أمان استضافة ووردبريس المُدارة: ما الذي تغطيه وما الذي لا تغطيه

استضافة ووردبريس المُدارة خطوة حقيقية إلى الأمام مقارنةً بخادم خام. تحدّث الاستضافة الجهاز، وتبقي ووردبريس محدّثًا، وتأخذ نسخًا احتياطية، فتتوقف فئة كاملة من الصيانة عن كونها عملك. أما الخطر فهو أن تفترض أن هذا يعني أيضًا أن موقعك مراقَب ضد الهجمات. وهذا يعتمد على الاستضافة والخطة، ونادرًا ما توضح الكلمات التسويقية («آمن»، «محمي») ذلك.

ما تغطيه الاستضافة المُدارة عادةً

• الخادم الذي تحته. يحدّث المضيف نظام التشغيل وخادم الويب وPHP ويضبطها، وتكون المواقع عادةً معزولة بعضها عن بعض بحيث يقل احتمال انتقال العدوى من موقع مخترق إلى غيره.
• تحديثات نواة ووردبريس. تطبّق معظم الاستضافات المُدارة إصدارات الأمان للنواة تلقائيًا. وبعضها يحدّث الإضافات والقوالب أيضًا، لكن كثيرًا منها لا يفعل، فتحقق من ذلك.
• النسخ الاحتياطية. نسخ منتظمة، غالبًا يومية، مع خيار استعادة. وتختلف مدة الاحتفاظ بها ومكانها بحسب الخطة.
• بعض تصفية حركة المرور. يحجب جدار حماية أساسي أو مرشّح على مستوى الشبكة الطلبات الخبيثة المعروفة وفيضانات حركة المرور قبل أن تصل إلى ووردبريس. ويعتمد مدى ذلك على المزوّد.
• فحص البرمجيات الخبيثة، في بعض الخطط. يفحص عدد من الاستضافات الملفات بحثًا عن برمجيات خبيثة معروفة. وتفعل أخرى ذلك عند الطلب فقط، أو في الخطط الأعلى فقط.

ما تتركه لك عادةً

• الإضافات والقوالب. لا تستطيع الاستضافة إصلاح ثغرة في شيفرة كتبها غيرها. تبقى الإضافة الضعيفة ضعيفة إلى أن تحدّثها أنت أو مؤلفها، وهكذا يُخترق معظم مواقع ووردبريس.
• كلمات المرور والحسابات. إذا كان لدى المهاجم تسجيل دخول صالح إلى ووردبريس، فلا يفيد تقوية الخادم بشيء، لأن ذلك الدخول يبدو كحركة مرور عادية. أما كلمات المرور الضعيفة أو المُعاد استخدامها، وحسابات المسؤولين التي لا يتذكرها أحد، فهي من مسؤوليتك.
• ما بداخل الموقع. لا تقرأ حماية الخادم ملفات ووردبريس وقاعدة بياناتك بحثًا عن شيفرة محقونة أو مسؤول جديد أو إعداد معدَّل، ما لم تتضمن خطتك ذلك صراحةً.
• أخطاء الإعدادات. ملف بأذونات مفتوحة أكثر من اللازم، أو سجل تصحيح أخطاء مكشوف، أو نسخة احتياطية قديمة منسية في مجلد عام، كلها داخل موقعك لا في الخادم.

النسخة الاحتياطية ليست فحصًا أمنيًا

تساعدك النسخ الاحتياطية على التعافي، لكنها تنسخ كل ما هو على الموقع، بما في ذلك الإصابة. إذا زُرعت برمجية خبيثة قبل ثلاثة أسابيع وكانت نسخك الاحتياطية تعود إلى ثلاثين يومًا، فقد تستعيد نسخة تحتويها أصلًا. تخبرك النسخة الاحتياطية كيف كان يبدو الموقع. ويخبرك الفحص هل هذا هو ما ينبغي أن يبدو عليه.

أسئلة لاستضافتك

أرسلها إلى دعم استضافتك، أو ابحث عن الإجابات في وثائق الخطة. الإجابات المحددة علامة جيدة. أما المبهمة فتستحق أن تدوّنها.

• هل تفحصون ملفاتي بحثًا عن البرمجيات الخبيثة، وكم مرة؟ اسأل أيضًا هل يُبلَّغ عنها عند اكتشاف شيء، وهل تنظّفه الاستضافة أم تكتفي بالإبلاغ.
• هل تُحدَّث الإضافات والقوالب تلقائيًا، أم النواة فقط؟
• ماذا يحجب جدار الحماية، وهل يحمي الموقع إذا وصل أحدهم إلى الخادم مباشرةً؟
• كم مدة الاحتفاظ بالنسخ الاحتياطية، وهل تُخزَّن بعيدًا عن الخادم؟ اسأل هل يمكنك استعادة الملفات وقاعدة البيانات بشكل منفصل.
• هل توفرون وصول SSH وWP-CLI؟ هذا مهم لفحص الموقع بنفسك، ولأي أداة تعمل من الخادم.
• ماذا يحدث إذا وُجد موقعي مصابًا؟ بعض الاستضافات تعلّق الموقع إلى أن يُنظَّف.
• هل يمكنني الاطلاع على سجلات الوصول والأخطاء؟ فهي أول ما تحتاجه بعد أي حادثة.

فحوصات يمكنك إجراؤها بنفسك

لا يعتمد أي منها على الاستضافة. وحيث تحتاج خطوة إلى سطر الأوامر، توفر استضافات مُدارة كثيرة SSH في بعض الخطط على الأقل.

• راجع المسؤولين. في wp-admin افتح المستخدمين وصفِّ حسب مسؤول. أزل أي حساب لا تعرفه أو اسأل عنه.
• فعّل تسجيل الدخول بعاملين لكل مسؤول، واستخدم كلمة مرور فريدة لكل منهم.
• أزل الإضافات والقوالب التي لا تستخدمها. يمكن مهاجمة إضافة معطَّلة إذا كانت ملفاتها على الخادم.
• قارن ملفات النواة بالنسخ الرسمية: wp core verify-checksums. يشرح دليل سلامة ملفات النواة معنى النتيجة.
• انظر إلى الموقع كما يراه الزائر، من هاتف ومن نتيجة بحث، لأن بعض الإصابات لا تظهر إلا للزوار القادمين من جوجل. ويرشدك فحص الاختراق في خمس دقائق إلى ذلك خطوة بخطوة.

الثغرة في جملة واحدة

تؤمّن الاستضافة المُدارة المبنى، لكنها لا تراقب بالضرورة ما يجري داخل وحدتك أنت. تحدث معظم اختراقات ووردبريس في طبقة التطبيق، عبر إضافة أو كلمة مرور أو إعداد، وهي الطبقة التي تصل إليها حماية مستوى الخادم أقل من غيرها.