معظم أصحاب المواقع يفترضون أن موقعهم آمن — حتى يثبت العكس. اختراق أمني، أو إصابة بالبرامج الخبيثة، أو حظر مفاجئ من Google كفيل بتغيير هذه النظرة بسرعة. الخبر الجيد هو أنك لست بحاجة إلى استشاري أمني لتعرف أين تقف دفاعاتك فعلاً. مراجعة ذاتية منظمة تستغرق بضع ساعات وقد تكشف ثغرات حقيقية قبل أن يجدها المهاجمون.
الأمر لا يتعلق بالقلق المفرط، بل بمعرفة ما لديك وما ينقصك. دعنا نتناول الموضوع بشكل منهجي.
ابدأ بالأساسيات: HTTPS و SSL
افتح موقعك في المتصفح وتحقق من شريط العنوان. هل تظهر أيقونة القفل؟ هل يبدأ عنوان URL بـ https://؟ إن لم يكن كذلك، فهذه أولى مشاكلك وأكثرها إلحاحاً.
HTTPS يشفّر البيانات المتبادلة بين زوار موقعك والخادم. بدونه، يمكن اعتراض كلمات المرور وبيانات النماذج وتفاصيل الدفع أثناء النقل. كما أن Google تخفّض ترتيب المواقع غير المحمية بـ HTTPS في نتائج البحث، مما له تداعيات تجارية حقيقية.
حتى لو رأيت القفل، انقر عليه وتحقق من تاريخ انتهاء صلاحية الشهادة. شهادات SSL المنتهية الصلاحية تُزيل القفل وتعرض للزوار صفحة تحذير مزعجة. معظم بيئات الاستضافة المُدارة تجدد الشهادات تلقائياً — لكن إن لم يكن الأمر كذلك، ضع تذكيراً في التقويم قبل انتهاء الصلاحية بـ 30 يوماً على الأقل. لمزيد من التفاصيل حول آلية عمل شهادات SSL، راجع نظرة عامة على SSL.
تحقق من أمان تسجيل الدخول
بيانات تسجيل الدخول الضعيفة لا تزال من أكثر نقاط الدخول شيوعاً للمهاجمين. أجب عن هذه الأسئلة بصدق:
- هل تستخدم كلمة مرور فريدة غير مكررة في أي مكان آخر؟
- هل كلمة مرورك تتكون من 16 حرفاً على الأقل، أو تم إنشاؤها بواسطة مدير كلمات المرور؟
- هل فعّلت المصادقة الثنائية (2FA) على نظام إدارة المحتوى ولوحة الاستضافة وسجل النطاق؟
- هل هناك حسابات مدير نسيت أمرها — حسابات مطورين قديمة أو حسابات وكالات من مزود سابق؟
هذه النقطة الأخيرة تفاجئ كثيرين. ادخل إلى قائمة مستخدمي نظام إدارة المحتوى واحذف أي حساب لا تتعرف عليه أو لم تعد بحاجة إليه. كل حساب إضافي هو باب جديد إلى موقعك.
راجع إصدارات البرامج والإضافات
البرامج القديمة هي السبب الأكثر شيوعاً للمواقع المخترقة. هذا صحيح بشكل خاص لمواقع WordPress، حيث تُستغل الثغرات المعروفة في الإصدارات القديمة من الإضافات في غضون أيام من الإعلان عنها.
تأكد من أن نواة نظام إدارة المحتوى والقوالب والإضافات تعمل بأحدث إصداراتها. إذا رأيت عناصر لم يتم تحديثها منذ أشهر — أو إضافات لم تعد مدعومة — فتعامل معها كمخاطر أمنية. إما أن تجد بديلاً مدعوماً أو تحذفها كلياً.
لا تنظر فقط إلى الإضافات النشطة. الإضافات غير المفعّلة المثبّتة على الموقع يمكن أن تحتوي على أكواد قابلة للاستغلال. إن لم تكن تستخدمها، احذفها.
أجرِ فحصاً للبرامج الخبيثة
قد يكون موقعك مصاباً بالفعل دون أن تعلم. بعض الإصابات مصممة لتكون غير مرئية لصاحب الموقع — تعيد توجيه زوار الهاتف إلى صفحات مزعجة، وتضخ روابط مخفية في محتواك، أو تسرق بيانات الزوار بصمت.
عدة أدوات مجانية يمكنها مساعدتك في الفحص:
- Sucuri SiteCheck — يفحص الصفحات العامة للموقع بحثاً عن توقيعات البرامج الخبيثة المعروفة وحالة القائمة السوداء.
- Google Safe Browsing — زر transparencyreport.google.com/safe-browsing/search وأدخل نطاقك.
- VirusTotal — شغّل عنوان URL الخاص بك عبر عشرات محركات الأمان دفعة واحدة.
هذه الأدوات تفحص فقط ما هو مرئي للعامة. إذا أردت فحص ملفات الخادم الفعلية، ستحتاج إلى صلاحيات على مستوى الخادم أو أداة يدعمها مزود الاستضافة. كتبنا المزيد حول حماية موقعك من التهديدات الحديثة إن أردت التعمق أكثر.
انظر إلى ما يقف أمام موقعك
حماية أمان المواقع الجيدة لا تأتي فقط من تطبيقك — بل أيضاً مما يقف أمامه. اسأل نفسك:
- هل تتضمن بيئة الاستضافة جداراً نارياً يصفّي حركة المرور الضارة على مستوى الخادم؟
- هل يوجد جدار حماية لتطبيقات الويب (WAF) يفحص الطلبات قبل وصولها إلى كود التطبيق؟
- هل هناك أي حماية ضد الهجمات الضخمة التي قد تُوقف موقعك عن العمل؟
إن لم تكن متأكداً، اسأل مزود الاستضافة مباشرة. WAF مثلاً يحجب أنماط الهجوم الشائعة مثل SQL injection و cross-site scripting قبل أن تصل إلى قاعدة بياناتك. إن لم يوفر مزودك هذه الخدمة، يمكنك إضافة خدمة خارجية مثل طبقة WAF من Cloudflare. للاطلاع على كيفية عمل هذه الأدوات بشكل أعمق، راجع دليلنا حول جدران حماية تطبيقات الويب.
تحقق من وضع النسخ الاحتياطية
النسخ الاحتياطية ليست إجراءً أمنياً بالمعنى التقليدي، لكنها خطة التعافي عندما يفشل كل شيء آخر. المراجعة لا تكتمل دون الإجابة عن هذه الأسئلة:
- هل النسخ الاحتياطية تعمل تلقائياً، وكم مرة؟
- أين تُحفظ — على نفس الخادم الذي يعمل عليه موقعك، أم في مكان منفصل؟
- متى كانت آخر مرة اختبرت فيها استعادة النسخة الاحتياطية فعلياً؟
النسخ الاحتياطية المحفوظة على نفس الخادم لا فائدة منها إذا تعرض ذلك الخادم للاختراق. تحتاج إلى نسخ في موقع منفصل. نحن نُشغّل نسخاً احتياطية يومية على بنية تحتية منفصلة بحيث حتى في أسوأ الحالات تبقى لديك نقطة استعادة نظيفة في غضون 24 ساعة — لكن مهما كان إعدادك، تحقق من وجود النسخ الاحتياطية وأنك تستطيع استخدامها فعلاً. لمزيد من المعلومات، راجع نظرة عامة على النسخ الاحتياطي والاستعادة.
راجع HTTP Security Headers
Security headers هي تعليمات يرسلها خادمك إلى المتصفحات لإخبارها بكيفية التعامل مع محتواك. من السهل التحقق منها وكثيراً ما تكون مُهيأة بشكل خاطئ.
زر securityheaders.com وأدخل نطاقك. ستحصل على تقييم بالحروف وتفصيل للـ headers الموجودة والمفقودة. الأساسية منها:
- Content-Security-Policy (CSP) — يحدد مصادر تحميل السكريبتات والموارد، مما يقلل من خطر XSS.
- X-Frame-Options — يمنع تضمين موقعك في iframes على نطاقات أخرى (حماية من clickjacking).
- Strict-Transport-Security (HSTS) — يجبر المتصفحات على استخدام HTTPS دائماً لنطاقك.
- X-Content-Type-Options — يمنع المتصفحات من تخمين أنواع الملفات، وهو أمر قابل للاستغلال.
إضافة هذه الـ headers أو إصلاحها يتطلب عادةً تعديلاً بسيطاً في إعدادات الخادم أو ملف .htaccess. يمكن لمزود الاستضافة مساعدتك، أو يمكنك استخدام إضافات لأنظمة إدارة المحتوى الشائعة تتولى ذلك تلقائياً.
راجع صلاحيات المستخدمين
فكّر في كل من لديه وصول إلى موقعك أو خادمك: المطورون والمتعاقدون وأعضاء الفريق والموظفون السابقون. هل لا يزالون بحاجة إلى هذا الوصول؟ هل لديهم صلاحيات أكثر مما تتطلبه وظيفتهم؟
مبدأ الصلاحية الدنيا بسيط: امنح الناس الحد الأدنى من الوصول الذي يحتاجونه لأداء عملهم، ولا شيء أكثر. المحرر لا يحتاج إلى صلاحيات المدير. المتعاقد الذي أنهى مشروعه منذ ستة أشهر لا يحتاج إلى أي وصول على الإطلاق.
راجع مستخدمي نظام إدارة المحتوى ومستخدمي لوحة الاستضافة وحسابات FTP ومفاتيح SSH. احذف كل ما لم يعد نشطاً. هذا أحد أكثر جوانب حماية أمان المواقع إغفالاً، ولا يكلف شيئاً لإصلاحه.
ماذا تفعل بنتائجك
بعد إتمام هذه المراجعة، ستكون لديك قائمة قصيرة من المشاكل. رتّبها حسب درجة الخطورة:
- حرجة — أصلحها فوراً: غياب HTTPS، وجود برامج خبيثة نشطة، عدم وجود نسخ احتياطية، حسابات مدير مجهولة.
- عالية — أصلحها خلال أسبوع: برامج قديمة، كلمات مرور ضعيفة، غياب 2FA.
- متوسطة — أصلحها خلال شهر: غياب security headers، حسابات مستخدمين غير نشطة، عدم وجود WAF.
لا تحتاج إلى حل كل شيء دفعة واحدة. الهدف من المراجعة هو الرؤية الواضحة ثم العمل على القائمة تدريجياً. معظم هذه الإصلاحات تستغرق دقائق. تلك التي تستغرق وقتاً أطول يستحق معرفتها مبكراً — قبل أن يجدها مهاجم.
مراجعات حماية أمان المواقع كهذه تستحق التكرار كل بضعة أشهر. موقعك يتغير، وإضافاتك تتغير، وفريقك يتغير. ما كان آمناً قبل ستة أشهر قد لا يكون كذلك اليوم. تناولنا هذه الفكرة تحديداً في مقالتنا حول لماذا حماية أمان المواقع ممارسة مستمرة وليست إعداداً لمرة واحدة — تستحق القراءة بعد الانتهاء من هذه المراجعة الأولى.
