دليل حماية المواقع من الاختراق: تحديثات، كلمات مرور ومصادقة ثنائية، SSL، جدار حماية ونسخ احتياطي مجرَّب، مع قائمة فحص شهرية وخطوات عند الاشتباه.
تفضّل أن نصمم لك الموقع؟ شاهد تصميم مواقع في مصر بباقة 5,500 ج.م سنويًا، أو إنشاء متجر إلكتروني بالدفع أونلاين.
- شركة برمجيات مصرية منذ 2010
- دعم فني على واتساب
الإجابة المختصرة: حماية المواقع من الاختراق تقوم على خمس عادات ثابتة: تحديث ووردبريس والقوالب والإضافات أولًا بأول، وكلمات مرور قوية مع المصادقة الثنائية، وشهادة SSL، وجدار حماية على الخادم، ونسخ احتياطية منتظمة تختبر استرجاعها. الأمان ليس إعدادًا لمرة واحدة، بل متابعة مستمرة.
لماذا تُستهدف المواقع حتى لو كانت صغيرة؟
كثير من أصحاب المشروعات يظنون أن موقعهم صغير ولن يهتم به أحد. الحقيقة أن معظم الهجمات آلية؛ برامج تفحص آلاف المواقع بحثًا عن ثغرة معروفة أو كلمة مرور ضعيفة، دون أن تهتم بحجم الموقع أو اسمه. والأهداف المعتادة للمخترقين:
- سرقة البيانات: بيانات العملاء، والطلبات، وحسابات المستخدمين.
- زرع برمجيات خبيثة: لتحويل زوارك إلى مواقع احتيال أو إصابة أجهزتهم.
- نشر محتوى مزعج: صفحات إعلانات أو روابط مخفية تضر بسمعة موقعك في جوجل.
- استغلال الخادم: لإرسال رسائل بريد مزعجة أو مهاجمة مواقع أخرى.
والنتيجة في كل الحالات واحدة: خسارة ثقة العملاء، وتحذيرات في المتصفح أو نتائج البحث، ووقت ومال لإصلاح ما حدث.
خطوات حماية المواقع الأساسية
1. حدّث كل شيء باستمرار
أغلب الاختراقات تستغل ثغرات معروفة لها تحديث جاهز لم يُثبَّت بعد. اجعل تحديث نواة ووردبريس والقوالب والإضافات عادة أسبوعية، واحذف أي قالب أو إضافة لا تستخدمها بدل تعطيلها فقط؛ فالإضافة المعطلة تبقى ملفاتها على الخادم.
2. كلمات مرور قوية ومصادقة ثنائية
- استخدم كلمة مرور طويلة وفريدة لكل حساب، ويفضل مدير كلمات مرور.
- فعّل المصادقة الثنائية (2FA) لحسابات المدير على الأقل.
- لا تستخدم اسم مستخدم متوقعًا مثل admin.
- غيّر كلمات المرور فور مغادرة أي موظف أو مطوّر كان له وصول.
3. أقل صلاحية ممكنة لكل مستخدم
مبدأ «أقل صلاحية» يعني أن يحصل كل شخص على الصلاحية التي يحتاجها فقط. كاتب المحتوى يكفيه دور «محرر» أو «كاتب»، ولا داعي لأن يكون مديرًا. راجع قائمة المستخدمين دوريًا واحذف الحسابات القديمة أو المجهولة؛ فوجود مدير لا تعرفه علامة خطر واضحة.
4. شهادة SSL واتصال مشفّر
شهادة SSL تشفّر البيانات بين متصفح الزائر وموقعك، فلا يمكن قراءتها أثناء انتقالها. تأكد أن كل صفحات الموقع تفتح عبر HTTPS، وأن نسخة HTTP تُحوَّل تلقائيًا. اقرأ المزيد في مقال شهادة SSL: ما هي ولماذا يحتاجها موقعك.
5. جدار حماية وفحص للبرمجيات الخبيثة
جدار حماية تطبيقات الويب (WAF) يمنع طلبات الهجوم المعروفة قبل وصولها إلى موقعك، وأدوات الفحص تبحث عن ملفات معدَّلة أو مشبوهة. الأفضل أن تكون الحماية على مستوى الخادم نفسه، مع إضافة أمان داخل ووردبريس إن احتجت.
6. نسخ احتياطي تختبره فعلًا
النسخة الاحتياطية هي خطة الطوارئ الحقيقية. احتفظ بنسخ من الملفات وقاعدة البيانات معًا، وفي مكان منفصل عن الخادم، وجرّب الاسترجاع مرة على الأقل. النسخة التي لم تختبر استرجاعها قد لا تنفعك يوم الحاجة.
7. ثبّت من مصادر موثوقة فقط
لا تستخدم قوالب أو إضافات «مكركة» أو منسوخة من مواقع مجهولة؛ فهي من أشهر طرق إدخال الأبواب الخلفية إلى المواقع. ثبّت من مستودع ووردبريس الرسمي أو من المطوّر مباشرة. ولمعرفة الإضافات التي تستحق مكانها في موقعك راجع إضافات ووردبريس الضرورية.
إعدادات إضافية تقوّي حماية المواقع
بعد الأساسيات، توجد إعدادات بسيطة ترفع مستوى الأمان دون أن تؤثر على عملك اليومي:
- تقييد محاولات الدخول: احظر مؤقتًا العنوان الذي يكرر محاولات تسجيل دخول خاطئة، فهذا يوقف أغلب هجمات تخمين كلمات المرور.
- تعطيل محرر الملفات: ووردبريس يتيح تعديل ملفات القالب والإضافات من لوحة التحكم. تعطيله بإضافة السطر
define('DISALLOW_FILE_EDIT', true);فيwp-config.phpيمنع المخترق من استغلاله إن وصل إلى حساب مدير. - صلاحيات ملفات صحيحة: لا تجعل الملفات أو المجلدات قابلة للكتابة من الجميع، وتأكد أن ملف
wp-config.phpغير مكشوف. - إخفاء قوائم المجلدات: امنع عرض محتويات المجلدات التي لا تحتوي على ملف رئيسي.
- بريد رسمي آمن: كثير من الاختراقات تبدأ برسالة تصيّد تسرق كلمة مرور. درّب فريقك على عدم إدخال بيانات الدخول من روابط داخل الرسائل.
قائمة فحص شهرية سريعة
- هل كل الإضافات والقوالب محدَّثة؟
- هل يوجد مستخدم مدير لا تعرفه؟
- هل آخر نسخة احتياطية حديثة وتعمل؟
- هل ظهرت صفحات أو روابط غريبة عند البحث عن اسم موقعك في جوجل؟
- هل يعمل الموقع كاملًا عبر HTTPS دون تحذيرات؟
- هل هناك إضافات لم تعد تستخدمها ويمكن حذفها؟
ماذا تفعل إذا شككت في اختراق موقعك؟
- لا تحذف الملفات عشوائيًا؛ خذ نسخة من الوضع الحالي أولًا لتحليلها.
- غيّر كلمات مرور لوحة التحكم وقاعدة البيانات والاستضافة والبريد.
- راجع المستخدمين والمهام المجدولة والملفات المعدَّلة حديثًا.
- تواصل مع مزوّد الاستضافة فورًا ليساعدك في تحديد مصدر المشكلة.
حماية موقعك مع برمجلى
في برمجلى نبني المواقع على ووردبريس مع شهادة SSL ضمن كل الباقات، ونسلّمك لوحة تحكم عربية ونعلّمك تديرها بأمان. باقة المواقع بسعر 5,500 ج.م في السنة، وباقة المتاجر 11,000 ج.م، وباقة رجال الأعمال 15,000 ج.م، والتجديد السنوي بنفس السعر. قارن بين الباقات من صفحة الأسعار.
ولو تريد واجهة احترافية لشركتك مع بريد رسمي باسمها، فباقة الهوية الرقمية للشركات بسعر 4,000 ج.م دفعة واحدة. وتقدر قبل أي قرار أن تجرّب شكل متجرك في دقيقة دون تسجيل.
أسئلة شائعة
هل ووردبريس غير آمن؟
ووردبريس نفسه يتلقى تحديثات أمنية منتظمة، ومعظم المشكلات تأتي من إضافات قديمة أو كلمات مرور ضعيفة أو قوالب من مصادر غير موثوقة. مع التحديث والإعدادات الصحيحة يكون آمنًا للاستخدام التجاري.
هل تكفي إضافة أمان واحدة لحماية الموقع؟
لا. الإضافة جزء من الحل، لكن حماية المواقع تحتاج طبقات: تحديثات، وصلاحيات مضبوطة، وحماية على الخادم، ونسخ احتياطية. لا تعتمد على أداة واحدة.
كل كم يوم أحتاج نسخة احتياطية؟
يعتمد على سرعة تغيّر موقعك. المتجر الذي يستقبل طلبات يوميًا يحتاج نسخًا أكثر تكرارًا من موقع تعريفي نادر التحديث. المهم أن تكون النسخ منتظمة ومحفوظة خارج الخادم ومجرَّبة.
هل شهادة SSL تحمي الموقع من الاختراق؟
الشهادة تحمي البيانات أثناء انتقالها، لكنها لا تمنع استغلال ثغرة في إضافة أو تخمين كلمة مرور. هي خطوة أساسية ضمن خطة حماية كاملة، وليست الخطة كلها.
