مولّد تجزئة كلمات مرور WordPress

يحوّل مولّد تجزئة كلمات مرور WordPress كلمة المرور بنصها الصريح إلى التنسيق المجزأ الذي يخزّنه WordPress. لا يحتفظ WordPress بكلمات المرور كنص صريح أبداً، لذلك لن تعمل كلمة مرور خام يتم لصقها في قاعدة البيانات. تنتج هذه الأداة تجزئة صالحة تجتاز الدالة wp_check_password().

تزداد أهمية المولّد عندما تفقد الوصول ولا يكون الاسترداد عبر البريد الإلكتروني متاحاً. تنشئ التجزئة هنا، ثم تلصقها في العمود user_pass باستخدام phpMyAdmin أو WP-CLI. يدعم مولّد تجزئة كلمات مرور WordPress هذا جميع إصدارات WordPress، بما في ذلك الانتقال إلى bcrypt الذي قُدّم في الإصدار 6.8.

يستغرق استخدام مولّد تجزئة كلمات مرور WordPress هذا أقل من دقيقة ولا يتطلب أي إضافة. تحتاج فقط إلى الوصول إلى قاعدة البيانات عبر phpMyAdmin أو Adminer أو WP-CLI. اتبع الخطوات أدناه لإعادة تعيين كلمة المرور مباشرةً.

سينجح تسجيل الدخول التالي باستخدام كلمة المرور التي اخترتها فوراً. وسيحدّث WordPress أيضاً التجزئة المخزنة تلقائياً عند أول تسجيل دخول ناجح. نفّذ هذه العملية فقط على المواقع التي تملكها أو تديرها.

غيّر WordPress 6.8 طريقة تجزئة كلمات المرور للمرة الأولى منذ سنوات. فقد استُبدل نظام phpass المحمول القديم بخوارزمية bcrypt الأقوى بكثير. وهذا يعزز حماية كل حساب من هجمات القوة الغاشمة بجعل كسر كل تجزئة أكثر كلفة.

تحمل التجزئة الافتراضية الجديدة البادئة $wp$2y$، وهي تشير إلى بنية خاصة. يجري WordPress تجزئة أولية لكلمة المرور باستخدام SHA-384 قبل تطبيق bcrypt، لأن bcrypt يتجاهل أي بيانات بعد 72 بايت. وتميّز علامة $wp الإضافية هذه التجزئات عن تجزئات bcrypt العادية التي تنشئها الإضافات. ينتج مولّد تجزئة كلمات مرور WordPress هذا قيمة $wp$2y$ الصحيحة للإصدار 6.8 وما بعده.

لا تزال ملايين المواقع تستخدم إصدارات WordPress أقدم من 6.8. وتتوقع تلك التثبيتات تجزئة phpass محمولة تبدأ دائماً بالبادئة $P$. وتُعد تجزئة مثل $P$HDXCHroge2B4dB55GPnGI0OytnTvap/ مثالاً شائعاً على phpass.

يستخدم تنسيق phpass جولات عديدة من MD5 المملّح، وكان ذلك مناسباً في وقته. وهو أضعف من bcrypt، لكنه يظل صالحاً في أي موقع أقدم من الإصدار 6.8. ولا يزال مولّد تجزئة WordPress هذا ينشئ تجزئات $P$ لتلك التثبيتات القديمة. وسيحدّث WordPress تجزئة phpass إلى bcrypt تلقائياً في الخلفية عند تسجيل دخول المستخدم التالي على WordPress 6.8.

يعتمد اختيار التنسيق الصحيح بالكامل على إصدار WordPress لديك. ولن يؤدي استخدام تنسيق غير صحيح إلى تعطيل الموقع، لأن WordPress يقبل عدة تنسيقات موروثة. لكن مطابقة التنسيق للإصدار تضمن فقط أن تبدأ التجزئة المخزنة بأقصى مستوى من القوة.

يربط الجدول أدناه كل إصدار من WordPress بتنسيق التجزئة المتوقع. تحقّق من إصدارك في تذييل لوحة الإدارة أو في الملف wp-includes/version.php. وعند الشك، تعمل تجزئة phpass ذات البادئة $P$ في جميع الإصدارات، لأن كل إصدار حديث لا يزال قادراً على التحقق منها.

تُعد إعادة التعيين عبر قاعدة البيانات طريقة الاسترداد القياسية عند فقدان وصول المسؤول. أولاً، أنشئ تجزئة كلمة المرور الجديدة باستخدام هذه الأداة. احتفظ بهذه التجزئة في الحافظة للخطوة التالية.

افتح phpMyAdmin من لوحة الاستضافة وحدد قاعدة بيانات موقعك. ابحث عن جدول wp_users، وحدد صف المستخدم، ثم عدّل الحقل user_pass. استبدل محتواه بالتجزئة التي أنشأتها واحفظ الصف. سجّل الدخول بكلمة المرور الجديدة، وسيتولى WordPress ما تبقى.

يمكن للمطورين الذين لديهم وصول إلى shell تجاوز phpMyAdmin بالكامل. تحدّث أداة WP-CLI كلمة المرور بأمر واحد وتجزئها تلقائياً. يؤدي تشغيل الأمر أدناه إلى تعيين كلمة المرور بصورة صحيحة.

wp user update admin --user_pass=NewPass

يطبّق WP-CLI تنسيق التجزئة الصحيح لإصدار WordPress لديك دون خطوات يدوية. ويظل مولّد تجزئة WordPress هذا مفيداً عندما لا يتوفر لديك وصول إلى shell أو عندما تريد فحص التجزئة الخام. تحقق الطريقتان النتيجة نفسها، لذا اختر ما يناسب بيئتك.

نعم، تُنشأ كل تجزئة محلياً داخل متصفحك باستخدام JavaScript. ولا يتم رفع كلمات مرورك أو تسجيلها أو تخزينها على أي خادم خارجي. وهذا يجعل الأداة آمنة للاستخدام حتى مع بيانات اعتماد الإنتاج الفعلية.

تستخدم كل عملية إنشاء أيضاً قيمة salt عشوائية جديدة، لذلك تنتج كلمة المرور نفسها تجزئة مختلفة في كل مرة. وهذا سلوك متوقع ولا يؤثر في تسجيل الدخول، لأن قيمة salt مضمّنة داخل التجزئة. لإنشاء كلمة مرور قوية قبل تجزئتها، استخدم مولّد كلمات المرور. ولإنشاء تجزئات bcrypt عادية خارج WordPress، استخدم مولّد bcrypt وأداة التحقق منه.