A WordPress site can have sensible security settings while the laptop used to manage it is poorly organised. The reverse is possible too: a carefully maintained computer can still sign into a site with excessive permissions and neglected software.
These are parts of the same workflow, but they need different checks. Separating them helps a site owner choose the right fix instead of expecting a plugin or a connection tool to protect everything from the administrator’s screen to the hosting environment.
Begin with the account’s actual job
WordPress roles and capabilities determine what a user can do within the site. Start by asking what the person needs to accomplish, then choose appropriate access rather than assigning the broadest role for convenience.
Someone updating event descriptions may not need the same access as the person responsible for installing software and changing site settings. The exact arrangement depends on the site’s plugins and configured capabilities, so review the working setup rather than relying only on a role’s name.
Use individual accounts for people who need access. Shared credentials make it harder to remove one person’s access or understand who performed an action. Keep account recovery and offboarding part of the arrangement.
WordPress’s official security guidance treats the hosting environment and application configuration as important areas in their own right. A secure connection from the laptop does not repair a site-side permission mistake or update outdated software.
Treat the laptop as another system to maintain
Keep the operating system, browser and relevant applications supported and updated. Use the organisation’s approved software sources and avoid adding extensions simply because a tutorial recommends a long list of tools.
Review what is visible on the device. A dashboard containing attendee information, customer details or private drafts can be exposed on the screen without any failure in the site’s network encryption. Lock the laptop when leaving it and choose an appropriate place for sensitive work.
For someone working away from the usual network, a VPN للكمبيوتر الشخصي may be one connection-privacy option to evaluate on a Windows laptop. Check the client settings and whether the browser’s traffic is included. It does not change the WordPress user’s capabilities or become a substitute for site maintenance.
If the device is managed by an employer or client, follow its approved connection method. Adding a consumer tool beside an existing managed service can complicate access without improving the site’s own configuration.
Keep the layers visible when choosing tools
The useful comparison is by job:
| المساحة | ما يحتاج إلى الاهتمام |
| حساب ووردبريس | Role, capabilities and recovery access |
| برامج مواقع الويب | Supported versions and a maintenance process |
| بيئة الاستضافة | The provider’s controls and responsibilities |
| Admin laptop | Updates, local applications and physical access |
| اتصال إنترنت | The route used by covered traffic |
A VPN مجاني belongs in the connection row when it fits the supported device and the intended use. A WordPress security plugin belongs to site-side work, with its own functions and limits. Neither label should be treated as a complete answer to the other rows.
This matters during troubleshooting as well. If a user cannot publish an event, inspect the account and capabilities before changing the network. If the site is unavailable to everyone, a new tool on one administrator’s laptop is unlikely to resolve the hosting problem.
Make updates a planned task
An update can affect a live site’s behaviour. Keep a current backup and understand the restoration process, then use the site’s appropriate testing and maintenance arrangement. The goal is to maintain supported software without discovering compatibility problems in the middle of an important event registration period.
Check the functions the site actually relies on after a change. For an event site, that could include viewing an event, registering and receiving the expected confirmation. Use approved test data and avoid creating unintended live transactions.
Assign an owner for this work. A plugin notification is not a maintenance plan if everyone assumes someone else will handle it. Record what was changed and any unresolved issue so the next administrator does not need to reconstruct the history.
Follow the path from the person to the site
When reviewing the setup, walk through a normal administration task. The person opens an updated device, signs into an individual account, performs an authorised action and closes the work. Ask where access or information could be exposed along that path.
The answer may require a role change, a clearer recovery process, a different workspace or a supported connection arrangement. Those are specific improvements with specific owners.
A well-managed WordPress site is easier to protect when the administrator’s laptop and connection are treated as separate responsibilities within the same workflow. Each tool can then do its real job, rather than carrying a promise its name alone cannot support.
ثغرات أمنية في ووردبريس
رغم أن الأمر قد يبدو غير بديهي، إلا أن الأمان لا يعني تأمين الأنظمة بنسبة 100%، بل يعني إزالة المخاطر واستخدام حلول مختلفة للحد من خطر التعرض للاختراق.
According to research done by Alexa, 70% of all WordPress sites feature some sort of vulnerability.
من المؤكد أن هذا الرقم قد يشكل مصدر قلق كبير بالنسبة لك، سواء كنت مالكًا لموقع WordPress أو مطورًا لموضوعات WordPress أو المكونات الإضافية.
The good news is that if you’re the owner of a WordPress site, this web developer hiring guide is a helpful resource if you’re looking to bring on an expert to help you out with your site.
أو، إذا كنت مطورًا بنفسك، فهناك العديد من الأشياء التي يمكنك القيام بها لمنع مثل هذه الثغرات الأمنية لمواقع WordPress الخاصة بك أو مواقع عملائك كما يمكنك القراءة أدناه.
هجمات القوة الغاشمة
أحد أكثر ثغرات الأمان شيوعًا في WordPress هي هجمات القوة الغاشمة، وهي تقنية قديمة، يمكن من خلالها للمتسللين الوصول إلى اسم المستخدم وكلمة المرور الخاصة بك، وبالتالي إلى لوحة معلومات WordPress الخاصة بك.
هذه الثغرة عبارة عن طريقة تجربة وخطأ عند إدخال مجموعة من اسم المستخدم وكلمة المرور حتى يتم اكتشاف مجموعة ناجحة.
نظرًا لأن WordPress لا يحد من محاولات تسجيل الدخول بشكل افتراضي، فمن السهل أن يتعرض موقع WordPress الخاص بك للاختراق.
حافظ على تحديث موقعك وإنشاء كلمة مرور قوية
تتمثل بعض الطرق المهمة لمنع هذا الهجوم في إبقاء موقعك محدثًا والحد من عدد محاولات تسجيل الدخول في WordPress عن طريق تثبيت مكون إضافي مثل Login LockDown، على سبيل المثال.
إحدى القواعد الأساسية لمنع هذا الهجوم هي إنشاء كلمة مرور قوية، تحتوي على جميع العناصر الضرورية: الأحرف الكبيرة والصغيرة، والأحرف الخاصة، والأرقام، ويجب أن تكون أكثر من 8 أحرف.
سيساعدك أيضًا إدراج CAPTCHA في صفحة تسجيل الدخول إلى WordPress.
CAPTCHA على مواقع WordPress: لماذا تحتاج إليه وكيفية إعداده
يُعدّ ضمان أمان موقعك الإلكتروني على ووردبريس أمرًا أساسيًا في عالم مليء بالتهديدات الرقمية. وتلعب تقنية CAPTCHA دورًا حيويًا في هذا النظام الأمني، حيث تعمل كمرشح لفصل الزوار الحقيقيين عن البرامج الضارة.
لماذا تحتاج إلى CAPTCHA؟
Simply, you need CAPTCHA on your website to stop malicious bots. Like web protection helping secure your accounts and devices from hackers, CAPTCHA helps to protect your website from bots.
يستخدم مخترقو الإنترنت برامج روبوتية آلية لتنفيذ مجموعة من الأنشطة الخبيثة. فهم ينشرون تعليقات عشوائية، ويشنون هجمات بالقوة الغاشمة لاختراق كلمات المرور، وينظمون هجمات حجب الخدمة الموزعة (DDoS). ولا تقتصر عواقب هذه الهجمات على الإزعاج فحسب، بل قد تكون مدمرة على عدة أصعدة:
- التعليقات المزعجة: تقوم البرامج الآلية بملء التعليقات ونماذج الاتصال الخاصة بك بالرسائل المزعجة، مما يزعج المستخدمين ويضر بسمعة موقعك وترتيبه في محركات البحث.
- هجمات القوة الغاشمة: يستخدم مجرمو الإنترنت برامج روبوتية لتنفيذ هجمات القوة الغاشمة، محاولين اختراق كلمات مرور المستخدمين. يؤدي نجاح هجوم القوة الغاشمة إلى وصول غير مصرح به، واختراق البيانات، ومشاكل خطيرة أخرى.
- استنزاف الموارد: تستهلك الروبوتات الكثير من الموارد، حيث تستهلك الكثير من النطاق الترددي وموارد الخادم، مما يُبطئ موقعك ويؤثر على تجربة المستخدم وترتيبه في نتائج البحث.
كيف يساعدك CAPTCHA؟
CAPTCHA، وهو اختبار تورينج عام آلي بالكامل للتمييز بين أجهزة الكمبيوتر والبشر، يعمل كنقطة تفتيش افتراضية. يطرح تحديات يسهل على البشر حلها، بينما يصعب على الروبوتات حلها. تكمن الفكرة في تصفية حركة المرور الآلية، بحيث لا يتمكن سوى البشر من التفاعل مع أجزاء معينة من موقعك الإلكتروني.
كيفية إعداد CAPTCHA على WordPress
يُقدّم ووردبريس العديد من الإضافات لدمج نظام التحقق من صحة البيانات (CAPTCHA). إليك شرحٌ مُفصّل لكيفية إعداد نظام التحقق من صحة البيانات (CAPTCHA) على موقع ووردبريس الخاص بك:
- اختر إضافة CAPTCHA. ابحث عن إضافة CAPTCHA مناسبة لاحتياجاتك واخترها. من الخيارات الشائعة: reCAPTCHA من جوجل، وWPBruiser، وMath CAPTCHA.
- ثبّت الإضافة وفعّلها. افتح لوحة تحكم ووردبريس، ثم انتقل إلى الإضافات > إضافة جديد. ابحث عن إضافة CAPTCHA التي اخترتها، ثبّتها، ثم فعّلها.
- قم بتكوين الإضافة. ادخل إلى إعدادات الإضافة واختر تفضيلاتك. على سبيل المثال، حدد مكان ظهور رمز التحقق (CAPTCHA) - في صفحة تسجيل الدخول، أو قسم التعليقات، أو نموذج التسجيل، إلخ.
- اختبر الإعداد. قم بزيارة الصفحات التي قمت بإعداد نظام التحقق منها (CAPTCHA) للتأكد من أنه يعمل كما هو مطلوب.
- راقب وعدّل الإعدادات. راقب بانتظام فعالية إعدادات CAPTCHA. عدّل الإعدادات عند الحاجة لتحقيق التوازن بين الأمان وسهولة الاستخدام.
كيفية تخصيص نظام CAPTCHA ليناسب احتياجات موقعك
يلبي كل موقع ووردبريس احتياجات مختلفة ويتفاعل مع فئات متنوعة من الجمهور. وبالتالي، قد تختلف نتائج تطبيق CAPTCHA وفقًا لنهج واحد يناسب الجميع. إليك كيفية تخصيص CAPTCHA لتلبية احتياجات موقعك المحددة:
- تعرّف على أنواع اختبارات CAPTCHA المختلفة. توجد أنواع متعددة من اختبارات CAPTCHA، ولكل منها نقاط قوتها الخاصة. تشمل خيارات CAPTCHA التقليدية التحديات النصية، التعرف على الصورواختبارات التحقق من صحة البيانات (CAPTCHA) المتعلقة بالمسائل الرياضية. أما الإصدارات الأحدث، مثل reCAPTCHA من جوجل، فتسهل الأمر على المستخدمين من خلال مطالبتهم بتحديد مربع لإثبات أنهم بشر.
- تحديد نقاط ضعف موقعك. حدد أكثر أجزاء موقعك عرضةً للهجمات الآلية. هل هي قسم التعليقات، صفحة تسجيل الدخول، صفحة التسجيل، أم نماذج الاتصال؟ سيساعدك فهم نقاط ضعف موقعك على تحديد أماكن تطبيق اختبارات CAPTCHA.
- قيّم تجربة المستخدم. قيّم تجربة المستخدم باستخدام أنظمة CAPTCHA المختلفة. قد تكون بعض اختبارات CAPTCHA معقدة للغاية، مما يُسبب إحباطًا للزوار الحقيقيين. وقد تكون اختبارات أخرى بسيطة للغاية، مما يُقلل من احتمالية استخدام برامج البوت المعقدة. من الضروري تحقيق توازن بين الأمان وسهولة الاستخدام.
- اختبر إضافات CAPTCHA المختلفة. استفد من الإضافات العديدة المتاحة على ووردبريس. ثبّت الإضافات المختلفة، وقم بإعدادها، وشاهد مدى فعاليتها في حظر البرامج الروبوتية مع الحفاظ على تجربة مستخدم جيدة.
- جمع الملاحظات. اجمع ملاحظات زوارك حول تجربتهم مع نظام CAPTCHA. رؤاهم قيّمة لاتخاذ قرارات مدروسة.
- حلّل الأداء. راقب مؤشرات أداء موقعك قبل وبعد تطبيق نظام التحقق CAPTCHA. تحقّق من كمية الزيارات العشوائية وزيارات البرامج الآلية التي يتلقاها موقعك وقارنها بالمؤشرات قبل تطبيق نظام CAPTCHA. ولا تنسَ مراجعة مؤشرات تحسين محركات البحث (SEO) أيضًا.
CAPTCHA ليس سوى طبقة واحدة من إعدادات الأمان لديك. استكشف المزيد من إضافات الأمان وعمليات التدقيق الأمنية الدورية للحفاظ على موقع ووردبريس الخاص بك آمنًا في عالم الإنترنت.
المصادقة متعددة العوامل
تتمثل ميزة هذه الطريقة في أن عملية تسجيل الدخول أكثر تعقيدًا حيث تتطلب العديد من العناصر إلى جانب كلمة المرور.
يمكن أن يكون ذلك إرجاع رمز PIN، أو الإجابة على سؤال سري، أو الإجابة على اختبار CAPTCHA الذي يتم من خلاله التحقق من عملية تسجيل الدخول إذا تم إجراؤها بواسطة شخص وليس بواسطة روبوت.
استخدم فترات تأخير أطول بين كل محاولة تسجيل دخول وأيضًا بعد ذلك
ولتحقيق هذه الغاية، يتعين عليك استخدام reCAPTCHA لحل عملية حسابية سهلة أو نسخ كلمة، على الرغم من أن تجربة المستخدم سوف تتأثر بذلك.
السماح/رفض الوصول بناءً على عناوين IP أو استخدام عبارات المرور
وهي مشابهة لكلمات المرور، ولكنها تتطلب فقط الأحرف: الأحرف الخاصة، والأرقام، أو غيرها.
تعتبر كلمات المرور التي تحتوي على 16 حرفًا أو أكثر من 16 حرفًا هي الخيار الأفضل، حيث أن عملية الاختراق ستستغرق وقتًا أطول عند حساب جميع الاحتمالات الإضافية الأخرى.
هجوم الأبواب الخلفية
تعتبر الأبواب الخلفية نقاط دخول تتيح للمتسللين الوصول إلى جميع ملفات ومجلدات موقع WordPress الخاص بك.
تعتبر الأبواب الخلفية هي السبب وراء اختراق المواقع بشكل متكرر لأنها مخفية بشكل جيد للغاية حتى بعد تنظيف الموقع، لا تزال المشكلة لا تختفي ويمكن للمتسلل الوصول إلى موقع الويب الخاص بك في أي وقت يريد.
من الصعب للغاية اكتشاف هذه الثغرات الأمنية لأنها قد تكون موجودة في أي مكان ويمكن أن تبدو أيضًا مثل أكواد PHP المعتادة.
ومع ذلك، بشكل عام، يتم العثور عليها في أحد المجلدات الثلاثة التالية: مجلد السمات، ومجلد التحميل، ومجلد المكونات الإضافية.
أنت بحاجة إلى نسخة احتياطية
قم بإنشاء نسخة احتياطية لأنك سوف تقوم بإجراء تغييرات على الواجهة الخلفية لموقعك ويمكنك ارتكاب خطأ عن طريق إزالة الملفات أو المستندات الخاطئة.
وبالتالي، فإن النسخ الاحتياطي يضمن أنك سوف تكون قادرا على تصحيح مثل هذه الأخطاء.
ومع ذلك، إذا عثرت على باب خلفي، ضع في اعتبارك تحديث النسخة الاحتياطية، حيث يمكن أن يكون الهجوم في النسخة الاحتياطية الخاصة بك.
حذف السمات غير النشطة
نظرًا لأن السمات موجودة على جميع مواقع WordPress، فهي طريقة للمتسللين لترك باب خلفي عليها.
عادةً، لا تشكل السمات النشطة هدفًا للمتسللين، ولكن السمات غير النشطة، نعم.
يمكنك أيضًا تعطيل خيار التثبيت في حالة عدم قيامك بتثبيت السمات والمكونات الإضافية بشكل منتظم.
تنظيف قاعدة البيانات الخاصة بك
من المفيد استخدام ماسح البرامج الضارة الذي يقوم بتنظيف قاعدة البيانات الخاصة بك.
تعمل الماسحات الضوئية على التخفيف من حدة البرامج الضارة، وتنبيه مسؤول الموقع، وتصحيح الثغرات الأمنية التي تم العثور عليها.
الحلول الأخرى هي استخدام جدار حماية موقع الويب، وتغيير عنوان URL وكلمات المرور الخاصة بالمسؤول وأذونات المستخدم.
اختر مزود الاستضافة الخاص بك بعناية
تأكد من حصولك على موفر استضافة موثوق وآمن واختر الاستضافة المدارة.
بالإضافة إلى ذلك، ضع في اعتبارك أن تقوم بعمل نسخة احتياطية لموقعك بشكل متكرر لأن هذا سيعمل كطريقة وقائية في حالة تعرضك للاختراق في مرحلة ما.
كتوصية عامة للوقاية، قم بإزالة المكونات الإضافية والموضوعات المقرصنة أو المكونات الإضافية التي لا تتذكر تثبيتها وقم بتسجيل الدخول إلى حساب الاستضافة الخاص بك للتحقق من مجلد التحميلات.
وزعت الحرمان من الخدمة
أثناء هجوم رفض الخدمة الموزع (DDos)، يصبح موقع WordPress الخاص بك "مثقلًا" بعدد هائل من الطلبات، ولا، إنه ليس ارتفاعًا حادًا في حركة مرور الويب.
ما يحدث هو طوفان من الطلبات المزيفة التي تصل إلى موقعك من مصادر متعددة ويمكن أن تتسبب في تعطله.
لا يتطلب هجوم DDoS وصولاً مميزًا، وبالتالي، بمجرد حدوثه، ستكون على دراية به على الفور تقريبًا، مقارنة بأنواع أخرى من الاختراقات التي يمكن أن تظل غير ملحوظة لفترة من الوقت.
من المرجح أن يحدث هذا التهديد الأمني عندما تكون هناك إصدارات قديمة من WordPress.
وهكذا، بعد اختبار توافق موقعك، حان الوقت لتغيير إصدار PHP.
يمكن استخدام طرق احترازية للتغلب على هذا الهجوم، وأحدها على مستوى الشبكة.
يمكن للمفاتيح وأجهزة التوجيه حظر الطلبات غير المشروعة وحظرها.
إن الاستثمار في خدمات التخفيف من هجمات الحرمان من الخدمة الموزعة يعد أيضًا حلاً، خاصةً إذا تضرر عملك بسبب هذا الهجوم.
يعد مكون الأمان ضروريًا
هناك العديد من الإضافات التي يمكنك الاختيار من بينها.
تحد هذه المكونات الإضافية من عدد المرات التي يمكن للمتسللين المحتملين فيها محاولة تسجيل الدخول إلى حساب ما قبل حظر عنوان IP الخاص بهم من موقع الويب الخاص بك.
ومع ذلك، تأكد من أنك ستستخدم فقط المكونات الإضافية الموثوقة والمحدثة.
استخدم جدار حماية تطبيقات الويب (WAF)
وهو يمثل خط الدفاع الأول ضد هذا النوع من الهجمات الأمنية.
سيساعدك التحقق من جميع الطلبات وحركة المرور القادمة إلى موقع الويب الخاص بك على تقليل مخاطر هجمات DDoS على موقعك.
بمجرد وصولك إلى جدار الحماية، يمكنك تحديد موقعك ويمكنك عرض تسجيلات الدخول للمسؤولين، وزوار الروبوتات، بالإضافة إلى طلبات تسجيل الدخول والمرور.
الشبكات الخاصة الافتراضية (VPN)
With the help of a VPN, which is an encrypted server you connect your WordPress site to, you can hide your real IP address, being more difficult to become a target.
شبكة توصيل المحتوى (CDN) – طبقة إضافية من الأمان
تعمل شبكات توزيع السحابة (CDN) على توزيع حركة المرور بين العديد من الخوادم، لذلك لن يتوقف موقعك عن العمل.
توفر هذه الشبكات تدابير أمنية أخرى مثل CAPTCHA وطلبات الاتصال والتشفير.
قم بتحديث إصدار WordPress الخاص بك بشكل منتظم
تحتاج إلى تحديث الإضافات، والقوالب ، وتثبيت ووردبريس، وإصدار نظام التشغيل، وإصدار PHP على الخادم، بالإضافة إلى أي برامج أو نصوص برمجية أخرى تستخدمها.
ثغرة تحميل الملفات
تُعد ثغرة تحميل الملفات واحدة من أكثر أنواع الهجمات شيوعًا.
على الرغم من أن هذا الهجوم خطير، إلا أنه يمكن تجنبه بسهولة بمجرد التعرف عليه.
تتضمن ثغرة تحميل الملفات ثلاثة أنواع رئيسية من المخاطر مثل مهاجمة أجهزة الكمبيوتر الخاصة بالمستخدمين، والسيطرة على الخادم والاستهلاك الكبير لموارده، وفي النهاية، التعطيل.
لتجنب هذا النوع من الهجمات، من المهم تحديث نظامك والتأكد من عدم وجود برنامج مكافحة فيروسات قديم لا يمكنه توفير الحماية.
استخدم قائمة محدودة من الملفات المسموح بها
مع ازدياد شيوع الوسائط التي يتم إنشاؤها ومعالجتها بواسطة الذكاء الاصطناعي على الإنترنت، أصبح العديد من أصحاب المواقع أكثر حذرًا بشأن الصور التي يتم تحميلها على منصاتهم، مما دفع بعض الفرق إلى استخدام أدوات تساعد في التحقق من صحة الصور قبل نشرها.
استخدم قائمة محدودة من الملفات المسموح بها لتجنب تحميل المحتوى الضار، بالإضافة إلى البرامج النصية أو الملفات القابلة للتنفيذ.
لزيادة الأمان، يمكنك أيضًا مطالبة المستخدمين بالمصادقة قبل تحميل الملفات.
مسح البرامج الضارة
يعد فحص البرامج الضارة أيضًا طريقة أخرى لمساعدتك في منع حدوث ثغرة أمنية عند تحميل الملفات.
إن فحص الملفات بشكل متعدد باستخدام محركات مكافحة البرامج الضارة المتعددة هي الطريقة الموصى بها للقيام بذلك.
تتمثل ميزة هذه الطريقة في معدل اكتشاف مرتفع للغاية وأقصر وقت للتعرض لتفشي البرامج الضارة.
ما يمكن فعله أيضًا هو تحديد الحد الأقصى لطول الاسم والحد الأقصى لحجم الملف واستخدام رسائل خطأ بسيطة، بحيث لا تتضمن المزيد من إعدادات تكوين الخادم أو أخطاء تحميل الملفات التي يمكن للمتسللين استخدامها لمصلحتهم.
البرمجة النصية للمواقع المشتركة (XSS)
يعد Cross-Site Scripting (XSS) أحد أخطر التهديدات.
يقوم المتسللون بسرقة المعلومات عن طريق حقن البرامج النصية الضارة، وتغيير المحتوى، وسرقة ملفات تعريف الارتباط، وحقن روابط البريد العشوائي، وتضليل الزوار لحملهم على الكشف عن بياناتهم الشخصية والحساسة طواعية.
عادةً ما يتم استخدام صفحات الويب التي تسمح بالتعليقات أو المنتديات لـ XSS.
تتضمن تأثيرات مثل هذا الهجوم إدراجك في القائمة السوداء من قبل Google أو تعليقك بواسطة مستضيف الويب الخاص بك، مما قد يؤثر على سمعتك.
إحدى الطرق لمنع ذلك هي التحقق من صحة الإدخال، مما يعني التحقق من أي بيانات خارجية قبل إلحاق الضرر المحتمل بقاعدة البيانات وموقع الويب.
بهذه الطريقة، يمكنك تمكين المستخدمين من إرسال طلب مرة أخرى بعد فشل التحقق.
تعقيم البيانات
يعد تطهير البيانات أيضًا أحد أكثر الطرق المعروفة لمنع هذا الهجوم.
هي عملية تتم بعد نشر البيانات على الخادم وقبل عرضها لمستخدم آخر.
يقوم بإزالة أي أجزاء ضارة محتملة من البيانات ويحضرها إلى الشكل الصحيح.
يمكن أن يكون تطهير البيانات والتحقق من صحة البيانات متلازمين في كثير من الأحيان.
وضع قواعد جدار حماية التطبيقات على الويب
يمكن تعيين قواعد WAF (جدار حماية تطبيقات الويب) لمنع الطلبات الغريبة المحتملة إلى الخادم، مثل هجمات البرمجة النصية عبر المواقع، ولكن أيضًا حقن SQL، وهجمات DDoS، والعديد من التهديدات الأخرى.
تتضمن التوصيات العامة الأخرى تثبيت مكون إضافي لمكافحة البرامج النصية المتقاطعة، أو تحديث موقعك بانتظام، أو استخدام شهادة SSL وسياسة أمان المحتوى (CSP).
بعض التوصيات العامة
توفر إضافات WordPress العديد من الفوائد المتنوعة لموقعك، ولكن الجانب السلبي هو أنها قد تتحول إلى نقاط ضعف.
من المهم تحديث موقع WordPress الخاص بك بانتظام ومسحه بحثًا عن البرامج الضارة، بالإضافة إلى البقاء على اطلاع دائم بقوائم أحدث مكونات WordPress الإضافية الخطيرة والضعيفة.
تتضمن المشكلات الأكثر شيوعًا التي تواجهها مكونات WordPress ما يلي:
- تحميل ملف عشوائي
- تصعيد الامتياز
- عرض الملفات بشكل عشوائي
- تنفيذ التعليمات البرمجية عن بعد
- حقن SQL
ولمنع مثل هذه الثغرات الأمنية، من الضروري حذف المكونات الإضافية والمظاهر غير النشطة، وعدم استخدام المكونات الإضافية المقرصنة، وإذا اكتشفت أن أحد المكونات الإضافية به ثغرات أمنية، فقم بإزالته على الفور، مما يعني إلغاء تنشيطه وحذفه.
إن الأمان مهم لأنه يمنع التكاليف الضخمة وقضاء الكثير من الوقت في التنظيف، ولكن ربما يكون الأهم من ذلك هو السمعة، والتي تستغرق وقتًا طويلاً لإصلاحها.
وبالإضافة إلى ذلك، من الممكن أن تكون هناك مشكلات قانونية أيضًا.
ولهذا السبب فإن الاستثمار في أمان موقعك وتثقيف فريقك حول هذا الأمر هما جانبان سيؤتيان ثمارهما في المستقبل.
