أمان WordPress: قائمة تحصين عملية لأصحاب المواقع

معظم مواقع WordPress المخترقة ليست ضحايا هجمات ذكية موجّهة، بل تعثر عليها أدوات فحص آلية تبحث في ملايين المواقع عن إضافات قديمة وكلمات مرور ضعيفة وملفات مكشوفة. وهذا خبر جيد: فمجموعة صغيرة من العادات المنضبطة تصد الغالبية العظمى من هذه الهجمات. هذه القائمة مرتبة حسب الأثر.

• الإضافات والقوالب القديمة هي أكثر طرق الاختراق شيوعًا، لذا تأتي التحديثات أولًا.
• كلمات المرور القوية الفريدة مع التحقق بخطوتين تحمي تسجيل الدخول.
• النسخ الاحتياطية المحفوظة خارج الخادم هي خط دفاعك الأخير.

1. حدّث كل شيء باستمرار

• فعّل التحديثات التلقائية لإصدارات النواة الفرعية والأمنية، وفكّر في تفعيلها للإصدارات الكبرى أيضًا.
• حدّث الإضافات والقوالب سريعًا، خاصة عندما يذكر سجل التغييرات إصلاحات أمنية.
• استخدم إصدار PHP مدعومًا؛ فالإصدارات القديمة لم تعد تتلقى تصحيحات أمنية.
• اختبر التحديثات الكبرى على نسخة تجريبية في المواقع المهمة.

2. احذف ما لا تستخدمه

قد تحتوي الإضافات المعطلة والقوالب غير المستخدمة على شيفرة مصابة بثغرات يصل إليها المهاجمون مباشرة، فاحذفها، واحتفظ بقالب افتراضي واحد كاحتياط. تجنّب الإضافات التي توقفت صيانتها، ولا تثبّت أبدًا إضافات أو قوالب مدفوعة «مقرصنة» (Nulled)، فهي تحتوي غالبًا على أبواب خلفية.

3. احمِ تسجيل الدخول

• استخدم كلمات مرور طويلة وفريدة محفوظة في مدير كلمات مرور.
• فعّل التحقق بخطوتين لكل حساب بصلاحية محرر أو مدير.
• حدّد عدد محاولات الدخول أو استخدم حماية الاستضافة أو الجدار الناري من محاولات التخمين.
• امنح كل شخص حسابه الخاص بأدنى دور يحتاجه، واحذف الحسابات عند مغادرة أصحابها.
• لا تستخدم «admin» اسمًا للمستخدم.

4. أمّن حساب الاستضافة

• فعّل التحقق بخطوتين في لوحة الاستضافة ولدى مسجّل النطاق وفي حساب البريد؛ فمن يتحكم فيها يتحكم في موقعك.
• استخدم SFTP أو SSH بدل FTP العادي.
• اختر استضافة تعزل الحسابات عن بعضها وتوفر فحص البرمجيات الخبيثة.

5. حصّن إعدادات WordPress

• عطّل محرر الملفات المدمج بإضافة define('DISALLOW_FILE_EDIT', true); إلى wp-config.php، حتى لا يستطيع من يسرق حساب مدير تعديل ملفات PHP من لوحة التحكم.
• استخدم صلاحيات ملفات صحيحة: عادةً 644 للملفات و755 للمجلدات، مع تقييد أكبر لملف wp-config.php حيث تسمح الاستضافة.
• امنع تنفيذ PHP في مجلد الرفع عبر قواعد الخادم.
• عطّل XML-RPC إذا لم تكن بحاجة إليه (بعض التطبيقات والإضافات تستخدمه).
• تأكد أن عرض محتوى المجلدات معطّل على الخادم.

6. استخدم HTTPS في كل مكان

افرض HTTPS على الموقع كله ولوحة الإدارة، حتى لا تُرسل كلمات المرور وملفات تعريف الارتباط دون تشفير.

7. أضف جدار حماية لتطبيقات الويب

يحجب جدار الحماية (WAF) أنماط الهجمات المعروفة قبل وصولها إلى WordPress، ويمكن أن يعمل على حافة الشبكة (CDN أو الاستضافة) أو كإضافة. كما تمتص الجدران على حافة الشبكة الزيارات الضارة قبل أن تستهلك موارد خادمك.

8. انسخ احتياطيًا واعرف كيف تستعيد

احتفظ بنسخ يومية خارج الخادم مع عدة إصدارات؛ فإذا أُصيب الموقع قد تحتاج إلى نسخة من قبل بداية الإصابة. ويشرح دليل النسخ الاحتياطي قاعدة 3-2-1.

9. راقب الموقع

• استخدم مراقبة التشغيل لتعرف بسرعة عند حدوث عطل.
• شغّل فحوصًا دورية للبرمجيات الخبيثة وتحقق من عدم ظهور مديرين جدد غير متوقعين.
• راقب Google Search Console بحثًا عن تحذيرات أمنية.
• فعّل سجل النشاط في المواقع التي يعمل عليها عدة محررين.

10. جهّز خطة لما بعد المشكلة

اعرف بمن تتصل، وأين النسخ الاحتياطية، وكيف تضع الموقع في وضع الصيانة. وإذا اختُرقت فغيّر كل كلمات المرور، واستعد نسخة نظيفة، وحدّث كل شيء، واكتشف كيف دخل المهاجم، وإلا فستعود المشكلة.

أسئلة شائعة

هل WordPress غير آمن؟

نواة WordPress تُصان وتُراجع باستمرار. معظم المشكلات تأتي من إضافات وقوالب قديمة أو رديئة الكتابة، وكلمات مرور ضعيفة، واستضافة غير مُصانة.

هل أحتاج إلى إضافة أمان؟

تفيد إذا لم توفر استضافتك جدارًا ناريًا وفحصًا للبرمجيات الخبيثة وحماية لتسجيل الدخول. لا تجمع عدة إضافات أمان، فقد تتعارض وتبطئ الموقع.

هل أخفي صفحة تسجيل الدخول؟

تغيير رابط الدخول يقلل الضجيج الآلي، لكنه لا يغني عن كلمات المرور القوية والتحقق بخطوتين.