يشغّل WordPress حصة كبيرة من مواقع العالم، وهذه الشعبية تجعله هدفاً جذاباً للمهاجمين. والخبر الجيد أن معظم الهجمات الناجحة لا تنتج عن ثغرات تقنية متقدمة، بل عن إضافات قديمة وكلمات مرور ضعيفة ومواقع بلا نسخ احتياطية. بعبارة أخرى، الموقع الذي يطبّق الإجراءات الأساسية بانتظام محمي بالفعل من معظم الهجمات.
نصف في هذه المقالة أولاً الإجراءات الأساسية التي لا تحتاج إلى أي إضافة، ثم نشرح ما تفعله إضافات الأمان وكيف تختار واحدة. وبما أن ميزات الإضافات تتغير من إصدار إلى آخر، راجع التوثيق الحالي لكل منتج للتفاصيل.
الإجراءات الأساسية أولاً
إضافة الأمان لا تعوّض غياب الأساس. أكمل هذه الخطوات أولاً:
- لا تؤجل التحديثات. تُغلق الثغرات الأمنية في نواة WordPress والقوالب والإضافات بالتحديثات. واحذف الإضافات والقوالب التي لا تستخدمها.
- استخدم كلمات مرور قوية وفريدة. استخدم مدير كلمات المرور، ولا تُبقِ اسم المستخدم للمسؤول «admin».
- فعّل التحقق بخطوتين. على الأقل لحسابات المسؤول والمحرر.
- خذ نسخاً احتياطية وجرّب استعادتها. النسخة الاحتياطية هي الملاذ الأخير الذي سينقذك بعد الهجوم.
- استخدم HTTPS. في موقع بلا شهادة SSL تنتقل بيانات تسجيل الدخول مكشوفة.
- قيّد صلاحيات المستخدمين. لا تمنح دور المسؤول للجميع، واتبع مبدأ أقل الامتيازات.
- ثبّت الإضافات والقوالب من مصادر موثوقة. الحزم غير المرخصة أو مجهولة المصدر تحمل خطر أبواب خلفية مرتفعاً.
ماذا تفعل إضافات الأمان؟
تقدم إضافات الأمان عادة بعض وظائف من أربع: جدار حماية (WAF)، وفحص البرمجيات الخبيثة، وحماية تسجيل الدخول، ومراقبة التغييرات. ولا تتفوق كل إضافة بالقوة نفسها في كل هذه المجالات، لذا تحتاج أولاً إلى توضيح ما تحتاجه.
- جدار الحماية: يحجب الطلبات الخبيثة قبل أن تصل إلى الموقع أو قبل تشغيل شيفرة WordPress.
- الفحص: يبحث في الملفات عن شيفرة مشبوهة وملفات نواة معدّلة.
- حماية تسجيل الدخول: يحد من هجمات التخمين الغاشم ويضيف التحقق بخطوتين.
- المراقبة: يسجّل من غيّر أي إعداد ومتى.
مقارنة إضافات الأمان الشائعة
| الحل | المقاربة | نقطة القوة | نقطة تستحق الانتباه |
|---|---|---|---|
| Wordfence | جدار حماية وماسح يعملان داخل الموقع | نسخة مجانية واسعة، وفحص البرمجيات الخبيثة | يستهلك موارد الخادم؛ وقد يبطؤ على استضافة ضعيفة |
| Sucuri | جدار حماية وخدمة تنظيف قائمة على السحابة | يصفّي الحركة قبل وصولها إلى الموقع، ودعم التنظيف بعد الهجوم | الميزات المتقدمة تعتمد على خطة مدفوعة |
| Solid Security (سابقاً iThemes Security) | يركز على التحصين وحماية تسجيل الدخول | التحقق بخطوتين، وتحصين الإعدادات، وحدود تسجيل الدخول | الفحص قد لا يكون بشمول الآخرين |
| CleanTalk | حماية من الرسائل المزعجة قائمة على السحابة | يحجب التسجيلات الوهمية في النماذج والتعليقات دون كابتشا | يركز على الرسائل المزعجة لا على الأمان العام؛ ويكمّل الطبقات الأخرى |
بدلاً من البحث عن «الإضافة الصحيحة الوحيدة» في هذا الجدول، فكّر بالتركيبات: واحدة للجدار والفحص، وأخرى للحماية من الرسائل المزعجة. ولا تشغّل أكثر من إضافة جدار حماية واحدة على الموقع نفسه؛ فذلك يسبب تعارضات.
لا تهمل الحماية من الرسائل المزعجة والتسجيلات الوهمية
لا تنتج حركة الروبوتات رسائل مزعجة فقط؛ بل تنفخ قاعدة البيانات عبر نماذج التسجيل وحقول التعليقات ونماذج التواصل، وترهق الخادم، وتوزع أحياناً روابط خبيثة. وتصفي الحلول السحابية مثل CleanTalk هذه الحركة دون إزعاج الزوار. وهذه الطبقة ذات قيمة خاصة في مواقع WooCommerce والعضوية، لأن محاولات إنشاء حسابات وهمية شائعة فيها.
النسخ الاحتياطي: الحلقة الأخيرة في الأمان
حتى الموقع الأفضل حماية قد يتضرر يوماً ما. خطأ في التحديث، أو عطل في الخادم، أو إضافة معيبة، أو هجوم: في كل هذه الحالات يكون العلاج بالعودة إلى نسخة احتياطية نظيفة. ويجب حفظ النسخ الاحتياطية لا على الخادم الذي يستضيف الموقع، بل في مكان منفصل (تخزين سحابي، أو خادم آخر). وتقدم إضافات مثل WPvivid Backup Bundle نسخاً مجدولة وإرسالاً إلى تخزين خارجي واستعادة بنقرة واحدة. ومهم بقدر أخذ النسخة الاحتياطية أن تختبر مرة في الشهر أنها تعمل باستعادتها على موقع تجريبي.
أي إضافة تختار؟ دليل مختصر
إذا كنت تدير مدونة واحدة وميزانيتك محدودة، فغالباً ما يكفي ثلاثي مكوّن من إضافة أمان مجانية داخل الموقع، وحل نسخ احتياطي قوي، وحماية من الرسائل المزعجة. أما إذا كان لديك موقع تجارة إلكترونية وهو هدف دائم، فمن المنطقي إضافة جدار حماية سحابي أيضاً، لأن الحركة السيئة تُصفّى قبل أن تصل إلى خادمك. وإذا كنت وكالة تستضيف مواقع عملائها، فإن الإدارة المركزية والتقارير الأمنية المنتظمة تصبح أهم لك من ميزات الإضافة.
وفي كل الأحوال، بعد تثبيت الإضافة راقب السجلات لمدة أسبوع. تخفيف قاعدة تُطلق إنذارات كاذبة أفضل من تفويت تهديدات حقيقية؛ لكن عليك أيضاً اختبار ما إذا كان النظام الذي لا يطلق أي تنبيه يعمل فعلاً. ولهذا يمكنك تنفيذ محاولة تسجيل دخول متحكَّم بها والتحقق من تسجيلها.
إدارة مواقع متعددة
إذا كنت وكالة تدير مواقع عملاء، أو شخصاً لديه عدة مشاريع، فإن الدخول إلى كل موقع على حدة للتحديث يستغرق وقتاً ويزيد خطر الخطأ. وتتيح أدوات الإدارة المركزية مثل MainWP Pro مراقبة التحديثات والنسخ الاحتياطية وحالة كل المواقع من لوحة واحدة. ومن ناحية الأمان، يقلل ذلك تأخير التحديثات.
تنظيف قاعدة البيانات والبيانات غير الضرورية
الجداول المتروكة من إضافات مهجورة، والمسودات القديمة، والتعليقات المزعجة لا تؤثر على الأداء فحسب؛ بل توسّع سطح الهجوم أيضاً. وتساعد أدوات مثل Advanced Database Cleaner Pro على تنظيف هذه البقايا بأمان. وخذ دائماً نسخة احتياطية قبل التنظيف.
لا تنسَ حاسوبك
إذا أصيب الحاسوب الذي تستخدمه لإدارة الموقع ببرمجيات خبيثة، فقد تُسرق بيانات تسجيل الدخول. شغّل برنامج حماية محدّثاً على الأجهزة التي تستخدمها مسؤولاً؛ وتضيف حلول شاملة مثل Kaspersky Premium Total Security طبقة ضد التصيد والبرمجيات الخبيثة. ولا تسجّل الدخول إلى لوحة الإدارة عبر شبكات Wi-Fi العامة المفتوحة.
تحصين الخادم وملفاته
بعيداً عن الإضافات، تقوّي بعض الإعدادات موقعك بشكل كبير. يمكنك إجراء هذه الإعدادات من لوحة الاستضافة أو بالتعاون مع مسؤول الخادم:
- نسخة PHP الحالية: نسخ PHP التي انتهى دعمها لا تتلقى تصحيحات أمنية. انتقل إلى أحدث نسخة مدعومة من لوحة الاستضافة، مع اختبار توافقها مع إضافاتك.
- تعطيل محرر الملفات: تعطيل محرر ملفات القوالب والإضافات في لوحة الإدارة يصعّب على حساب مسؤول مخترَق كتابة الشيفرة مباشرة.
- أذونات الملفات: لا تمنح صلاحيات كتابة أوسع مما يلزم للملفات والمجلدات؛ وأبقِ ملف الإعدادات (wp-config) مغلقاً أمام الوصول.
- مجلد الرفع: امنع تنفيذ ملفات PHP في المجلد الذي تُحفظ فيه رفعات المستخدمين.
- XML-RPC: إذا كنت لا تستخدمه، فأوقفه؛ فهو كثيراً ما يُستغل في هجمات التخمين الغاشم.
- بادئة قاعدة البيانات وتعداد المستخدمين: فعّل الإعدادات التي تمنع عرض أسماء المستخدمين من الخارج.
يمكن إجراء بعض هذه الإعدادات بنقرة واحدة عبر إضافات الأمان؛ ومع ذلك، تأكد من أن أدوات الأمان الخاصة بمزود الاستضافة لا تتعارض معها.
روتين الأمان الشهري
الأمان ليس مهمة تنجزها مرة واحدة ثم تتركها؛ بل عادة صغيرة لكنها منتظمة. خصص ساعة في الشهر لمراجعة هذه القائمة: هل قائمة حسابات المسؤول والمحرر محدّثة؟ هل حُذفت الإضافات غير المستخدمة؟ هل تُنشأ النسخ الاحتياطية فعلاً؟ هل هناك ارتفاع غير معتاد في تقارير محاولات تسجيل الدخول؟ هل يقترب تاريخ انتهاء شهادة SSL؟ هل هناك تحذير أمني في Search Console؟ وعندما ترتبط هذه الفحوص بروتين مع تذكير صغير في التقويم، تُلاحظ المشكلات قبل أن تكبر.
كيف تعرف أنك تعرضت لهجوم؟
- تظهر في نتائج البحث صفحات أو عناوين لا تعرفها.
- تظهر على موقعك عمليات إعادة توجيه أو نوافذ منبثقة غير متوقعة.
- تظهر حسابات مسؤول لا تعرفها.
- يرسل مزود الاستضافة تحذيراً عن استهلاك مفرط للموارد أو عن برمجيات خبيثة.
- يبطؤ الموقع عند فتحه، ويعرض المتصفح تحذيراً أمنياً.
في مثل هذه الحالة، ضع الموقع أولاً في وضع الصيانة، وغيّر كلمات المرور، وارجع إلى نسخة احتياطية نظيفة، ولا تعد فتح الموقع قبل إغلاق الثغرة. وإذا لم تستطع حلها بنفسك، فاستشر خبيراً في الأمان.
لاحتياجات الإضافات والقوالب، يمكنك الاطلاع على فئة إضافات وقوالب WordPress؛ وفي LisansX يتم التسليم رقمياً، وتتلقى النسخ المرخصة التحديثات.
الأسئلة الشائعة
هل تكفي إضافة أمان مجانية؟
بالنسبة لمدونة صغيرة، يكفي ذلك غالباً. أما المواقع التي تستضيف تجارة إلكترونية أو عضويات أو بيانات عملاء، فينبغي النظر في الخطط المدفوعة للميزات المتقدمة والدعم وقواعد جدار الحماية.
هل تبطئ إضافة الأمان الموقع؟
الإضافات التي تعمل داخل الموقع تستهلك موارد الخادم، وقد يكون ذلك ملحوظاً على استضافة ضعيفة. وتزيل الحلول القائمة على السحابة هذا الحمل عن الخادم. أعد قياس السرعة بعد التثبيت.
هل يفيد تغيير عنوان تسجيل الدخول إلى WordPress؟
يقلل الروبوتات البسيطة، لكنه ليس إجراء أمنياً قائماً بذاته. كلمة مرور قوية والتحقق بخطوتين وحدود تسجيل الدخول أكثر فاعلية بكثير.
كم مرة يجب أن آخذ نسخاً احتياطية؟
للمواقع التي تُضاف إليها محتويات يومياً، النسخ اليومية، وللمواقع التي تتغير نادراً، النسخ الأسبوعية، نقطة بداية معقولة. والمتاجر التي تستقبل طلبات تحتاج إلى نسخ قاعدة البيانات بوتيرة أعلى.
