قائمة التحقق من أمان WordPress: 30 خطوة تهم فعلًا

1. أبقِ نواة WordPress والقوالب والإضافات محدَّثة. الإضافات المُعرَّضة للثغرات هي ناقل الهجوم رقم 1. فعِّل التحديثات التلقائية للإصدارات الثانوية (WordPress 5.6+ يفعل ذلك افتراضيًا). للإصدارات الرئيسية، حدِّث خلال 7 أيام من الإصدار. للإضافات، فعِّل التحديث التلقائي للموثوقة منها؛ وراجع يدويًا ملاحظات الإصدار للإضافات الحرجة.
2. استخدم كلمات مرور قوية وفريدة لكل حساب WordPress. خصوصًا حسابات المدير. استخدم مدير كلمات مرور (1Password، Bitwarden). عطِّل اسم المستخدم «admin»: أنشئ مديرًا جديدًا واحذف القديم.
3. فعِّل المصادقة الثنائية. استخدم Wordfence Login Security (مجاني) أو مولِّد رمز QR للمصادقة الثنائية لدينا مع أي تطبيق TOTP. تهزم المصادقة الثنائية أكثر من 99% من هجمات حشو بيانات الاعتماد.
4. ثبّت إضافة أمان موثوقة. Wordfence (النسخة المجانية تكفي لمعظم المواقع) أو Solid Security. لا تكدّس عدة إضافات: تتعارض. تدير الإضافة تحديد محاولات تسجيل الدخول، ومراقبة سلامة الملفات، وفحص البرمجيات الخبيثة.
5. نسخ احتياطية يومية خارج الموقع. UpdraftPlus ← Dropbox/Google Drive. أنشئ النسخة قبل أن تحتاجها. اختبر عملية الاستعادة مرة واحدة على الأقل.

6. افرض HTTPS. Let's Encrypt مجاني على كل استضافة حديثة. أعد توجيه HTTP إلى HTTPS على مستوى الخادم.
7. غيِّر بادئة جداول قاعدة البيانات. يستخدم WordPress wp_ افتراضيًا؛ غيِّرها إلى شيء مخصص أثناء التثبيت. لا يمنع الهجمات، لكنه يصعّب بعض أنماط الهجوم.
8. عطِّل XML-RPC إن لم تستخدمه. XML-RPC ناقل شائع لتضخيم القوة الغاشمة. إن لم تكن تستخدم تطبيق Jetpack للجوال ولا النشر عن بُعد، فعطِّله عبر .htaccess أو إضافة.
9. حدِّد محاولات تسجيل الدخول. يفعل Wordfence ذلك تلقائيًا. يمنع حشو بيانات الاعتماد بالقوة الغاشمة.
10. دوِّر مفاتيح/ملوّحات (salts) مصادقة WordPress. استخدم مولِّد الملوّحات (Salts) الخاص بـ WordPress لدينا. دوِّرها بعد أي اشتباه باختراق، وبعد إزالة مدير مُخترَق، وكل 6-12 شهرًا روتينيًا.
11. استخدم SSH أو SFTP لنقل الملفات، لا FTP العادي أبدًا. ينقل FTP بيانات الاعتماد كنص صريح.
12. قيّد الوصول إلى wp-admin حسب IP إن أمكن. إن كان فريقك يستخدم عناوين IP ثابتة (المكتب، VPN)، فقصِر wp-admin على تلك العناوين فقط. عبر .htaccess أو إعدادات Nginx.
13. عطِّل تحرير الملفات في wp-config.php. أضِف: define('DISALLOW_FILE_EDIT', true); يمنع المهاجمين من تحرير القوالب/الإضافات من اللوحة إن اخترقوا حسابًا.
14. أخفِ رقم إصدار WordPress. أزِل وسم meta generator. لا يمنع الهجمات، لكنه يقلّل من البصمة (fingerprinting).
15. أحكِم أذونات الملفات. الملفات 644، المجلدات 755، wp-config.php 600. تفعل معظم الاستضافات المُدارة ذلك تلقائيًا؛ وعلى VPS، اضبطه صراحةً.

16. رابط تسجيل دخول مخصص (مثل WPS Hide Login). يقلّل أساسًا ضجيج زيارات البوتات؛ ليس أمانًا حقيقيًا.
17. CAPTCHA في نماذج تسجيل الدخول. احتكاك طفيف للهجمات الآلية.
18. عطِّل تنفيذ PHP في /uploads/. يمنع تشغيل أصداف PHP المرفوعة.
19. استخدم WAF من Cloudflare (المستوى المجاني). يرشّح الزيارات الخبيثة قبل وصولها إلى خادمك.
20. اضبط تنبيهًا بالبريد للمدير عند تحديثات الإضافات/النواة.
21. استخدم التحميل المسبق لـ HSTS لفرض HTTPS على مستوى المتصفح.
22. عطِّل تعداد المستخدمين عبر واجهة REST (يديرها Solid Security أو Wordfence).
23. استخدم ترويسات سياسة أمان المحتوى (CSP).
24. عطِّل تصفُّح المجلدات (تفعل معظم الاستضافات ذلك افتراضيًا).
25. راقب وقت التشغيل + السلامة بخدمة خارجية (المستوى المجاني من UptimeRobot + Sucuri SiteCheck أسبوعيًا).
26. قصِر أدوار المستخدمين على الحد الأدنى من الامتيازات. معظم المساهمين لا يحتاجون إلى وصول بمستوى محرِّر.
27. تشفير النسخ الاحتياطية لقاعدة البيانات (يقدّمه UpdraftPlus Premium).
28. استضافة الصور خارج النطاق عبر CDN (يقلّل سطح الهجوم).
29. مراجعة دورية لسجل تدقيق الأمان.
30. اختبار اختراق سنوي إن كان الموقع يدرّ إيرادات كبيرة.

عدة إجراءات «أمان» موصى بها بكثرة تقدّم حمايةً حقيقية ضئيلة: (1) «إخفاء إصدار WordPress»: معرفة إصدارك تساعد قليلًا في الهجمات الموجَّهة، لكن الحل الحقيقي هو التحديث لا الإخفاء. (2) «نقل wp-config.php فوق public_html»: يقدّم عمليًا صفر فائدة أمنية؛ الملف محمي أصلًا بـ .htaccess. (3) «تعطيل واجهة REST»: يكسر كثيرًا من الإضافات ويحجب القليل. قيّد نقاط نهاية محددة بدلًا من ذلك. (4) «تكديس عدة إضافات أمان»: تتعارض وتتداخل. إضافة واحدة موثوقة (Wordfence أو Solid Security) تغطي ما قد تفعله ثلاث. (5) «إعادة تسمية wp-login.php»: أمان بالغموض؛ يجد المهاجمون الرابط الجديد بسهولة عبر إعادة التوجيه.

1. لا تُصب بالذعر؛ لا تحذف الأشياء فورًا. خذ أولًا لقطة للحالة الراهنة لأغراض التحليل الجنائي.
2. اجعل الموقع غير متصل (إضافة وضع الصيانة أو إعادة توجيه .htaccess إلى صفحة ثابتة).
3. غيِّر كل كلمات مرور المدير ودوِّر ملوّحات (salts) WordPress.
4. دقّق حسابات المستخدمين: احذف فورًا حسابات المدير غير المعروفة.
5. افحص بحثًا عن البرمجيات الخبيثة باستخدام Wordfence Premium أو Sucuri.
6. قارن الملفات الحالية بتنزيل نظيف لـ WordPress: يكشف الفرق (diff) ملفات النواة المعدَّلة.
7. راجع جدول wp_options في قاعدة البيانات بحثًا عن إدخالات غير متوقعة (غالبًا يحتوي على JS مُحقَن).
8. استعد من أحدث نسخة احتياطية نظيفة (لهذا تهم النسخ اليومية).
9. بعد الاستعادة، دقّق كل إضافة: احذف غير المستخدمة، وحدِّث الجميع، واستبدل أي إضافة لها ثغرات CVE عامة.
10. حدِّث نواة WordPress إلى أحدث إصدار.
11. أعد تفعيل الموقع وراقب إعادة الإصابة لمدة 30 يومًا.