# ما هو SHA-256 حقاً

> Cuadernos Lacre · مفهوم · 19 مايو 2026
> https://solo2.net/ar/notebooks/articulos/what-sha-256-actually-is.html

بصمة رياضية تتسع في أربعة وستين حرفاً وتتغير بالكامل إذا تحركت فاصلة واحدة في النص الأصلي. لماذا نسميه ختم الشمع الرقمي.

---

## الفكرة البسيطة وراء الاسم التقني

تخيل وجود آلة بفتحة واحدة وشاشة واحدة. عبر الفتحة تدخل نصاً: كلمة، جملة، أو رواية كاملة. يظهر على الشاشة، بعد لحظات، تسلسل من أربعة وستين حرفاً بالضبط. هذا التسلسل، نسميه للقارئ المحترف *hash* أو *ملخصاً تشفيرياً*؛ أما للقارئ العام، فيمكننا تسميته حالياً بصمة رياضية للنص، كما هي بصمة الإصبع للإنسان.

إذا أدخلت النص نفسه مرتين، ستعرض الآلة البصمة نفسها في المرتين. إذا أدخلت نصاً مختلفاً قليلاً —فاصلة واحدة مزاحة، حرف كبير أصبح صغيراً— ستعرض الآلة بصمة مختلفة تماماً عن الأولى. ليست متشابهة، بل مختلفة. هاتان الخاصيتان معاً —الحتمية والحساسية— هما الفكرة البسيطة. كل ما تبقى في SHA-256 هو الآلية التي تضمن تنفيذهما جيداً.

من الجيد توضيح ما لا تفعله الآلة منذ البداية. إنها لا تشفر النص، ولا تخفيه، ولا تحفظه. الآلة تنظر إلى النص، تحسب البصمة، وتنسى النص. البصمة لا تسمح بإعادة بناء النص الذي أنتجها؛ إنها تسمح فقط، عند توفر نص مرشح، بالتحقق مما إذا كان يطابق النص الأصلي أم لا. لهذا نقول إنه ملخص *أحادي الاتجاه*: تذهب منه ولا تعود إليه.

## الهاش ليس هو نفسه التشفير

الارتباك شائع ومن الجيد توضيحه: التشفير والهاش (hashear) عمليتان مختلفتان. التشفير يتمثل في تحويل النص بحيث يمكن فقط لصاحب المفتاح إعادته إلى شكله الأصلي. أما الهاش فيتمثل في إنتاج بصمة للنص لا يمكن استرداد النص الأصلي منها أبداً، لا بمفتاح ولا بدونه. الأولى قابلة للعكس حسب التصميم؛ والثانية غير قابلة للعكس حسب التصميم.

النتيجة العملية مهمة. عندما يقول تطبيق «نحن نحفظ كلمة مرورك مشفرة»، فهناك شخص يملك المفتاح لفك تشفيرها — التطبيق نفسه في أي حال. عندما يقول تطبيق «نحن نحفظ كلمة مرورك مهشّرة (hasheada)»، فإن التطبيق نفسه لا يمكنه قراءة كلمة المرور الأصلية حتى لو أراد ذلك؛ يمكنه فقط التحقق مما إذا كان ما تكتبه ينتج البصمة نفسها مرة أخرى. النموذج الثاني، إذا نُفذ بشكل صحيح، هو الأفضل لتخزين كلمات المرور. سنرى لاحقاً لماذا يتطلب «التنفيذ بشكل صحيح» شيئاً أكثر من SHA-256 بمفرده.

## الخصائص الأربع التي تجعل الهاش التشفيري مفيداً

دالة الهاش التي تستحق وصف *تشفيرية* تفي بأربع خصائص:

1. الحتمية (Determinism). المدخل نفسه ينتج دائماً البصمة نفسها.
2. تأثير الانهيار (Avalanche effect). أي تغيير بسيط في المدخل ينتج بصمة مختلفة تماماً، دون تشابه مرئي مع السابقة.
3. مقاومة العكس (Pre-image resistance). عند توفر بصمة، ليس من الممكن حاسوبياً العثور على النص الذي أنتجها.
4. مقاومة التصادم (Collision resistance). ليس من الممكن حاسوبياً العثور على نصين مختلفين ينتجان البصمة نفسها.

«ليس من الممكن حاسوبياً» لا تعني «أنه مستحيل رياضياً». بل تعني أن التكلفة من حيث الوقت والطاقة والمال لتحقيق ذلك تتجاوز بمرات مضاعفة مجموع كل قدرات الحوسبة المتاحة بشكل معقول. بالنسبة لـ SHA-256، تُقاس هذه الحدود بآلاف المليارات من السنين حتى بالنسبة لأكثر التوقعات تفاؤلاً باستخدام عتاد متخصص. وهو ما يعني، للأغراض العملية للقارئ، أنه «غير ممكن».

## SHA-256، على وجه التحديد

الاسم يقول كل شيء. SHA هي اختصار لـ *Secure Hash Algorithm*: خوارزمية الهاش الآمنة. يشير الرقم 256 إلى حجم البصمة بالبتات: مائتان وستة وخمسون بتاً، أي اثنان وثلاثون بايت، والتي تظهر في النظام الست عشري كأربعة وستين حرفاً يعرفها القارئ بالفعل. نشر المعيار المعهد الوطني للمعايير والتقنية (NIST) الأمريكي، وهو الهيئة التي تنظم هذا النوع من الدوال، في عام 2001 كجزء من عائلة SHA-2؛ والنسخة الحالية من المعيار، FIPS 180-4، تعود لعام 2015.

الأبعاد تستحق وقفة. مائتان وستة وخمسون بتاً تسمح باثنين أس مائتين وستة وخمسين قيمة مختلفة: رقم مكون من ثمانية وسبعين خانة عشرية، وهو أكبر بعدة مرات من عدد الذرات المقدر في الكون المرئي. كل نص في العالم —كل كتاب، كل بريد إلكتروني، كل رسالة— يقع على واحدة من تلك القيم. احتمال تطابق نصين مختلفين بالصدفة هو، للأغراض العملية، لا يختلف عن الصفر.

## كيف يبدو في الكود

## لماذا نسميه ختم الشمع

في المراسلات الأوروبية من القرن الخامس عشر إلى التاسع عشر، كان الشمع يغلق الرسالة. قطرة من الشمع المذاب، وختم يُضغط فوقها، فتصبح الرسالة معلمة بشكل لا يتكرر. لم يكن يحمي المحتوى من المتطفل المصمم —فالورق يمكن قراءته مقابل الضوء، والشمع يمكن كسره— لكنه كان يثبت التلاعب. أي تغيير في الإغلاق كان مرئياً للمستلم حتى قبل فتح الورقة. الشمع لم يمنع الضرر، بل كان يعلنه.

يؤدي SHA-256 الخاص بمتن كل Cuaderno الوظيفة نفسها في نسخته الرقمية. إذا تغيرت كلمة واحدة في المقال بين لحظة نشره ولحظة قراءتك له، فإن الختم الست عشري في أسفل النص لن يطابق SHA-256 للنص الذي أمامك. يمكن لأي قارئ بخمسة أسطر من الكود التحقق من ذلك. لا يمكن للمنشور إعادة كتابة تاريخه دون أن يفضحه الختم. إنه لا يحمي من الضرر، بل يجعله قابلاً للتحقق.

## ما ليس عليه الهاش

هناك أربعة استخدامات تُطلب أحياناً من SHA-256 وهي ليست من اختصاصه:

1. التشفير. الهاش يلخص؛ ولا يخفي. إذا كنت تريد ألا يُقرأ النص، فأنت بحاجة لتشفيره، وليس تهشيره.
2. توثيق المؤلف. الهاش لا يخبرنا بمن كتب النص، بل يخبرنا فقط ما هو النص الذي تم تهشيره. لربط التأليف، هناك حاجة لتوقيع تشفيري فوق الهاش، وليس الهاش بمفرده.
3. تخزين كلمات المرور. هنا يوجد فخ من الجيد فهمه. تم تصميم SHA-256 ليكون سريعاً جداً —وهو أمر جيد لأشياء كثيرة، لكنه سيء لهذا الغرض. يمكن للمهاجم باستخدام عتاد متخصص تجربة مليارات كلمات المرور في الثانية مقابل هاش SHA-256 حتى يعثر على كلمتك. لحفظ كلمات المرور، يجب استخدام دوال اشتقاق مفاتيح بطيئة عمداً مثل Argon2 أو scrypt أو bcrypt، مدمجة مع *sal* (بيانات عشوائية فريدة لكل مستخدم، تمنع حصول شخصين يملكان كلمة المرور نفسها على الهاش نفسه).
4. قراءة الهاش كمعرف للمؤلف. ليس كذلك. الهاش يحدد المحتوى. إذا قام شخصان بتهشير كلمة *مرحباً* باستخدام SHA-256، فسيحصل كلاهما على الملخص نفسه — وهذه هي الخاصية المركزية، وليست عيباً: لو كانت الملخصات مختلفة، لما تمكنا من التحقق من التطابق بين ما نُشر وما استُلم.

## أين يظهر SHA-256 في حياتك اليومية

حتى لو لم تره، فإن SHA-256 يدعم جزءاً كبيراً مما تستخدمه يومياً على الإنترنت. تُبنى سلسلة كتل بيتكوين (Bitcoin) بربط SHA-256 لكل كتلة بالكتلة التالية؛ تغيير كتلة سابقة يجبر على إعادة حساب السلسلة اللاحقة بالكامل. Git، النظام الذي تُدار به إصدارات الكود لنصف العالم، يحدد كل عملية تأكيد (commit) بواسطة SHA-256 (في الإصدارات الحديثة) أو بسلفه SHA-1 (في الإصدارات الأقدم) لمحتواها الكامل. شهادات HTTPS التي تتحقق من هوية موقع ويب عند دخوله تحمل بصمة SHA-256 مرتبطة بها. غالباً ما تُرفق تنزيلات البرامج بـ SHA-256 ينشره المطور لتتحقق من أن الملف لم يتغير في الطريق. وكما قلنا، في أسفل كل Cuadernos Lacre.

## للقارئ المحترف

أربع تذكيرات تشغيلية لمن يتخذ القرار أو يدقق في الأنظمة:

1. الهاش ليس تشفيراً. إذا خلط مزود بين المصطلحين في توثيقه التقني، فمن الجيد الاستفسار عما يقصده بالضبط.
2. لتخزين كلمات المرور، يجب ألا يُستخدم SHA-256 بمفرده أبداً. SHA-256 سريع جداً لهذه المهمة (انظر النقطة 3 في *ما ليس عليه الهاش*). المعيار الحالي هو Argon2id: بطيء حسب التصميم، وقابل للتهيئة وفقاً لقدرة الخادم، ومدمج مع *sal* عشوائي مختلف لكل مستخدم.
3. لنزاهة المستندات —العقود، السجلات، الملفات— لا يزال SHA-256 هو المعيار المرجعي. وهو ما يستخدمه موثقو الطوابع الزمنية المؤهلون في الاتحاد الأوروبي.
4. للحفظ طويل الأمد (عقود)، من الجيد حساب وأرشفة SHA-3 أو SHA-512 بجانب SHA-256؛ الحذر التشفيري ينصح بعدم الاعتماد على دالة واحدة خلال الأرشفة لقرون.

تخيل أنك قمت ببناء أكثر دائرة دومينو تعقيداً في العالم: آلاف القطع، عشرات التفرعات، جسور ميكانيكية ومنحدرات تعبر الغرفة بأكملها، موضوعة بعناية قطعة بقطعة.

إذا لمست القطعة الأولى، تسقط السلسلة في تتابع دقيق وقابل للتكرار. نفس التركيب، نفس اللمسة الأولى ← نفس النمط النهائي للقطع الساقطة، مراراً وتكراراً.

هنا مكمن الإثارة: حرك قطعة واحدة فقط لمسافة نصف سنتيمتر إلى الجانب قبل البدء والمسها مرة أخرى. المنحدر الذي كان يجب أن يتفعل يظل خاملاً، الجسر لا يسقط، وتفرع مختلف تماماً ينطلق. النمط النهائي للقطع على الأرض لا يمكن التعرف عليه تماماً مقارنة بالأول.

SHA-256 هو رياضياً هذه الدائرة. النص الذي تكتبه هو الوضع الأولي للقطع. الخوارزمية هي اللمسة التي تطلق الشلال. والنتيجة النهائية — ما نسميه *hash* (التجزئة) — هي الصورة الثابتة للأرض عندما يتوقف كل شيء. غيّر فاصلة واحدة في النص الأصلي وستكون الصورة مختلفة جذرياً. بهذه البساطة، وبهذه القوة.

---

*إذا عدت إلى أسفل هذا المقال، سترى ختماً ست عشرياً مكوناً من أربعة وستين حرفاً. إنه SHA-256 للنص الذي قرأته للتو، بهذه اللغة. إذا قمنا بترجمة المقال، فسيكون الختم مختلفاً؛ وإذا تغيرت كلمة واحدة من النسخة العربية، سيتغير الختم العربي. الختم لا يحمي المحتوى —فلذلك توجد أدوات أخرى— بل يحدده بشكل فريد. وهذا، مهما بدا متواضعاً، يكفي لضمان عدم تمكن أي خطوة في السلسلة التحريرية من تغيير ما قيل دون أن يلاحظ أحد. الباقي —التشفير، التوقيع، التعريف— يُبنى فوق هذه الفكرة البسيطة.*

## المصادر ومزيد من القراءة

- NIST — *FIPS PUB 180-4: Secure Hash Standard (SHS)*، أغسطس 2015. المواصفات الرسمية لعائلة SHA-2، بما في ذلك SHA-256.
- RFC 6234 — *US Secure Hash Algorithms (SHA and SHA-based HMAC and HKDF)*، IETF، مايو 2011. الإصدار المعياري للمنفذين.
- Ferguson, N.; Schneier, B.; Kohno, T. — *Cryptography Engineering: Design Principles and Practical Applications* (Wiley, 2010). الفصول 5 و 6 تغطي دوال الهاش واستخداماتها المشروعة وغير المشروعة.
- Nakamoto, S. — Bitcoin: A Peer-to-Peer Electronic Cash System (2008). مثال عملي على استخدام SHA-256 لربط الكتل في هيكل غير قابل للتغيير حسب البناء.
- لائحة (الاتحاد الأوروبي) 910/2014 (eIDAS) — إطار عمل موثقي الطوابع الزمنية المؤهلين. SHA-256 هو الدالة المرجعية للتوقيعات والأختام الإلكترونية المؤهلة الصادرة في الاتحاد الأوروبي.
- التطبيق المرجعي في Zig: std.crypto.hash.sha2.Sha256 في المستودع الرسمي للغة (*github.com/ziglang/zig* ← lib/std/crypto/sha2.zig). إنه الإصدار المحسن والمدقق الذي يستخدمه في الواقع Solo2. مفيد للمقارنة مع التطبيق التعليمي للملحق.

---

*Cuadernos Lacre · منشور لشركة Menzuri Gestión S.L. · بقلم R.Eugenio · تحرير فريق Solo2.*
*https://solo2.net/ar/notebooks/*