قائمة فحص أمان ووردبريس: 15 أمرًا تتحقق منها اليوم

أمان ووردبريس ليس أمرًا غريبًا. إنه قائمة قصيرة من المهام العادية تُنجَز بانتظام، والقائمة أدناه تغطي معظم الطرق التي تُخترق بها مواقع ووردبريس فعلًا: إضافات قديمة، وبيانات دخول ضعيفة أو مسروقة، وأذونات ملفات مفرطة الانفتاح، وإصابات لم ينتبه إليها أحد.

تذكر كل نقطة ما يجب فحصه وكيف. تفترض الأوامر استخدام WP-CLI عبر SSH، ولكل أمر طريقة مكافئة في wp-admin أو مدير الملفات. خصّص من 30 إلى 45 دقيقة للمراجعة الأولى. أما المراجعات التالية فتستغرق نحو عشر دقائق، لأنك تتأكد فقط أن شيئًا لم يتغير.

التحديثات

1. نواة ووردبريس على أحدث إصدار. افتح لوحة التحكم ثم التحديثات، أو شغّل wp core version وwp core check-update. تُرقَّع إصدارات الأمان للنواة بسرعة، ويبدأ المهاجمون بالبحث عن المواقع غير المرقَّعة خلال أيام.
2. كل الإضافات محدَّثة. شغّل wp plugin list --update=available. الإضافات القديمة هي الطريق الأشهر لاختراق مواقع ووردبريس، فإن كنت ستنفذ نقطة واحدة فقط من هذه القائمة فلتكن هذه. في موقع يدرّ دخلًا، اقرأ سجل التغييرات أولًا واحتفظ بنسخة احتياطية قبل التحديث.
3. كل القوالب محدَّثة، بما في ذلك القالب الأب إن كنت تستخدم قالبًا فرعيًا. يعرض wp theme list --update=available ما هو متأخر.
4. الإضافات والقوالب غير المستخدمة محذوفة، وليست معطَّلة فقط. يمكن استدعاء الشيفرة غير النشطة مباشرةً عبر عنوانها، لذا تبقى الإضافة الضعيفة التي عطّلتها منفذًا للدخول. احتفظ بقالب افتراضي واحد احتياطًا واحذف الباقي.

بيانات الدخول والصلاحيات

5. لكل حساب مسؤول كلمة مرور فريدة وقوية. استخدم مدير كلمات مرور ولا تعِد استخدام كلمة مرور خدمة أخرى. تُجرَّب كلمات المرور المسرّبة من قواعد البيانات على تسجيلات دخول ووردبريس على مدار الساعة؛ ويشرح دليل هجمات القوة الغاشمة شكل تلك الحركة.
6. قائمة المستخدمين لا تحتوي حسابات لا تعرفها. شغّل wp user list --role=administrator وتحقق من كل اسم وبريد. وجود مسؤول جديد لم تنشئه من أوضح علامات الاختراق.
7. المصادقة الثنائية مفعّلة لكل مسؤول. فهي تمنع كلمة مرور مسروقة من أن تكون كافية. ويستحق المحررون ومديرو المتجر الحماية نفسها إن كان بإمكانهم النشر أو تعديل الطلبات.
8. بيانات الاستضافة وقاعدة البيانات وSSH منفصلة عن تسجيل دخول ووردبريس. إذا كانت كلمة مرور واحدة تفتح كل شيء، فتسرّب واحد يضيّع كل شيء. وللوصول إلى الخادم، مفاتيح SSH أكثر أمانًا من كلمات المرور؛ راجع مفاتيح SSH مقابل كلمات المرور في ووردبريس.

الملفات والإعدادات

9. أذونات الملفات تتبع النظام المعياري: 755 للمجلدات و644 للملفات، وأشد لـ wp-config.php. اعرض ما هو أكثر انفتاحًا بالأمر find . -type f -perm /o+w. يتضمن دليل أذونات الملفات النظام الكامل وأوامر التصحيح.
10. ملف wp-config.php محمي. فهو يحتوي كلمة مرور قاعدة بياناتك ومفاتيحك السرية، لذا يجب ألا يقرأه مستخدمون آخرون على الخادم (600 أو 640 إن سمحت استضافتك)، ويمكن لووردبريس تحميله من مجلد فوق جذر الويب. راجع كيف تؤمّن wp-config.php.
11. لا توجد ملفات PHP غير مألوفة في wp-content/uploads. هذا المجلد للصور والمستندات، لذا فإن ملفات PHP فيه خبيثة في الغالب. شغّل find wp-content/uploads -name "*.php". النتيجة الفارغة هي المطلوبة.
12. ملفات النواة تطابق المجاميع الاختبارية الرسمية. شغّل wp core verify-checksums. أي ملف يُبلَّغ عنه معدَّلًا أو غير متوقع يستحق الفحص، لأن المهاجمين كثيرًا ما يعدّلون ملفات النواة لإخفاء باب خلفي. ويشرح دليل سلامة ملفات النواة كيف تقرأ النتيجة.

النسخ الاحتياطية والمراقبة

13. توجد نسخة احتياطية حديثة واستُعيدت مرة واحدة على الأقل. النسخة التي لم تُختبر قط مجرد تخمين. استعد نسخة إلى موقع تجريبي وتأكد أن الموقع يعمل. احتفظ بنسخ بعيدًا عن الخادم، وتذكّر أن النسخة قد تحتوي إصابة؛ راجع أمان الاستضافة المُدارة لتفهم لماذا النسخة الاحتياطية ليست فحصًا.
14. Google Search Console متصل ولا يعرض مشكلات أمنية. كثيرًا ما تكتشف جوجل الاختراق، مثل صفحات السبام أو إعادة التوجيه، قبل المالك، وتقرير مشكلات الأمان هو المكان الذي تخبرك فيه.
15. هناك ما يفحص سلامة الملفات وأنماط البرمجيات الخبيثة وفق جدول. قد تكون أنت أو إضافة أو خدمة آلية. الأسبوعي إيقاع معقول لمعظم المواقع، ويشرح عدد مرات الفحص متى تسرّع.

إذا فشلت إحدى نقاط القائمة

أصلح أولًا الأرخص: التحديثات وحذف الشيفرة غير المستخدمة وتغيير كلمات المرور. ثم انتقل إلى الأذونات والإعدادات. وإذا وجدت ملفًا لا تستطيع تفسيره، أو مسؤولًا لم تنشئه، أو PHP في مجلد uploads، فعامل الموقع على أنه مخترق محتملًا واتبع فحص الاختراق في خمس دقائق قبل تغيير أي شيء آخر، حتى لا تُتلف الأدلة ولا تترك للمهاجم طريق العودة.