الغالبية العظمى من عمليات اختراق WordPress لا تستهدف موقعًا بعينه: فهناك برامج آلية تفحص باستمرار ملايين المواقع بحثًا عن إضافة بها ثغرة أو كلمة مرور ضعيفة. لذلك فإن تأمين موقع WordPress يعني قبل كل شيء ألا يكون موقعك هدفًا سهلًا. إليك قائمة التحقق في 12 نقطة التي أعتمدها في عمليات التدقيق، من الأبسط إلى الأكثر تقنية.
الأساسيات: الإصدارات والإضافات
1. تحديث النواة والقوالب والإضافات
معظم الثغرات المستغَلّة سبق أن صحّحها الناشر: إن غياب التحديث هو الذي يفتح الباب. وفي موقع للتجارة الإلكترونية، اختبر التحديثات على نسخة من الموقع قبل تطبيقها على الموقع الفعلي.
2. حذف ما لا تستعمله
الإضافة المعطَّلة تبقى موجودة على الخادم ويمكن استغلالها. احذفها، واحذف معها القوالب غير المستعملة (احتفظ بقالب افتراضي واحد كحلّ احتياطي).
3. التثبيت من المصادر الرسمية فقط
مستودع WordPress.org أو موقع الناشر، ولا شيء غير ذلك. فالنسخ المقرصنة («nulled») من الإضافات المدفوعة، التي توزَّع مجانًا، تحتوي في أحيان كثيرة على باب خلفي.
4. اختيار إضافات تتم صيانتها
قبل تثبيت أي إضافة، تحقّق من تاريخ آخر تحديث لها، وعدد عمليات التثبيت النشطة، ومدى تجاوب الدعم. فالإضافة المهجورة لن تتلقى أي تصحيح يوم اكتشاف ثغرة فيها.
الوصول: الحسابات وتسجيل الدخول
5. كلمات مرور طويلة وفريدة
يجب أن تكون لكل حساب مدير كلمة مرور طويلة وفريدة ومحفوظة في مدير كلمات المرور. تجنّب اسم المستخدم «admin» والحسابات المشتركة: لكل شخص حسابه، حتى تعرف من قام بماذا.
6. المصادقة الثنائية
فعّل المصادقة الثنائية (رمز يولّده تطبيق) على الأقل للمديرين والمحرّرين. فهي الإجراء الذي يُبطل مفعول كلمة المرور المسروقة بأفضل شكل.
7. الحد الأدنى من الصلاحيات وتقييد محاولات الدخول
امنح كل مستخدم الدور الذي يحتاجه فعلًا لا أكثر: فالكاتب لا يحتاج إلى صلاحيات المدير. قيّد عدد محاولات تسجيل الدخول، وإذا كنت لا تستعمل تطبيق الهاتف ولا أي أداة للنشر عن بُعد، فعطّل XML-RPC الذي كثيرًا ما تستهدفه هجمات القوة الغاشمة.
الخادم والملفات
8. HTTPS على كامل الموقع
شهادة TLS، المجانية لدى معظم شركات الاستضافة بفضل Let’s Encrypt، تشفّر البيانات المتبادلة، وفي مقدمتها بيانات تسجيل الدخول. وافرض إعادة التوجيه من HTTP إلى HTTPS على كل الصفحات.
9. تعطيل محرّر الملفات
أضف define( 'DISALLOW_FILE_EDIT', true ); إلى ملف wp-config.php. وبذلك لن يتمكّن المهاجم الذي قد يحصل على صلاحيات المدير من تعديل شيفرة القوالب والإضافات من لوحة التحكم.
10. حماية wp-config.php ومجلد uploads
طبّق صلاحيات صارمة على الملفات (عادةً 644 للملفات و755 للمجلدات، وأكثر تشددًا لملف wp-config.php)، وامنع تنفيذ PHP داخل wp-content/uploads/، وعطّل عرض محتوى المجلدات. تُضبط هذه الإعدادات على مستوى الخادم وتختلف حسب الاستضافة.
11. إصدار PHP مدعوم
إصدار PHP الذي لم يعد يتلقى تصحيحات أمنية يعرّض الخادم كله للخطر. تحقّق من الإصدار المستعمل في أدوات > صحة الموقع، وانتقل إلى إصدار مدعوم بشكل فعلي بعد اختبار توافق موقعك.
شبكة الأمان
12. نسخ احتياطية خارجية ومراقبة
نسخ احتياطية تلقائية، مخزّنة في مكان آخر غير الاستضافة، محفوظة لعدة أيام ومُختبَرة: فالنسخة التي لم تُسترجع أبدًا ليست سوى فرضية. وأضف مراقبة لتوفّر الموقع، وتنبيهات الأمان في Google Search Console، وإن أمكن جدار حماية للتطبيقات (WAF) توفّره الاستضافة أو خدمة متخصصة.
هل تحتاج إلى إضافة لتأمين WordPress؟
يمكن لإضافة أمان أن تسهّل عدة نقاط من هذه القائمة (تقييد تسجيل الدخول، المصادقة الثنائية، فحص الملفات)، لكنها لا تغني عن التحديثات ولا عن الإعدادات الجيدة على مستوى الخادم. وتجنّب تثبيت عدة إضافات أمان معًا: فهي تتعارض فيما بينها وتبطّئ الموقع. تكفي إضافة واحدة مضبوطة جيدًا.
هل تريد معرفة وضع موقعك بالنسبة لهذه النقاط الاثنتي عشرة؟ التدقيق السريع (290 € خارج الرسوم، 30 000 دج في الجزائر) يتحقق من الأمان والإصدارات والأداء ويقدّم لك 10 إجراءات ذات أولوية. ولتطبيق التحديثات دون مخاطر، فإن خدمة تحديث WordPress الآمن بسعر 190 € خارج الرسوم (20 000 دج).