حماية موقعك من الاختراق: قائمة تحقق أمنية شاملة

"موقعي صغير، من سيهتم باختراقه؟" هذه أكثر جملة نسمعها من أصحاب المواقع، وهي للأسف السبب الأول في أن مواقع صغيرة كثيرة تُخترق. حماية موقعك من الاختراق لا تتعلق بحجم شركتك أو شهرتك، بل بمدى إغلاقك للأبواب التي تبحث عنها البرامج الآلية كل يوم.

في هذا المقال ستفهم لماذا تُستهدف المواقع الصغيرة، وما أشهر أنواع الهجمات بلغة بسيطة، ثم ستحصل على قائمة تحقق أمنية مقسّمة إلى مجموعات واضحة تطبقها خطوة بخطوة، وأخيرًا خطة عملية لما تفعله إن اكتشفت أن موقعك قد اختُرق.

لماذا تُخترق المواقع الصغيرة؟

الحقيقة أن معظم الهجمات ليست شخصية. هناك برامج آلية (Bots) تجوب الإنترنت على مدار الساعة، وتفحص ملايين المواقع بحثًا عن ثغرات معروفة: إضافة قديمة، أو صفحة دخول بكلمة مرور ضعيفة، أو ملف مكشوف. عندما تجد ثغرة، تستغلها تلقائيًا دون أن يعرف المهاجم اسم موقعك أصلًا.

ماذا يريد المهاجم من موقع صغير؟ أشياء كثيرة: استخدام خادمك لإرسال رسائل مزعجة (Spam)، أو حقن روابط خفية لتحسين ترتيب مواقع أخرى، أو تحويل زوارك إلى صفحات احتيال، أو سرقة بيانات العملاء. موقعك بالنسبة له مورد مجاني، لا هدف شخصي.

أشهر أنواع الهجمات بلغة بسيطة

• تخمين كلمات المرور (Brute Force): برنامج يجرّب آلاف التركيبات على صفحة الدخول حتى يصيب. كلمات المرور الضعيفة أو المكررة تسقط بسرعة.
• استغلال الإضافات والقوالب القديمة: عندما تُكتشف ثغرة في إضافة ويصدر إصلاحها، تصبح الثغرة معروفة للجميع. من لم يحدّث يبقى مكشوفًا.
• رفع برمجيات خبيثة (Malware Upload): استغلال نموذج رفع ملفات غير محمي لرفع ملف تنفيذي يمنح المهاجم تحكمًا بالموقع.
• حقن SQL (SQL Injection): إدخال أوامر قاعدة بيانات داخل حقل بحث أو نموذج غير مؤمَّن، لقراءة البيانات أو تعديلها.
• البرمجة عبر المواقع (XSS): حقن شيفرة JavaScript في صفحة يراها زوار آخرون، لسرقة جلساتهم أو تحويلهم.
• التصيّد (Phishing): رسالة تبدو من شركة الاستضافة أو من ووردبريس تطلب منك "تأكيد" كلمة المرور على صفحة مزيفة.

الخبر الجيد أن معظم هذه الهجمات تُصدّ بإجراءات أساسية، وهي ما ستجده في قائمة التحقق التالية.

قائمة التحقق الأمنية (1): الحسابات وكلمات المرور

الحسابات هي الباب الأمامي لموقعك، وأي إجراء آخر يفقد قيمته إن كانت كلمة المرور 123456.

• كلمة مرور قوية وفريدة لكل حساب: طويلة (16 حرفًا أو أكثر)، ولا تُستخدم في أي مكان آخر. حساب الاستضافة، ولوحة إدارة الموقع، والبريد، وقاعدة البيانات، كل منها بكلمة مختلفة.
• استخدم مدير كلمات مرور (Password Manager): لا أحد يحفظ عشرين كلمة مرور عشوائية. مدير كلمات المرور يولّدها ويحفظها ويملؤها لك.
• فعّل التحقق بخطوتين (2FA): على لوحة الاستضافة، وعلى لوحة إدارة الموقع، وعلى بريدك. حتى لو سُرقت كلمة المرور، لن يستطيع المهاجم الدخول دون الرمز من هاتفك.
• مبدأ أقل الصلاحيات (Least Privilege): الكاتب لا يحتاج صلاحية مدير. أعطِ كل شخص الصلاحية التي يحتاجها فقط، واحذف حسابات الموظفين السابقين فورًا.

نصيحة: ابدأ بحساب الاستضافة وبريدك الإلكتروني قبل أي شيء آخر. من يملك هذين الحسابين يستطيع إعادة تعيين كل كلمات المرور الأخرى، لذا يستحقان أقوى حماية لديك.

قائمة التحقق الأمنية (2): البرمجيات والتحديثات

• حدّث النواة والإضافات والقوالب: سواء كنت تستخدم ووردبريس أو أي نظام آخر، التحديثات الأمنية تُغلق ثغرات أصبحت معروفة. خذ نسخة احتياطية قبل التحديثات الكبيرة ثم حدّث دون تأجيل طويل.
• احذف ما لا تستخدمه: الإضافة المعطّلة لا تزال ملفاتها على الخادم ويمكن استغلالها. القوالب القديمة كذلك. ما لا تحتاجه احذفه نهائيًا.
• من مصادر موثوقة فقط: حمّل الإضافات والقوالب من المستودع الرسمي أو من موقع المطوّر مباشرة.
• لا للنسخ المقرصنة (Nulled): القوالب والإضافات المدفوعة التي توزَّع مجانًا على مواقع مشبوهة كثيرًا ما تحتوي على أبواب خلفية مزروعة. التوفير هنا قد يكلفك الموقع كله.

قائمة التحقق الأمنية (3): الخادم والاستضافة

HTTPS في كل مكان

شهادة SSL تشفّر الاتصال بين الزائر وموقعك، فتحمي كلمات المرور وبيانات النماذج من التجسس. تأكد أن الموقع كله يعمل عبر https وأن النسخة http تحوّل تلقائيًا. للتفاصيل اقرأ دليل شهادات SSL.

صلاحيات الملفات الصحيحة

الصلاحيات (File Permissions) تحدد من يستطيع قراءة الملف أو تعديله أو تنفيذه. القاعدة العامة في معظم الاستضافات المشتركة:

الملفات:   644
المجلدات:  755
wp-config.php:  600 أو 640 (حسب إعداد الخادم)

لا تستخدم الصلاحية 777 أبدًا، فهي تعني أن أي عملية على الخادم تستطيع الكتابة في الملف. يمكنك تعديل الصلاحيات من مدير الملفات في cPanel أو عبر FTP.

أوقف عرض محتويات المجلدات

إذا فتح أحدهم مجلدًا لا يحتوي ملف index فقد يرى قائمة بكل ملفاته (Directory Listing). أوقف ذلك بإضافة هذا السطر إلى ملف .htaccess في جذر الموقع (على خوادم Apache وLiteSpeed):

Options -Indexes

نسخة PHP مدعومة

كل نسخة PHP لها عمر دعم محدد، وبعد انتهائه لا تصدر لها إصلاحات أمنية. اختر من لوحة التحكم نسخة لا تزال مدعومة ومتوافقة مع موقعك، واختبر الموقع بعد التغيير.

جدار حماية تطبيقات الويب (WAF)

جدار حماية تطبيقات الويب (Web Application Firewall) يفحص الطلبات قبل وصولها إلى موقعك ويحجب الأنماط الخبيثة المعروفة مثل محاولات حقن SQL. قد يكون متوفرًا على مستوى الخادم، أو كخدمة خارجية، أو كإضافة داخل ووردبريس؛ وتختلف التغطية من مزود لآخر، فاسأل استضافتك عمّا هو مفعّل لديها.

قائمة التحقق الأمنية (4): التطبيق نفسه

• حدّ محاولات تسجيل الدخول: بعد عدد معين من المحاولات الفاشلة، يُحجب العنوان مؤقتًا. هذا وحده يوقف معظم هجمات التخمين.
• غيّر اسم المستخدم الافتراضي: اسم admin هو أول ما يجربه أي برنامج. استخدم اسمًا غير متوقع للمدير.
• أمّن النماذج: النماذج التي تقبل رفع ملفات يجب أن تقيد الأنواع المسموحة وحجمها. استخدم إضافات نماذج موثوقة ومحدثة بدل كتابة نموذج من الصفر دون خبرة.
• أضف CAPTCHA: على نماذج الاتصال والتسجيل وصفحة الدخول، لتمييز البشر عن البرامج الآلية وتقليل الرسائل المزعجة.

قائمة التحقق الأمنية (5): المراقبة والنسخ الاحتياطي

لا توجد حماية كاملة بنسبة مئة بالمئة، لذلك تحتاج أن تعرف بسرعة إن حدث شيء.

• مراقبة التوفر (Uptime Monitoring): خدمة تفحص موقعك كل بضع دقائق وترسل لك تنبيهًا إن توقف. هناك خدمات مجانية كثيرة لهذا الغرض.
• Google Search Console: سجّل موقعك فيها وراقب قسم "مشكلات الأمان" (Security Issues)؛ ستنبهك Google إن اكتشفت برمجيات خبيثة أو محتوى مخترقًا.
• فحص البرمجيات الخبيثة (Malware Scan): استخدم أداة فحص دورية، من الاستضافة إن توفرت أو عبر إضافة أمان موثوقة.
• راجع السجلات (Logs): سجلات الدخول والأخطاء في لوحة التحكم تكشف محاولات متكررة أو نشاطًا غريبًا.
• النسخ الاحتياطي: هو خط دفاعك الأخير. إن فشلت كل الحمايات، النسخة النظيفة هي ما يعيد موقعك. اقرأ استراتيجية النسخ الاحتياطي 3-2-1 لتبني نظامًا موثوقًا.

جدول الأولويات: الخطر والحماية

إن لم يكن لديك وقت لتطبيق كل شيء اليوم، ابدأ بالأولوية العالية:

ماذا تفعل إن اختُرق موقعك؟ خطة الاستجابة

إن ظهرت علامات اختراق، مثل تحويل الزوار إلى مواقع غريبة، أو صفحات لم تنشئها، أو تحذير من Google، فلا تهلع واتبع هذه الخطوات بالترتيب:

1. وثّق ما تراه: التقط لقطات شاشة وسجّل الوقت، فهذا يساعد لاحقًا في معرفة ما حدث.
2. ضع الموقع في وضع الصيانة: لحماية زوارك من البرمجيات الخبيثة ريثما تنظفه.
3. غيّر كل كلمات المرور: من جهاز نظيف؛ الاستضافة، لوحة الإدارة، FTP، قاعدة البيانات، البريد. وفعّل التحقق بخطوتين إن لم يكن مفعلًا.
4. تواصل مع دعم الاستضافة: أخبرهم بما حدث؛ قد يملكون سجلات أو أدوات فحص تساعد في تحديد مصدر الاختراق.
5. افحص الملفات وحدد الثغرة: ابحث عن ملفات معدّلة حديثًا، وحسابات مدير لا تعرفها، وإضافات قديمة. إغلاق الثغرة أهم من التنظيف، وإلا سيعود المهاجم.
6. استعد نسخة نظيفة أو نظّف الموقع: استعد آخر نسخة احتياطية تعرف أنها سليمة، ثم حدّث كل شيء فورًا. إن لم تكن لديك نسخة، استعن بمختص تنظيف.
7. احذف المستخدمين والملفات الغريبة: وراجع قاعدة البيانات بحثًا عن روابط أو شيفرات محقونة.
8. اطلب المراجعة من Google: إن ظهر تحذير في Search Console، اطلب مراجعة بعد التنظيف.
9. راقب الموقع عن كثب: خلال الأسابيع التالية، لأن بعض الاختراقات تترك أبوابًا خلفية تعود منها.

أسئلة شائعة

هل إضافة أمان واحدة تكفي لحماية موقع ووردبريس؟

إضافة الأمان مفيدة، لكنها جزء من الحماية لا كلها. لن تنفعك إن كانت كلمة مرورك ضعيفة، أو إن تركت إضافات قديمة دون تحديث، أو إن لم تكن لديك نسخة احتياطية. الأمان طبقات، وكل طبقة تسد ثغرة مختلفة.

كيف أعرف إن كان موقعي مخترقًا؟

من العلامات الشائعة: تحويل الزوار إلى مواقع أخرى، ظهور صفحات أو روابط لم تضفها، بطء مفاجئ، تحذيرات في المتصفح أو في Google Search Console، أو رسائل من الاستضافة عن إرسال بريد مزعج من حسابك. بعض الاختراقات تظهر فقط لزوار محركات البحث، لذلك راقب Search Console بانتظام.

هل شهادة SSL تحمي موقعي من الاختراق؟

لا بالمعنى الكامل. شهادة SSL تشفّر البيانات أثناء انتقالها بين الزائر والخادم، فتمنع التجسس عليها، لكنها لا تمنع استغلال إضافة قديمة أو تخمين كلمة مرور. هي ضرورية، لكنها واحدة من بنود القائمة.

كم مرة يجب أن أحدّث إضافات موقعي؟

راجع التحديثات أسبوعيًا على الأقل، وطبّق التحديثات الأمنية فور صدورها. خذ نسخة احتياطية قبل التحديثات الكبيرة، واختبر الموقع بعدها. كثير من الأنظمة تتيح التحديث التلقائي للإصدارات الصغيرة، وهو خيار جيد لمعظم المواقع.

هل التحقق بخطوتين مزعج للاستخدام اليومي؟

يضيف بضع ثوانٍ عند تسجيل الدخول فقط، ومعظم الأنظمة تتيح تذكر الجهاز الموثوق لفترة. مقابل هذه الثواني تحصل على حماية قوية حتى لو سُرقت كلمة مرورك، وهي من أعلى الإجراءات قيمة مقابل جهدها.

الخلاصة

حماية موقعك من الاختراق ليست مشروعًا ضخمًا، بل عادات ثابتة: كلمات مرور قوية مع تحقق بخطوتين، تحديثات منتظمة، برمجيات من مصادر موثوقة، صلاحيات ملفات صحيحة، مراقبة مستمرة، ونسخ احتياطية تعيدك إن فشل كل شيء. ابدأ اليوم ببنود الأولوية العالية في الجدول، ثم أكمل الباقي تدريجيًا. وإن كنت تبحث عن استضافة بشهادة SSL تلقائية مجانية وتحقق بخطوتين ودعم يتحدث العربية، فتعرّف على خطط استضافة NetNexus.