Password Audit Bot

يجيب Password Audit Bot عن سؤال أضيق لكنه مفيد حقًا مقارنة ببوتات فحص البريد الإلكتروني الأخرى في هذا الملف: ليس "هل تسرّب بريدي الإلكتروني"، بل "هل ظهرت كلمة المرور هذه بالتحديد في تسريب معروف من قبل". يوثّق كوده المصدري، المنشور على GitHub من قِبل مطوّر أو فريق يستخدم اسم CS-Era باسم "secure-password-auditor-bot"، أمر /check ويصف بدقة كيفية حماية ما تكتبه: بدلًا من إرسال كلمة المرور الكاملة إلى أي مكان، يقوم بتجزئتها محليًا باستخدام SHA-1 ويرسل فقط الأحرف الخمسة الأولى من تلك التجزئة إلى واجهة برمجة "Pwned Passwords" من Have I Been Pwned — وهي نفس تقنية k-Anonymity التي يستخدمها موقع haveibeenpwned.com الرسمي نفسه، مما يجعل من المستحيل رياضيًا أن تعيد الواجهة البرمجية بناء كلمة مرورك الفعلية مما تتلقاه.

يوثّق ملف README بوضوح ممارسات الخصوصية بالتصميم والأمان بالتصميم: لا حفظ للبيانات (يُذكر أن كلمات المرور لا تُحفظ أبدًا)، وتحديد لمعدل الطلبات ضد إساءة الاستخدام بالقوة الغاشمة وهجمات حجب الخدمة، وتنقية للمدخلات، وHTTPS إلزامي لكل الاتصالات. ولأن الكود مفتوح المصدر، لا داعي لتصديق كل ذلك بلا دليل — يمكن لأي شخص قراءة ما يفعله البوت بالضبط بما ترسله إليه.

المقايضات هنا نموذجية لمشروع مفتوح المصدر شخصي صغير، وليس شركة أمان ممولة: لا يوجد مطوّر فردي معروف الاسم بخلاف اسم منظمة على GitHub، ولا توجد وثيقة رسمية لسياسة الخصوصية، وعدد متواضع من نجوم GitHub يشير إلى استخدام فعلي محدود حتى الآن. تعامل معه كأداة مبنية بشكل جيد تقنيًا وليس كعلامة تجارية راسخة، وتذكّر أن حتى النتيجة النظيفة من أي أداة فحص كلمات مرور لا تغني عن استخدام كلمة مرور فريدة وقوية لكل حساب.