تأمين ووردبريس: الإجراءات التي تمنع أغلب الاختراقات

ووردبريس يشغّل جزءًا كبيرًا من الويب، وهذا وحده يجعله هدفًا. لكن أغلب ما يُسمّى «اختراق ووردبريس» ليس ثغرة في النواة، بل باب تُرك مفتوحًا: إضافة لم تُحدَّث منذ سنتين، أو كلمة مرور مستخدمة في موقع آخر تسرّبت بياناته، أو حساب محرّر يملك صلاحيات مدير دون حاجة.

ما يلي مرتّب بحسب الأثر الفعلي، لا بحسب ما يسهل بيعه كخدمة.

١. التحديثات: أرخص إجراء وأعلاه أثرًا

معظم الاختراقات تستغل ثغرات معروفة ومُصلَحة بالفعل. أي أن الإصلاح كان متاحًا والموقع لم يأخذه. القاعدة العملية:

• فعّل التحديثات التلقائية للإصدارات الأمنية الصغيرة في النواة.
• راجع الإضافات والقوالب أسبوعيًا، لا سنويًا.
• احذف — لا تعطّل فقط — كل إضافة أو قالب لا تستخدمه. الملف المعطّل يبقى على الخادم وقد يظلّ قابلًا للاستغلال.
• افحص تاريخ آخر تحديث لكل إضافة. إضافة مهجورة منذ أكثر من عام تحتاج بديلًا، مهما كانت مريحة.

وحتى لا يكسر تحديث موقعك في وقت سيّئ: اختبر على نسخة تجريبية إن كان الموقع تجاريًا، وخذ نسخة احتياطية قبل أي تحديث كبير.

٢. الدخول: كلمات المرور والمصادقة الثنائية

محاولات تخمين الدخول تصل إلى أي موقع ووردبريس منشور، آليًا وباستمرار. ليس استهدافًا شخصيًا، بل مسحًا واسعًا. ما يوقفها عمليًا:

• المصادقة الثنائية لكل حساب بصلاحية نشر. هذا الإجراء وحده يُبطل أثر كلمة مرور مسروقة.
• كلمات مرور فريدة لكل خدمة، من مدير كلمات مرور. إعادة استخدام كلمة المرور هو السبب الأول للاختراقات «الغامضة».
• تحديد محاولات الدخول لمنع التخمين المتكرّر.
• تغيير اسم المستخدم الافتراضي: حساب باسم admin يختصر نصف عمل المهاجم.

٣. الصلاحيات: أقل ما يكفي

راجع قائمة المستخدمين اليوم. ستجد غالبًا: مطوّرًا انتهى عقده قبل سنة، وحساب وكالة تسويق لم يعد يعمل معك، وموظفًا غادر. كل حساب نشط هو سطح هجوم إضافي.

أعطِ كل شخص أدنى دور يكفي عمله: كاتب المحتوى لا يحتاج صلاحية مدير، ولا يحتاج تثبيت الإضافات. وعند مغادرة أي شخص، احذف الحساب أو عطّله في اليوم نفسه — لا «لاحقًا».

٤. الملفات والخادم

• عطّل تحرير الملفات من لوحة التحكم عبر DISALLOW_FILE_EDIT. من يدخل بحساب مدير مسروق يستخدم هذا المحرّر لزرع شيفرة خبيثة فورًا.
• اضبط أذونات الملفات بشكل صحيح، ولا تترك أي مجلد بصلاحية كتابة عامة.
• امنع تنفيذ PHP داخل مجلد الرفع. الصور ترفع هناك، والشيفرة لا ينبغي أن تُنفَّذ منه.
• احمِ ملف wp-config.php، واستخدم مفاتيح أمان فريدة.

٥. النسخ الاحتياطي: اختبر الاستعادة

النسخة الاحتياطية ليست إجراءً وقائيًا بل خطة تعافٍ، وهي آخر خط دفاع حين تفشل كل الخطوط السابقة. ثلاثة شروط تجعلها حقيقية:

1. خارج الخادم: نسخة على الخادم نفسه تُشفَّر أو تُحذف مع الموقع.
2. تشمل قاعدة البيانات والملفات معًا، لا أحدهما.
3. مُختبَرة: جرّب استعادة كاملة على بيئة منفصلة مرة كل بضعة أشهر. نسخة لم تُختبر ليست نسخة، بل افتراض.

٦. ما الذي لا يحميك رغم شيوعه

إخفاء رابط لوحة التحكم يقلّل الضجيج في السجلّات، ولا يوقف مهاجمًا جادًّا. إضافات الأمن «الشاملة» مفيدة لكنها ليست بديلًا عن التحديث والصلاحيات — وبعضها ثقيل ويبطئ الموقع مقابل طمأنة بصرية. وجدار الحماية يوقف أنماطًا معروفة ولا يوقف حسابًا مسروقًا يدخل بكلمة مرور صحيحة.

إن وقع الاختراق فعلًا

لا تكتفِ بحذف الملف المشبوه. المهاجم غالبًا يترك أكثر من باب خلفي: مستخدمًا إضافيًا، ومهمة مجدولة، وشيفرة مدسوسة في القالب. الترتيب الصحيح: اعزل الموقع، وغيّر كل كلمات المرور بما فيها قاعدة البيانات والاستضافة، واستعد من نسخة أنظف من تاريخ الاختراق، ثم أغلق الثغرة التي دخل منها قبل إعادة النشر. الاستعادة دون إغلاق الثغرة تعيدك إلى النقطة نفسها خلال أيام.

هذه المراجعة جزء ممّا نقدّمه في خدمات ووردبريس وفي الحماية والأمن السيبراني.