-c21 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى passkey. بعد ذلك يراقب التشغيل الانتقال بين passkey و authenticator، بينما يتحقق الأمن من أن relying party لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق authenticator يعيد rollback الإعداد المرتبط بـ relying party ثم يشغل webauthn3-passkeys-ar-c21 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من recovery.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c22 من WebAuthn Level 3 ويعامل passkey كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على authenticator إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ relying party بإحداث الأثر المقصود حول recovery. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى passkey وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود authenticator و recovery؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c22 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل WebAuthn Level 3 نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c23 من passkey ويعامل authenticator كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على relying party إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ recovery بإحداث الأثر المقصود حول WebAuthn Level 3. لاختبار authenticator تتضمن fixture ‏webauthn3-passkeys-ar-c23 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى relying party. بعد ذلك يراقب التشغيل الانتقال بين relying party و recovery، بينما يتحقق الأمن من أن WebAuthn Level 3 لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق recovery يعيد rollback الإعداد المرتبط بـ WebAuthn Level 3 ثم يشغل webauthn3-passkeys-ar-c23 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من passkey.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c24 من authenticator ويعامل relying party كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على recovery إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ WebAuthn Level 3 بإحداث الأثر المقصود حول passkey. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى relying party وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود recovery و passkey؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c24 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل authenticator نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

حالة تقنية لـ passkey ضمن WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب
لقطة سياقية لقسم «حدود الثقة حول authenticator»: حالة محلية منتجة فعليا للتحقق webauthn3-passkeys-ar.
نقطة دليل: توضح OWASP أن OWASP recommends strict CSP designs based on nonces or hashes instead of large static allowlists. ويُستخدم هذا المرجع لتأطير القسم «حدود الثقة حول authenticator» من دون أن يحل محل الاختبار المحلي. [S2]

تجهيز الحالة الابتدائية والمتطلبات

تظهر الصعوبة الحقيقية عندما يلتقي المسار الطبيعي بالصلاحيات والأخطاء وقيود الإنتاج.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c31 من WebAuthn Level 3 ويعامل passkey كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على authenticator إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ relying party بإحداث الأثر المقصود حول recovery. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل WebAuthn Level 3 نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار passkey تتضمن fixture ‏webauthn3-passkeys-ar-c31 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى authenticator. بعد ذلك يراقب التشغيل الانتقال بين authenticator و relying party، بينما يتحقق الأمن من أن recovery لا يحصل على صلاحية ضمنية أو بيانات زائدة.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c32 من passkey ويعامل authenticator كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على relying party إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ recovery بإحداث الأثر المقصود حول WebAuthn Level 3. إذا فشل تحقق recovery يعيد rollback الإعداد المرتبط بـ WebAuthn Level 3 ثم يشغل webauthn3-passkeys-ar-c32 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من passkey. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى authenticator وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود relying party و WebAuthn Level 3؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c32 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c33 من authenticator ويعامل relying party كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على recovery إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ WebAuthn Level 3 بإحداث الأثر المقصود حول passkey. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل authenticator نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار relying party تتضمن fixture ‏webauthn3-passkeys-ar-c33 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى recovery. بعد ذلك يراقب التشغيل الانتقال بين recovery و WebAuthn Level 3، بينما يتحقق الأمن من أن passkey لا يحصل على صلاحية ضمنية أو بيانات زائدة.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c34 من relying party ويعامل recovery كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على WebAuthn Level 3 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ passkey بإحداث الأثر المقصود حول authenticator. إذا فشل تحقق passkey يعيد rollback الإعداد المرتبط بـ authenticator ثم يشغل webauthn3-passkeys-ar-c34 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من relying party. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى recovery وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود WebAuthn Level 3 و authenticator؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c34 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

حالة تقنية لـ authenticator ضمن WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب
لقطة سياقية لقسم «تجهيز الحالة الابتدائية والمتطلبات»: حالة محلية منتجة فعليا للتحقق webauthn3-passkeys-ar.
  1. الخطوة 1 — اضبط WebAuthn Level 3 ثم نفذ التحقق webauthn3-passkeys-ar-step-1 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  2. الخطوة 2 — اضبط passkey ثم نفذ التحقق webauthn3-passkeys-ar-step-2 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  3. الخطوة 3 — اضبط authenticator ثم نفذ التحقق webauthn3-passkeys-ar-step-3 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  4. الخطوة 4 — اضبط relying party ثم نفذ التحقق webauthn3-passkeys-ar-step-4 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  5. الخطوة 5 — اضبط recovery ثم نفذ التحقق webauthn3-passkeys-ar-step-5 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  6. الخطوة 6 — اضبط WebAuthn Level 3 ثم نفذ التحقق webauthn3-passkeys-ar-step-6 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.

ثلاثة أعطال وتصحيحها

  • رفض المدخل بعد تنفيذ الأثر: انقل التحقق إلى ما قبل الفعل الخارجي.
  • غياب الدليل: سجل معرّف قرار من دون تخزين السر.
  • رجوع جزئي: أعد الإعداد والصلاحية معا ثم أعد اختبار fixture المرجعية.
نقطة دليل: توضح W3C أن WebAuthn Level 3 defines strong public-key credentials scoped to relying parties and reached Candidate Recommendation Snapshot status in May 2026. ويُستخدم هذا المرجع لتأطير القسم «تجهيز الحالة الابتدائية والمتطلبات» من دون أن يحل محل الاختبار المحلي. [S3]

تنفيذ الإجراء وملاحظة النتيجة

التنفيذ المتين يفصل بين ما يقترحه النموذج وما يسمح به التطبيق وما يتحقق منه.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c41 من passkey ويعامل authenticator كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على relying party إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ recovery بإحداث الأثر المقصود حول WebAuthn Level 3. وتبقى الخلاصة محكومة بحدود relying party و WebAuthn Level 3؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c41 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل passkey نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار authenticator تتضمن fixture ‏webauthn3-passkeys-ar-c41 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى relying party.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c42 من authenticator ويعامل relying party كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على recovery إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ WebAuthn Level 3 بإحداث الأثر المقصود حول passkey. بعد ذلك يراقب التشغيل الانتقال بين recovery و WebAuthn Level 3، بينما يتحقق الأمن من أن passkey لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق WebAuthn Level 3 يعيد rollback الإعداد المرتبط بـ passkey ثم يشغل webauthn3-passkeys-ar-c42 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من authenticator. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى relying party وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c43 من relying party ويعامل recovery كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على WebAuthn Level 3 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ passkey بإحداث الأثر المقصود حول authenticator. وتبقى الخلاصة محكومة بحدود WebAuthn Level 3 و authenticator؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c43 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل relying party نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار recovery تتضمن fixture ‏webauthn3-passkeys-ar-c43 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى WebAuthn Level 3.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c44 من recovery ويعامل WebAuthn Level 3 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على passkey إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ authenticator بإحداث الأثر المقصود حول relying party. بعد ذلك يراقب التشغيل الانتقال بين passkey و authenticator، بينما يتحقق الأمن من أن relying party لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق authenticator يعيد rollback الإعداد المرتبط بـ relying party ثم يشغل webauthn3-passkeys-ar-c44 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من recovery. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى WebAuthn Level 3 وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

حالة تقنية لـ relying party ضمن WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب
لقطة سياقية لقسم «تنفيذ الإجراء وملاحظة النتيجة»: حالة محلية منتجة فعليا للتحقق webauthn3-passkeys-ar.
نقطة دليل: توضح Mozilla أن CSP can reduce script-injection risk, and Trusted Types can constrain dangerous DOM injection sinks to typed values created by approved policies. ويُستخدم هذا المرجع لتأطير القسم «تنفيذ الإجراء وملاحظة النتيجة» من دون أن يحل محل الاختبار المحلي. [S4]

حالات الفشل والإشارات وطريقة التشخيص

نقطة البداية ليست ميزة جديدة، بل حد قرار يمكن ملاحظته وتدقيقه.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c51 من authenticator ويعامل relying party كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على recovery إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ WebAuthn Level 3 بإحداث الأثر المقصود حول passkey. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى relying party وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود recovery و passkey؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c51 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل authenticator نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c52 من relying party ويعامل recovery كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على WebAuthn Level 3 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ passkey بإحداث الأثر المقصود حول authenticator. لاختبار recovery تتضمن fixture ‏webauthn3-passkeys-ar-c52 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى WebAuthn Level 3. بعد ذلك يراقب التشغيل الانتقال بين WebAuthn Level 3 و passkey، بينما يتحقق الأمن من أن authenticator لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق passkey يعيد rollback الإعداد المرتبط بـ authenticator ثم يشغل webauthn3-passkeys-ar-c52 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من relying party.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c53 من recovery ويعامل WebAuthn Level 3 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على passkey إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ authenticator بإحداث الأثر المقصود حول relying party. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى WebAuthn Level 3 وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود passkey و relying party؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c53 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل recovery نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c54 من WebAuthn Level 3 ويعامل passkey كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على authenticator إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ relying party بإحداث الأثر المقصود حول recovery. لاختبار passkey تتضمن fixture ‏webauthn3-passkeys-ar-c54 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى authenticator. بعد ذلك يراقب التشغيل الانتقال بين authenticator و relying party، بينما يتحقق الأمن من أن recovery لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق relying party يعيد rollback الإعداد المرتبط بـ recovery ثم يشغل webauthn3-passkeys-ar-c54 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من WebAuthn Level 3.

حالة تقنية لـ recovery ضمن WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب
لقطة سياقية لقسم «حالات الفشل والإشارات وطريقة التشخيص»: حالة محلية منتجة فعليا للتحقق webauthn3-passkeys-ar.
نقطة دليل: توضح Mozilla أن The trusted-types CSP directive allowlists policy names and became broadly available across current browsers in 2026. ويُستخدم هذا المرجع لتأطير القسم «حالات الفشل والإشارات وطريقة التشخيص» من دون أن يحل محل الاختبار المحلي. [S5]

نشر تدريجي وخطة رجوع

التصميم القابل للتشغيل يوضح من يقرر، وما الدليل المتاح، وما الذي يمكن الرجوع عنه.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c61 من relying party ويعامل recovery كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على WebAuthn Level 3 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ passkey بإحداث الأثر المقصود حول authenticator. إذا فشل تحقق passkey يعيد rollback الإعداد المرتبط بـ authenticator ثم يشغل webauthn3-passkeys-ar-c61 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من relying party. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى recovery وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود WebAuthn Level 3 و authenticator؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c61 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c62 من recovery ويعامل WebAuthn Level 3 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على passkey إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ authenticator بإحداث الأثر المقصود حول relying party. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل recovery نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار WebAuthn Level 3 تتضمن fixture ‏webauthn3-passkeys-ar-c62 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى passkey. بعد ذلك يراقب التشغيل الانتقال بين passkey و authenticator، بينما يتحقق الأمن من أن relying party لا يحصل على صلاحية ضمنية أو بيانات زائدة.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c63 من WebAuthn Level 3 ويعامل passkey كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على authenticator إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ relying party بإحداث الأثر المقصود حول recovery. إذا فشل تحقق relying party يعيد rollback الإعداد المرتبط بـ recovery ثم يشغل webauthn3-passkeys-ar-c63 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من WebAuthn Level 3. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى passkey وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود authenticator و recovery؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c63 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c64 من passkey ويعامل authenticator كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على relying party إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ recovery بإحداث الأثر المقصود حول WebAuthn Level 3. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل passkey نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار authenticator تتضمن fixture ‏webauthn3-passkeys-ar-c64 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى relying party. بعد ذلك يراقب التشغيل الانتقال بين relying party و recovery، بينما يتحقق الأمن من أن WebAuthn Level 3 لا يحصل على صلاحية ضمنية أو بيانات زائدة.

حالة تقنية لـ WebAuthn Level 3 ضمن WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب
لقطة سياقية لقسم «نشر تدريجي وخطة رجوع»: حالة محلية منتجة فعليا للتحقق webauthn3-passkeys-ar.
نقطة دليل: توضح Mozilla أن require-trusted-types-for can make DOM XSS sinks reject raw strings and accept trusted typed values instead. ويُستخدم هذا المرجع لتأطير القسم «نشر تدريجي وخطة رجوع» من دون أن يحل محل الاختبار المحلي. [S6]

معايير قرار الإنتاج

تظهر الصعوبة الحقيقية عندما يلتقي المسار الطبيعي بالصلاحيات والأخطاء وقيود الإنتاج.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c71 من recovery ويعامل WebAuthn Level 3 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على passkey إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ authenticator بإحداث الأثر المقصود حول relying party. بعد ذلك يراقب التشغيل الانتقال بين passkey و authenticator، بينما يتحقق الأمن من أن relying party لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق authenticator يعيد rollback الإعداد المرتبط بـ relying party ثم يشغل webauthn3-passkeys-ar-c71 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من recovery. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى WebAuthn Level 3 وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c72 من WebAuthn Level 3 ويعامل passkey كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على authenticator إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ relying party بإحداث الأثر المقصود حول recovery. وتبقى الخلاصة محكومة بحدود authenticator و recovery؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c72 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل WebAuthn Level 3 نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار passkey تتضمن fixture ‏webauthn3-passkeys-ar-c72 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى authenticator.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c73 من passkey ويعامل authenticator كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على relying party إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ recovery بإحداث الأثر المقصود حول WebAuthn Level 3. بعد ذلك يراقب التشغيل الانتقال بين relying party و recovery، بينما يتحقق الأمن من أن WebAuthn Level 3 لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق recovery يعيد rollback الإعداد المرتبط بـ WebAuthn Level 3 ثم يشغل webauthn3-passkeys-ar-c73 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من passkey. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى authenticator وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c74 من authenticator ويعامل relying party كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على recovery إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ WebAuthn Level 3 بإحداث الأثر المقصود حول passkey. وتبقى الخلاصة محكومة بحدود recovery و passkey؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c74 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل authenticator نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار relying party تتضمن fixture ‏webauthn3-passkeys-ar-c74 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى recovery.

نقطة دليل: توضح SLSA أن SLSA 1.2 organizes supply-chain assurances into tracks and levels with recommended attestation formats. ويُستخدم هذا المرجع لتأطير القسم «معايير قرار الإنتاج» من دون أن يحل محل الاختبار المحلي. [S7]

ضوابط تستمر بعد الإطلاق

التنفيذ المتين يفصل بين ما يقترحه النموذج وما يسمح به التطبيق وما يتحقق منه.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c81 من WebAuthn Level 3 ويعامل passkey كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على authenticator إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ relying party بإحداث الأثر المقصود حول recovery. لاختبار passkey تتضمن fixture ‏webauthn3-passkeys-ar-c81 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى authenticator. بعد ذلك يراقب التشغيل الانتقال بين authenticator و relying party، بينما يتحقق الأمن من أن recovery لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق relying party يعيد rollback الإعداد المرتبط بـ recovery ثم يشغل webauthn3-passkeys-ar-c81 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من WebAuthn Level 3.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c82 من passkey ويعامل authenticator كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على relying party إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ recovery بإحداث الأثر المقصود حول WebAuthn Level 3. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى authenticator وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود relying party و WebAuthn Level 3؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c82 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل passkey نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c83 من authenticator ويعامل relying party كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على recovery إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ WebAuthn Level 3 بإحداث الأثر المقصود حول passkey. لاختبار relying party تتضمن fixture ‏webauthn3-passkeys-ar-c83 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى recovery. بعد ذلك يراقب التشغيل الانتقال بين recovery و WebAuthn Level 3، بينما يتحقق الأمن من أن passkey لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق WebAuthn Level 3 يعيد rollback الإعداد المرتبط بـ passkey ثم يشغل webauthn3-passkeys-ar-c83 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من authenticator.

في «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» يبدأ السيناريو webauthn3-passkeys-ar-c84 من relying party ويعامل recovery كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على WebAuthn Level 3 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ passkey بإحداث الأثر المقصود حول authenticator. هذه الدقة تجعل «WebAuthn Level 3: نشر passkeys مع خطة استرداد حساب» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى recovery وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود WebAuthn Level 3 و authenticator؛ فما لا يثبته السيناريو webauthn3-passkeys-ar-c84 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: تصميم التسجيل والاسترداد وتعدد الأجهزة كجزء من المصادقة وليس كحل طوارئ منفصل. وهي تجعل relying party نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

نقطة دليل: توضح SLSA أن SLSA provenance is verifiable information linking a software artifact to how, when and from what it was produced. ويُستخدم هذا المرجع لتأطير القسم «ضوابط تستمر بعد الإطلاق» من دون أن يحل محل الاختبار المحلي. [S8]

قائمة تحقق تشغيلية

  • الضابط المتعلق بـ WebAuthn Level 3 يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ passkey يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ authenticator يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ relying party يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ recovery يملك مدخلا وقاعدة وسلوك رفض ودليلا.

المصادر ونقاط التحكم

  1. [S1] RFC 9700: Best Current Practice for OAuth 2.0 Security — RFC 9700 updates OAuth 2.0 security practice, including exact redirect URI matching and avoiding open redirectors and insecure legacy patterns. source
  2. [S2] Content Security Policy Cheat Sheet — OWASP recommends strict CSP designs based on nonces or hashes instead of large static allowlists. source
  3. [S3] Web Authentication Level 3 — WebAuthn Level 3 defines strong public-key credentials scoped to relying parties and reached Candidate Recommendation Snapshot status in May 2026. source
  4. [S4] Content Security Policy (CSP) - MDN — CSP can reduce script-injection risk, and Trusted Types can constrain dangerous DOM injection sinks to typed values created by approved policies. source
  5. [S5] Content-Security-Policy: trusted-types directive — The trusted-types CSP directive allowlists policy names and became broadly available across current browsers in 2026. source
  6. [S6] Content-Security-Policy: require-trusted-types-for directive — require-trusted-types-for can make DOM XSS sinks reject raw strings and accept trusted typed values instead. source
  7. [S7] SLSA specification v1.2 — SLSA 1.2 organizes supply-chain assurances into tracks and levels with recommended attestation formats. source
  8. [S8] SLSA Provenance — SLSA provenance is verifiable information linking a software artifact to how, when and from what it was produced. source
  9. [S9] SLSA Build Track Basics — SLSA build levels progress from no guarantees to provenance, hosted signed builds and hardened build platforms. source
  10. [S10] Build attestations - Docker Docs — Docker BuildKit can attach SBOM and provenance attestations so consumers can inspect image contents and build origin. source
Publicité