تعزيز أمان WordPress: قائمة تحقق عملية

يشغّل WordPress عدداً هائلاً من المواقع، ما يجعله هدفاً دائماً للهجمات الآلية. ومعظم هذه الهجمات ليست ذكية؛ فهي تفحص إصدارات الإضافات القديمة أو تخمّن كلمات المرور الضعيفة أو تعيد استخدام بيانات الاعتماد المسرّبة. وهذا خبر جيد: فبضع عادات ثابتة كفيلة بإيقاف معظمها. إليك قائمة تحقق يمكنك إنجازها في عصر يوم واحد.

التحديثات وتسجيل الدخول والوصول

الإضافات والقوالب القديمة هي أشيع بوابة للاختراق. طبّق تحديثات نواة WordPress والإضافات والقوالب فور صدورها، وأزل كل ما لم تعد تستخدمه. وفكر في تفعيل التحديث التلقائي للإصدارات الثانوية من النواة وللإضافات الموثوقة، مع اختبار التغييرات الأكبر على نسخة تجريبية أولاً. ويشرح دليلنا عن تحديث WordPress بأمان هذا الروتين.

استخدم بيانات دخول قوية وفريدة ومصادقة ثنائية

استخدم مدير كلمات مرور وامنح كل حساب كلمة مرور طويلة وفريدة. وأضف المصادقة الثنائية للمديرين والمحررين. لا تستخدم admin اسم مستخدم، وتأكد من أن الاسم المعروض في المقالات العامة ليس اسم تسجيل الدخول.

قيّد صلاحيات المستخدمين

امنح الأشخاص أدنى دور يتيح لهم أداء عملهم. فالكاتب يحتاج إلى دور مؤلف (Author) أو مساهم (Contributor) لا مدير (Administrator). وأزل حسابات من غادروا. عدد أقل من المديرين يعني حسابات أقل قابلة للاختراق.

صفحة الدخول وHTTPS والإعدادات

حدّد محاولات الدخول الفاشلة، وفكر في إضافة تحدٍّ للتحقق أو تقييد الوصول إلى /wp-login.php بعنوان IP حيثما كان ذلك عملياً. ويمكن لجدار حماية تطبيقات الويب، مثل الحماية المتاحة عبر Cloudflare، حجب كثير من الطلبات السيئة قبل أن تصل إلى WordPress. اطلع على صفحة الأمان لدينا لمعرفة نهجنا في ذلك على مستوى الاستضافة.

استخدم HTTPS في كل مكان

قدّم الموقع كله عبر HTTPS، بما في ذلك منطقة الإدارة. شهادات Let's Encrypt المجانية مشمولة في استضافتنا؛ اطلع على صفحة SSL. وفي wp-config.php يمكنك فرض جلسات إدارة آمنة:

define( 'FORCE_SSL_ADMIN', true );

عطّل تحرير الملفات من لوحة التحكم

يتيح WordPress للمديرين تحرير ملفات الإضافات والقوالب من لوحة التحكم. وإذا دخل مهاجم فهذه أداة جاهزة بين يديه. عطّلها:

define( 'DISALLOW_FILE_EDIT', true );

اضبط أذونات الملفات الصحيحة

ينبغي أن تكون الملفات قابلة للقراءة من خادم الويب لكن غير قابلة للكتابة من الجميع. تجنب منح المجلدات أذونات كاملة لحل مشكلة رفع؛ وابحث بدل ذلك عن مشكلة الملكية الحقيقية. وأبقِ wp-config.php مقفلاً بأقصى ما يسمح به إعدادك، ولا تترك أبداً نسخاً احتياطية أو تفريغات قواعد بيانات داخل جذر الويب.

النسخ الاحتياطي والمصادر والمراقبة

الأمان يتعلق بالتعافي بقدر ما يتعلق بالوقاية. احتفظ بنسخ احتياطية تلقائية مخزنة بعيداً عن خادم الويب، واختبر استعادتها. فإذا حدث خطأ ما، فالنسخة النظيفة هي أسرع طريق للعودة.

ثبّت البرمجيات من مصادر موثوقة فقط

استخدم الإضافات والقوالب من الدليل الرسمي أو من المطور. فالبرمجيات المدفوعة المقرصنة مصدر متكرر للأبواب الخلفية الخفية. وإن كان الترخيص مكلفاً جداً، فابحث عن بديل أخف بدلاً منها.

راقب التغييرات

يمكن لإضافات الأمان أو خدمات المراقبة تنبيهك إلى تغييرات الملفات وحسابات المديرين الجديدة ونشاط الدخول غير المعتاد. لكن التنبيهات لا تنفع إلا إن قرأها أحد، لذا وجّهها إلى بريد إلكتروني تتفقده.

قلّل ما هو مكشوف

• احذف القوالب والإضافات غير المستخدمة، لا تكتفِ بتعطيلها.
• عطّل XML-RPC إن كنت لا تستخدمه، أو قيّده.
• أخفِ أرقام الإصدارات حيث يسهل ذلك، لكن لا تعتمد على الغموض.
• استخدم مستخدمي قواعد بيانات منفصلين للمواقع المنفصلة، بكلمات مرور قوية.

حافظ على سلامة طبقة الخادم

تعزيز WordPress نصف العمل فقط. فالخادم يحتاج إلى إصدار PHP مدعوم وتحديثات نظام تشغيل حديثة وعزل بين الحسابات. وفي الخطط المشتركة والمُدارة يُتولى ذلك عنك؛ أما على VPS فأنت المسؤول عنه.

جدول تعزيز سريع

المجال	الإجراء	الجهد
التحديثات	النواة والإضافات والقوالب محدَّثة	منخفض
الحسابات	كلمات مرور قوية، ومصادقة ثنائية، وأدنى الصلاحيات	منخفض
الإعدادات	تعطيل تحرير الملفات، وفرض SSL للإدارة	منخفض
النسخ الاحتياطي	خارج الخادم، مع اختبار الاستعادة	متوسط
جدار الحماية	WAF وحدود لمحاولات الدخول	متوسط

لا يوجد موقع آمن بنسبة 100%

كن صريحاً بشأن الحدود. التعزيز يقلل المخاطر ولا يزيلها. ضع خطة لما ستفعله إذا اختُرق الموقع، واحتفظ ببيانات الاتصال بمن سيساعدك.

اجعل الأمان عادة لا مشروعاً

أكبر نقاط الضعف في معظم إعدادات أمان WordPress ليست ميزة ناقصة بل روتيناً غائباً. ضع تذكيراً شهرياً في تقويمك لمراجعة المستخدمين، والتحقق من الإضافات التي توقفت عن تلقي التحديثات، وقراءة تنبيهات الأمان، والتأكد من أن نسخة احتياطية حديثة تُستعاد بنجاح. عشرون دقيقة شهرياً أنفع من جلسة تعزيز لمرة واحدة لا تُراجَع بعدها.

ودوّن كذلك من يملك صلاحية الوصول إلى ماذا: لوحة الاستضافة، ومسجّل النطاق، وحسابات مديري WordPress، وأي خدمات من أطراف خارجية. وحين تنهي وكالة أو مستقل مشروعاً، أزل صلاحياتهم في اليوم نفسه.

وإذا لم يتسع وقتك اليوم إلا لثلاثة أمور، فاجعلها هذه: حدّث كل شيء، وفعّل المصادقة الثنائية لكل مدير، وتأكد من وجود نسخة احتياطية حديثة خارج الخادم. فهي تعالج أشيع طرق اختراق المواقع وأهم طريقة للتعافي.

الأمان على مستوى الاستضافة

الاستضافة الجيدة تدعم تعزيزك الذاتي. تشمل استضافة WordPress لدينا SSL مجانياً، وPlesk لإدارة الوصول، وتوفر Cloudflare CDN، ويستطيع فريق الدعم لدينا الإجابة عن أسئلتك حول تأمين موقعك بـ 17 لغة.