قائمة الحماية الأساسية لأي موقع: 12 خطوة قبل أن تحتاجها

لا يوجد موقع آمن بنسبة 100%، لكن الفرق كبير بين موقع يسهل اختراقه في دقائق وموقع يتطلب جهدًا لا يستحقه المخترق. أغلب الهجمات آلية وتبحث عن الأهداف السهلة، لذلك تطبيق الأساسيات وحده يخرجك من دائرة الخطر الأكبر. هذه قائمة يمكنك مراجعتها مع مبرمجك أو شركة الاستضافة.

الحسابات وكلمات المرور

1. كلمات مرور قوية وفريدة

كلمة مرور مختلفة لكل حساب: لوحة التحكم، والاستضافة، والبريد، وقاعدة البيانات. استخدم مدير كلمات مرور بدل تذكرها أو كتابتها في ملف.

2. التحقق بخطوتين

فعّله على لوحة التحكم والاستضافة والبريد ومسجّل النطاق. حتى لو سُرقت كلمة المرور، لن يكفي ذلك للدخول.

3. صلاحيات بقدر الحاجة

كاتب المحتوى لا يحتاج صلاحية مدير. واحذف حسابات الموظفين السابقين والمطورين الذين انتهى عملهم فورًا.

التحديثات والمكونات

4. حدّث كل شيء بانتظام

نظام إدارة المحتوى، والقوالب، والإضافات، ولغة البرمجة على الخادم. أغلب الاختراقات تستغل ثغرات معروفة لها تحديثات منذ شهور.

5. احذف ما لا تستخدمه

كل إضافة أو قالب غير مستخدم هو باب إضافي محتمل، حتى لو كان معطلًا.

6. لا للإضافات المقرصنة

النسخ «المجانية» من إضافات مدفوعة كثيرًا ما تحمل كودًا خبيثًا مدمجًا. ما توفره اليوم ستدفعه مضاعفًا لاحقًا.

الاتصال والخادم

7. شهادة SSL وتحويل كل الزيارات إلى HTTPS

القفل في المتصفح ليس للشكل فقط؛ هو يحمي بيانات النماذج وكلمات المرور أثناء انتقالها. وجوجل يفضّل المواقع الآمنة في الترتيب.

8. رؤوس الأمان (Security Headers)

إعدادات بسيطة على الخادم تمنع تضمين موقعك في مواقع أخرى، وتقلل خطر حقن السكربتات. يمكنك فحصها مجانًا عبر securityheaders.com.

9. إخفاء الملفات الحساسة

ملفات الإعدادات وكلمات مرور قاعدة البيانات ونسخ الاحتياطي يجب ألا تكون قابلة للتحميل من المتصفح أبدًا.

الحماية من الأخطاء البرمجية

10. حماية النماذج

كل نموذج (تواصل، تسجيل، بحث) يجب أن يتحقق من المدخلات على الخادم، ويحد من عدد المحاولات، ويحمي من الرسائل الآلية المزعجة.

11. حماية تسجيل الدخول

تحديد عدد المحاولات الفاشلة، وإيقاف مؤقت بعد تكرارها، ورسائل خطأ لا تكشف هل البريد مسجل أم لا.

الاستعداد للأسوأ

12. نسخ احتياطي يومي خارج الخادم

نسخة يومية للملفات وقاعدة البيانات، محفوظة في مكان منفصل عن الخادم، مع الاحتفاظ بعدة أيام سابقة. والأهم: جرّب الاستعادة مرة على الأقل. نسخة احتياطية لم تُجرب قد لا تعمل وقت الحاجة.

إذا كان لديك متجر إلكتروني

المتاجر هدف مفضل لأنها تتعامل مع المال. إضافة إلى ما سبق:

• لا تحفظ بيانات البطاقات على خادمك أبدًا؛ اترك ذلك لبوابة الدفع المعتمدة.
• تأكد أن تأكيد الدفع يأتي من بوابة الدفع مباشرة إلى الخادم، لا من متصفح العميل، حتى لا يمكن تزوير طلب «مدفوع».
• راقب الطلبات غير المعتادة: كميات كبيرة، أو عناوين شحن متكررة بأسماء مختلفة.
• راجع من يملك صلاحية تعديل الأسعار وبيانات الحساب البنكي.

كم مرة تراجع هذه القائمة؟

• أسبوعيًا: التحديثات، والتأكد من نجاح النسخ الاحتياطي.
• شهريًا: مراجعة المستخدمين والصلاحيات، وفحص البحث site: في جوجل.
• سنويًا أو بعد أي تغيير كبير: فحص أمني شامل من متخصص.

ماذا لو كان موقعك مبنيًا على كود مخصص؟

المواقع المبنية بإطار عمل مثل لارافيل أو Next.js لا تعاني من مشاكل الإضافات نفسها، لكن لها مخاطرها: ثغرات في منطق الصلاحيات، أو واجهات برمجية تكشف بيانات أكثر من اللازم، أو مكتبات قديمة. هنا تحتاج مراجعة للكود نفسه، لا مجرد فحص آلي.

الخلاصة

الأمان ليس منتجًا تشتريه مرة واحدة، بل عادة. طبّق هذه الخطوات الاثنتي عشرة، وراجعها بانتظام، وستكون في وضع أفضل من أغلب المواقع. إذا أردت فحصًا شاملًا وتقريرًا واضحًا بالأولويات، اطلع على خدمة الأمن السيبراني، واقرأ أيضًا علامات اختراق الموقع.