كيفية إعداد مفاتيح SSH في عام 2026 لتسجيل الدخول دون كلمة مرور

يستغرق إعداد مفاتيح SSH نحو خمس دقائق، ويستبدل كلمة مرور خادمك بزوج مفاتيح تشفيري يصعب اختراقه بمراحل: فأنت تنشئ الزوج على جهازك الخاص، ثم تنسخ النصف العام إلى الخادم، ثم توقف تسجيل الدخول بكلمة المرور. الخلاصة المختصرة هي ثلاثة أوامر — ssh-keygen -t ed25519 وssh-copy-id user@your-server، ثم تعديل من سطر واحد لتعطيل المصادقة بكلمة المرور. يرشدك هذا الدليل عبر كل خطوة لخادم VPS يعمل بنظام Linux، ويوضح أي نوع مفتاح ينبغي اختياره في عام 2026، ويتناول خطوة التحصين التي تغفل عنها معظم الشروحات.

إن كنت قد اضطررت يومًا إلى كتابة كلمة مرور في كل مرة تتصل فيها عبر SSH بأحد الخوادم، فإن المفاتيح تزيل هذا العناء والمخاطرة الأمنية الكامنة وراءه. المفتاح هو في الواقع كلمة مرور يستحيل تخمينها ويبلغ طولها آلاف الأحرف، ولا تنتقل أبدًا إلى الخادم، ومن ثم تتوقف هجمات القوة الغاشمة ضد تسجيل دخولك عن العمل.

ما هي مفاتيح SSH ولماذا تتفوق على كلمات المرور

زوج مفاتيح SSH هو ملفان متطابقان: مفتاح خاص يبقى على حاسوبك، ومفتاح عام تضعه على أي خادم تريد الوصول إليه. عند الاتصال، يتحدى الخادم جهازك ليثبت أنه يمتلك المفتاح الخاص، ويجري هذا الإثبات دون أن يغادر السر حاسوبك المحمول قط. ولأن المفتاح الخاص ضخم مقارنةً بكلمة مرور بشرية ولا ينتقل أبدًا إلى الخادم، فإن OpenSSH يدعم المصادقة بالمفتاح العام باعتبارها طريقة تسجيل دخول أقوى من كلمة مرور قابلة لإعادة الاستخدام.

المكاسب العملية فورية. فأنت تتوقف عن إرسال كلمة مرور قابلة لإعادة الاستخدام عبر الشبكة، ومن ثم لا تحصل روبوتات حشو بيانات الاعتماد والقوة الغاشمة التي تطرق المنفذ port 22 على شيء. ويمكنك تسجيل الدخول دون كتابة أي شيء، ما يجعل السكربتات وعمليات النشر سلسة. وبمجرد أن تعمل المفاتيح، يمكنك إيقاف تسجيل الدخول بكلمة المرور تمامًا — وهو أكبر تقليص منفرد لسطح الهجوم يحصل عليه أي خادم جديد، والسبب في أن المفاتيح هي الخطوة الأولى في أي إعداد آمن لخادم VPS في الساعة الأولى.

أي نوع من مفاتيح SSH ينبغي أن تستخدم في عام 2026؟

ليست كل خوارزميات المفاتيح متساوية. يستطيع ssh-keygen إنتاج عدة أنواع، لكن الخيار في عام 2026 بسيط لدى الجميع تقريبًا: استخدم Ed25519. فهو سريع، وينتج مفاتيح قصيرة، وأمانه ممتاز؛ كما أنه الخيار الافتراضي الحديث الذي يوصي به الآن GitHub ومعظم المنصات.

نوع المفتاح	راية الأمر	ملاحظات
Ed25519	-t ed25519	موصى به. سريع وصغير الحجم وحديث ومدعوم على نطاق واسع.
RSA 4096	-t rsa -b 4096	استخدمه فقط للأنظمة القديمة التي تفتقر إلى دعم Ed25519.
ECDSA	-t ecdsa	يعمل، لكن لا يوجد سبب لاختياره على Ed25519.
DSA	-t dsa	مهجور ومعطّل في إصدارات OpenSSH الحديثة — لا تستخدمه أبدًا.

الاستثناء الوحيد هو خادم أو جهاز قديم أقدم من أن يفهم Ed25519، حيث يكون RSA بطول 4096 بت هو البديل الآمن. أما بالنسبة لخادم VPS اعتيادي يعمل بنظام Linux مع إصدار حديث من OpenSSH، فإن Ed25519 هو الجواب الصحيح، وبقية هذا الدليل تفترض استخدامه.

كيفية إعداد مفاتيح SSH خطوة بخطوة

ثلاث خطوات: أنشئ الزوج، وانسخ المفتاح العام إلى الخادم، ثم اتصل.

1. أنشئ زوج المفاتيح على جهازك المحلي (وليس الخادم):

ssh-keygen -t ed25519 -C "you@yourmachine"

اضغط Enter لقبول الموقع الافتراضي (~/.ssh/id_ed25519)، وعيّن عبارة مرور عندما يُطلب منك ذلك — فعبارة المرور تشفّر المفتاح الخاص على القرص، بحيث لا يسلّم حاسوب محمول مسروق خوادمك. يؤدي هذا إلى إنشاء ملفين: id_ed25519 (خاص، احتفظ به سرًا) وid_ed25519.pub (عام، قابل للمشاركة).

2. انسخ المفتاح العام إلى الخادم باستخدام الأداة المساعدة التي تتولى الأذونات نيابةً عنك:

ssh-copy-id user@your-server-ip

تسجّل الدخول مرة واحدة بكلمة مرورك، وتُلحق مفتاحك العام بملف ~/.ssh/authorized_keys على الخادم. ألا يتوفر لديك ssh-copy-id (وهو أمر شائع على Windows/macOS)؟ افعل ذلك يدويًا — الصق محتويات ملف .pub في ذلك الملف، وتأكد من أن أذونات المجلد هي 700 والملف 600، وإلا فسيرفض SSH استخدامه.

3. اتصل. شغّل ssh user@your-server-ip وستدخل دون مطالبة بكلمة مرور (سوى عبارة المرور المحلية إن كنت قد عيّنتها). اختبر هذا في نافذة طرفية جديدة قبل المضي قدمًا — يجب أن تتأكد من أن تسجيل الدخول بالمفتاح يعمل قبل أن تعطّل كلمات المرور.

أحكم الإغلاق: عطّل تسجيل الدخول بكلمة المرور

هذه هي الخطوة التي تحوّل "المفاتيح تعمل" إلى "الخادم صار أكثر أمانًا بالفعل"، وهي الخطوة التي تتجاهلها معظم الأدلة. فما دامت المصادقة بكلمة المرور مفعّلة، تظل الروبوتات قادرة على محاولة تخمين كلمة مرورك، سواء استخدمت المفاتيح أم لا. بمجرد أن تتأكد من أن تسجيل الدخول بالمفتاح يعمل، عدّل ملف تهيئة عفريت SSH على الخادم في /etc/ssh/sshd_config:

PasswordAuthentication no
PubkeyAuthentication yes

ثم أعد تحميل الخدمة — sudo systemctl restart ssh على Debian/Ubuntu (sshd على بعض التوزيعات). من الآن فصاعدًا يقبل الخادم المفاتيح فقط، وتصبح هجمات القوة الغاشمة بكلمة المرور ضده مستحيلة. يوثّق دليل sshd_config الخاص بـ OpenSSH كلا التوجيهين. أبقِ جلستك الحالية مفتوحة أثناء اختبار تسجيل دخول جديد، لتتمكن من التراجع عن التغيير إذا حدث خطأ ما. يتكامل هذا بشكل طبيعي مع التحصين الأوسع في شرح كامل للاستضافة الذاتية على خادم VPS.

إدارة المفاتيح: ssh-agent واختيار مفتاح محدد

بمجرد أن يصبح لديك مفتاح، تجعل أداتان صغيرتان الاستخدام اليومي أكثر سلاسة. يحتفظ ssh-agent بمفتاحك الخاص بعد فك تشفيره في الذاكرة، بحيث تكتب عبارة المرور مرة واحدة لكل جلسة بدلًا من كل اتصال. شغّله وأضف مفتاحك:

eval "$(ssh-agent -s)"
ssh-add ~/.ssh/id_ed25519

إذا كان لديك عدة مفاتيح واحتجت إلى فرض استخدام مفتاح بعينه — وهو سؤال متكرر — فوجّه SSH إليه مباشرةً بـ ssh -i ~/.ssh/id_ed25519 user@host، أو اجعله دائمًا في ~/.ssh/config:

Host myserver
    HostName 203.0.113.10
    User deploy
    IdentityFile ~/.ssh/id_ed25519

الآن يستخدم ssh myserver المفتاح والمستخدم الصحيحين تلقائيًا. يستحق ملف التهيئة الإعداد لحظة أن تدير أكثر من خادم واحد؛ كما أنه أنظف طريقة لمنع تعارض مفاتيح العمل والمفاتيح الشخصية. انسخ هذه الملفات احتياطيًا بالطريقة نفسها التي تتبعها مع أي بيانات حرجة — راجع دليل النسخ الاحتياطي 3-2-1 للاطلاع على إعداد يستعيد البيانات فعلًا.

ملاحظات حول Windows وmacOS

يأتي كل من Windows 10/11 الحديث وmacOS مزودًا بـ OpenSSH مدمجًا، لذا يعمل ssh-keygen -t ed25519 بالطريقة نفسها في PowerShell أو Terminal. على Windows، توجد المفاتيح في C:\Users\you\.ssh\، ويمكنك تشغيل الوكيل بـ Start-Service ssh-agent قبل تنفيذ ssh-add. ونظرًا لغياب ssh-copy-id على Windows، انسخ المفتاح العام يدويًا بـ type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh user@host "cat >> ~/.ssh/authorized_keys". أما كل شيء آخر — ملف التهيئة، وتعطيل كلمات المرور من جهة الخادم — فمطابق تمامًا.

الأسئلة الشائعة

كيف أستخدم مفاتيح SSH بدلًا من كلمة المرور؟

أنشئ زوج مفاتيح بـ ssh-keygen -t ed25519، وانسخ المفتاح العام إلى الخادم بـ ssh-copy-id user@host، ثم تأكد من قدرتك على تسجيل الدخول دون كلمة مرور. ولاستبدال كلمات المرور بالكامل، عيّن PasswordAuthentication no في ملف /etc/ssh/sshd_config على الخادم، ثم أعد تشغيل SSH.

أي نوع من مفاتيح SSH ينبغي أن أستخدم؟

Ed25519. فهو الخيار الافتراضي الحديث: سريع ومدمج وآمن. لا تلجأ إلى RSA 4096 (ssh-keygen -t rsa -b 4096) إلا للأنظمة القديمة التي لا تدعم Ed25519. وتجنّب DSA وECDSA.

كيف أُعِدّ ملف authorized_keys؟

يتولى ssh-copy-id ذلك نيابةً عنك بإلحاق مفتاحك العام بملف ~/.ssh/authorized_keys على الخادم. ولفعل ذلك يدويًا، الصق محتويات ملف .pub الخاص بك في ذلك الملف، مفتاحًا واحدًا في كل سطر، وعيّن الأذونات إلى 700 لمجلد ~/.ssh و600 للملف.

كيف أُجبر SSH على استخدام مفتاح محدد؟

استخدم ssh -i ~/.ssh/keyname user@host للاستخدام لمرة واحدة، أو أضف سطر IdentityFile تحت مدخل Host في ~/.ssh/config لجعله دائمًا لذلك الخادم.

هل مفاتيح SSH أكثر أمانًا من VPN؟

إنها تحل مشكلات مختلفة. تصادق مفاتيح SSH على تسجيل دخولك إلى خادم يمكن الوصول إليه عبر الشبكة؛ أما VPN أو النفق فيتحكم في من يستطيع الوصول إليه من الأساس. لتحصين خادم VPS عام، استخدم SSH بالمفاتيح فقط؛ ولإبقاء خدمة ما خاصة، أضف نفقًا فوق ذلك.

Sources

• OpenSSH — دليل ssh(1): وصف موثوق للمصادقة بالمفتاح العام وكيفية عمل تبادل المفاتيح.
• OpenSSH — دليل sshd_config(5): المرجع الرسمي لـ PasswordAuthentication وPubkeyAuthentication.
• OpenSSH — دليل ssh-keygen(1): خيارات توليد المفاتيح الرسمية والخوارزميات المدعومة.
• GitHub Docs — توليد مفتاح SSH جديد وإضافته إلى ssh-agent: الإرشادات الحالية التي توصي بـ Ed25519 واستخدام ssh-agent.