في كثير من الأحيان، يكتشف أصحاب مواقع ووردبريس أن مواقعهم قد تعرضت للاختراق. ونظرًا لشعبيته كنظام إدارة محتوى، يُعد ووردبريس المنصة الأكثر استهدافًا من قِبل المخترقين، ونتيجةً لذلك، يُساء فهمه لعدم أمانه.
لكن هذا ليس هو الحال حقا.
بفضل طبيعة ووردبريس مفتوحة المصدر، يُمكن لأي شخص استخدامه، ومعظم مستخدميه ليسوا على دراية كافية بممارسات الأمن السيبراني الأساسية. وهذا ما يُوهم بأن ووردبريس أقل أمانًا من خيارات بناء المواقع الأخرى.
نادرًا ما يواجه الأشخاص الذين يتبعون ممارسات أمان فعّالة مشاكل اختراق المواقع. فما الذي يجعل موقع ووردبريس آمنًا؟
تأمين موقع WordPress الخاص بك
فيما يلي 10 أشياء يجب وضعها في الاعتبار عندما يتعلق الأمر بتأمين موقع WordPress الخاص بك.
استخدم مضيفًا آمنًا
إذا لم تخرج بأي شيء آخر من هذه التدوينة، انتبه على الأقل لهذا الأمر. موقع WordPress الخاص بك آمن فقط بقدر أمان الخادم الذي يعيش عليه.
معظم مواقع ووردبريس مبنية على استضافة مشتركة، ما يعني أن موقعك موجود على نفس الخادم الذي توجد عليه مواقع عملاء آخرين. لذا، اختر شركة استضافة تُحكم السيطرة على صلاحيات الحسابات على خوادمها.
التحقق من ذلك: مقارنة بين أفضل خدمات استضافة WordPress
ليس من النادر أن يتسبب موقع ويب مخترق في إصابة مواقع أخرى على نفس الخادم. إذا اخترتَ مُستضيفًا يُفصل فيه صلاحيات كل حساب بشكل صحيح، فإن خطر انتقال العدوى بين المواقع يقلّ إلى أدنى حد.
خلافا للرأي الشعبي ، استضافة VPS معرض أيضًا لانتشار البرامج الضارة. هجمات VMescape، حيث تستغل البرامج الضارة ثغرات في منصات المحاكاة الافتراضية، قد تسمح للبرامج الضارة بالهروب من خادم افتراضي خاص (VPS) والانتقال إلى خادم افتراضي خاص آخر يعمل على نفس الأجهزة المادية.
ستُطبّق أيضًا على المضيفين الآمنين إجراءات تخفيف أخرى. تشمل هذه الإجراءات استخدام mod-security في تكوين خادم الويب، وحزم مكافحة البرامج الضارة مثل Imunify360، وحماية DDoS لمنع المواقع من التعرّض لهجمات الروبوتات.
حافظ على تحديث جوهر موقعك وموضوعاتك وإضافاتك
تتعرض معظم مواقع ووردبريس للاختراق بسبب استخدامها لبرمجيات قديمة. هذه ليست مجرد رأي، بل حقيقة موثقة.
توصل باحثو الأمن الذين أجروا تحليلات جنائية على آلاف مواقع WordPress المخترقة دون أدنى شك إلى أن المكونات الإضافية والموضوعات القديمة مسؤولة عن أكثر من 80% منها.
تخيل، بمجرد تحديث قوالب وإضافات موقعك باستمرار، يمكنك تقليل احتمالية اختراقه بنسبة 80%. هذه نقطة أساسية لتأمين ووردبريس تستحق الانتباه.
تمكين المصادقة الثنائية
في حين أن السمات والإضافات القديمة مسؤولة عن الغالبية العظمى من مواقع WordPress التي تم اختراقها، فإن هجمات القوة الغاشمة على أسماء المستخدمين وكلمات المرور هي الأساليب الأكثر شيوعًا التي يتم محاولة الحصول على وصول غير مصرح به إلى مواقع الويب.
على الرغم من أن معدل النجاح عادة ما يكون منخفضًا، إلا أن حوالي 8% من المواقع الإلكترونية المخترقة تم اختراقها ببساطة عن طريق تخمين كلمة مرور المستخدم.
إحدى طرق حماية موقعك الإلكتروني هي تفعيل المصادقة الثنائية (2FA). بالإضافة إلى اسم المستخدم وكلمة المرور، تتطلب المصادقة الثنائية منك أيضًا إدخال رمز مرور لمرة واحدة من جهازك المحمول أو عبر رسالة بريد إلكتروني.
إذا كان لدى المتسلل اسم المستخدم وكلمة المرور لموقعك الإلكتروني، لكنه لا يملك هاتفك أو إمكانية الوصول إلى بريدك الإلكتروني، فلن يتمكن من تسجيل الدخول.
هناك العديد من الإضافات التي تضيف المصادقة الثنائية إلى موقعك الإلكتروني، والعديد من إضافات الأمان الشاملة التي سنتحدث عنها في القسم التالي تضيفها أيضًا كجزء من الميزات العديدة التي تتضمنها.
قم بتثبيت مكون إضافي للأمان
هناك أشخاص يقولون إن كل إجراءات الأمان يجب أن يقوم بها المضيف الخاص بك، ولكن في عالم الأمن السيبراني، نعتقد أن الأمان يحدث في طبقات. وجود مكون إضافي للأمان على موقع WordPress الخاص بك الموقع الإلكتروني هو مجرد طبقة أخرى من تلك الطبقات.
عندما يتعلق الأمر بملحقات الأمان، هناك مجموعة متنوعة للاختيار من بينها. إليك بعضًا من أشهر ملحقات الأمان. اختبرها لترى أيها يناسب احتياجاتك.
Wordfence
مع أن هذه المقالة لن تتناول أفضل إضافة أمان، إلا أن الإضافة الأكثر شيوعًا هي Wordfence - وهناك أسباب عظيمة لذلك.
أولاً، شركة Wordfence متخصصة في مجال الأمن السيبراني، حيث أن الأمن هو كل ما تقوم به. إنها ليست مجرد شركة لتطوير إضافات ووردبريس لديها إضافة أمنية ضمن أعمالها. إنهم يعيشون ويتنفسون الأمن.
يأتي ملحق Wordfence مزودًا بجدار حماية مجاني لتطبيقات الويب، يفحص كل طلب بحثًا عن ثغرات أمنية معروفة، ويحظرها في حال وجود تطابق. كما يتضمن البرنامج أداة فحص للبرامج الضارة، والتي تبحث عن أي علامات دالة على وجود أنشطة وملفات ضارة. ومن الميزات الرائعة الأخرى قدرة هذا الماسح على فحص جميع ملفات السمات والإضافات لديك، ومقارنتها بتلك الموجودة في مستودع WordPress.org، لضمان تطابقها.
يسجل Wordfence جميع الأنشطة المتعلقة بالأمان بشكل افتراضي حتى تتمكن من مراجعتها والتأكد من أن موقعك آمن.
من الميزات الرائعة الأخرى في Wordfence وحدة المصادقة الثنائية، ما يُمكّنك من إلغاء التوصية رقم 2 في هذه المقالة. وفي نفس السياق، يوفر البرنامج حماية من القوة الغاشمة لمنع عناوين IP التي تحاول تسجيل الدخول عدة مرات، مما يُوقف الروبوتات عن العمل بفعالية.
Sucuri
Sucuri يُعدّ Wordfence إضافة أمان رائعة أخرى تُساعد في حماية موقعك على ووردبريس. يحتوي على العديد من الميزات الرائعة نفسها التي يُقدّمها Wordfence، مع استثناء واحد ملحوظ: لا يوجد جدار حماية مجاني، فهو مُتاح فقط ضمن باقة مدفوعة مميزة.
من الملاحظات المهمة حول Sucuri أن شركة GoDaddy استحوذت مؤخرًا على هذه الإضافة، لذا لم يتم بعد إثبات قدرتها على تقديم الدعم المناسب لها. في أوساط استضافة المواقع، لا تحظى GoDaddy بسمعة طيبة، لذا سيكشف المستقبل ما إذا كانت هذه السمعة ستنعكس على Sucuri أم أنها ستكون قادرة على مواجهة التحدي.
يحتوي Sucuri أيضًا على سجل تدقيق حتى تتمكن من مراجعة الأنشطة المتعلقة بالأمان على موقع الويب الخاص بك مثل عمليات تسجيل الدخول الفاشلة.
الكل في واحد WP Security & Firewall
الكل في واحد WP Security & Firewall هو الإضافة الوحيدة التي تقترب من Wordfence من حيث الشعبية. فهو يوفر العديد من المزايا نفسها، بما في ذلك جدار حماية مجاني قائم على قواعد .htaccess، وحماية من القوة الغاشمة، وفحص أمني.
أحد الأشياء التي لا يتضمنها هو وحدة المصادقة الثنائية، لذلك ستحتاج إلى إضافة مكون إضافي مستقل لهذه الوظيفة.
يمكن القول إن إضافة All in One WP Security & Firewall توفر جدار الحماية الأقوى بين جميع إضافات الأمان. وبما أن جدار الحماية يعتمد على ملف .htaccess، تتم معالجته قبل تشغيل أي نصوص برمجية، مما يجعله موثوقًا للغاية.
يتضمن جدار الحماية وأمن ووردبريس الشامل ميزة رائعة للمساعدة في الحماية من التعليقات المزعجة الآلية. كبديل، يمكنك استبدال نظام التعليقات الافتراضي في ووردبريس بـ Deepتعليقات er للحصول على ميزات وحماية إضافية.
استخدم Cloudflare
اكتسبت Cloudflare شعبيةً واسعةً بين مستخدمي ووردبريس بفضل خدمة CDN الممتازة (والمجانية) التي تُساعد على تسريع موقعك الإلكتروني. كما تُقدم Cloudflare مجموعةً من الأدوات المجانية التي تُساعد على حماية موقعك من الهجمات.
أولاً، عندما توجه خوادم الأسماء الخاصة بك إلى Cloudflare، فإنك تحصل على فائدة إحدى أسرع خدمات DNS وأكثرها أمانًا المتاحة وشهادات SSL المجانية.
تقوم خوادم Cloudflare بفحص جميع حركة المرور قبل وصولها إلى خادمك بحثًا عن هجمات DDoS، كما أن جدار الحماية الخاص بهم قابل للتكوين بدرجة عالية حتى في الإصدار المجاني (مع عدد محدود من القواعد) مما يسمح لك بتصفية حركة المرور بناءً على البلد أو ASN أو حتى عنوان URL أو سلسلة الاستعلام.
على سبيل المثال، إذا كنتَ تُسجّل الدخول إلى موقعك الإلكتروني من عنوان IP واحد فقط أو عدد قليل من عناوين IP الثابتة، يمكنك إنشاء قاعدة في Cloudflare تمنع جميع عناوين IP الأخرى من الوصول حتى إلى wp-admin أو wp-login.php. سيؤدي ذلك إلى حظر جميع الروبوتات التي تحاول تنفيذ هجمات القوة الغاشمة التي تحدثنا عنها في القسم 3. يمكنك أيضًا تقييد الوصول إلى wp-admin باستخدام ملف .htaccess الخاص بك بدلاً من Cloudflare. يمكنك استخدام كليهما إذا كنت ترغب في طبقات حماية متعددة (موصى به بشدة).
لا تستخدم قوالب أو إضافات مقرصنة
هل ترغب في الحصول على قالب مميز ولكنك لا تريد دفع ثمنه؟ حسنًا، إذا حصلت عليه من أحد تلك المواقع المشبوهة التي تقدم قوالب وإضافات مقرصنة، يمكنك الحصول عليه مجانًا. ولكن يبقى هناك ثمن...
عند استخدام قالب أو إضافة مقرصنة، تفقد ضمان تطابق المنتج مع ما يقدمه البائع الرسمي. وهذا يعني فقدان سلامة الكود.
تُعد السمات والإضافات الملغاة مصدرًا مهمًا للبرامج الضارة لأنه في بعض الأحيان يقوم من قام بإنشاء المكون الإضافي الملغي بإضافة برامج ضارة خاصة به إليه من أجل الاستيلاء على موقعك أو تنفيذ إجراءات ضارة أخرى مثل سرقة مواردك لتعدين العملات المشفرة.
تُعدّ القوالب والإضافات المقرصنة بمثابة برامج ضارة تُثبّتها على موقعك الإلكتروني دون أن تُدرك ذلك. هل تُريد توفير بضعة دولارات فقط؟ لا يستحق الأمر المخاطرة. إذا كنتَ بحاجة إلى ميزة مدفوعة، فادفع لمطور موثوق للحصول عليها.
تعطيل تحرير الملف
تحتوي لوحة تحكم ووردبريس على محرر مدمج سهل الاستخدام يتيح لك تعديل محتويات ملفات القالب والإضافات. للأسف، يُسهّل هذا المحرر أيضًا على المتسللين تعديل شيفرة موقعك الإلكتروني في حال اختراق حسابك.
الحقيقة هي أنك على وشك أبدا سأستخدم هذه الخاصية. إذا قمتَ بتعديل أي ملف أساسي، فمن المرجح أن تفعل ذلك مباشرةً من خلال مدير ملفات المضيف أو باستخدام برنامج FTP.
يمكنك تعطيل القدرة على تحرير الملفات من لوحة تحكم المشرف عن طريق إضافة هذا السطر إلى ملف wp-config.php الخاص بك:
حدد('عدم السماح بتحرير الملف'، صحيح)؛
بمجرد إضافة هذا السطر، لن تكون قوائم التحرير متاحة بعد الآن لملفات المكونات الإضافية والموضوعات في لوحة معلومات إدارة WordPress.
نقل وإعادة تسمية ملف wp-config.php الخاص بك
بينما نتحدث عن ملف wp-config.php، يعلم الكثيرون أنه يمكنك نقل هذا الملف إلى المجلد الأعلى من مجلد تثبيت ووردبريس الخاص بك، وسيظل موقعك يعمل بشكل سليم. ولكن دعونا نتعمق في الموضوع أكثر.
هل تعلم أنه يمكنك تغيير اسم ملف wp-config.php إلى أي اسم تريده ونقله من تثبيت ووردبريس إلى مجلد خاص؟ قد يتطلب الأمر بعض الجهد، ولكنه يستحق العناء.
على الرغم من أن الملف نفسه يعيد عادةً صفحة فارغة عند استدعائه في متصفح الويب، إلا أنه في حالات نادرة عندما يفشل معالج PHP، قد يكون محتوى الملف بالكامل مرئيًا كنص عادي مباشرة في متصفح الويب.
يحتوي ملف wp-config.php على معلومات حساسة حول موقعك الإلكتروني، بما في ذلك اسم المستخدم وكلمة المرور لقاعدة البيانات. قد تكون هذه المعلومات في أيدٍ غير أمينة كارثية. تغيير اسم الملف إلى اسم عشوائي يُساعد على إخفائه عن الروبوتات والمخترقين.
By نقل wp-config.php إلى مجلد غير عام، فإنك تلغي قدرة شخص ما على الحصول على المعلومات من خلال المتصفح أثناء فشل معالج PHP.
نشاط التدقيق على موقعك
إذا لم تكن تتابع ما يحدث على موقعك الإلكتروني، فقد تفوتك معلومات أساسية يمكن أن تنبهك إلى محاولة نشاط ضار، أو حتى اكتشاف نشاط ضار إذا تم اختراق موقعك بالفعل.
إلى جانب مزايا الأمان، إذا كان لديك موقع إلكتروني يستخدمه عدة مستخدمين، فإن وجود إضافة تدقيق جيدة يساعدك على تتبع الأنشطة المشروعة. بالنسبة للوكالات، تُعد هذه الإضافة أداةً رائعةً لمعرفة ما إذا كان عميلك قد ارتكب خطأً ما، حتى لو أنكر ذلك!
هناك العديد من الإضافات الجيدة لتدقيق نشاط الموقع. بعض الإضافات الأمنية المذكورة سابقًا تتمتع بقدرة تسجيل تدقيق معينة، لكن الإضافات التالية تُحسّن هذه القدرة من خلال تدقيق جميع أنشطة المستخدم بدلًا من الاقتصار على الأحداث الأمنية. إليك أفضل 3 منها.
سجل بسيط - سجل نشاط المستخدم، أداة التدقيق
التاريخ بسيط يُعد هذا البرنامج المساعد الأكثر شيوعًا لأغراض التدقيق، وهو خيار ممتاز لبدء الاختبار. يسجل البرنامج كل ما تتوقعه من عمليات مثل تحديثات المحتوى، وتثبيت وتفعيل البرامج المساعدة، وأي نوع آخر من أنشطة المستخدم.
يتمتع البرنامج الإضافي بتقييم 5 نجوم وفريق المطورين نشط للغاية في منتديات الدعم ويجيب بانتظام على أسئلة الدعم هناك في إطار زمني معقول.
سجل نشاط WP
استخدم سجل نشاط WP يُعدّ هذا المكون الإضافي خيارًا رائعًا آخر لموقعك. فهو يوفر خيارات أكثر قابلية للتخصيص من المكون الإضافي السابق، مثل إمكانية تفعيل وتعطيل تدقيق أحداث معينة، وفترة احتفاظ قابلة للتخصيص للتسجيل. كما يحتوي على العديد من الإضافات لتوسيع نطاق المراقبة لتشمل إضافات متخصصة مثل WooCommerce وWPForms.
يتمتع البرنامج الإضافي بتقييم 4.5 نجوم، ويقوم المطور الرئيسي بالرد على كل سؤال تقريبًا في منتدى الدعم شخصيًا.
إذا كنت تدير وكالة، فإن WP Activity Log يتكامل بسلاسة مع أداة الإدارة الشهيرة MainWP، ما يتيح لك عرض سجلات التدقيق لجميع مواقع عملائك في واجهة واحدة. يُعد WP Activity Log الخيار الأمثل بين الوكالات لتسجيل التدقيق.
سجل النشاط
خيار شائع آخر بتقييم 4.5 نجوم. سجل النشاط يضم كل ما تتوقعه ويحتوي على عدد كبير من عمليات التثبيت النشطة.
لسوء الحظ، لا يستجيب المطور في كثير من الأحيان لطلبات الدعم في المنتديات، حيث تبقى معظم أسئلة الدعم دون إجابة إلى أجل غير مسمى.
استخدم مبدأ الحد الأدنى من الامتيازات
في عالم الأمن السيبراني، مبدأ الحد الأدنى من الامتيازات هو مفهوم يتمتع فيه المستخدم فقط بالأذونات التي يحتاجها للقيام بعمله.
هذه إحدى القواعد الأساسية التي يتم تدريسها في معسكر تدريبي في مجال الأمن السيبرانيومع ذلك، لا تزال هذه الممارسة واحدة من أكثر الممارسات التي يتم تجاهلها بين أصحاب مواقع ووردبريس.
في عالم ووردبريس، ليس من النادر أن تجد شركةً تضم عشرة مستخدمين جميعهم يتمتعون بصلاحيات المدير. قد تكون هناك أسباب وجيهة لهذا المستوى من الوصول، ولكن من النادر الحاجة إلى أكثر من حساب أو حسابين بهذه الصلاحيات الواسعة.
أحد الأمور التي لا يمكنك التحكم بها هو ما يفعله المستخدمون عندما لا يكونون منشغلين بالعمل على موقعك الإلكتروني على ووردبريس. هذا يعني أنه إذا فشلوا في حماية بياناتهم من المتسللين، فمن المرجح أن ينعكس هذا الإهمال على موقعك الإلكتروني.
بتقييد وصول المستخدمين، ستتمكن من الحد من أي ضرر قد يتسبب به المستخدم عن غير قصد، كالنقر على رابط ضار أثناء تسجيل دخوله إلى موقعك. حتى لو كنت مدير الموقع، يُنصح باستخدام حساب محرر منفصل بصلاحيات محدودة عندما لا تقوم بمهام إدارية رفيعة المستوى.
هل القيام بذلك أمر ممل؟ بالتأكيد. لكنه أقل مللاً بكثير من تنظيف موقع ويب مصاب.
مكافأة: قم بإجراء نسخ احتياطية متكررة
في أسوأ الحالات، حيث يُخترق موقعك، يكون الخيار الوحيد أحيانًا هو استعادته من نسخة احتياطية نظيفة؛ نسخة مأخوذة قبل الإصابة. تُجري معظم شركات استضافة المواقع الجيدة نسخًا احتياطية لموقعك مرة واحدة يوميًا، ولكنها عادةً ما تحتفظ بهذه النسخ الاحتياطية لبضعة أسابيع فقط.
يُصبح هذا مُشكلةً إذا كنتَ تُعاني من عدوى لم تُلاحظها لفترة. تُخفي العديد من هذه العدوى نفسها عن مُديري النظام المُسجلين لتجنب اكتشافها لأطول فترة مُمكنة.
نظرًا لأنك تعلم الآن أن الأمان يكون أفضل في الطبقات، فيمكنك تطبيق نفس المفهوم على النسخ الاحتياطية الخاصة بك عن طريق أخذ نسخ احتياطية خاصة بك بالإضافة إلى مستضيف الويب الخاص بك.
تتوفر بعض الإضافات المجانية الرائعة للنسخ الاحتياطي بما في ذلك UpdraftPlus, BackWPupو هجرة الكل في واحدلكل منها نقاط قوتها وضعفها، لكنها جميعًا موثوقة للغاية وتتيح لك إجراء نسخ احتياطي لموقعك بشكل منتظم. في بعض الحالات، يمكنك حتى إجراء نسخ احتياطي تلقائي إلى خدمة تخزين سحابي عن بُعد مثل Dropbox أو OneDrive.
الخلاصة
يُعدّ تأمين ووردبريس جزءًا أساسيًا من إدارة أي موقع إلكتروني. وقد يكون عمليةً مُرهقةً ومُكلفةً إذا لم تُنفّذ بشكل صحيح أو أُهملت. بتطبيق الإرشادات المذكورة في هذه المقالة، يُمكنك جعل معظم احتياجاتك الأمنية تلقائية، ما يُتيح لك التركيز على الأهم: أعمالك.
