איבדת את סיסמת הפייסבוק ואת ה־token של המייל הזמני — מה עדיין אפשר לעשות?

סיכום קצר / נקודות מפתח

• הכותרת הכנה: אם איבדת את הסיסמה, איבדת את ה-Access Token ואתה מנותק מכל מקום, סביר להניח שלא תוכל לקבל את החשבון בחזרה. זה לא פער במערכת — זו המערכת שפועלת כמתוכנן.
• לא ניתן להנפיק מחדש Access Token שאבד, אפילו לא על ידי tmailor.com. בלעדיו, תיבת הדואר נסגרת לתמיד, ולכן גם נתיב השחזור באמצעות הדוא״ל נסגר יחד איתו.
• כל נתיבי השחזור שנותרו לך תלויים במשהו אחר מאשר תיבת הדואר שאבדה: מכשיר שבו אתה עדיין מחובר, טלפון מקושר, כתובת דוא״ל שנייה שאושרה, או בדיקת הזהות של פייסבוק עצמה.
• אם אתה עדיין מחובר במקום כלשהו, עשה זאת קודם: הוסף ואשר כתובת דוא״ל קבועה שבשליטתך, ואז שנה את הסיסמה. אל תחכה.
• הודעות בתיבת דואר זמנית גלויות במשך כ-24 שעות מרגע הגעתן, ולכן יש להשלים את האיפוס בפעם אחת.
• tmailor.com יכולה לפתוח מחדש את אותה כתובת באמצעות אסימון גישה, והמשכיות כזו משתנה בין ספקי הדואר האלקטרוני החד-פעמי — אבל token הוא מפתח לשחזור, לא מנעול, והוא בסיס גרוע לחשבון שחשוב לך.
• שלב תיבת דואר קבועה עם אימות דו-שלבי קודי גיבוי לכל דבר לטווח ארוך, ושמור את ה-tokens ואת פרטי הכניסה במנהל סיסמאות.

הקדמה

אם איבדת גם את סיסמת הפייסבוק וגם את ה-Access Token של תיבת הדואר הזמנית ששימשה את החשבון, האפשרויות שלך מסתכמות בשאלה אחת: האם אתה עדיין שולט במשהו אחר שפייסבוק מזהה? טלפון או דפדפן שבו אתה עדיין מחובר, מספר טלפון מקושר, כתובת דוא״ל שנייה שאושרה, או בדיקת זהות שאתה יכול לעבור. אם התשובה היא לא — תיבת הדואר הזמנית הייתה הנתיב היחיד לכניסה וכעת אינה נגישה — אז ברוב המקרים החשבון אבוד. המדריך הזה לא יעמיד פנים אחרת.

גילוי נאות: tmailor.com מפרסמת את הבלוג הזה ומספקת את שירות הדואר האלקטרוני הזמני שנדון כאן. המגבלות שלו, מראש: הוא מיועד לקבלת הודעות בלבד, מסיר קבצים מצורפים מהודעות נכנסות, ההודעות נשארות גלויות רק כ-24 שעות מרגע הגעתן, ולא ניתן לשחזר Access Token שאבד. המגבלות האלה הן בדיוק הסיבה שתיבת דואר זמנית היא מקום גרוע לעגן בו חשבון שאתה מתכוון לשמור.

גבול אחד לפני שנתחיל. כל מה שלהלן נכתב עבור בעל החשבון. בדיקות הזהות של פייסבוק נועדו במיוחד למנוע מאנשים אחרים לעשות זאת; הן אינן חידה שצריך לפתור, ושום דבר כאן לא יעזור לך להיכנס לחשבון שאינו שלך.

כדי להבין מדוע השחזור הופך למסוכן מלכתחילה כשמשתמשים בתיבות דוא"ל זמני, ראו את ההסבר המקיף: סיכוני התאוששות בפייסבוק.

הבנת מנגנון השחזור

כל שחזור חשבון הוא אותו משא ומתן: הפלטפורמה צריכה להשתכנע שאתה אכן מי שאתה טוען שאתה, והיא תקבל רק ראיות שכבר נמצאות ברשותה. איפוס סיסמה שנשלח לדוא"ל שלך הוא הוכחה זולה וזמינה — וזו בדיוק הסיבה שהתהליך קורס כשהתיבה נעלמת.

איפוס הסיסמה של Facebook מתחיל בתהליך "שכחתי את הסיסמה" של Facebook, ושולח קוד או קישור לכתובת קשר שכבר משויכת לחשבון. האפשרויות הנוספות שהיא מציעה — מכשיר מזוהה, טלפון מקושר או בדיקת זהות — תלויות בחשבון, והן עשויות להשתנות מחשבון לחשבון. התייחסו לכל מה שמופיע על המסך לתפריט אפשרויות השחזור הזמין לכם, ופעלו לפיו במקום לחפש קיצור דרך.

אז מדוע תיבת הדוא"ל חשובה כל כך? קישורי איפוס פגים, ואם אינכם יכולים לפתוח את ההודעה לפני שהחלון נסגר, תמצאו את עצמכם מבקשים קוד אחר קוד — מה שעלול להפעיל מגבלות קצב ולעכב אתכם עוד יותר. לכן הכול תלוי בשאלה אם עדיין תוכלו לפתוח את הכתובת שעליה נבנה החשבון.

כדאי להפנים את מודל הסיכון הבסיסי, משום שהוא מסביר את המאמר כולו:

• תיבת דוא"ל זמני קצרת-טווח מצוינת להרשמות שאפשר לוותר עליהן, אך חסרת תועלת לשחזור. הדואר נעלם בתוך יום בערך.
• כתובת דוא"ל זמני לשימוש חוזר עמידה רק במידה שה-token ששמרתם עמיד. אם תאבדו את ה-token, היא הופכת למקרה שתואר למעלה.
• תיבת דוא"ל עמידה שבבעלותכם — Gmail, Outlook או הדומיין שלכם — היא היחידה שעדיין תהיה זמינה בעוד שנה, וזו למעשה הדרישה לשחזור חשבון.

יש סיבה שנייה, פחות ברורה, שלא לקשור חשבון אמיתי לתיבת דוא"ל זמני: access token הוא מפתח שחזור, לא סיסמה. אין לו גורם אימות נוסף. כל מי שמחזיק בו יכול לפתוח את התיבה — ולכן לבקש איפוס סיסמה לכל חשבון המקושר לכתובת הזו. תיבת דוא"ל זמני היא מקום מצוין לקבלת קוד, אך מקום גרוע לשמירת המפתחות לזהות שלכם.

פתיחה בטוחה מחדש של כתובת דוא"ל זמני

זהו התרחיש הטוב: עדיין יש לכם את ה-access token, ולכן הכתובת עדיין נגישה ונתיב הדוא"ל לשחזור עדיין פתוח. פתחו קודם את תיבת הדואר, ורק לאחר מכן התחילו את תהליך האיפוס — לא להפך, אחרת הקוד עלול לפוג בזמן שאתם מחפשים את ה-token.

1. פתחו מחדש את תיבת הדואר באמצעות ה-token שלכם. הדביקו אותו בדף של כתובת דואר זמנית לשימוש חוזר. כעת אתם רואים את הכתובת המדויקת שבה נרשם החשבון.
2. בקש איפוס חדש מפייסבוק והמתינו להגעת ההודעה החדשה. אל תבקשו אותה שוב ושוב; כך אתם עלולים להיתקל במגבלת קצב.
3. השלימו את התהליך בישיבה אחת. ההודעות זמינות במשך כ-24 שעות ממועד הגעתן, ואין תיקיית ספאם לבדיקה — כל הודעה שמגיעה מוצגת מיד. לכן, אם אינכם רואים אותה, היא עדיין לא נמסרה.
4. לאחר מכן טפלו בשורש הבעיה. כשאתם שוב בתוך החשבון, הוסיפו כתובת דוא"ל עמידה שבשליטתכם ואמתו אותה. עד שתעשו זאת, אתם במרחק token אבוד אחד מנעילה מחוץ לחשבון.

שחזור ללא הטוקן

הטוקן נעלם, ולכן גם תיבת הדואר הנכנס נעלמה — למייל האיפוס אין לאן להגיע. מה שנשאר תלוי לחלוטין בשאלה אם עדיין יש בידך משהו אחר שהחשבון מזהה. יש שני תרחישים, והם אינם מעודדים באותה מידה.

תרחיש א' — אתה עדיין מחובר במקום כלשהו. זה התרחיש הרצוי, והוא נפוץ הרבה יותר מכפי שאנשים מניחים: טלפון ישן, טאבלט או דפדפן שמעולם לא התנתקת ממנו. בדוק כל מכשיר לפני שאתה מסיק שננעלת מחוץ לחשבון. אם תמצא מכשיר כזה, למעשה עדיין יש לך גישה לחשבון — ועליך לפעול מיד, לפני שההתחברות הזו תפוג:

1. פתח את הגדרות חשבון הפייסבוק שלך ועבור לפרטי הקשר. הוסף כתובת דוא״ל קבועה שבשליטתך ואשר אותה.
2. רק לאחר מכן שנה את הסיסמה. מעכשיו האיפוס יישלח לכתובת שעדיין תהיה קיימת בשנה הבאה.
3. הפעל אימות דו-שלבי ושמור את קודי הגיבוי במקום שאינו תיבת הדואר שלך.

תרחיש ב' — אינך מחובר בשום מקום. היה מוכן לכך שזהו סוף הדרך. התחל בתהליך הרשמי של פייסבוק "שכחת סיסמה" ופעל לפי האפשרויות שיוצעו לך: ייתכן שפייסבוק תזהה מכשיר או דפדפן שהשתמשת בהם בעבר, שתוכל להגיע למספר טלפון שעדיין מקושר לחשבון, או שתתבקש לאשר את זהותך. פעל בדיוק לפי האפשרויות שעל המסך ואל תשלח בקשה אחר בקשה — ניסיונות חוזרים נוטים להאט את התהליך, לא להאיץ אותו.

אם פייסבוק אינה מציעה לך אפשרות מעשית, ראה בכך את התשובה במקום לחפש קיצור דרך לא רשמי. השחזור נשען על ראיות שהחשבון שייך לך — זהו השער שמתחזה אינו יכול לעבור, ואין לו תחליף. חשבון שנקודת הקשר היחידה שלו הייתה תיבת דואר אלקטרוני חד-פעמית שכבר אינך יכול לפתוח הוא, ברוב המקרים, בלתי ניתן לשחזור. זה כואב, אבל זו האמת; והתגובה הנכונה אינה להמשיך לנסות שוב ושוב, אלא לוודא שהחשבון הבא לא ייבנה באותה צורה.

אם מייל זמני חדש לך ואתה רוצה להבין למה הוא באמת מיועד, התחל ב הבסיס לדואר אלקטרוני זמני.

שיפור קבלת OTP

אם קוד האיפוס עדיין לא הגיע, עמוד בפיתוי להמשיך ללחוץ. בקש קוד אחד והמתן דקה. בקשות חוזרות ומהירות הן הדרך המהירה ביותר להגיע למגבלת קצב, וכל בקשה חדשה עלולה לבטל את הקוד הקודם — כך שהמייל שאתה מחכה לו עשוי להיות קוד שכבר ביטלת.

יש שני דברים שכדאי לדעת כשממתינים לקוד בתיבת הדואר הנכנס של Tmailor:

• אין תיקיית ספאם. אין סינון כלל — כל הודעה שמגיעה לכתובת מוצגת. לכן אין מקום נוסף לחפש בו. אם ההודעה אינה מופיעה על המסך, היא לא נמסרה, והמתנה או שליחה חוזרת של הבקשה הן הדברים היחידים שיכולים לשנות זאת.
• ייתכן שהפלטפורמה פשוט אינה שולחת לכתובת חד-פעמית. שירותים רבים מסרבים לשלוח לדומיינים חד-פעמיים, וזו החלטת מדיניות מכוונת מצדם, לא תקלה שאפשר לאתר ולתקן. במקרה כזה, הפתרון הוא להשלים את האיפוס באמצעות כתובת אמיתית שבבעלותך — לא להמשיך לחפש דומיין שהפלטפורמה עדיין לא זיהתה. אתרים שהחליטו שלא לאפשר דוא״ל חד-פעמי רשאים לקבל את ההחלטה הזו.

כך או כך, הפתרון לטווח ארוך זהה: להוסיף לחשבון תיבת דואר קבועה ולהפסיק להסתמך על תיבה קצרת טווח. כדי להבין עד כמה חלונות הזמן האלה קצרים, ההסבר על דואר של 10 דקות הוא השוואה מועילה.

בחירת אפשרויות שחזור קבועות

לכתובת שחזור יש תפקיד אחד בלבד: להישאר זמינה ולהמשיך להיות שלך ביום שבו משהו משתבש. זו דרישה בסיסית, ותיבת מייל זמני אינה יכולה לעמוד בה. כל דבר שיצער אותך לאבד זקוק לתיבת דואר שתשרוד מעבר למצב החירום.

כך זה נראה בפועל: חשבון Gmail או Outlook אישי, או תיבת דואר בדומיין שבבעלותך. הוסף אותו לחשבון לפני שאתה זקוק לו ואשר אותו. השתמש כתובות פלוס (name+fb@ …) אם אתה רוצה לראות איזה אתר דלף את הכתובת שלך מבלי לתת לכל אחד תיבת דואר שונה — טריק תיוג, לא מגן פרטיות, כי הכל מגיע לאותה תיבת דואר נכנס. שמור את הסיסמאות שלך במנהל סיסמאות, הפעל אימות דו-שלבי, ואחסן את קודי הגיבוי במקום שאינו חשבון האימייל שהם מגנים עליו. אם החשבון באמת יקר ערך — עמוד, חשבון מודעות, מנהל עסקי — אימייל שחזור מתמשך אינו אופציונלי.

היגיינת הצוות והסוכנות

חשבונות משותפים נכשלים בצורה מסוימת: האדם שיצר את תיבת הדואר עוזב, ונתיב השחזור עוזב איתו. צוותים שמעבירים חשבונות צריכים לתעד את פרטי השחזור במקום שאינו תלוי בזיכרונו של אדם אחד.

התייחס ל-Access Token כאל אמצעי אימות, כי זה בדיוק מה שהוא — כל מי שמחזיק בו יכול לפתוח את תיבת הדואר ולאפס כל דבר הקשור אליו. שמור את ה-token-ים בכספת משותפת עם בקרת גישה מבוססת תפקידים ומסלול ביקורת, לעולם לא בשרשור צ'אט או בגיליון אלקטרוני. עבור כל חשבון, תעד את הבעלים, את תיבת הדואר, את איש הקשר לגיבוי ואת התאריך שבו נתיב השחזור נבדק לאחרונה. גנוז תיבות דואר זמניות ברגע שהחשבון נכנס לשימוש בפועל, ובצע את תרגיל השחזור אחת לרבעון — נתיב שחזור שאיש לא בדק הוא בגדר ניחוש.

שלבי השחזור במבט חטוף

אם עדיין יש לך את אסימון הגישה

שלב 1: פתח מחדש את הכתובת המדויקת באמצעות ה-Access Token שלך.

שלב 2: בקש איפוס סיסמה חדש בפייסבוק והמתן להודעה.

שלב 3: השלם את האיפוס בתוך חלון הנראות של כ-24 שעות.

שלב 4: הוסף כתובת אימייל לשחזור לטווח ארוך ואשר אותה לפני שתסגור את הלשונית.

אם אתה עדיין מחובר במכשיר כלשהו

שלב 1: אל תתנתק. בדוק קודם כל טלפון, טאבלט ודפדפן.

שלב 2: בהגדרות החשבון, הוסף כתובת אימייל לטווח ארוך שנמצאת בשליטתך ואשר אותה.

שלב 3: שנה את הסיסמה, ואז הפעל אימות דו-שלבי ושמור את קודי הגיבוי במצב לא מקוון.

אם אין לך אף אחד מהם

שלב 1: התחל בתהליך הרשמי של פייסבוק ל"שכחתי את הסיסמה" ובחר בכל אפשרות שהוא מציע — מכשיר מזוהה, טלפון מקושר או בדיקת זהות.

שלב 2: פעל בדיוק לפי ההנחיות, פעם אחת. ניסיונות חוזרים מאטים את התהליך במקום לעזור.

שלב 3: אם לא מוצעת שום אפשרות, השלם עם כך שהחשבון כנראה אבוד, ובנה את החשבון הבא על תיבת דואר שעדיין תהיה בשליטתך בעוד שנה.

טבלת השוואה

בהשוואה לדבר היחיד שהשחזור באמת דורש — תיבת דואר שעדיין ניתן לפתוח כשצריך אותה — שלוש האפשרויות נבדלות זו מזו בבירור. התנהגות הספקים משתנה ללא הודעה מוקדמת, לכן יש להתייחס לעמודה האמצעית כאל קטגוריה שיש לבדוק, ולא ככלל קבוע.

רשימת בדיקה להפחתת סיכונים

כל מטרתה של הרשימה הזו היא לוודא שהכול מוכן מראש. ברגע שננעלת מחוץ לחשבון, כל פריט ברשימה כבר אינו בהישג ידך — וזו בדיוק הסיבה ששחזור נכשל לעיתים קרובות ברגע הגרוע ביותר.

• שמור את פרטי הגישה וכל אסימון גישה במנהל סיסמאות, לעולם לא בהודעת צ'אט או בהערה בטקסט פשוט.
• כשקוד איפוס מגיע, השתמש בו מיד ובקש רק קוד אחד בכל פעם.
• הוסף כתובת דוא״ל משנית עמידה לחשבון ואשר אותה — היום, כל עוד אתה עדיין יכול.
• הפעל אימות דו-שלבי ושמור את קודי הגיבוי במצב לא מקוון, ולא בחשבון הדוא״ל שעליו הם מגינים.
• בדוק את מסלול השחזור שלך באופן קבוע ושמור הערה קצרה עם אנשי הקשר לשחזור של כל חשבון.
• כל דבר קריטי יש לקשר לתיבת דוא״ל עמידה, ולהתייחס לדואר זמני המבוסס על token כגשר קצר — לא כבסיס.

סיכום

שחזור סיסמה הוא למעשה שאלה של עמידות, שנקבעת זמן רב לפני שמשהו משתבש. אם המפתח היחיד שלך לחשבון הוא תיבת דואר חד-פעמית וה-token שפותח אותה, בנית מנעול עם מפתח יחיד ושביר — וכשהוא נשבר, בדרך כלל אין מנעולן. זו לא פגם שאפשר לעקוף; זהו מודל האבטחה שעושה את עבודתו, מונע מזרים להיכנס — במחיר של מניעת גישה גם מבעלים רשלן.

אז המסקנות השימושיות הן המשעממות. אם עדיין יש לך את אסימון הגישה או סשן מחובר, פעל עכשיו: קבל אימייל קבוע לחשבון והפעיל אימות דו-שלבי לפני שתעשה משהו אחר. אם אין לך אף אחד מהם, תפעיל את הזרימה הרשמית של פייסבוק פעם אחת, ואם היא לא מציעה לך כלום, תשחרר את החשבון במקום לרדוף אחרי תיקון שלא קיים. ואז תבנה את החשבון הבא בתיבת דואר שעדיין תשלוט בה בשנה הבאה. תיבת דואר זמנית היא מקום נהדר לתפוס קוד — והמקום הלא נכון לשמור בו את המפתחות למשהו שתצטער לאבד.

למבט מעמיק יותר על הסיבות לכך ששחזור הופך למסוכן עם תיבות דואר קצרות מועד, קראו את מאמר העמוד המרכזי: סיכוני התאוששות בפייסבוק.