حماية موقع WordPress: قائمة التحقق من الأمان للمتاجر ومواقع الأعمال

تتلخص قائمة التحقق من أمان WordPress (ووردبريس) في بضع عادات: أبقِ كل شيء محدّثًا، واحمِ عمليات تسجيل الدخول، وامنح الناس الصلاحيات التي يحتاجونها فقط، ولا تثبّت شيفرة إلا من مصادر موثوقة، واحتفظ بنسخ احتياطية جرّبتها، واعرف ماذا تفعل حين يحدث خطأ. وتتبع الخطوات أدناه الترتيب الأهم، وتأتي الإعدادات التقنية من إرشادات التحصين الرسمية في WordPress نفسها، في أكتوبر 2026.

ما الذي ينبغي أن تغطيه قائمة التحقق من أمان WordPress؟

يدخل المهاجمون من بضعة أبواب: كلمة مرور خُمّنت أو سُرقت، وبرمجيات قديمة أو معرّضة للثغرات، وشيفرة من مصدر غير موثوق، وإعدادات خادم ضعيفة. وتغلق القائمة كل باب، ثم تضيف طرقًا للانتباه والتعافي إن بقي أحدها مفتوحًا رغم ذلك. والمصدران الرسميان الرئيسيان هما دليل التحصين والأسئلة الشائعة My site was hacked.

أبقِ كل شيء محدّثًا ومنسوخًا احتياطيًا

أبقِ WordPress والإضافات والقوالب محدّثة

إرشاد WordPress هو أن تبقى محدّثًا دائمًا. ومنذ WordPress 5.5 يمكنك تفعيل التحديثات التلقائية إضافةً إضافةً وقالبًا قالبًا، وتفحصها WordPress مرتين يوميًا افتراضيًا. وتعتمد هذه التحديثات على WP-Cron، لذا تعرض Tools > Site Health خطأً إن تعذّر تشغيلها. وفي المتجر، خذ نسخة احتياطية أولًا وحدّث نسخة تجريبية من الموقع (staging) متى استطعت، لأن التحديث قد يغيّر سلوك صفحة الدفع.

احذف الإضافات والقوالب التي لا تستخدمها. فيقول دليل التحصين بإزالة الإضافات غير المستخدمة، وتوصي Site Health بإزالة القوالب غير النشطة. ونزّل WordPress نفسه من wordpress.org فقط.

انسخ احتياطيًا، وجرّب الاستعادة

النسخة الاحتياطية الصالحة تضم قاعدة البيانات والملفات معًا: النواة والقوالب والإضافات والمرفوعات وwp-config.php و.htaccess. ويقترح دليل النسخ الاحتياطي في WordPress نسخًا أسبوعيًا للمواقع الصغيرة الهادئة، ويوميًا للمواقع المزدحمة، ونسخة دائمًا قبل أي ترقية، مع عدة نسخ حديثة في أماكن مختلفة مثل استضافتك والتخزين السحابي وحاسوبك. والمتجر الذي يستقبل طلبات موقع مزدحم.

الاختبار هو الخطوة التي يتخطاها معظم الناس. استعد نسخة حديثة على موقع تجريبي، وتحقق من أن الصفحات تُحمَّل وأن المنتجات تظهر وأن طلبًا تجريبيًا يكتمل. ويمكن لإضافات مثل UpdraftPlus أو Jetpack VaultPress Backup جدولة النسخ؛ فتحقق من مكان حفظها، لأن نسخة محفوظة على الخادم نفسه وحده تضيع معه.

احمِ تسجيل الدخول وقيّد الوصول

كلمات المرور والمصادقة الثنائية ومحاولات تسجيل الدخول

• كلمات المرور: استخدم كلمات مرور طويلة وفريدة من مدير كلمات المرور، ولا تستخدم كلمة من القاموس أبدًا، ولا admin أو webmaster اسمًا للمستخدم.
• المصادقة الثنائية (2FA): لا تأتي مع نواة WordPress، فأضفها بإضافة. ويذكر الدليل (handbook) إضافات Two-Factor وDuo وGoogle Authenticator وRublon وWordfence، ويفضّل تطبيقات المصادقة على الرسائل النصية SMS. اجعلها إلزامية لمديري الموقع ومديري المتجر أولًا.
• محاولات تسجيل الدخول: يفضّل دليل هجمات القوة الغاشمة تحديد معدل المحاولات على الحافة (جدار حماية أو CDN) أو على خادم الويب، لأن الإضافات تعمل داخل PHP وتستهلك الموارد أثناء الهجوم. استخدم إضافة إن لم توفر استضافتك أيًّا من الخيارين.
• XML-RPC: عطّل xmlrpc.php إن لم تستخدمه.
• إخفاء رابط تسجيل الدخول: يقلل الضجيج، لكن الدليل لا يعدّه وسيلة دفاع.

امنح كل شخص أقل صلاحيات يحتاجها

تأتي WordPress بالأدوار التالية: مدير (Administrator) ومحرر (Editor) ومؤلف (Author) ومساهم (Contributor) ومشترك (Subscriber). ويضيف WooCommerce دور العميل (Customer) ومدير المتجر (Shop manager)، وهو يدير المتجر دون صلاحيات المدير الكاملة. امنح كل شخص أدنى دور يؤدي المهمة: من يتولى الطلبات يحتاج إلى مدير المتجر لا إلى المدير. احذف حسابات الموظفين السابقين والوكالات السابقة، وتأكد من أن Settings > General > New User Default Role هو أدنى دور.

ثبّت الشيفرة من مصادر موثوقة فقط

يقول دليل التحصين باستخدام الإضافات من مصادر موثوقة فقط، مثل دليل WordPress.org. وتصدر WordPress بموجب ترخيص GPL، وترثه الإضافات والقوالب، فكثير من برمجيات WordPress مجاني الاستخدام والتعديل بوجه مشروع. أما النسخة nulled فأمر آخر: قالب أو إضافة مدفوعة نُزع منها فحص الترخيص وأعاد شخص غريب رفعها. ولا يمكنك أن تعرف ما الذي غُيّر فيها أيضًا، ولن تتلقى تحديثات رسمية، ومن غير المرجح أن يدعمها مطوّرها.

اشترِ من المطوّر أو من سوق يُصدر ترخيصًا. وفي DevMarket يصدر مفتاح الترخيص بعد الدفع، ويعرض كل منتج مدة الدعم وسياسة التحديث؛ راجع شروط الترخيص. وإذا كنت تبيع برمجيات بنفسك فاقرأ كيف تسعّر برمجياتك وترخّصها.

حصّن الخادم وwp-config.php

HTTPS وأذونات الملفات وإعدادات wp-config

تتضمن متطلبات WooCommerce استخدام HTTPS، وتعرض Site Health ما إذا كان موقعك يستخدمه. ولحماية تسجيل الدخول، أضف FORCE_SSL_ADMIN بعد أن يعمل SSL على خادمك.

يحدد دليل التحصين أذونات الملفات التالية: المجلدات 755 والملفات 644، وwp-config.php مقروء لك ولخادم الويب فقط (400 أو 440). أضف هذه الأسطر إلى wp-config.php:

define( 'DISALLOW_FILE_EDIT', true );
define( 'FORCE_SSL_ADMIN', true );
define( 'WP_DEBUG', false );

يزيل DISALLOW_FILE_EDIT محرر ملفات القوالب والإضافات لكل المستخدمين، ما يحدّ مما يستطيع المهاجم فعله من حساب مدير مخترَق، لكنه لا يمنع عمليات الرفع الخبيثة. ويذهب DISALLOW_FILE_MODS أبعد فيمنع تثبيت الإضافات والقوالب وتحديثها، فلا تستخدمه إلا إن كنت تحدّث بطريقة أخرى. وأبقِ عرض الأخطاء مغلقًا في الموقع الحي: فتحذّر Site Health عندما تُعرض الأخطاء للزوار أو تُسجَّل في ملف عام.

جدار الحماية والمراقبة والسجلات

يقترح دليل التحصين إضافة جدار حماية، أو جدار حماية تطبيقات الويب (WAF)، أو خدمة وكيل عكسي (reverse proxy). وقد توفر استضافتك واحدًا منها. وتصف Wordfence نفسها بأنها جدار حماية وماسح للبرمجيات الخبيثة وأمان لتسجيل الدخول، وتصل قواعد الجدار إلى نسختها المجانية بعد 30 يومًا من وصولها إلى النسخة المدفوعة. وتقدّم إضافة Sucuri المجانية التدقيق ومراقبة سلامة الملفات والفحص عن بُعد للبرمجيات الخبيثة، مع بيع جدار الحماية فيها بشكل منفصل.

وللمراقبة، تأكد من أن شخصًا ما يقرأ عنوان البريد الإلكتروني الخاص بالإدارة في Settings > General، لأن إشعارات وضع الاسترداد والأخطاء الحرجة تصل إليه. وأضف موقعك إلى Google Search Console، التي يسرد تقرير مشكلات الأمان فيها علامات اختراق الموقع. واحتفظ بسجلات الوصول والأخطاء لدى استضافتك: فالماسح يخبرك بأن شيئًا تغيّر، وتساعدك السجلات على معرفة كيف.

ماذا تفعل إذا اخترق موقع WordPress الخاص بك؟

1. حافظ على هدوئك ووثّق. دوّن ما تراه، ومتى (مع المنطقة الزمنية)، وما الذي تغيّر مؤخرًا، مثل إضافة جديدة أو تعديل على قالب.
2. افحص الموقع وحاسوبك الشخصي. كثيرًا ما تبدأ الهجمات ببرمجية خبيثة على جهاز محلي تسرق بيانات الدخول إلى FTP أو لوحة الإدارة.
3. تواصل مع استضافتك. فقد تتأثر مواقع أخرى على الخادم، ويمكنهم تأكيد ما إذا كان اختراقًا حقيقيًا.
4. أعد ضبط كل صلاحيات الوصول. غيّر كل كلمات المرور: SFTP وWordPress ولوحة الاستضافة وقاعدة البيانات. واستبدل المفاتيح السرية في wp-config.php بمفاتيح جديدة من مولّد مفاتيح WordPress؛ وهذا يُخرج الجميع من حساباتهم. وبدّل أي مفاتيح API مخزّنة على الموقع، مثل مفاتيح الدفع أو البريد.
5. التقط نسخة (snapshot) من الموقع المصاب، ثم استعد نسخة احتياطية نظيفة، أو نظّف يدويًا. استبدل /wp-admin و/wp-includes بالإصدار نفسه من wordpress.org عبر SFTP، وافحص .htaccess وملفات القالب index.php وheader.php وfooter.php وfunctions.php، وأعد تثبيت الإضافات والقوالب من مصادر موثوقة.
6. حدّث كل شيء، ثم غيّر كلمات المرور مرة أخرى بعد أن أصبح الموقع نظيفًا.
7. ابحث عن السبب. اكتشف كيف دخلوا وأغلق ذلك الباب، ثم طبّق خطوات التحصين أعلاه.

إذا احتُمل أن بيانات العملاء انكشفت، فاسأل محاميًا أو الجهة المختصة بحماية البيانات عمّا يجب أن تبلّغ عنه وخلال أي مدة. وهذا الدليل ليس استشارة قانونية.

الأسئلة الشائعة

هل WordPress آمن؟

تتلقى نواة WordPress تحديثات أمنية، وإبقاؤها محدّثة أمر مهم. ويأتي جانب كبير من المخاطر مما تضيفه وكيف تدير الوصول: الإضافات والقوالب وكلمات المرور وإعدادات الخادم.

هل أحتاج إلى إضافة أمان؟

ليس دائمًا. توفر استضافات كثيرة جدران حماية وفحصًا للبرمجيات الخبيثة. وإن لم توفرها استضافتك فإضافة مضبوطة جيدًا تفيد. استخدم أداة واحدة بشكل صحيح بدلًا من عدة أدوات متداخلة.

هل يستحق تغيير رابط تسجيل الدخول العناء؟

قد يقلل الضجيج في سجلاتك، لكن الإرشادات الرسمية لا تعدّه دفاعًا رئيسيًا. فكلمات المرور القوية والمصادقة الثنائية وتحديد معدل المحاولات تفعل أكثر.

كم مرة أنسخ متجر WooCommerce احتياطيًا؟

النسخ اليومي خيار افتراضي معقول لمتجر يستقبل طلبات، مع نسخة قبل أي تحديث. ويكفي الأسبوعي للمواقع الهادئة، بما يتفق مع دليل WordPress.

اجعل الأمان روتينًا، ثم تقدّم أكثر

الأمان إيقاع مستمر أكثر منه مهمة تُنجَز مرة واحدة. وهذا إيقاع مقترح:

اختر إضافاتك بعناية بمساعدة دليلنا عن أفضل إضافات WooCommerce، وأبقِ المتجر سريعًا مع دليل السرعة، وتصفح إضافات WordPress المرخّصة على DevMarket.