خصوصية رموز التحقق تبدأ بحماية مفتاح الإعداد

بيانات الضيف عابرة

يستخدم وضع الضيف المفتاح الذي تضعه محليًا في ذاكرة الصفحة لتوليد TOTP؛ لا يحفظه افتراضيًا بعد إعادة تحميل الصفحة ولا يرسله إلى خادم لإنشاء الرمز.

بيانات الخزنة مشفرة قبل المزامنة

تُشفَّر عناصر المستخدم داخل المتصفح وتنتقل للخادم في صورة ciphertext للمزامنة، بينما هوية Google تدير الدخول. لا يعني هذا أن المتصفح أو الجهاز المخترق يصبح آمنًا أثناء عرض الأسرار.

ما الذي لا تضعه في رسالة مساعدة؟

لا تشارك رمزًا حاليًا أو QR إعداد أو مفتاح استرداد أو رابط otpauth كاملًا أو عبارة مرور الخزنة. عند وصف مشكلة استخدم اسمًا عامًا للخدمة ووصف الخطأ بعد حذف البيانات الحساسة.

البيانات التشغيلية تختلف عن أسرار المصادقة

لا يحتاج الخادم إلى معرفة مفتاح TOTP أو الرمز الحالي في تدفق الضيف، لكن حساب العضو قد يحتفظ ببيانات تعريف الحساب والجلسات والأجهزة وسجلات الأمان وأرقام مراجعات المزامنة، إلى جانب عناصر مشفرة. لذلك لا يصح الادعاء بأن الخدمة لا تحتفظ بأي بيانات وصفية.

الحافظة التي تنسخ إليها رمزًا تتبع نظام التشغيل والمتصفح ولا يوجد ضمان لمسحها تلقائيًا. عندما تبلغ عن خطأ، اكتفِ باسم عام للخدمة والخطوات التي سبقت المشكلة من دون QR أو otpauth URI أو مفتاح استرداد.