تأمين WordPress ليس قائمة إضافات تُثبَّت ثم يُنسى الأمر. هو مجموعة عادات صغيرة تتكرر: تحديث في وقته، صلاحية لا تُمنح بلا داعٍ، ونسخة احتياطية تعرف كيف تستعيدها. معظم الاختراقات لا تبدأ بثغرة خارقة، بل بحساب ضعيف أو إضافة مهجورة أو صلاحية واسعة لم يحتجها أحد.
هذا الدليل مرتب من الأساس إلى ما بعد الحادث. طبّق ما تستطيع الآن، ثم عد إلى الباقي. لا تحتاج إلى كل الخطوات في يوم واحد، لكنك تحتاج إلى البدء قبل أن يحدث ما لا تتوقعه.
التحديثات: أبسط حماية وأكثرها إهمالًا
نواة WordPress والإضافات والقوالب تُحدَّث لأن نسخًا قديمة تحمل ثغرات معلنة. التحديث المتأخر يترك بابًا مفتوحًا يعرفه الباحثون قبلك. خصص وقتًا أسبوعيًا للتحديث، وابدأ ببيئة تجريبية إن كان موقعك حرجًا، واحتفظ بنسخة قبل أي تحديث كبير.
احذف ما لا تستخدمه بدل تحديثه. الإضافة المعطلة تظل ملفات على الخادم، وقد تكون نقطة دخول إن لم تكن محدثة. والقاعدة نفسها تنطبق على القوالب: قالبان أو ثلاثة كافية، والباقي عبء.
رتّب التحديثات: النواة أولًا، ثم الإضافات الأمنية، ثم الباقي. وإن تعطل الموقع بعد تحديث، فعطّل الإضافة المشتبه بها من مدير الملفات وأعد الاختبار بدل حذف كل شيء.
وإن كنت لا تستطيع التحديث فورًا، فاعزل ما يمكن عزله: أوقف الإضافة غير المستخدمة، وامنع الوصول إلى ملفات التثبيت بعد انتهائه، وراجع الحسابات التي لم تدخل منذ مدة. التأجيل الواعي أفضل من التحديث العشوائي في وقت الذروة، لكنه يبقى تأجيلًا لا حلًا.
كلمات المرور القوية و2FA
حساب المدير هو المفتاح الرئيسي. استخدم كلمة مرور طويلة وفريدة لا تُعاد في مواقع أخرى، وخزّنها في مدير كلمات مرور بدل الذاكرة أو الملاحظات. غيّر اسم المستخدم الافتراضي إن كان يسهّل التخمين، ولا تستخدم بريدًا معروفًا للجميع إن أمكن.
أضف 2FA إلى حسابات المدير والمحررين. حتى لو سُرقت كلمة المرور، تبقى الخطوة الثانية حاجزًا. ولا تشارك حساب المدير بين أشخاص؛ لكل شخص حسابه، لأن الحساب المشترك يمنع معرفة من فعل ماذا.
قلل محاولات الدخول الفاشلة إن كانت الأدوات المتاحة تسمح بذلك، وراقب سجل الدخول بعد أي إشعار غريب. رسالة تغيير كلمة المرور التي لم تطلبها علامة تستحق التحقق فورًا.
أقل صلاحية ممكنة
لكل دور في WordPress صلاحيات محددة. الكاتب لا يحتاج إلى تثبيت إضافات، والمحرر لا يحتاج إلى تغيير القوالب. امنح الدور الأدنى الذي يسمح بإنجاز العمل، وراجع قائمة المستخدمين دوريًا واحذف الحسابات غير المستخدمة.
- مدير واحد أو اثنان فقط، لا أكثر.
- حساب منفصل لكل كاتب أو متعاون.
- إلغاء الوصول فور انتهاء التعاون.
- مراجعة الأدوار بعد أي إضافة تفرض صلاحيات جديدة.
الصلاحية الواسعة لا تُسرّع العمل، بل توسّع ما يمكن أن يخسره الموقع إن أُخطئ استخدامها. اكتب قائمة بمن يحتاج ماذا، وطبّقها بلا استثناءات عاطفية.
راجع أيضًا صلاحيات أي إضافة جديدة قبل تفعيلها، فبعضها يطلب وصولًا أوسع مما تحتاج وظيفتها. وإن كان لديك متعاون مؤقت، فأنشئ له حسابًا بتاريخ واضح وأوقفه بعد انتهاء المهمة بدل مشاركة حسابك.
نظافة الإضافات والقوالب
كل إضافة تضيف كودًا يعمل على موقعك، وكل كود إضافي احتمال خطأ. ثبّت من مصادر موثوقة، واقرأ آخر تحديث وحجم الاستخدام قبل التثبيت، واحذف الإضافات غير المستخدمة. القالب المهجور مشكلة مماثلة: قد يعمل اليوم ويتوقف عن التوافق بعد تحديث.
احذر الحزم التي تدّعي أنها تحتوي كل شيء. الموقع الممتلئ بإضافات متشابكة أصعب في الصيانة وأوسع في سطح الهجوم. اسأل عن كل إضافة: ما وظيفتها؟ هل يمكن تحقيقها بجهد أقل؟ ومتى كانت آخر تحديثاتها؟
أذونات الملفات وWAF
أذونات الملفات تحدد من يقرأ ويكتب. القاعدة العامة: المجلدات بصلاحية 755 والملفات 644، وملف الإعدادات أضيق إن كان ذلك مدعومًا. الصلاحية 777 تفتح الباب للكتابة من أي مكان، وهي خطأ شائع عند محاولة حل مشكلة رفع الملفات.
WAF طبقة تصفية قبل وصول الطلب إلى موقعك، تمنع أنماطًا معروفة من المحاولات الخبيثة. لا تغني عن التحديث وكلمات المرور، لكنها تقلل الضجيج. إن كانت متاحة في خطتك ففعّلها وراقب ما تمنعه حتى لا يحجب نماذج مشروعة، وراجع قواعدها بعد أي تغيير في الموقع.
النسخ الاحتياطي والاستجابة للحادث
النسخة الاحتياطية التي لا تُجرَّب ليست نسخة. خذ نسخة من الملفات وقاعدة البيانات قبل التحديثات الكبيرة، واحفظها خارج الاستضافة، وجرّب استعادة واحدة على الأقل لتعرف الخطوات قبل أن تحتاجها. ولا تفترض أن أحدًا سيستعيد موقعك نيابة عنك.
إن ظهرت علامات اختراق، اتبع ترتيبًا واضحًا:
- ضع الموقع في وضع الصيانة أو أوقفه مؤقتًا لمنع انتشار التعديل.
- غيّر كلمات مرور المديرين وقاعدة البيانات وأعد ضبط 2FA.
- افحص الملفات الغريبة والمستخدمين الجدد والمهام المجدولة.
- أعد تثبيت نواة WordPress والإضافات من مصادرها الرسمية.
- استعد من نسخة نظيفة سابقة إن لم تجد مصدر التعديل.
- راقب السجلات بعد العودة، ولا تعلن الانتهاء قبل أيام من الهدوء.
الوقاية تبدأ من الإعداد الصحيح. إن كنت تنشئ موقعك الآن، اتبع دليل إعداد WordPress في 30 دقيقة، وفعّل SSL من البداية عبر دليل الشهادة المجانية. ولأن الحماية تحتاج بيئة مستقرة، تعرّف على خطة الاستضافة قبل أن تبدأ.
ابدأ اليوم بخطوة واحدة: حدّث النسخة، واحذف إضافة لا تستخدمها، وفعّل 2FA. ثم سجّل موقعك من صفحة التسجيل وابنِ عادة مراجعة أسبوعية.
اقرأ أيضاً: تجهيز WordPress بعد التثبيت · إصلاح خطأ 500
أنشئ حسابك المجاني — مساحة 5 جيجابايت وشهادة SSL مجاناً وبدون بطاقة.