امنیت حساب گوگل و جیمیل

امنیت حساب کجاست

همه‌چیز از یه جا شروع می‌شه: صفحه‌ی حساب گوگل. روی هر دستگاهی، نشانی myaccount.google.com رو باز کنید و وارد بشید؛ روی گوشی اندروید، از تنظیمات، بخش Google، گزینه‌ی Manage your Google Account. توی این صفحه، بخشی به اسم Security & sign-in، یعنی «امنیت و ورود»، هست که تقریبا همه‌ی کارهای این درس اونجاست. اونایی که جستجو می‌کنن «امنیت جیمیل کجاست»، دنبال همین صفحه‌ان؛ امنیت جیمیل، همون امنیت حساب گوگله.

رنگ‌های بررسی امنیت

اولین کار، «بررسی امنیت» (Security Checkup)‌ه، که گوگل خودش توصیه‌های شخصی برای حساب شما می‌ده. طبق راهنمای گوگل، کنار عکس پروفایل یا توی بخش امنیت، گاهی یه علامت تعجب رنگی می‌بینید: آبی یعنی یه نکته‌ی امنیتی، زرد یعنی یه قدم مهم، و قرمز یعنی یه هشدار فوری. یه سپر سبز با تیک، یعنی حساب سالمه و کار فوری‌ای لازم نیست.

برای رفتن بهش، طبق همون راهنما: عکس پروفایل، بعد Recommended actions، یا از صفحه‌ی حساب، Security & sign-in. هر توصیه‌ای که داد رو یکی‌یکی انجام بدید؛ بیشترشون همون کارهاییه که بخش‌های بعد می‌گن.

رمز

رمز حساب گوگل باید بلند، تصادفی و فقط برای همین حساب باشه؛ همون چیزهایی که درس رمز خوب گفت. اگه از مدیر رمز گوگل استفاده می‌کنید، این رمز، کلید گاوصندوق هم هست، پس باید از همه قوی‌تر باشه؛ چهار یا پنج کلمه‌ی تصادفی، یا یه رمز طولانی که روی کاغذ، جای امن، نگهش می‌دارید. اگه رمز فعلی رو جای دیگه هم استفاده کردید، همین امروز عوضش کنید، از Security & sign-in، بخش Password.

ورود دومرحله‌ای

طبق راهنمای گوگل: حساب گوگل، Security & sign-in، زیر How you sign in to Google، گزینه‌ی Turn on 2-Step Verification. راهنمای «امن‌تر کردن حساب» گوگل یه ترتیب هم برای قدرت روش‌های مرحله‌ی دوم می‌ده: کلید امنیتی امن‌ترینه؛ بعد اعلان‌های گوگل (Google prompts)، که از کد پیامکی امن‌ترن؛ بعد برنامه‌ی تایید مثل Google Authenticator؛ و کد پیامکی آخر از همه، چون در برابر ترفندهای فیشینگ مرتبط با پیامک ضعیف‌تره.

پس اگه گوشی اندروید یا برنامه‌ی جیمیل روی آیفون دارید، اعلان گوگل رو روشن کنید، یه برنامه‌ی تایید هم کنارش بذارید، و کدهای پشتیبان رو بگیرید و روی کاغذ نگه دارید. درس ورود دومرحله‌ای همه‌ی این‌ها رو با جزئیات گفت.

پس‌کی

گوگل توی بررسی امنیت، ساختن پس‌کی رو هم توصیه می‌کنه، و راهنماش می‌گه پس‌کی، برخلاف رمز، نه شریک می‌شه، نه کپی، نه نوشته، و برای همین در برابر فیشینگ امن‌تره. از روی گوشی یا کامپیوتر خودتون، نشانی myaccount.google.com/signinoptions/passkeys رو باز کنید و Create a passkey رو بزنید. فقط روی دستگاه‌های خودتون؛ درس پس‌کی گفت چرا.

ایمیل و شماره‌ی بازیابی

«ایمیل بازیابی جیمیل چیه؟» یکی از رایج‌ترین سوال‌هاست. ایمیل بازیابی (Recovery email) و شماره‌ی بازیابی (Recovery phone) راه‌هایی‌ان که اگه رمز یادتون رفت یا کسی حسابتون رو گرفت، گوگل از اونجا مطمئن بشه خود شمایید. راهنمای گوگل می‌گه این اطلاعات سه تا کار می‌کنن: جلوی استفاده‌ی بی‌اجازه رو می‌گیرن، فعالیت مشکوک رو بهتون خبر می‌دن، و اگه نتونستید وارد بشید، کمک می‌کنن برگردید.

• ایمیل بازیابی باید یه ایمیل دیگه‌ی خود شما باشه، که بهش دسترسی دارید و اونم محکمه؛ نه ایمیل محل کار که یه روز ازش می‌رید، و نه ایمیل یه نفر دیگه.
• شماره‌ی بازیابی باید شماره‌ی فعلی خودتون باشه. اگه شماره عوض کردید، همین‌جا هم عوضش کنید؛ درس سیم‌سواپ گفت شماره‌ی رهاشده دست کس دیگه میفته.
• اطلاعات بازیابی قدیمی که دیگه بهشون دسترسی ندارید رو پاک کنید؛ اونا فقط یه در باز برای بقیه‌ان.

جاش، طبق راهنمای گوگل، توی Security & sign-in، زیر How you sign in to Google، گزینه‌های Recovery email و Recovery phone‌ه. راهنما یه نکته هم داره: شماره‌ای از سرویس Google Voice رو به‌عنوان شماره‌ی بازیابی نذارید، چون اگه از حساب بیرون بمونید، برای گرفتن کدش هم باید وارد همون حساب بشید.

مخاطب بازیابی

گوگل یه راه بازیابی تازه هم داره: «مخاطب بازیابی» (Recovery contact)، یه آدم مطمئن، مثل یکی از اعضای خانواده یا یه دوست نزدیک، که اگه از حسابتون بیرون موندید، کمک کنه ثابت کنید خود شمایید. طبق راهنمای گوگل: Security & sign-in، زیر How you sign in to Google، گزینه‌ی Recovery contacts، بعد Add recovery contact، و ایمیل اون آدم رو بدید. یه درخواست براش فرستاده می‌شه که اسم، ایمیل و عکس پروفایل شما رو داره، و فقط ۷ روز اعتبار داره.

کسی رو انتخاب کنید که واقعا می‌شناسید و حسابش هم امنه؛ حساب هک‌شده‌ی اون، می‌تونه دری به حساب شما بشه.

هفت روز

اگه شماره‌ی بازیابی یا شماره‌ی مرحله‌ی دوم رو عوض کنید، طبق راهنمای گوگل ممکنه تا هفت روز طول بکشه تا گوگل بهش اعتماد کنه، و تو این مدت، کدها هنوز به اطلاعات قبلی هم فرستاده می‌شن. شاید آزاردهنده به نظر بیاد، ولی دلیلش خوبه: اگه یه کلاهبردار وارد حساب بشه و شماره‌ی خودش رو بذاره، شما هفت روز وقت دارید که بفهمید و جلوش رو بگیرید. اگه پس‌کی یا کلید امنیتی معتبر دارید، ممکنه این زمان کوتاه‌تر بشه.

نشست یعنی چی

گاهی توی فهرست، به جای یه دستگاه، چند تا «نشست» (Session) می‌بینید، و آدم نگران می‌شه که چرا گوشیش سه بار اومده. راهنمای گوگل می‌گه نشست یعنی یه دوره که از یه مرورگر، برنامه یا خدمت روی دستگاه وارد حساب بودید، و طبیعیه که چند تا داشته باشید؛ مثلا وقتی روی یه مرورگر تازه وارد می‌شید، رمز رو دوباره می‌زنید، به یه برنامه دسترسی می‌دید، یا توی پنجره‌ی ناشناس وارد می‌شید.

و یه نکته‌ی دیگه از همون راهنما: زمانی که کنار هر دستگاه نوشته شده، آخرین ارتباط اون دستگاه با گوگله، که ممکنه یه همگام‌سازی خودکار توی پس‌زمینه باشه؛ پس ممکنه از آخرین باری که خودتون از دستگاه استفاده کردید، تازه‌تر باشه. اگه مطمئن نیستید همه‌ی نشست‌ها مال شماست، از همه‌شون خارج بشید و دوباره وارد بشید.

رویدادهای امنیتی

کنار فهرست دستگاه‌ها، گوگل یه فهرست از «رویدادهای امنیتی اخیر» (Recent security events) هم داره: ورود از دستگاه تازه، عوض شدن رمز، اضافه شدن شماره‌ی بازیابی، و از این دست. طبق راهنمای گوگل برای حساب هک‌شده: Security & sign-in، پنل Recent security events، گزینه‌ی Review security events. اگه کاری رو شما نکرده بودید، No, it wasn't me رو بزنید و قدم‌های روی صفحه رو برید. هر چند وقت یه بار، حتی بی دلیل، این فهرست رو نگاه کنید.

برنامه‌های وصل‌شده

طی سال‌ها، به خیلی از برنامه‌ها و سایت‌ها اجازه دادید به بخشی از حساب گوگلتون دسترسی داشته باشن: یه برنامه‌ی ویرایش عکس به گوگل درایو، یه تقویم به جیمیل، یه بازی به مخاطب‌ها. طبق راهنمای گوگل، فهرست این‌ها توی صفحه‌ی «برنامه‌های وصل‌شده» (Linked apps یا Third-party connections) حساب گوگله، و هر کدوم رو می‌شه باز کرد، دید به چی دسترسی داره، و دسترسیش رو برداشت.

همون راهنما یه توصیه‌ی خوب داره: پیش از دادن دسترسی به یه برنامه، سیاست حریم خصوصیش رو بخونید. و هر برنامه‌ای که دیگه استفاده نمی‌کنید یا نمی‌شناسید، دسترسیش رو بردارید؛ برنامه‌ی فراموش‌شده‌ای که به ایمیلتون دسترسی داره، یه در بازه. درس هوش مصنوعی گفت ابزارهای هوش مصنوعی هم کم‌کم همین دسترسی‌ها رو می‌خوان.

ورود با گوگل

دکمه‌ی «ورود با گوگل» (Sign in with Google) کار رو راحت می‌کنه: بی ساختن رمز تازه، وارد یه سایت می‌شید. از نظر امنیت هم خوبه، چون یه رمز کمتر داره که لو بره. ولی یعنی امنیت همه‌ی اون سایت‌ها، به امنیت حساب گوگلتون بسته‌ست؛ یه دلیل دیگه برای محکم کردنش.

طبق راهنمای گوگل، از همون صفحه‌ی برنامه‌های وصل‌شده، می‌شه «ورود با گوگل» رو برای یه سایت برداشت. ولی یادتون باشه، راهنما صاف می‌گه برداشتن این اتصال، داده‌هاتون توی خود اون برنامه رو پاک نمی‌کنه؛ برای اون، باید از داخل خود برنامه حسابتون رو پاک کنید. درس حق پاک کردن.

رمزهای ذخیره‌شده

اگه رمزهاتون توی مدیر رمز گوگله، بخش Password Checkup، یعنی «بررسی رمزها»، می‌گه کدومشون لو رفتن، تکراری‌ان یا ضعیفن. از passwords.google.com بازش کنید و رمزهای لو رفته رو اول عوض کنید. درس مدیر رمز کامل گفت.

رمز برنامه

اگه سال‌ها پیش یه برنامه‌ی ایمیل قدیمی یا یه دستگاه، مثل یه پرینتر یا یه تلویزیون، رو به جیمیل وصل کردید، ممکنه براش یه «رمز برنامه» (App password) ساخته باشید. طبق راهنمای گوگل، رمز برنامه یه کد ۱۶ رقمیه که به یه برنامه یا دستگاه کم‌امن‌تر اجازه‌ی دسترسی به حساب رو می‌ده، و خود گوگل صاف می‌گه این روش توصیه نمی‌شه و بیشتر وقت‌ها لازم نیست؛ به جاش، اگه برنامه «ورود با گوگل» داره، از اون استفاده کنید.

اگه رمز برنامه‌ای ساختید که دیگه لازم ندارید، پاکش کنید؛ هر رمز برنامه، دریه که مرحله‌ی دوم رو دور می‌زنه. راهنمای گوگل یه نکته‌ی خوب هم داره: وقتی رمز اصلی حساب رو عوض می‌کنید، همه‌ی رمزهای برنامه باطل می‌شن، پس بعد از هک شدن، عوض کردن رمز اونا رو هم می‌بنده.

تنظیم‌های جیمیل

جیمیل چند تا تنظیم داره که هکرها بعد از ورود، بی سر و صدا عوضشون می‌کنن، و درس سرویس‌های ایمیل گفت چرا خطرناکن. هر چند وقت یه بار، توی تنظیمات جیمیل روی کامپیوتر، See all settings رو بزنید و این‌ها رو ببینید: Forwarding and POP/IMAP، که نباید هیچ نشانی ناشناسی برای فرستادن خودکار داشته باشه؛ Filters and Blocked Addresses، که نباید فیلتری داشته باشه که خودتون نساختید؛ و Accounts، که نباید نشانی ناشناسی برای «فرستادن به اسم» داشته باشه.

«این مرورگر امن نیست»

گاهی وقتی از داخل یه برنامه‌ی دیگه، مثلا یه برنامه‌ی ناشناس، می‌خواید با حساب گوگل وارد بشید، گوگل اجازه نمی‌ده و می‌گه مرورگر امن نیست. این یه قفل امنیتیه، نه یه خرابی. طبق راهنمای گوگل، ورود از مرورگرهایی که جاوااسکریپت ندارن، افزونه‌های ناامن دارن، با نرم‌افزار خودکار کنترل می‌شن، یا داخل یه برنامه‌ی دیگه جاسازی شدن، ممکنه بسته بشه. دلیلش اینه که برنامه‌ای که صفحه‌ی ورود گوگل رو داخل خودش نشون می‌ده، می‌تونه هر چیزی که تایپ می‌کنید، از جمله رمز، رو ببینه.

پس اگه یه برنامه یا سایت ازتون خواست «همین‌جا» با رمز گوگلتون وارد بشید و آدرس accounts.google.com رو توی یه مرورگر واقعی نمی‌بینید، شک کنید. ورود درست با گوگل، همیشه یه صفحه یا پنجره‌ی خود گوگل رو باز می‌کنه که نشانیش پیداست.

اطلاعات شخصی و اینکه کی ببینه

توی حساب گوگل یه بخش «اطلاعات شخصی» (Personal info) هست: اسم، عکس، تاریخ تولد، جنسیت، شماره و ایمیل‌ها. بعضی از این‌ها ممکنه برای کسایی که با شما ایمیل رد و بدل می‌کنن یا توی خدمات گوگل باهاتون در ارتباطن، دیده بشه. توی همون بخش، می‌تونید ببینید هر کدوم برای کی پیداست و چیزهایی مثل تاریخ تولد و شماره رو فقط برای خودتون بذارید. تاریخ تولد و شماره، دقیقا همون اطلاعاتی‌ان که درس فیشینگ هدفمند گفت کلاهبردار برای جا زدن خودش به جای شما جمع می‌کنه.

محافظت پیشرفته

گوگل برای کسایی که بیشتر از بقیه هدف حمله‌ان، مثل روزنامه‌نگارها، فعال‌ها و کسایی که حساب‌های خیلی مهم دارن، یه برنامه‌ی جدا به اسم «محافظت پیشرفته» (Advanced Protection Program) داره. طبق راهنمای گوگل، این برنامه بر پایه‌ی پس‌کی و کلید امنیتیه و بازیابی حساب رو سخت‌گیرانه‌تر می‌کنه. برای بیشتر آدم‌ها لازم نیست؛ همون کارهای این درس کافیه. ولی اگه حس می‌کنید ممکنه کسی مخصوص شما رو هدف بگیره، خوبه بدونید هست.

اگه از حساب بیرون موندید

اگه رمز یادتون رفته یا کسی رمز رو عوض کرده، راه رسمی، صفحه‌ی «بازیابی حساب» (Account recovery) گوگله. راهنمای گوگل چند تا نکته برای موفق شدنش داره: به هر تعداد سوال که می‌تونید جواب بدید و رد نکنید، و اگه مطمئن نیستید، بهترین حدستون رو بزنید، چون جواب اشتباه شما رو بیرون نمی‌ندازه؛ از دستگاه، مرورگر و جایی که همیشه ازش وارد می‌شید، مثل خونه یا محل کار، تلاش کنید؛ اگه آخرین رمز یادتون نیست، یه رمز قبلی که یادتونه رو بزنید، هر چی تازه‌تر بهتر؛ و یه ایمیل که به حساب وصله و الان بهش دسترسی دارید، بدید.

همون راهنما یه هشدار مهم هم داره: گوگل هیچ‌وقت رمز یا کد تایید رو از راه ایمیل، تماس یا پیام نمی‌خواد، و رمز و کد فقط توی accounts.google.com زده می‌شن. کسی که می‌گه «از پشتیبانی گوگل هستم و برای بازیابی حسابتون کد رو بگید»، کلاهبرداره. درس ایمیل هک شد بقیه‌ی قدم‌ها رو می‌گه.

وقتی نباشیم

درس مدیر رمز پرسید اگه برای ما اتفاقی بیفته، خانواده چطور به حساب‌ها می‌رسن. گوگل برای این یه ابزار داره به اسم «مدیر حساب غیرفعال» (Inactive Account Manager). طبق راهنمای گوگل، می‌تونید تعیین کنید اگه حسابتون یه مدت مشخص استفاده نشد، تا ۱۰ نفر خبردار بشن، و اگه بخواید، بخش‌هایی از داده‌هاتون، مثل عکس‌ها یا ایمیل، رو دانلود کنن. برای اینکه فقط خود اون آدم بتونه داده‌ها رو بگیره، شماره‌ی تلفنش هم برای تایید پرسیده می‌شه.

همون راهنما یه نکته‌ی مهم دیگه هم می‌گه: اگه برنامه‌ای تنظیم نکنید، گوگل حق داره حسابی که دست‌کم دو سال توی هیچ‌کدوم از خدماتش استفاده نشده رو، با همه‌ی داده‌هاش، پاک کنه. پس اگه یه حساب گوگل قدیمی دارید که توش عکس یا ایمیل مهمی هست، گاهی واردش بشید.

یه نسخه از داده‌هاتون

گوگل یه ابزار داره به اسم Google Takeout، که یه نسخه از داده‌های حسابتون، مثل ایمیل‌ها، عکس‌ها، فایل‌های درایو و مخاطب‌ها، رو برای دانلود آماده می‌کنه. خوبه هر چند وقت یه بار یه نسخه از چیزهای مهم داشته باشید، چون اگه یه روز حساب از دست بره، دست‌کم داده‌ها از دست نرفتن. فقط اون فایل رو جای امن و رمزگذاری‌شده نگه دارید؛ همه‌ی زندگی دیجیتالتون توشه. درس رمزنگاری گفت چطور یه فایل رو قفل کنید.

گوشی اندروید

روی گوشی اندروید، حساب گوگل و گوشی خیلی به هم گره خوردن: برنامه‌ها از فروشگاه گوگل با همین حساب نصب می‌شن، پشتیبان گوشی توی همین حسابه، و پیدا کردن گوشی گم‌شده هم از همین حساب انجام می‌شه. یعنی اگه گوشی گم بشه، از هر دستگاه دیگه‌ای می‌تونید با حساب گوگل پیداش کنید، قفلش کنید یا پاکش کنید. و برعکس، کسی که حساب گوگل شما رو داره، به خیلی از چیزهای گوشی هم رسیده. درس اندروید بقیه‌ی تنظیم‌های گوشی رو می‌گه.

حساب بچه‌ها

اگه بچه‌ها گوشی اندروید دارن، گوگل یه برنامه‌ی رایگان به اسم Family Link داره. طبق راهنمای گوگل، با اون می‌شه برای بچه‌ی زیر ۱۳ سال، یا سنی که قانون کشورتون تعیین کرده، حساب گوگل ساخت، یا به حساب فعلیش نظارت اضافه کرد: تعیین کرد چه برنامه‌هایی نصب کنه، اجازه‌های برنامه‌ها رو عوض کرد، زمان استفاده از گوشی رو محدود کرد، و جای گوشی اندرویدش رو دید. همون راهنما می‌گه Family Link ممکنه توی همه‌ی کشورها در دسترس نباشه، والد باید توی همون کشور بچه باشه، و آیفون و آیپد رو نمی‌شه باهاش نظارت کرد؛ برای اونا، کنترل‌های خود اپل هست که درس آیفون می‌گه.

چند حساب

خیلی‌ها چند تا حساب گوگل دارن: یه قدیمی، یه کاری، یه برای گوشی، یه که فقط برای ثبت‌نام ساختن. هر حساب، همه‌ی این کارها رو لازم داره؛ حساب فراموش‌شده، که درس سرویس‌های ایمیل گفت، از همه خطرناک‌تره. برای هر حسابی که دارید، یا محکمش کنید، یا اگه لازمش ندارید، اول هر چیزی که بهش وصله رو جابه‌جا کنید و بعد از حساب گوگل، بخش Data & privacy، گزینه‌ی پاک کردن حساب (Delete your Google Account)، پاکش کنید.

ده دقیقه، یه بار

1. myaccount.google.com رو باز کنید و Security Checkup رو بزنید؛ هر چی گفت انجام بدید.
2. ایمیل و شماره‌ی بازیابی رو درست کنید و یه مخاطب بازیابی بذارید.
3. ورود دومرحله‌ای با اعلان یا برنامه‌ی تایید، و کدهای پشتیبان روی کاغذ.
4. یه پس‌کی روی گوشی خودتون بسازید.
5. دستگاه‌های متصل رو ببینید و ناشناس‌ها رو خارج کنید.
6. برنامه‌های وصل‌شده‌ای که استفاده نمی‌کنید رو بردارید.
7. توی جیمیل، فرستادن خودکار و فیلترها رو ببینید.

این کار رو یه بار کامل انجام بدید، و بعد هر چند ماه یه بار، فقط بررسی امنیت و فهرست دستگاه‌ها رو نگاه کنید.

اشتباه‌های رایج

• «ایمیل بازیابیم ایمیل محل کار قبلیمه.» بهش دسترسی ندارید؛ یه ایمیل خودتون بذارید.
• «شماره‌ی بازیابی، شماره‌ی قدیمیمه.» شماره‌ی رهاشده دست کس دیگه میفته؛ عوضش کنید.
• «از دکمه‌ی ایمیل هشدار امنیتی رفتم ببینم چی شده.» خودتون حساب رو باز کنید.
• «دسترسی ورود با گوگل رو برداشتم، پس داده‌هام پاک شد.» داده‌ها توی خود برنامه می‌مونن.
• «سه تا نشست از گوشیم هست، حتما هک شدم.» نشست‌های چندگانه طبیعین؛ اگه شک دارید، از همه خارج بشید.
• «حساب قدیمی رو ول کردم.» دو سال بی‌استفاده ممکنه پاک بشه، و تا اون موقع یه در بازه.

آخرین بررسی راهنمای رسمی گوگل: ۲۴ مهر ۱۴۰۵.