أمان الموقع لغير التقنيين: ما الذي يجب أن تطلبه من فريقك

أغلب الاختراقات التي نُستدعى لإصلاحها ليست هجمات ذكية موجّهة. هي مسح آلي يجوب الإنترنت بحثاً عن نسخة قديمة من إضافة معروفة، فيجدها عندك. لا أحد استهدفك شخصياً — كنت فقط الباب المفتوح. هذا يعني خبراً جيداً: الحد الأدنى من الانضباط يمنع الأغلبية الساحقة من الحوادث.

كيف تُخترق المواقع فعلاً؟

إضافة أو قالب قديم. السبب الأول بفارق كبير في ووردبريس. تُكتشف ثغرة، ويُنشر تفصيلها، وتبدأ أدوات آلية بمسح ملايين المواقع بحثاً عن النسخة المصابة خلال ساعات.

كلمة مرور ضعيفة أو مُعاد استخدامها. مستخدم admin بكلمة مرور بسيطة، أو كلمة مرور مستخدمة في خدمة أخرى سُرّبت بياناتها.

استضافة مشتركة سيئة. موقع مصاب على الخادم نفسه قد يصل إلى ملفاتك في بيئات ضعيفة العزل.

رفع ملفات بلا فحص. نموذج يسمح برفع مرفقات دون التحقق من النوع فيتحوّل إلى باب لتنفيذ كود.

مفاتيح مسرَّبة. مفتاح بوابة دفع أو خدمة خارجية مكتوب داخل الكود ومرفوع على مستودع عام.

الحد الأدنى الذي يجب أن يوفره أي فريق

اطلب هذه البنود صراحةً في العقد، فوجودها في مستند التسليم يغيّر السلوك:

• HTTPS على كل الصفحات مع إعادة توجيه تلقائي من HTTP، وتجديد آلي للشهادة.
• نسخ احتياطية آلية يومية أو أسبوعية، مخزّنة خارج الخادم، ومُختبرة بالاسترجاع فعلاً مرة واحدة على الأقل. النسخة التي لم تُجرَّب ليست نسخة.
• تحديثات منتظمة للنواة والإضافات والمكتبات، بجدول معلوم لا "عند الحاجة".
• حسابات فردية بصلاحيات محدودة. لا حساب مشترك يستخدمه خمسة أشخاص، ولا صلاحية مدير لمن يحرر مقالاً فقط.
• تحقق بخطوتين على لوحة التحكم وعلى حساب الاستضافة والنطاق.
• حد لمحاولات الدخول وحماية من التخمين الآلي.
• إخفاء رسائل الخطأ التفصيلية عن الزوار.
• مراقبة تنبّهك حين يتوقف الموقع أو يتغير ملف حساس.
• إدارة الأسرار في متغيرات بيئة لا داخل الكود.
• سجل تدقيق: من دخل ومن غيّر ماذا ومتى. لا يمنع الاختراق لكنه يختصر التحقيق من أيام إلى دقائق.

لماذا يقلل الموقع الستاتيك المخاطر؟

الموقع المبني كملفات ثابتة لا يملك لوحة دخول عامة ولا قاعدة بيانات ولا تنفيذ كود على الخادم وقت الزيارة. أغلب طرق الاختراق الشائعة لا تجد ما تهاجمه أصلاً. لا يعني ذلك مناعة مطلقة — النماذج والخدمات الخارجية تبقى نقاط اهتمام، وحساب مزوّد الاستضافة أو النطاق نفسه يبقى هدفاً — لكنه تقليص حقيقي لسطح الهجوم. هذه إحدى الحجج في اختيار البنية، وقد ناقشناها كاملة في ووردبريس أم تطوير مخصص.

الأمان الذي لا علاقة له بالكود

حساب النطاق هو أثمن ما تملك. من يسيطر عليه يستطيع تحويل موقعك وبريدك بالكامل. فعّل عليه التحقق بخطوتين وقفل النقل، واحتفظ ببيانات الدخول لدى المالك لا لدى موظف أو مطوّر سابق.

بريد الشركة. أغلب اختراقات الحسابات تبدأ برسالة تصيّد مقنعة. درّب الفريق على قاعدة واحدة: لا تُدخل كلمة مرور في صفحة وصلت إليها من رابط في رسالة.

من يملك ماذا. اكتب جدولاً بسيطاً: النطاق، الاستضافة، لوحة التحكم، بوابة الدفع، حسابات التحليلات — من يملك كل واحد ومن لديه صلاحية. حين يترك موظف الشركة، هذا الجدول يوفّر أسبوعاً من الفوضى.

ماذا تفعل إن اختُرق الموقع؟

بالترتيب: اعزل الموقع (ضعه في وضع صيانة) بدل حذف كل شيء فوراً؛ غيّر كل كلمات المرور بما فيها الاستضافة وقاعدة البيانات؛ خذ نسخة من الحالة المصابة للتحقيق قبل التنظيف؛ استرجع من أحدث نسخة سليمة معروفة التاريخ؛ حدّث كل شيء قبل إعادة النشر؛ ثم افحص السجلات لمعرفة نقطة الدخول — فبدون معرفتها ستُخترق مجدداً بالطريقة نفسها. وإن تسرّبت بيانات عملاء، أبلغهم. الإخفاء يكلف سمعتك أكثر من الحادثة نفسها.

أسئلة تسألها لفريقك قبل التسليم

أين تُخزَّن النسخ الاحتياطية ومتى جُرِّب استرجاعها آخر مرة؟ كم حساب لديه صلاحية مدير؟ أين تُخزَّن مفاتيح الخدمات الخارجية؟ ما جدول التحديثات؟ من يُنبَّه حين يتوقف الموقع؟ هل يمكنني رؤية سجل الدخول لآخر شهر؟

الإجابات الواضحة على هذه الستة تعني فريقاً منضبطاً. الإجابات المرتبكة تعني أن الأمان لم يُخطط له أصلاً.

الخلاصة

الأمان ليس منتجاً تشتريه مرة، بل عادات: تحديث، ونسخ مُختبرة، وصلاحيات محدودة، ومراقبة، وسجل. تكلفتها الشهرية أقل بكثير من تكلفة يومين توقف وسمعة مهزوزة أمام عملائك.

نطبّق هذه القائمة على كل ما نبنيه — سواء كان موقع شركة أو نظاماً داخلياً بصلاحيات وسجل تدقيق كامل.

ميزانية الأمان — أصغر مما تتخيل

الحد الأدنى المعقول لموقع شركة أربعة بنود فقط: نسخ احتياطية آلية تُخزَّن خارج الخادم، ومراقبة توقف تنبّهك فور تعطل الموقع (وأدوات مجانية تكفي للبداية)، وشهادة تشفير — وهي مجانية عبر Let's Encrypt — وساعة صيانة شهرية للتحديثات. مجموع ذلك أقل بكثير مما يتخيل أغلب أصحاب الأعمال، وأقل بمراتب من تكلفة يومين توقف.

للمتاجر والأنظمة التي تحمل بيانات عملاء، أضف مراجعة أمنية سنوية وسجل تدقيق ومراقبة أعمق. والمعيار ليس "كم أنفق" بل "كم أخسر لو توقف هذا يومين، أو تسرّبت بياناته".

أسئلة شائعة

هل أحتاج إضافة أمان مدفوعة؟ في ووردبريس، إضافة واحدة محترمة تغني عن ثلاث. الأهم منها التحديثات المنتظمة والنسخ المختبرة.

كم مرة أختبر استرجاع النسخة الاحتياطية؟ مرة كل ثلاثة أشهر على الأقل. النسخة غير المختبرة افتراض لا ضمان.

هل يهم مكان الاستضافة أمنياً؟ المكان ليس المعيار، بل جودة المزوّد وعزل الحسابات وسياسة النسخ لديه. اسأل عن هذه الثلاثة تحديداً.

اخترق أحدهم موقعي مرتين، لماذا؟ لأن نقطة الدخول لم تُعالج. التنظيف بلا تحقيق يعيد المشكلة حتماً.

هل الموقع الصغير مستهدف؟ نعم، لأن الاستهداف آلي ولا يفرّق. حجمك لا يحميك.

أول ثلاثين يوماً بعد استلام أي موقع جديد

نفّذ هذه الخطوات فور التسليم، فهي تستغرق ساعة وتمنع أغلب الحوادث:

غيّر كل كلمات المرور التي أنشأها فريق التطوير، واحذف حسابات المطوّرين المؤقتة أو جمّدها. فعّل التحقق بخطوتين على النطاق والاستضافة ولوحة التحكم. تأكد بنفسك من وجود أول نسخة احتياطية واطلب استرجاعها تجريبياً. سجّل في خدمة مراقبة توقف مجانية تنبّهك برسالة عند تعطل الموقع. واكتب جدول الملكية: من يملك كل حساب وأين تُحفظ بياناته.

علامات تدل أن موقعك مصاب

بطء مفاجئ غير مبرر، أو ظهور صفحات لم تنشئها في نتائج البحث، أو تحذير من المتصفح لزوارك، أو رسائل بريد صادرة باسم نطاقك لم ترسلها، أو مستخدم مدير جديد لا تعرفه، أو ملفات معدّلة بتواريخ لا تطابق أي عمل قمتم به. ظهور اثنين من هذه معاً يستدعي فحصاً فورياً لا انتظاراً.

أسئلة إضافية

هل النسخة الاحتياطية على الخادم نفسه تكفي؟ لا. لو تعطّل الخادم أو أُصيب، تضيع النسخة معه. يجب أن تكون خارجه.

من يجب أن يملك حساب النطاق؟ المالك أو الشركة، لا موظف ولا وكالة. هذا أهم بند ملكية في وجودك الرقمي كله.