أمان تسجيل الدخول في ووردبريس: تغييرات بسيطة توقف معظم محاولات الاختراق بالقوة

إذا سبق لك التحقق من سجلات تسجيل الدخول في ووردبريس، فأنت تعرف الحقيقة: الروبوتات تحاول اختراق موقعك الآن بالذات. ليس لأن موقعك مميز، بل لأنه موقع ووردبريس، وهذا كافٍ لجعله هدفًا.

الخبر الجيد هو أن معظم محاولات الاختراق بالقوة (brute force) غبية جدًا. فهي تجرّب اسم المستخدم "admin"، وحفنة من كلمات المرور الشائعة، وتنتقل إلى موقع آخر إذا لم تنجح بسرعة. بضعة تغييرات صغيرة في إعدادات تسجيل الدخول لديك ستوقف معظمها تقريبًا، دون الحاجة إلى أي معرفة أمنية متقدمة.

لماذا تتعرض صفحات تسجيل الدخول في ووردبريس لهجمات متكررة؟

ووردبريس يشغّل جزءًا كبيرًا من الإنترنت، وكل تثبيت له نفس رابط تسجيل الدخول الافتراضي: /wp-login.php. المهاجمون لا يحتاجون إلى تخمين مكان صفحة تسجيل الدخول، فهم يعرفونها مسبقًا. لهذا تفحص الروبوتات الآلية ملايين المواقع يوميًا، وتجرب بصمت تركيبات مختلفة من اسم المستخدم وكلمة المرور، على أمل إيجاد واحدة تنجح.

معظم هذه الهجمات ليست موجهة بشكل شخصي. إنها سكربتات آلية تمر عبر قوائم بيانات اعتماد مسربة، وتتحقق إذا كان أي موقع ووردبريس يستخدم نفس البيانات. إذا كانت صفحة تسجيل الدخول مفتوحة تمامًا دون أي حماية، فأنت هدف سهل بغض النظر عن حجم موقعك.

غيّر اسم المستخدم الافتراضي للمسؤول

إذا كان اسم المستخدم للمسؤول عندك هو "admin"، فقد كشفت نصف اللغز بنفسك. الآن يحتاج المهاجمون فقط إلى تخمين كلمة المرور بدلاً من تخمين الجزئين معًا.

• أنشئ حساب مسؤول جديد باسم مستخدم فريد
• انقل محتواك وإعداداتك إن لزم الأمر
• احذف أو خفّض رتبة حساب "admin" القديم

هذه الخطوة وحدها تُزيل نسبة كبيرة من المحاولات الآلية، لأن معظم الروبوتات مبرمجة على أسماء مستخدمين شائعة مثل admin أو administrator أو اسم موقعك.

استخدم كلمات مرور قوية وفريدة

قد يبدو هذا واضحًا، لكنه لا يزال أكبر نقطة ضعف في معظم المواقع. كلمة المرور القوية تكون طويلة (16 حرفًا على الأقل)، عشوائية، وغير مستخدمة في أي مكان آخر. استخدم مدير كلمات مرور لإنشائها وحفظها بدلاً من محاولة تذكرها.

كلمات المرور الضعيفة هي بالضبط ما تُصمم هجمات القوة الغاشمة (brute force) لإيجاده. كلمة مرور مثل Summer2023! ستُخترق في دقائق. أما سلسلة عشوائية من 20 حرفًا يُنشئها مدير كلمات مرور فلن تُخترق بالتقنيات الحالية.

حدّد عدد محاولات تسجيل الدخول

بشكل افتراضي، يسمح لك ووردبريس بمحاولة تسجيل الدخول بلا حدود. وهذا دعوة مفتوحة للروبوتات لمواصلة التخمين حتى تنجح بالصدفة. تحديد عدد المحاولات يغلق هذا الباب.

إضافات مثل Limit Login Attempts Reloaded أو WP Limit Login Attempts تقوم بحظر عنوان IP بعد عدد معين من المحاولات الفاشلة، عادة بين 3 و5 محاولات. هذا الإجراء وحده يوقف الغالبية العظمى من سكربتات الاختراق بالقوة، لأنها لا تملك الوقت لإعادة المحاولة ضد حساب محظور.

أضف المصادقة الثنائية

حتى لو حصل شخص على كلمة مرورك، فإن المصادقة الثنائية تمنعه من الدخول. فهي تتطلب رمزًا إضافيًا، عادة من تطبيق على هاتفك، قبل إتمام تسجيل الدخول. كتبنا شرحًا كاملًا حول هذا في كيفية إعداد المصادقة الثنائية في ووردبريس في أقل من عشر دقائق، وهي حقًا تستغرق هذا الوقت تقريبًا.

هذا واحد من أكثر التغييرات تأثيرًا التي يمكنك القيام بها. فهو لا يبطئ المهاجمين فقط، بل يجعل تخمين كلمة المرور غير مفيد من الأساس.

غيّر أو أخفِ صفحة تسجيل الدخول

لا يمكنك منع الروبوتات من معرفة أن مواقع ووردبريس تستخدم عادة /wp-login.php، لكن يمكنك نقل صفحة تسجيل الدخول إلى رابط مخصص. إضافات مثل WPS Hide Login تتيح لك تغيير مسار تسجيل الدخول إلى شيء تعرفه أنت فقط، مثل /staff-portal بدلاً من /wp-login.php.

هذا لن يوقف مهاجمًا مصممًا ومستهدفًا، لكنه يُلغي فوريًا تقريبًا كل عمليات الفحص الآلي، لأنها مبنية على المسار الافتراضي.

أضف CAPTCHA إلى نموذج تسجيل الدخول

اختبار CAPTCHA بسيط أو مربع تحقق (مثل Google reCAPTCHA أو hCaptcha) يُصفّي معظم حركة الروبوتات الآلية قبل أن تصل إلى نموذج تسجيل الدخول أصلًا. بدمج هذا مع تحديد عدد المحاولات، يصبح الاختراق الآلي بالقوة عمليًا بلا فائدة.

احظر الحركة الخبيثة قبل أن تصل إلى ووردبريس

كل الحمايات المذكورة أعلاه على مستوى الإضافات تحدث داخل ووردبريس نفسه، مما يعني أن الطلب يجب أن يصل إلى خادمك أولاً. جدار الحماية للتطبيقات الويب (WAF) يُصفّي أنماط الهجوم المعروفة والروبوتات الخبيثة قبل أن تلمس نموذج تسجيل الدخول أصلًا. إذا رغبت في فهم كيفية عمل هذه الطبقة، فإن نظرة عامة على WAF عندنا تشرح ذلك بعبارات مبسطة.

هذا نوع من الحماية يعمل بصمت في الخلفية. لن ترى المحاولات التي يتم حظرها، بل ستلاحظ فقط أن سجلات تسجيل الدخول لديك تبقى نظيفة.

راقب نشاط تسجيل الدخول الفاشل

حتى مع تطبيق كل هذه التغييرات، من المفيد أن تعرف ما يحدث على موقعك. فحص سريع لصحة تثبيت ووردبريس يمكن أن يكشف نشاط تسجيل دخول غير عادي أو إضافات قديمة تخلق ثغرات أمنية. في الاستضافة المُدارة، يحدث هذا النوع من الفحص غالبًا بشكل تلقائي، ويُظهر تحذيرات أمنية قبل أن تتحول إلى مشاكل حقيقية.

قائمة تحقق بسيطة للبدء اليوم

• غيّر اسم المستخدم "admin" إلى شيء فريد
• استخدم مدير كلمات مرور وأنشئ كلمة مرور طويلة وعشوائية
• ثبّت إضافة لتحديد عدد محاولات تسجيل الدخول (حظر بعد 3-5 محاولات فاشلة)
• فعّل المصادقة الثنائية
• غيّر رابط صفحة تسجيل الدخول إلى شيء غير افتراضي
• أضف CAPTCHA إلى نموذج تسجيل الدخول
• تأكد من وجود جدار حماية يُصفّي الحركة قبل وصولها إلى ووردبريس

لا تتطلب أي من هذه الخطوات مهارات تقنية عميقة. معظمها يستغرق خمس دقائق فقط. ومعًا، توقف هذه الخطوات الغالبية العظمى من محاولات الاختراق بالقوة، لأن معظم الهجمات آلية ومبنية على الإعدادات الافتراضية. بمجرد الخروج من هذه الإعدادات الافتراضية، تكون قد جعلت من نفسك هدفًا أصعب بكثير، وهذا جزء أساسي من أفضل ممارسات أمان ووردبريس.

إذا كنت تريد الذهاب إلى أبعد من ذلك والنظر إلى الوضع الأمني الشامل لموقعك، فإن نظرة عامة على أمان ووردبريس عندنا تغطي الصورة الأكبر بما يتجاوز حماية تسجيل الدخول فقط، وتُقدّم مجموعة شاملة من أفضل ممارسات أمان ووردبريس.