مفتاح جلسة Claude: المخاطر وإبطال الوصول

إذا طلبت منك إضافة أو بائع اشتراك سلسلة تبدأ بـsk-ant-sid، فلا تسلّمها لهم. تُسمى هذه السلسلة مفتاح جلسة. إنها ليست كلمة مرور؛ بل باب مفتوح إلى حسابك بالفعل: يستطيع أي شخص يملكها قراءة جميع محادثاتك وملفاتك، ولن يُطلب منه عامل تحقق ثانٍ، ويمكنك إبطال الجلسة المتأثرة في Active sessions. إذا لم تعرف أي جلسة تسربت، فاستخدم “Log Out” للحساب كله؛ ويسجّل خروجك أنت أيضًا.

هل سلّمتها بالفعل؟ انتقل مباشرة إلى قسم كيفية إغلاق الوصول. تستغرق أول خطوتين دقيقة واحدة.

إليك ما ستتعرف عليه: ما هذه السلسلة، وما الذي يمكن أن يراه الشخص على الطرف الآخر، ولماذا تعتبر قواعد Anthropic تسليمها مخالفة. لا تشرح هذه المقالة كيفية استخراج المفتاح؛ فبدلًا من تعليمات مثل “اضغط على F12 وانسخ”، تتناول عواقب منح شخص ما إمكانية الوصول.

تجد في الوثائق معلومات عملية عن العمل مع Ailoot.

ما مفتاح جلسة Claude؟#

عندما تدخل بريدك الإلكتروني والرمز الوارد في الرسالة، تتحقق الخدمة من هويتك مرة واحدة. يجب حفظ نتيجة ذلك التحقق في مكان ما، وإلا لاضطررت إلى تأكيد هويتك مع كل نقرة. يحتفظ بها متصفحك في ملف صغير يُرسل تلقائيًا إلى الخادم مع كل إجراء تنفذه على الموقع.

يستخدم Claude ملفًا اسمه sessionKey. وتدرجه Anthropic في جدول ملفات تعريف الارتباط المنشور للعامة:

يسرد الجدول نفسه عدة ملفات تعريف ارتباط أخرى للخدمة ذات مدد قصيرة، لكن هذا هو الملف الذي يطلبه الناس. وتصف Anthropic هذه الفئة على النحو التالي:

لا يمكنك إلغاء الاشتراك فيها، لأنك لن تتمكن من تسجيل الدخول من دون هذا الملف. تبدو قيمته كسلسلة واحدة طويلة تبدأ بـsk-ant-sid. إذا طلب منك شخص “سلسلة تبدأ بـsk-ant-sid”، فهذا هو المقصود تحديدًا.

ملاحظة بشأن المدة لتجنب أي التباس لاحقًا. يذكر الجدول أن مدة الملف نفسه شهر واحد، بينما تستمر الجلسة 28 يومًا، وتُعاد ساعة العد إلى نقطة البداية كل ساعة تقوم فيها بأي نشاط على claude.ai. الخلاصة العملية بسيطة: المفتاح الذي تسلّمه اليوم سيعمل لأسابيع، ونشاطك أنت يمدد صلاحيته أكثر.

تستخدم هذه المقالة عبارتي “مفتاح الجلسة” و“رمز الجلسة” للدلالة على الشيء نفسه.

كيف يختلف مفتاح الجلسة عن كلمة المرور ومفتاح API؟#

هذه ثلاثة أشياء مختلفة كثيرًا ما يخلط الناس بينها ويطلقون عليها “الوصول إلى الحساب”:

يشبه الفرق بين العمودين الأول والثاني الفرق بين جواز السفر وسوار إقامة شامل. تُبرز جواز سفرك عند الاستقبال، وبعد التحقق منه يعطونك السوار. إذا سلّمت السوار إلى شخص آخر، فسيتمكن من تناول الطعام والشراب ودخول غرفتك من دون أن يطلب منه أحد جواز سفره. وتغيير جواز سفر مفقود لا يُزيل السوار من ذراع شخص آخر.

يعمل مفتاح الجلسة بالطريقة نفسها. لا يلزم استبدال ملف تعريف الارتباط يدويًا؛ أنهِ الجلسة المتأثرة في Active sessions. إذا لم تستطع تحديد الجلسة المتسربة بموثوقية، فاستخدم الخروج العام لإغلاقها كلها، بما فيها جلساتك.

لماذا تطلب الإضافات والخدمات هذا المفتاح؟#

إليك مثالين حقيقيين. لن نضع روابط إليهما حتى لا نرسل إليهما زيارات.

بائعو الاشتراكات. يبدو الأمر كأنه خدمة: تدفع أقل من السعر الرسمي، وترسل مفتاحك، فيقوم البائع “بتفعيل” Pro أو Max على حسابك. عُرضت إحدى هذه القوائم للبيع في سوق رئيسي للسلع الرقمية في 19 أغسطس 2026. تنص شروطها على أن مفتاح الجلسة وحده مطلوب، ويطمئن سطر منفصل القراء إلى أنها لن تحتاج إلى كلمة مرورك أو الوصول إلى بريدك الإلكتروني. بيع منها أكثر من مئة مرة، مع 38 عملية استرداد، كما يتنصل البائع مسبقًا من المسؤولية عن أي حظر محتمل للحساب في سطر منفصل.

تنتهي التعليمات الروسية لخدمة أخرى مماثلة بطلبين يؤولان إلى المعنى نفسه: لا تسجل الخروج من حساب Claude حتى يكتمل الطلب، وابقَ مسجل الدخول حتى انتهاء التفعيل. يؤدي تسجيل الخروج إلى إنهاء الجلسة ويجعل المفتاح الذي سلّمته بلا قيمة. تعرف الخدمة ذلك وتطلب منك عدم تسجيل الخروج. ولا تقول التعليمات شيئًا عمّا يحدث للمفتاح بعد “اكتمال التفعيل”.

برامج الجهات الخارجية التي تستخدم Claude على الويب. لدى claude.ai نقاط نهاية داخلية تستدعيها الصفحة نفسها أثناء عملك عليها. إذا أرفق أحدهم ملف تعريف ارتباط لشخص آخر بطلب من هذا النوع، فبإمكانه تمرير نشاطه عبر اشتراك بدلًا من دفع رسوم استخدام API. مكتبات إجراء ذلك متاحة للعامة؛ وأكثرها شعبية لديها ما يقرب من ألف نجمة على GitHub، ولا تتضمن تعليماتها سوى خطوة واحدة تتعلق بالمفتاح. يحتفظ أحد المشاريع بمجموعة كاملة من ملفات تعريف الارتباط الخاصة بأشخاص آخرين ويتنقل بينها، مع حالة “محظور” للمفاتيح في المجموعة: يعرف مؤلفوه مسبقًا أن بعض الحسابات التي تُمنح لهم ستُعطّل، وقد أدرجوا ذلك في البرنامج.

عدادات الاستخدام وتصدير المحادثات وعمليات التكامل. لا تطلب هذه الفئة عادةً أن تلصق أي شيء، لأن الإضافة تعمل داخل متصفحك وتأخذ ملف تعريف الارتباط المخزن فيه بالفعل. والفرق الوحيد عن الفئتين الأوليين هو أن البرنامج الذي منحتَه الإذن يضغط زر النسخ نيابة عنك.

الفئة الرابعة تسرق المفتاح. سنتناول أدناه صفحات التثبيت المزيفة والبرامج التي تمحو كل ما حفظه متصفحك والإضافات التي يتغير سلوكها بعد انتقال ملكيتها.

ما الذي يمكن لشخص يملك مفتاحك رؤيته؟#

مفتاح الجلسة مرتبط بك وبحسابك كاملًا، لا بمحادثة بعينها. لذا فهو يفتح الحساب كله:

• المحادثات. جميع المحادثات، بما فيها إصدارات الإجابات السابقة المخفية أسفل الأسهم في الواجهة.
• الملفات. العقود وعمليات تصدير قواعد البيانات والنماذج المالية ولقطات الشاشة؛ كل ما سبق أن أسقطته داخل محادثة أو وضعته في مشروع.
• الذاكرة والتعليمات المخصصة. ما أخبرت به Claude عن نفسك وعملك حتى لا تضطر إلى تكراره كل مرة.
• بريد الحساب والخطة. يمكنك رؤيتهما في صفحة الإعدادات، كما يستطيع غيرك.
• حدود الاستخدام المتبقية والمبلغ الذي لا يزال بإمكانك إنفاقه. غالبًا ما تُثبّت العدادات لعرض هذه الأرقام.
• صلاحية التصرف. يمكنهم إرسال الطلبات وحذف المحادثات وتغيير الإعدادات.

لا تعرض واجهة Claude تفاصيل البطاقة كاملة، لذا لن تُسرق بيانات بطاقتك. لكن اشتراكك موجود في الحساب نفسه الذي دخل إليه شخص آخر بالفعل، ويمكن إلغاؤه بالزر المعتاد في الإعدادات.

تختفي المحادثات المحذوفة من السجل فورًا، ومن مساحة تخزين Anthropic خلال ثلاثين يومًا. وتعتمد مدة قدرة شخص آخر على قراءة محادثاتك على مدة صلاحية مفتاح الجلسة؛ فمسح المحادثات لا يؤثر فيه إطلاقًا.

من الأفضل الاحتفاظ بالمعرفة المهنية في ملفات داخل مشروع: يمكنك رؤيتها وتعديلها، ولا يؤدي فقدان جلسة إلى فقدانها.

لماذا يشكل هذا خطرًا أكبر من سرقة كلمة المرور؟#

إن القول إن “الإضافة تتجاوز المصادقة الثنائية” يبدو مثيرًا، لكنه غير دقيق أيضًا. لا تظهر الإضافة إلا بعد التحقق من كلمة المرور وإدخال الرمز الوارد في البريد الإلكتروني وإصدار الخادم تأكيدًا. وما يُسرق هو ذلك التأكيد.

الخاصية الثانية هي المدة. ما دامت الجلسة حية، يظل المفتاح صالحًا، ويمكنك متابعة استخدام حسابك كالمعتاد، ما يمدد وصول شخص آخر في كل مرة تزور فيها الموقع.

أما النقطة الثالثة فتتعلق بعلامة HttpOnly. تُعد هذه العلامة وسيلة الحماية الرئيسية للجلسة، وهي تمنع فعلًا نصوص الصفحة نفسها من الوصول إلى ملف تعريف الارتباط. لكن الإضافات تستطيع قراءته من خلال آلية منفصلة خاصة بها. ويقول وصف مشروع Chromium لتلك الآلية:

وتؤكد وثائق Chrome الحالية ذلك بصورة غير مباشرة: تتلقى الإضافة كائن ملف تعريف ارتباط يحتوي على الخاصية httpOnly، ما يعني أنها تستطيع رؤية هذه الملفات أيضًا.

بالطبع، ليست كل الإضافات الأخرى تسرق ملفات تعريف الارتباط. لكن عبارة “متاحة في المتجر وتحظى بتقييم مرتفع” لم تعد تضمن شيئًا، لذا انتبه إلى قائمة الأذونات.

ماذا تقول قواعد Claude عن ذلك؟#

هذا هو النص الحرفي للمادة 2 من شروط المستهلك لدى Anthropic:

يندرج تسليم مفتاح الجلسة بوضوح ضمن هذا الحكم. وتنص المادة نفسها على أن مالك الحساب مسؤول عن كل نشاط يجري عليه، وعليه إبلاغ الدعم فورًا بأي وصول غير مصرح به. وتحظر المادة 3 بصورة منفصلة الوصول إلى الخدمة “بوسائل آلية أو غير بشرية، سواء عبر روبوت أو نص برمجي أو غير ذلك” إن لم يتم ذلك عبر مفتاح API. وتمنح المادة 13 Anthropic الحق في تعليق الوصول أو إنهائه في أي وقت ومن دون إشعار إذا رأت الشركة أن الشروط انتُهكت انتهاكًا جوهريًا. وتسليم مفتاح واحد يمس الأحكام الثلاثة كلها في آن واحد.

تقول وثائق Claude Code ما يلي بشأن برامج الجهات الخارجية:

ثمة قيد على ما نزعمه: لم نعثر على تصريح علني من Anthropic يقول “نحظر المستخدمين بسبب مشاركة sessionKey”، لذا لا تنسب المقالة هذه العبارة إلى الشركة. تُظهر الوثائق أن القواعد تحظر ذلك صراحةً، وأن صاحب الحساب مسؤول، وأن الوصول قد يُعطّل من دون إشعار. وهناك مؤشرات غير مباشرة أيضًا: تعرض برامج الجهات الخارجية حالة “محظور” بوصفها حالة عادية للمفتاح.

وهناك حظر ثانٍ أيضًا. تحظر قواعد الاستخدام تجاوز الحظر من خلال حساب آخر، كما تحظر منح الوصول لشخص سبق تعطيله. إذا اشترى أحدهم مفتاحك لهذا الغرض، فستُسجل المخالفة على حسابك. وتجمع مقالة أسباب حظر حسابات Claude الأسباب الأخرى التي تدفع Anthropic إلى إغلاق الوصول.

كيف تفحص إضافة قبل تثبيتها وبعدها؟#

ما يمكنك رؤيته قبل التثبيت. تتضمن صفحة الإضافة في المتجر قسمًا للخصوصية يوضح البيانات التي تجمعها الإضافة وتشاركها. والقرينة الثانية هي طريقة عثورك عليها. إذا تعذر العثور على الإضافة عبر بحث المتجر ولم يكن تثبيتها ممكنًا إلا من رابط مباشر في رسالة أرسلها شخص آخر، فاعتبر ذلك علامة تحذير.

ما ينبغي فحصه بين الإضافات المثبتة بالفعل. مرّ على القائمة بأكملها اليوم واتبع هذه الخطوات الخمس.

1. افتح قائمة الإضافات وتحقق من الأذونات

   العنوان هو chrome://extensions؛ انقر على “التفاصيل” في الإضافة التي تريدها. في Edge، العنوان هو edge://extensions. ويستخدم Arc والمتصفحات الأخرى المبنية على المحرك نفسه عنوان chrome://extensions.

2. ابحث عن سطر يذكر claude.ai

   لا يعرض Chrome تحذيرًا منفصلًا بشأن الوصول إلى ملفات تعريف الارتباط، لذا انظر إلى قائمة المواقع بدلًا من ذلك. يعني سطر مثل “قراءة بياناتك على claude.ai وتغييرها” أن الإضافة تعمل داخل جلسة Claude. وهذا طبيعي لعداد الاستخدام، لكنه ليس طبيعيًا إذا ظهر هذا السطر لإضافة لا علاقة لها بـClaude.

3. تحقق مما إذا كان الوصول إلى جميع المواقع مسموحًا

   قد يظهر في قسم “الوصول إلى المواقع” الخيار “على كل المواقع”. يتيح ذلك للإضافة الوصول إلى حسابك المصرفي وبريدك الإلكتروني ولوحة إدارة موقعك أيضًا. ولا يحتاج عداد استخدام Claude إلى ذلك تحت أي ظرف.

4. قلّص الوصول إلى الحد الأدنى

   غيّر الخيار “على كل المواقع” في المكان نفسه إلى “على مواقع محددة” أو “عند النقر”. ستواصل الإضافة العمل حيث تحتاج، وتتوقف عن قراءة كل شيء آخر.

5. تحقق مما إذا كانت الملكية قد تغيرت

   تُباع الإضافات، وقد يصدر المالك الجديد تحديثًا يُثبّت بصمت. من العلامات: تغير الناشر أو عنوان الدعم، أو صدور تحديث بعد فترة طويلة من الهدوء من دون وصف واضح للتغييرات، أو أذونات جديدة لم تكن موجودة في الإصدار السابق، أو تدفق مفاجئ للتقييمات التي تذكر استبدال نتائج البحث والإعلانات.

وهناك فحص سادس لمن يريد التعمق أكثر: شغّل “وضع المطور” في الصفحة نفسها، وانقر على الرابط الأزرق أسفل الإضافة، ثم استخدم علامة التبويب “Network” لمعرفة وجهة الطلبات. ينبغي ألا تتجه إلا إلى claude.ai نفسه وموقع مؤلف الإضافة. فإذا ظهر عنوان ثالث غير مذكور في الوصف، فهذا يعني أن الإضافة ترسل بياناتك إلى مكان آخر. هذا الفحص مرهق؛ والخطوات الخمس الأولى كافية من دونه.

واطرح على نفسك سؤالًا أخيرًا: لماذا تحتاج هذه المهمة إلى مفتاح حسابك كاملًا؟ يمكنك إظهار حدود الاستخدام المتبقية من دونه، كما يمكنك تصدير المحادثات.

ماذا تفعل إذا كنت قد سلّمت المفتاح بالفعل؟#

1. أزل الإضافة أو ألغِ صلاحية وصولها

   ما دامت الإضافة مثبتة، سيسلك أي مفتاح جديد المسار نفسه. انتقل إلى chrome://extensions وانقر على “إزالة”.

2. اعرف من يستخدم حسابك الآن

   افتح “Settings” على claude.ai، ثم قسم “Account” وكتلة “Active sessions”. يمكنك في كل جلسة الاطلاع على الجهاز والمتصفح والموقع التقريبي بناءً على عنوان الاتصال ووقت آخر استخدام؛ وتُعلّم جلستك الحالية بأيقونة “Current session”. وجود مدينة غير مألوفة أو متصفح شخص آخر في القائمة لا يترك مجالًا للتخمين. يمكنك إنهاء جلسة بعينها من قائمة النقاط الثلاث باختيار “Terminate” ثم التأكيد.

3. سجّل الخروج من جميع الجلسات دفعة واحدة

   يوجد في المكان نفسه، “Settings” ← “Account”، زر “Log Out”. يُخرجك من جميع الأجهزة: المتصفحات وتطبيقات الهاتف وبرامج سطح المكتب. يغلق ذلك كل الجلسات النشطة. وينهي الإغلاق المنفرد الجلسة المتأثرة أيضًا؛ استخدم الخروج العام عندما لا تستطيع تحديدها بموثوقية. وتشير Anthropic إلى أن تطبيقَي Claude للهاتف على iOS وAndroid لا يحتويان على هذا الزر؛ لذا سجّل الخروج من متصفح.

4. غيّر كلمة مرورك إذا كنت تسجل الدخول بها

   تجاوز هذه الخطوة إذا كنت تسجل الدخول باستخدام “Continue with Google” أو عبر حساب العمل. الترتيب مهم: يمنع تغيير كلمة المرور عمليات تسجيل الدخول المستقبلية، لكنه لا ينهي الجلسات المفتوحة بالفعل، لذا نفّذ هذه الخطوة بعد الخطوة 3.

5. أبلغ Anthropic

   تفرض شروط المستهلك إبلاغهم فورًا عن أي وصول غير مصرح به عبر البريد الإلكتروني support@anthropic.com. لا ترسل الرسالة لمجرد استيفاء إجراء شكلي؛ فإذا كان أحد قد تصرف بالفعل من خلال حسابك، فسيُسجّل أنك أبلغت بنفسك.

6. راجع مفاتيحك وسجل أنشطتك

   إذا كان لديك حساب في وحدة تحكم المطورين، فتحقق من قسم “API Keys” واحذف أي مفتاح لست متأكدًا منه. توصي Anthropic بإبطال المفتاح فور الاشتباه في تسربه، مع تعيين حدود للاستخدام في الوقت نفسه. ثم امسح المحادثات الحساسة والملفات في Projects؛ فتختفي من السجل فورًا ومن مساحة التخزين خلال ثلاثين يومًا. لتنزيل نسخة كاملة من محادثاتك لمراجعتها، انتقل إلى “Settings” ← “Privacy” ← “Export data”؛ ويظل رابط الأرشيف متاحًا ليوم واحد. تحقق أيضًا مما إذا كان أي شيء قد تسرّب في وقت سابق عبر مسار آخر: راجع المقالة عن ظهور محادثات Claude في بحث Google للاطلاع على روابط المحادثات العامة.

هناك سؤال منفصل يجعل الناس يترددون بشأن الخطوة الثالثة: ماذا يحدث لاشتراك دفعوا للبائع ثمنه بالفعل؟ يغلق زر “Log Out” الجلسات ولا يمس الاشتراك؛ فالخطة مرتبطة بالحساب ويمكن إلغاؤها على حدة من زر في قسم “Billing”. لذا يمكنك تسجيل الخروج من جميع الجلسات مع الاحتفاظ بالخطة المدفوعة. لكن شروط البائع نفسه تتنصل من المسؤولية عن الحظر، لذلك لا حماية لك هنا؛ وقرار “سأنتظر لأنني لا أريد خسارة المال” لا يحميك من أي شيء إطلاقًا.

هناك أمر لا يمكنك التراجع عنه: ما قُرئ قد قُرئ. وإذا كانت المحادثات تتضمن بيانات العملاء، فتحدث إلى المسؤول عن البيانات الشخصية في مؤسستك.

كيف تنجز الأمر نفسه من دون مفتاح؟#

يمكنك إبطال مفاتيح API منفردة دون إغلاق جلسات المتصفح. وتدعم جلسات المتصفح الإنهاء المنفرد أيضًا، لكن أدوات التحكم ونطاقها مستقلان: احذف مفتاح API المخترق من وحدة التحكم، أو أنهِ جلسة الويب المتأثرة في Active sessions. وتوصي Anthropic باستخدام مفاتيح مختلفة للبيئات المختلفة، مثل التطوير والاختبار والإنتاج، وتغييرها وفق جدول زمني، مثل كل 90 يومًا. راجع تعليمات تجديد الاشتراك.

وملاحظة منفصلة بشأن الإضافة الرسمية، لأنها تستطيع الوصول إلى المحادثات أيضًا. يكمن الفرق في أنها تستخدم تسجيل دخولك إلى Claude على جهازك أنت ولا ترسل أي شيء إلى الخارج؛ فالمفتاح لا ينتقل إلى أي مكان. ومع ذلك، تتحفظ Anthropic في إرشاداتها: فهي توصي بتشغيل الإضافة في ملف شخصي منفصل للمتصفح لا يتيح الوصول إلى الحسابات المصرفية أو الطبية أو الحكومية. فإذا كان منشئ المنصة نفسه يتوخى كل هذا الحذر مع منتجه، فكن أشد حذرًا مع إضافة خارجية يمكنها الوصول إلى claude.ai.

ما الأسئلة الأخرى التي يطرحها الناس عن مفاتيح الجلسات؟#

ما الخطوة التالية؟#

تستغرق مراجعة إضافاتك نحو عشر دقائق، وعادة ما تكشف مفاجأة مزعجة. افتح chrome://extensions واحسب عدد الإضافات التي لديها إمكانية الوصول “على كل المواقع”. غيّر الإعداد إلى “عند النقر” لأي إضافة يمكنها العمل من دون تلك الصلاحية. وبالنسبة إلى البقية، تحقق مما إذا كانت claude.ai مدرجة لإضافة لا علاقة لها بـClaude.

وهناك قاعدة تنطبق على ما هو أبعد من هذه الحالة. إذا طلبت أداة الوصول إلى حسابك كاملًا مع أنها تستطيع استخدام مفتاح منفصل، فهي توفر على نفسها جهدًا على حسابك. تشرح المقالة هل من الآمن منح Claude Code إمكانية الوصول إلى بياناتك؟ ما يستحق منحه لأدوات الذكاء الاصطناعي وما لا يستحق. وراجع أمان البرمجة بأسلوب vibe coding للاطلاع على الثغرات في الأشياء المبنية باستخدام هذا الأسلوب.

افتح Ailoot.