حماية موقع ووردبريس: 15 خطوة عملية لتأمينه من الاختراق

تتلخص حماية موقع ووردبريس في عادات بسيطة: حدّث ووردبريس والإضافات والقوالب باستمرار، واستخدم كلمات مرور قوية وفريدة مع المصادقة الثنائية، وحدّد عدد محاولات تسجيل الدخول، واحتفظ بنسخ احتياطية مجرَّبة خارج الخادم، واحذف كل ما لا تستخدمه. لا شيء من هذا معقد. معظم الاختراقات تحدث بسبب إضافات قديمة أو مهجورة أو كلمات مرور ضعيفة، لا بسبب هجمات ذكية.

كيف تستخدم قائمة حماية موقع ووردبريس هذه؟

مرّ على الخطوات بالترتيب. الخطوات الخمس الأولى تعطيك أكبر حماية بأقل جهد، فنفّذها اليوم. والباقي يقوّي الموقع أكثر ويستحق جدولته خلال الأسابيع القادمة. تعامل معها كروتين يتكرر لا كمهمة لمرة واحدة.

1. حدّث نواة ووردبريس والإضافات والقوالب

الإضافات القديمة من أكثر أسباب اختراق المواقع شيوعاً، لأن الثغرات المعروفة تصبح علنية بمجرد صدور الإصلاح.

• حدّث نواة ووردبريس وكل إضافة وكل قالب بانتظام.
• فعّل التحديث التلقائي للإضافات الموثوقة التي نادراً ما تسبب مشاكل، من شاشة الإضافات في لوحة التحكم.
• في المواقع الكبيرة والمتاجر، جرّب التحديثات على نسخة تجريبية (Staging) أولاً ثم طبّقها على الموقع الحي.
• احذف الإضافات التي توقف مطوروها عن صيانتها واستبدلها.

التحديث ليس للأمان فقط، بل يحافظ على توافق موقعك مع إصدارات PHP الأحدث التي ستفرضها استضافتك يوماً ما.

2. استخدم كلمات مرور قوية وفريدة

كلمات المرور القصيرة أو المكررة سهلة الاختراق أو موجودة في قواعد بيانات مسرّبة.

• استخدم كلمات مرور طويلة وعشوائية من مدير كلمات المرور، ولا تكررها بين الخدمات.
• ينطبق هذا على حسابات مستخدمي ووردبريس ولوحة تحكم الاستضافة وقاعدة البيانات وSFTP/FTP والبريد.
• لا تُبقِ مستخدماً باسم admin. استخدم اسماً آخر للمديرين.
• أعطِ كل شخص حسابه الخاص بدل مشاركة حساب واحد.

3. فعّل المصادقة الثنائية (2FA)

المصادقة الثنائية تعني أن كلمة المرور المسروقة وحدها لا تكفي لتسجيل الدخول. نواة ووردبريس لا تتضمنها افتراضياً، فاستخدم إضافة أمان أو مصادقة ثنائية معروفة تدعم تطبيقات المصادقة.

فعّلها على الأقل للمديرين والمحررين، ولمديري المتجر في مواقع ووكومرس (WooCommerce). واحفظ رموز الاسترداد في مكان آمن.

4. حدّد عدد محاولات تسجيل الدخول

تجرّب البوتات آلاف كلمات المرور على صفحة wp-login.php. تحديد المحاولات الفاشلة يبطئها بشكل كبير.

• استخدم إضافة أو خدمة جدار ناري تحظر عنوان IP بعد محاولات فاشلة متكررة.
• يمكن إخفاء رابط الدخول أو حمايته كطبقة إضافية فقط، لا كدفاع رئيسي.
• إذا كنت لا تستخدم XML-RPC فاطلب من المطوّر تقييده، فهو نقطة أخرى يفحصها المهاجمون.

5. خذ نسخاً احتياطية بقاعدة 3-2-1

النسخ الاحتياطية شبكة أمانك عندما يحدث خطأ، من اختراق إلى تحديث سيئ.

فكرة 3-2-1 بسيطة:

• 3 نسخ من بياناتك (الموقع الحي ونسختان احتياطيتان)،
• على 2 نوعين مختلفين من التخزين أو المواقع،
• مع 1 نسخة خارج الموقع بعيداً عن خادم الاستضافة.

نصائح عملية:

• انسخ الملفات وقاعدة البيانات بجدول يناسب سرعة تغيّر محتواك. متجر يستقبل طلبات يومية يحتاج إلى نسخ احتياطي لقاعدة البيانات بوتيرة أعلى من موقع تعريفي.
• خزّن نسخة واحدة على الأقل بعيداً عن الاستضافة، مثل تخزين سحابي منفصل.
• جرّب الاستعادة مرة واحدة على الأقل. النسخة غير المجرّبة أمنية لا خطة.
• احتفظ بعدة نسخ قديمة، لأن الإصابة قد تمر دون ملاحظة لأيام.

6. احذف الإضافات والقوالب والمستخدمين غير المستخدمين

الإضافة المعطّلة تبقى على الخادم، وقد يمكن الوصول مباشرة إلى ملف فيها يحتوي على ثغرة حتى لو كانت غير مفعّلة.

• احذف (لا تعطّل فقط) الإضافات والقوالب غير المستخدمة.
• يمكنك الإبقاء على قالب افتراضي واحد كاحتياط، واحذف الباقي.
• راجع شاشة المستخدمين واحذف الحسابات القديمة ومستخدمي الموظفين السابقين وحسابات التجربة.
• ثبّت الإضافات والقوالب من مستودع ووردبريس الرسمي أو من جهات موثوقة فقط. تجنّب النسخ المقرصنة (Nulled) من الإضافات المدفوعة، فهي طريقة كلاسيكية لإدخال البرمجيات الخبيثة.

وتقليل الإضافات يحسّن الأداء كذلك، وهي نقطة يتناولها أيضاً دليل تسريع ووردبريس.

7. اضبط صلاحيات الملفات بشكل صحيح

صلاحيات الملفات تحدد من يقرأ ويكتب وينفذ الملفات على الخادم. الصلاحيات المفرطة تسمح للمهاجم بتعديل كودك.

القيم الموصى بها عادةً:

• المجلدات: 755
• الملفات: 644
• ملف wp-config.php: أشد من باقي الملفات، مثل 600 أو 640 بحسب إعداد استضافتك

لا تستخدم 777 أبداً على أي شيء. وإذا طلبت منك إضافة ذلك فاعتبره علامة تحذير. ويمكن لدعم الاستضافة تأكيد نموذج الملكية والصلاحيات المناسب لبيئتها. وتجد التفاصيل في دليل تقوية أمان ووردبريس.

8. عطّل محرر الملفات داخل لوحة التحكم

افتراضياً يستطيع المدير تعديل كود القالب والإضافات من داخل لوحة التحكم. وإذا دخل مهاجم إلى حساب مدير فإن هذا المحرر يتيح له حقن كود خبيث في ثوانٍ. عطّله بإضافة هذا السطر إلى wp-config.php:

define( 'DISALLOW_FILE_EDIT', true );

هذا يعطّل المحرر المدمج فقط. ما زال بإمكانك تحديث الإضافات والقوالب بشكل طبيعي وتعديل الملفات عبر SFTP أو نظام التحكم في الإصدارات. (هناك إعداد أشد هو DISALLOW_FILE_MODS يمنع أيضاً التحديثات والتثبيت من لوحة التحكم، فلا تستخدمه إلا إذا كنت تدير التحديثات بطريقة أخرى.)

خذ نسخة احتياطية دائماً قبل تعديل wp-config.php لأن خطأً مطبعياً قد يوقف الموقع.

9. استخدم SSL/HTTPS في كل مكان

يشفّر HTTPS الاتصال بين زوارك وموقعك، فيحمي بيانات الدخول والدفع ونماذج الاتصال. كما تحذّر المتصفحات الزوار من المواقع التي لا تستخدمه.

• ثبّت شهادة SSL (توفر كثير من الاستضافات شهادات مجانية) وحوّل كل زيارات HTTP إلى HTTPS.
• تأكد أن عنوان ووردبريس وعنوان الموقع في الإعدادات يبدآن بـ https://.
• يمكنك اختيارياً فرض تشفير دخول لوحة التحكم بالسطر define( 'FORCE_SSL_ADMIN', true ); في wp-config.php، بعد التأكد أن HTTPS يعمل.
• أصلح تحذيرات المحتوى المختلط (Mixed Content) ليُحمَّل كل ملف وصورة عبر HTTPS.

10. أضف جداراً نارياً (WAF)

جدار تطبيقات الويب (WAF) يصفّي الزيارات الخبيثة قبل وصولها إلى ووردبريس. لديك خياران عامان:

• جدار ناري على شكل إضافة (Wordfence مثال معروف) يعمل داخل ووردبريس.
• جدار ناري سحابي أو على مستوى DNS (خدمات مثل Cloudflare أو Sucuri) يصفّي الزيارات قبل وصولها إلى خادمك.

اختر واحداً واضبطه جيداً وأبقِه محدّثاً. الجدار الناري طبقة إضافية قوية لكنه لا يجعل موقعاً قديماً آمناً.

11. استخدم مفاتيح أمان فريدة وإعداد قاعدة بيانات آمناً

• تأكد أن مفاتيح المصادقة والأملاح (Salts) في wp-config.php فريدة وعشوائية. يوفر ووردبريس مولّداً لها عبر واجهته البرمجية الرسمية (API)، وتغييرها يسجّل خروج الجميع، وهو مفيد بعد أي حادثة.
• استخدم كلمة مرور قوية لقاعدة البيانات ومستخدماً لقاعدة البيانات لا يملك إلا الصلاحيات التي يحتاجها الموقع.
• لا تضع wp-config.php في أي مستودع عام.

12. طبّق مبدأ أقل الصلاحيات

لا يحتاج الجميع إلى دور مدير. أعطِ كتّاب المحتوى دور «كاتب» (Author) أو «محرر» (Editor)، وموظفي المتجر دور «مدير المتجر» (Shop Manager)، واحتفظ بدور «مدير» (Administrator) لعدد قليل جداً ممن يديرون الموقع. الحساب المخترق منخفض الصلاحية يسبب ضرراً أقل بكثير.

13. راقب وافحص باستمرار

• استخدم إضافة أمان معروفة لفحص الملفات المعدّلة والبرمجيات الخبيثة المعروفة.
• فعّل تنبيهات البريد عند إضافة مدير جديد أو تكرار فشل الدخول إن أمكن.
• راجع Google Search Console بحثاً عن تحذيرات أمنية. تظهر الاختراقات غالباً كصفحات سبام أو عمليات إعادة توجيه غريبة، وهذا يضر ترتيبك أيضاً. وتوضح قائمة تحقق السيو لووردبريس ما يُراقَب هناك أيضاً.

14. اختر استضافة جيدة

الاستضافة الجيدة توفر عزلاً بين الحسابات وإصدارات PHP حديثة وجدراناً نارية على مستوى الخادم ونسخاً احتياطية موثوقة. الاستضافة المشتركة الرخيصة جداً ببرمجيات قديمة قد تُبطل مفعول الخطوات الأخرى. اسأل مزوّدك عن ميزاته الأمنية وسياسة التحديث.

15. اعرف ماذا تفعل إذا اختُرق موقعك

ضع الخطة قبل أن تحتاجها. إذا اشتبهت باختراق (صفحات سبام أو عمليات إعادة توجيه أو مديرون جدد مجهولون أو إشعار إيقاف من الاستضافة أو تحذير من المتصفح) فاتبع هذا الترتيب:

1. حافظ على هدوئك واحتوِ الأمر. ضع الموقع في وضع الصيانة أو اطلب من استضافتك إيقاف الوصول العام إذا كان ينشر برمجيات خبيثة.
2. تواصل مع شركة الاستضافة. غالباً ما يساعد فريقها في تحديد الإصابة، وقد تتوفر لديه سجلات الخادم ونسخ احتياطية.
3. احفظ نسخة من الموقع المصاب للفحص قبل تغيير أي شيء، إن أمكن.
4. غيّر كل كلمات المرور: كلمات مرور مستخدمي ووردبريس ولوحة الاستضافة وقاعدة البيانات وSFTP/FTP والبريد. وأعد توليد مفاتيح الأمان في wp-config.php.
5. استعد نسخة نظيفة تسبق الإصابة، أو نظّف الموقع بدقة. أعد تثبيت نواة ووردبريس والإضافات والقوالب من مصادرها الرسمية ولا تثق بالملفات الموجودة.
6. احذف المديرين المجهولين والملفات والمهام المجدولة غير المألوفة.
7. اعثر على السبب وأصلحه، وهو غالباً إضافة قديمة أو مهجورة أو كلمة مرور ضعيفة. من دون هذه الخطوة يُرجَّح أن تتكرر الإصابة.
8. راجع Google Search Console بحثاً عن مشاكل أمنية. وإذا وضعت جوجل تحذيراً على موقعك فاطلب مراجعته بعد التنظيف. وفي وثائق Google Search Central إرشادات عن المواقع المخترقة.

وإن لم تكن واثقاً من تنظيف موقع مخترق فاطلب مساعدة متخصص بدل التخمين. الموقع الذي نُظّف تنظيفاً ناقصاً يُخفي غالباً باباً خلفياً (Backdoor).

ملخص قائمة حماية موقع ووردبريس

• تحديثات مطبّقة للنواة والإضافات والقوالب، وحذف غير المستخدم منها.
• كلمات مرور قوية وفريدة، بلا مستخدم admin، ومصادقة ثنائية للمستخدمين أصحاب الصلاحيات.
• تحديد عدد محاولات الدخول ووجود جدار ناري.
• نسخ احتياطية 3-2-1 تعمل، إحداها خارج الموقع، مع استعادة مجرّبة.
• صلاحيات ملفات صحيحة وضبط DISALLOW_FILE_EDIT.
• HTTPS في كل مكان ومفاتيح أمان فريدة وأقل الصلاحيات.
• مراقبة مفعّلة وخطة طوارئ مكتوبة.

الأسئلة الشائعة

كيف أحمي موقع ووردبريس مجاناً؟

معظم القائمة بلا تكلفة: حدّث كل شيء، واستخدم كلمات مرور قوية، وفعّل المصادقة الثنائية، واحذف الإضافات غير المستخدمة، وأضف DISALLOW_FILE_EDIT، واستخدم HTTPS، واحتفظ بنسخ احتياطية. والنسخ المجانية من إضافات الأمان المعروفة تغطي تحديد محاولات الدخول والفحص الأساسي.

هل أحتاج إلى إضافة أمان؟

ليست إلزامية، لكنها تساعد في الفحص وحماية الدخول والتنبيهات. اختر إضافة واحدة معروفة واضبطها، بدل تكديس عدة إضافات متداخلة تبطئ الموقع.

كل كم أخذ نسخة احتياطية لموقع ووردبريس؟

اجعل التكرار يناسب سرعة تغيّر الموقع. مدونة تُحدَّث أسبوعياً قد تكفيها نسخة أسبوعية للملفات، أما متجر يستقبل الطلبات فيحتاج نسخة يومية لقاعدة البيانات أو أكثر. احتفظ دائماً بنسخة خارج الموقع وجرّب الاستعادة.

هل يمكن استرجاع موقع ووردبريس بعد اختراقه؟

نعم في أغلب الحالات، خصوصاً مع وجود نسخة نظيفة. المهم إزالة السبب وليس الأعراض فقط: حدّث كل شيء، وغيّر كل بيانات الدخول، وافحص الأبواب الخلفية الخفية قبل إعادة الموقع للعمل.

هل ووردبريس نفسه غير آمن؟

نواة ووردبريس تُصان بنشاط وتصدر إصلاحاتها بسرعة. معظم الاختراقات تأتي من الإضافات والقوالب القديمة وكلمات المرور الضعيفة والاستضافة السيئة. موقع ووردبريس مصان جيداً يمكن أن يكون آمناً جداً.

الخلاصة

حماية موقع ووردبريس تقوم أساساً على الانتظام: تحديثات وبيانات دخول قوية ومصادقة ثنائية ونسخ احتياطية مجرّبة وإضافات قليلة. إذا أتقنتها فقد تفاديت أشيع طرق اختراق المواقع. وإذا أردت من يراجع موقعك أو يقوّيه أو يعيد بناءه بإضافات أقل، فتعرّف على طريقة عملي في صفحة المؤلف. والبناء الخفيف مهم كذلك، فاقرأ إلمنتور أم قالب ووردبريس مخصص لتعرف أثره على سطح الهجوم، ثم تواصل معي لمراجعة أمان موقعك.