# الملء التلقائي

> كيف يملأ Octa Pass بيانات الدخول والبطاقات والهويات في المتصفحات والتطبيقات، وكيف تعمل مطابقة النطاقات، وقواعد الأمان التي تمنع التصيّد والنقر الخادع.

Source: https://octap.app/ar/docs/features/autofill/
Status: in-progress
Project: Octa Pass

:::note[قيد التطوير]
الملء التلقائي مبني في إضافة المتصفح وتطبيق سطح المكتب وتطبيقي iPhone وAndroid، لكنه لم يصدر بعد. راجع [خارطة الطريق](https://octap.app/ar/docs/reference/roadmap/).
:::

## أين يعمل الملء التلقائي

| المنصة | كيف |
|---|---|
| المتصفحات (Chromium وFirefox) | [إضافة المتصفح](https://octap.app/ar/docs/platforms/browser-extension/) تملأ الصفحة |
| Safari | إضافة ويب لـ Safari تأتي داخل تطبيقي macOS وiOS |
| macOS 14+ وiOS 17+ | مزوّد الملء التلقائي في النظام، في Safari وفي التطبيقات الأصلية |
| Android 9+ | إطار الملء التلقائي في Android، مع اقتراحات مضمّنة في لوحة المفاتيح على Android 11+ |
| Windows | الإضافة في المتصفحات. وللتطبيقات الأخرى، **الكتابة التلقائية** من [تطبيق سطح المكتب](https://octap.app/ar/docs/platforms/desktop/) |
| Linux | الإضافة في المتصفحات، مع الكتابة التلقائية (كاملة على X11، ومحدودة على Wayland) |

لا توجد في Windows وLinux واجهة ملء تلقائي في النظام لمديري كلمات المرور من جهات خارجية، لذلك تكون الكتابة التلقائية هي الحل البديل هناك. راجع [مصفوفة الدعم](https://octap.app/ar/docs/platforms/support-matrix/).

## التحقق بالجهاز عند التعبئة

افتراضيًا، يطلب Octa Pass قفل جهازك في كل مرة يملأ فيها بيانات دخول أو رمزًا لمرة واحدة أو بطاقة أو هوية. المفتاح هو **الإعدادات ← الأمان ← التحقق بالجهاز ← السؤال عند كل تعبئة**، لكل جهاز على حدة ولا يُزامَن أبدًا. إذا أوقفته، تتم التعبئة مباشرة ما دامت الخزنة مفتوحة، مع تحذير بأن أي شخص يستخدم الجهاز يستطيع ملء بيانات دخولك؛ أما الخزنة المقفلة فتسأل مرة واحدة على الأقل. وللإظهار والنسخ والتصدير [قواعدها الخاصة](https://octap.app/ar/docs/features/biometric-unlock/#الإظهار-والنسخ). وعلى جهاز لا قفل فيه يستطيع Octa Pass استخدامه، لا تسأل التعبئة ما دامت الخزنة مفتوحة أصلًا (وهو سلوك مدير كلمات المرور في Chrome)، وتفتح كلمة المرور الرئيسية الخزنة بعد إعادة التشغيل أو القفل. أما خزنة الويب فلا تقدّم أبدًا وضعًا بلا تحقق.

## ما الذي يملؤه

- نماذج تسجيل الدخول، بما فيها تسجيل الدخول على عدة خطوات وتسجيل الدخول الذي يبدأ بالمعرّف
- حقول TOTP، ونسخ الرمز بعد ملء كلمة المرور
- نماذج البطاقات ونماذج الهوية والعنوان
- [مفاتيح المرور](https://octap.app/ar/docs/features/passkeys/) عبر WebAuthn
- نماذج الحسابات الجديدة، مع [كلمة مرور مولَّدة](https://octap.app/ar/docs/features/password-generator/) أو [بريد مُقنَّع](https://octap.app/ar/docs/features/masked-email/)

عند تسجيل الدخول أو إنشاء حساب، يعرض Octa Pass **حفظ أو تحديث** بيانات الدخول. وإن أمكن ينتظر حتى تنتقل الصفحة بنجاح، فلا تُحفظ بيانات دخول فاشلة.

## رسائل الحفظ

في إضافة المتصفح، رسائل الحفظ والتحديث بطاقات في زاوية الصفحة. وحين يكون هناك أكثر من واحدة، تتراكم فوق بعضها.

- يقول العنوان ما سيفعله Octa Pass: **حفظ بيانات الدخول هذه؟** أو **تحديث كلمة المرور المحفوظة؟** ويظهر مضيف الموقع في سطر خاص به تحته.
- تعرض لوحة اسم المستخدم وكلمة المرور مخفية. وللنقاط الطول نفسه دائمًا، فلا تكشف طول كلمة المرور.
- **حفظ** أو **تحديث** ينفّذ ذلك. و**×** تعني **ليس الآن**. و**أبدًا لهذا الموقع** رابط هادئ في أسفل البطاقة.
- الرسائل القصيرة، مثل *حُفظت في Octa Pass*، تُغلق وحدها. ويبيّن شريط رفيع الوقت المتبقي، ويتوقف العدّ حين تشير إلى الرسالة أو تنقل التركيز إليها.

## القائمة داخل الصفحة

في إضافة المتصفح، يؤدي النقر على حقل يستطيع Octa Pass ملأه إلى فتح قائمته أسفل الحقل. وفي حقل اسم المستخدم تضيق القائمة كلما كتبت: لا تعرض إلا بيانات الدخول التي يحتوي اسم مستخدمها أو اسمها على ما كتبته، وتُغلق حين لا يطابق شيء. امسح الحقل لتراها كلها من جديد.

في القائمة:

- رأس فيه مربع Octa Pass واسم **Octa Pass** ومضيف الموقع، لترى لأي موقع تعرض الاقتراحات
- صف لكل اقتراح، فيه أيقونة الموقع (مربع بحرف حتى تُحمَّل الأيقونة) والعنوان واسم المستخدم
- فواصل بين أنواع الاقتراحات، مثل بيانات الدخول وكلمة مرور مقترحة وبريد مُقنَّع
- كلمة المرور المقترحة في مربع بخط ثابت العرض، لتسهل قراءتها
- تذييل فيه المفاتيح: **↑↓ تنقّل · ↵ اختيار**

وتحاول الإضافة أن تبقى خفيفة على الصفحة:

- لا تفحص الصفحة كلها من جديد حين تنقر خارج حقل. وتعيد الفحص حين يُحمَّل إطار، لا مع كل صورة أو سكربت، وتباعد بين مرات الفحص في الصفحات المزدحمة.
- تحتفظ باقتراحات الحقل 15 ثانية، فتُفتح القائمة من جديد فورًا. وتبدأ جلبها حين تضغط زر الفأرة في حقل، لا حين يصير الحقل في التركيز فقط.
- تطلب أيقونات مواقع أقل، وتضيف أنماطها إلى الصفحة مرة واحدة.

## التعبئة عند فتح الصفحة

تستطيع إضافة المتصفح ملء نموذج تسجيل الدخول فور فتح الصفحة، كما يفعل Chrome وFirefox. هذه الميزة متوقفة ما لم تشغّلها: **الإعدادات ← التعبئة ← تعبئة بيانات الدخول عند فتح الصفحة**، على كل جهاز على حدة، ولا تُزامَن أبدًا. وعند تشغيلها، يملأ Octa Pass آخر بيانات دخول استخدمتها في ذلك الموقع، أو بيانات الدخول الوحيدة له، وذلك فقط حين تتحقق كل الشروط التالية:

- الصفحة آمنة `https://`، والنموذج ليس داخل إطار
- بيانات الدخول محفوظة لذلك العنوان بالضبط: لا لجزء آخر من الموقع، ولا لنطاق مكافئ
- حقلا اسم المستخدم وكلمة المرور في النموذج فارغان وظاهران
- Octa Pass مفتوح، والتعبئة لن تطلب منك تأكيد هويتك أولًا (إذا كان **السؤال عند كل تعبئة** مشغّلًا و**البقاء مفتوحًا** متوقفًا، فلا يُملأ شيء عند فتح الصفحة)

ابدأ الكتابة في حقل مملوء لتستبدل ما فيه: الكتابة فوق اسم المستخدم تمسح اسم المستخدم وكلمة المرور، والكتابة فوق كلمة المرور تمسح كلمة المرور وحدها. ويظل النقر على الحقل يفتح القائمة كاملة. ولا تُملأ نماذج إنشاء الحساب وتغيير كلمة المرور عند فتح الصفحة أبدًا.

يستطيع الموقع قراءة ما مُلئ قبل أن تفعل أي شيء، ولهذا تكون الميزة متوقفة افتراضيًا. يتجنب Chrome ذلك جزئيًا بإخفاء كلمة المرور عن سكربتات الصفحة حتى تتفاعل معها، ولا تستطيع الإضافات فعل ذلك.

## الحفظ أثناء قفل Octa Pass

الحفظ لا يطلب منك فتح القفل أبدًا. إذا كان Octa Pass مقفلًا حين تسجّل الدخول أو تدفع أو تلصق مفتاح API، فإن إضافة المتصفح تسألك مع ذلك، ونافذة **حفظ في Octa Pass؟** في Android تعمل كالمعتاد:

- **تقول الرسالة دائمًا حفظ.** ما دام مقفلًا لا يستطيع Octa Pass النظر في خزنتك، فلا يميّز بين بيانات دخول جديدة وكلمة مرور تغيّرت، ولا يعرف أنك حفظتها من قبل. وتضيف الإضافة سطرًا يقول إنها ستُضاف عندما تفتح القفل في المرة القادمة.
- **ما تحفظه ينتظر على هذا الجهاز مختومًا.** يُشفَّر بالمفتاح العام لحسابك نفسه، فلا يستطيع حتى هذا الجهاز قراءته قبل أن تفتح القفل. لا يُزامَن أبدًا، ولا ينتظر أكثر من 50 عملية حفظ في وقت واحد. وعندما يمتلئ لا يُعرض حفظ آخر حتى تفتح القفل.
- **فتح القفل التالي يضيفه إلى خزنتك:**
  - بيانات الدخول أو العنوان أو البطاقة أو مفتاح API الجديد يحمل وسم **Unconfirmed**، لتراجعه.
  - إذا كانت لديك بيانات دخول لذلك الموقع واسم المستخدم، فإنها تأخذ كلمة المرور الجديدة، وتنتقل القديمة إلى سجل كلمات المرور. وتبقى وسومها كما كانت.
  - ما تحويه خزنتك من قبل يُهمَل بهدوء، وكذلك الحفظ الثاني للشيء نفسه.
- **أبدًا لهذا الموقع** تعمل أيضًا والقفل مغلق.
- **حين لا يمكنه الانتظار:** الجهاز الذي لم يُفتح فيه Octa Pass منذ وصول هذه الميزة ليس لديه بعد مفتاح يختم به. هناك لا تعرض الإضافة الحفظ، ويطلب منك Android فتح القفل والحفظ كما كان. وإذا لم تكن مسجّل الدخول فلا مكان للحفظ.

في iPhone وiPad لا يسمح iOS لمديري كلمات المرور بحفظ ما تكتبه في التطبيقات الأخرى، فلا يوجد هناك حفظ أثناء القفل.

## حفظ العناوين والبطاقات

في إضافة المتصفح، يلاحظ Octa Pass أيضًا نموذج عنوان أو بطاقة ترسله، بالطريقة نفسها التي يلاحظ بها تسجيل الدخول، ويسأل **حفظ هذا العنوان في Octa Pass؟** أو **حفظ هذه البطاقة في Octa Pass؟**. تصبح العناوين المحفوظة [عناصر هوية](https://octap.app/ar/docs/features/item-types/) وتصبح البطاقات عناصر بطاقة، في خزنتك الشخصية، سواء كان لديك حساب أم لا.

- **ما الذي يقرؤه:** الحقول التي تعرّف عليها فقط. للعنوان: الاسم والبريد الإلكتروني والهاتف وأسطر العنوان والمدينة والمنطقة والرمز البريدي والبلد. وللبطاقة: اسم حامل البطاقة ورقمها وتاريخ انتهائها؛ أما العلامة التجارية فتُستنتج من الرقم. الحقول الأخرى في النموذج لا تُقرأ أبدًا.
- **متى يسأل:** يحتاج العنوان إلى سطر شارع ومدينة أو رمز بريدي، فلا يُحسب نموذج نشرة بريدية أو نموذج اتصال أبدًا. ويجب أن يجتاز رقم البطاقة اختبار المجموع الاختباري الذي يحمله كل رقم بطاقة.
- **التحديث بدل الحفظ:** عندما تكون هناك بطاقة محفوظة بالرقم نفسه، أو هوية محفوظة بالبريد الإلكتروني نفسه أو بسطر الشارع والرمز البريدي نفسيهما، تعرض الرسالة **تحديث**. لا تتغير إلا الحقول التي كانت في النموذج. وإذا لم يتغير شيء فلا تظهر رسالة.
- **رمز الأمان** (CVV) لا يُحفظ أبدًا ما لم تحدد **حفظ رمز الأمان أيضًا** في الرسالة. فعّل **الإعدادات ← التحقق بالجهاز ← اسأل قبل تعبئة رمز الأمان**، فتطلب منك الإضافة تأكيد هويتك (بفتح القفل بالجهاز أو بكلمة المرور الرئيسية) قبل وضع الرمز في الصفحة، حتى حين لا تسأل التعبئة في غير ذلك. وإذا رفضت، تُملأ بقية بيانات البطاقة. هذا إعداد خاص بهذا المتصفح، متوقف افتراضيًا، ولا يُزامَن أبدًا.
- **أبدًا لهذا الموقع** توقف الرسائل لذلك النوع من العناصر على ذلك الموقع. وتسرد **الإعدادات ← مواقع لا يُعرض فيها الحفظ** تلك المواقع، لتتمكن من التراجع.
- **ليس في الصفحات غير الآمنة:** لا رسائل للعناوين أو البطاقات في صفحات `http://` العادية (عدا `localhost`)، ولا في نموذج مؤطَّر من موقع آخر حتى [تسمح بذلك الإطار](https://octap.app/ar/docs/platforms/browser-extension/#نماذج-من-مواقع-أخرى).
- تسمّي الرسالة البطاقة بعلامتها التجارية وآخر أربعة أرقام منها وتاريخ انتهائها. أما الرقم الكامل فيبقى في خلفية الإضافة وفي الخزنة؛ ولا يُكتب في السجلات ولا يظهر في الصفحة.

صفحة الدفع التي تطلب عنوان فوترة وبطاقة في نموذج واحد تعرض حفظ البطاقة.

## نوافذ تسجيل الدخول عبر HTTP

بعض المواقع، وكثيرًا ما تكون أجهزة الراوتر والطابعات وصفحات الإدارة، ليس فيها نموذج تسجيل دخول: المتصفح نفسه يفتح نافذة تطلب اسم مستخدم وكلمة مرور (مصادقة HTTP Basic أو Digest). في Chrome وEdge وFirefox تستطيع [إضافة المتصفح](https://octap.app/ar/docs/platforms/browser-extension/#نوافذ-تسجيل-الدخول-عبر-http) الإجابة عن هذه النافذة نيابةً عنك:

- **الموقع نفسه تمامًا فقط.** لا تُستخدم بيانات الدخول إلا إذا كان لأحد مواقعها المخطط والمضيف والمنفذ نفسها للعنوان الذي يطلب. فـ `https://nas.example` لا يملأ `http://nas.example` ولا `https://files.nas.example`.
- **النطاق (realm)، إذا كان لبيانات الدخول نطاق.** يستطيع الموقع أن يطلب تسجيلات دخول مختلفة لمناطق مختلفة وأن يسمّي كلًّا منها (أي *النطاق* realm). بيانات الدخول التي لها **نطاق مصادقة HTTP** لا تُستخدم إلا حين يطلب الموقع ذلك النطاق؛ والتي بلا نطاق تُستخدم لأي نافذة على موقعها. يمكنك ضبط النطاق في محرر بيانات الدخول؛ وبيانات الدخول المستوردة من مدير كلمات مرور آخر تحتفظ بنطاقها.
- **موافقتك، في المرة الأولى.** في أول مرة يطلب فيها موقع، يفتح Octa Pass نافذة صغيرة تسمّي الموقع وبيانات الدخول التي يمكن استخدامها. اختر واحدة لتسجيل الدخول؛ ومن ذلك الحين يجيب Octa Pass عن نوافذ ذلك الموقع بنفسه. **ليس الآن** يترك النافذة للمتصفح. وتسرد **الإعدادات ← نوافذ تسجيل الدخول عبر HTTP** المواقع التي سمحت بها، لتتمكن من التراجع عن أحدها.
- **أثناء فتح الخزنة فقط**، وليس أبدًا لوكيل (proxy) أو إطار أو طلب بدأته صفحة موقع آخر: يسألك المتصفح حينها. وإذا رفض الموقع كلمة المرور، يسأل المتصفح أيضًا، ولا يحاول Octa Pass مرة أخرى.

لا يسمح Safari للإضافات بالإجابة عن هذه النوافذ، ولا يعرض [تطبيق سطح المكتب](https://octap.app/ar/docs/platforms/desktop/) المواقع، لذلك في الحالتين استخدم نافذة المتصفح نفسها (وانسخ كلمة المرور من Octa Pass).

## مطابقة النطاقات

يعرض Octa Pass بيانات الدخول على جزء الموقع الذي تفتحه الصفحة، وعلى الأجزاء التي فوقه والتي تحته، لا على أجزاء الموقع الأخرى. لنفترض أنك على `login.example.com`:

| بيانات دخول محفوظة لـ | هل تُعرض؟ |
|---|---|
| `login.example.com` (أو `www.login.example.com`) | نعم، أولًا |
| `example.com` | نعم، بعدها. وبيانات الدخول لـ`b.example.com` على `a.b.example.com` تأتي قبل بيانات `example.com`: الأقرب أولًا |
| `eu.login.example.com` | نعم، بعد ذلك |
| `shop.example.com` | لا. هي على بُعد نقرة واحدة: انظر [الأجزاء الأخرى من الموقع](#الأجزاء-الأخرى-من-الموقع) |
| `youtube.com` لحساب `google.com` | نعم، أخيرًا، إذا كانا [نطاقين متكافئين](#النطاقات-المتكافئة) |

تُعامَل `www.` في أول العنوان كأنها غير موجودة في الطرفين، ولا يهم المنفذ. فعلى `example.com` تُعرض كل بيانات الدخول لأي جزء من `example.com`، وعلى `shop.example.com` تُعرض بيانات `example.com` و`shop.example.com`.

يُحسب النطاق القابل للتسجيل (الجزء الذي يُشترى، مثل `example.com` أو `example.co.uk`) بقائمة اللواحق العامة (Public Suffix List)، فلا يطابق `example.co.uk` و`evil.co.uk` أحدهما الآخر أبدًا، ولا `alice.github.io` و`bob.github.io`. وتُقارَن العناوين بعد تحويل أسماء النطاقات الدولية، فـ`bücher.de` و`xn--bcher-kva.de` موقع واحد، أما النطاق المشابه بحرف سيريلي فليس كذلك.

حتى 5 نوفمبر 2026 كان Octa Pass يعرض كل بيانات الدخول للنطاق القابل للتسجيل كله، فكانت بيانات `shop.example.com` تُقترح أيضًا على `login.example.com`. تبقى مواقع بيانات الدخول التي حفظتها من قبل كما هي؛ ما تغيّر هو ما يُقترح افتراضيًا. وإذا أردت أن تُعرض بيانات دخول على كل أجزاء نطاقها من جديد، فاختر **كل أجزاء هذا النطاق** لذلك الموقع.

### الأجزاء الأخرى من الموقع

حين تكون للصفحة بيانات دخول محفوظة لأجزاء أخرى من نطاقها، تنتهي قائمة التعبئة التلقائية ببند هادئ: **بيانات الدخول لأجزاء أخرى من example.com**. افتحه لترى بيانات الدخول تلك، وبجانب كلٍّ منها العنوان الذي حُفظت له. ولا تُملأ أبدًا من تلقاء نفسها: لا عند تحميل الصفحة ولا باختصار لوحة المفاتيح، بل فقط حين تختار إحداها.

وبعد أن تملأ واحدة منها، يسألك Octa Pass: **أضف login.example.com إلى بيانات الدخول هذه؟** يضيف **إضافة** عنوان الصفحة إلى بيانات الدخول، فتُقترح أولًا في المرة القادمة؛ ويتركها **ليس الآن** كما هي. ولا يسأل Octa Pass إلا حيث يستطيع تعديل بيانات الدخول (لا لبيانات دخول في خزنة مشتركة يمكنك قراءتها فقط).

أين تجد هذا البند:

- **إضافة المتصفح:** في آخر القائمة داخل الصفحة في حقول اسم المستخدم وكلمة المرور، وفي **هذا الموقع** في تبويب Octa Pass، تحت بيانات الدخول للصفحة.
- **iPhone وiPad:** في قائمة Octa Pass (من **كلمات المرور** فوق لوحة المفاتيح، أو من رمز المفتاح)، تأتي بيانات الدخول لهذا الجزء من الموقع أولًا، ويظهر تحتها قسم للأجزاء الأخرى. أما الاقتراحات التي يعرضها iOS فوق لوحة المفاتيح فتأتي من مطابقة النظام نفسه للمواقع التي حفظتها، ولا يتحكم Octa Pass فيها.
- **Android:** بعد فتح القفل، تعرض قائمة Octa Pass بيانات الدخول لهذا الجزء من الموقع وتنتهي بالبند. وفي نافذة تسجيل الدخول (Credential Manager) يظهر كإجراء تحت الاقتراحات. وإذا كانت للأجزاء الأخرى بيانات دخول، يعرض Octa Pass القائمة حتى لو طابقت بيانات دخول واحدة فقط، بدل أن يملأها مباشرة.
- **تطبيق سطح المكتب:** لا يعرض الملء التلقائي على Mac والكتابة التلقائية إلا بيانات الدخول لهذا الجزء من الموقع. استخدم البحث في قائمة الملء التلقائي أو في الوصول السريع للوصول إلى البقية.

### قواعد المطابقة لكل موقع

يمكن أن تكون لكل موقع في بيانات الدخول قاعدته الخاصة، تحت الموقع في محرر بيانات الدخول (**التعبئة في**):

| القاعدة | تطابق |
|---|---|
| هذا الموقع ونطاقاته الفرعية (الافتراضي) | عنوان الصفحة نفسه، والنطاقات التي فوقه والعناوين التي تحته، كما هو موضّح أعلاه |
| كل أجزاء هذا النطاق | أي عنوان على النطاق القابل للتسجيل نفسه: `login.example.com` و`shop.example.com` لبيانات دخول محفوظة لأيٍّ منهما. وهي القاعدة الافتراضية القديمة |
| هذا المضيف بالضبط | المضيف والمنفذ نفساهما فقط، مثل `accounts.example.com:8443` |
| الصفحات التي تبدأ بهذا العنوان | المضيف والمنفذ نفساهما، في الصفحات التي يبدأ مسارها بالمسار المحفوظ. تُقارَن المضيفات مقارنة صحيحة، فلا يطابق `https://example.com` أبدًا `https://example.com.evil.io` |
| تعبير نمطي | للاستخدام المتقدم: النص المحفوظ تعبير نمطي يُطبَّق على عنوان الصفحة كاملًا. والتعبير المتساهل قد يعرض بيانات الدخول على مواقع أخرى |
| لا تعبّئ هنا أبدًا | لا تُقترح أبدًا |

تُطبَّق القاعدة عند الاقتراح ثم مرة أخرى عند الملء، في إضافة المتصفح، والملء التلقائي على iPhone وAndroid وMac، والكتابة التلقائية. والموقع الذي ليست له قاعدة خاصة يتبع القاعدة الافتراضية.

يحافظ الاستيراد على قواعد التطبيق الذي جئت منه حين يكون معناها واحدًا. فـ**Base domain** في Bitwarden تصبح **كل أجزاء هذا النطاق**، لأنها في Bitwarden تشمل كل النطاقات الفرعية؛ أما **Default** في Bitwarden وProton Pass فتتبع القاعدة الافتراضية في Octa Pass. ولا تستخدم [مفاتيح المرور](https://octap.app/ar/docs/features/passkeys/) هذه القواعد: إعدادات WebAuthn الخاصة بالموقع هي التي تحدد أين يعمل مفتاح المرور.

### النطاقات المتكافئة

بعض المواقع تشترك في تسجيل دخول واحد، مثل `google.com` و`youtube.com`. وبيانات الدخول لأحدها تُعرض على البقية، في ترتيب أدنى من المطابقة التامة. لدى Octa Pass قائمة مدمجة قصيرة. ومن **الإعدادات ← النطاقات المتكافئة** يمكنك إضافة مجموعاتك الخاصة وإيقاف المجموعات المدمجة.

- تُختصر العناوين المكتوبة إلى نطاقها القابل للتسجيل، فيصبح `mail.example.com` هو `example.com`.
- تُرفض اللواحق العامة مثل `co.uk` أو `github.io`، وعناوين IP، وكل ما ليس موقعًا مفردًا، ويخبرك Octa Pass بأيها رُفض.
- القائمة عنصر مشفّر في خزنتك الشخصية، فتتبع حسابك ولا يستطيع الخادم قراءتها.

## قواعد الأمان

هذه الإعدادات الافتراضية تدافع عن التصيّد، وعن فئة هجمات النقر الخادع التي استهدفت إضافات مديري كلمات المرور في 2025.

1. **اقتراحات على النطاقات المطابقة فقط.** النطاق المشابه في شكله لا يرى بيانات دخولك أبدًا.
2. **مطلوب فعل من المستخدم.** لا يملأ Octa Pass إلا حين تنقر قائمته المضمّنة، أو تستخدم اختصار لوحة المفاتيح، أو تختار **تعبئة** في **هذا الموقع**. والاستثناء الوحيد هو [التعبئة عند فتح الصفحة](#التعبئة-عند-فتح-الصفحة)، وهي متوقفة ما لم تشغّلها.
3. **لا ملء صامت في الإطارات من مصادر أخرى.** الإطار القادم من موقع آخر يحتاج إلى موافقتك أولًا: تسمّي القائمة موقع الإطار والصفحة التي بداخلها، وتتذكر إجابتك لذلك الزوج. والإطارات المسموح بها لا تحصل إلا على بيانات الدخول الخاصة بموقعها. راجع [النماذج من مواقع أخرى](https://octap.app/ar/docs/platforms/browser-extension/#نماذج-من-مواقع-أخرى).
4. **واجهة محمية داخل الصفحة.** تُعرض القائمة في إطار تملكه الإضافة أو في الطبقة العليا للمتصفح. ويرفض Octa Pass الملء إذا أخفت الصفحة واجهته أو غطّتها أو جعلتها شفافة.
5. **تحذيرات على `http://`.** لا تُملأ كلمات المرور ورموز TOTP في الصفحات غير الآمنة دون تحذير.

التعليل الكامل في [نموذج التهديدات](https://octap.app/ar/docs/security/threat-model/).

## الكتابة التلقائية

على سطح المكتب، تكتب الكتابة التلقائية `username ⇥ password ↵` (أو تسلسل العنصر نفسه) في النافذة المركَّز عليها بعد التحقق من أن النافذة تخص العنصر: في المتصفح بعنوان الصفحة، وليس بعنوانها النصي أبدًا؛ وفي التطبيقات الأخرى بعنوان النافذة أو اسم التطبيق، أو بالنوافذ المدرجة في العنصر. وتستخدم واجهات الإدخال في المنصة: SendInput على Windows، وCGEvent على macOS (يحتاج إذن إمكانية الوصول Accessibility)، وXTest على X11، وبوابة RemoteDesktop على Wayland حيث تتوفر. وحين لا تعمل أي منها، تعود إلى الحافظة مع المسح التلقائي. التفاصيل في [توثيق تطبيق سطح المكتب](https://octap.app/ar/docs/platforms/desktop/#الكتابة-التلقائية).

## الجودة

يُختبر الملء التلقائي على [مجموعة](https://github.com/octap-app/octapass/tree/main/tools/autofill-corpus) من 76 صفحة اصطناعية تغطي نماذج تسجيل الدخول وإنشاء الحساب والبطاقات والعناوين، وتسجيلات الدخول على عدة خطوات، والإطارات وshadow DOM. ويحقق 100% على الصفحات التي ضُبط عليها و95% على صفحات كُتبت لاحقًا كمجموعة اختبار منفصلة. أما لقطات من أشهر المواقع الحقيقية، وتقرير اختياري عن «الملء التلقائي لم يعمل هنا» يحتوي بنية النموذج فقط ولا يحتوي القيم أبدًا، فمخطط لهما. وإلى ذلك الحين، [افتح بلاغًا](https://github.com/octap-app/octapass/issues/new/choose).