أمان المواقع الإلكترونية: قائمة تدقيق من 20 نقطة تحمي موقعك وعملاءك

بقلم محمد صقر · 2 نوفمبر 2026 · المواقع الإلكترونية · قراءة نحو 6 دقيقة

يظن كثير من أصحاب المواقع أن الاختراق يصيب المواقع الكبيرة فقط، لكن الواقع أن معظم الهجمات آلية: برامج تفحص الإنترنت كله بحثًا عن أي موقع يستخدم إضافة قديمة أو كلمة مرور ضعيفة. ولا يهم لهذه البرامج إن كان موقعك مدونة صغيرة أو متجرًا كبيرًا. وعواقب الاختراق حقيقية: ضياع بيانات العملاء، وإدراج روابط وإعلانات مخالفة، وتحذير «موقع غير آمن» في جوجل، وانخفاض الترتيب، وتوقف المبيعات أيامًا.

هذه قائمة تدقيق عملية من 20 نقطة، مرتبة حسب الأهمية، تطبق على أغلب المواقع من التعريفية إلى المتاجر. بعضها يحتاج منك دقائق، وبعضها يحتاج مطورك.

أساسيات الاتصال والحسابات

1) فعّل HTTPS على كل الصفحات

شهادة SSL تشفّر الاتصال، وكل متصفح حديث يحذّر من المواقع غير المشفرة. فعّل شهادة (Let's Encrypt مجانية)، وحوّل HTTP إلى HTTPS تلقائيًا، وتأكد أن الصور والسكربتات لا تُحمّل بـHTTP (المحتوى المختلط).

2) كلمات مرور قوية فريدة

الاختراق الأكثر شيوعًا هو كلمة مرور مكررة أو ضعيفة. استخدم مدير كلمات مرور وكلمات طويلة عشوائية (14 حرفًا فأكثر)، ولا تكرر كلمة المرور بين لوحة الموقع والاستضافة والبريد والدومين.

3) المصادقة الثنائية (2FA)

فعّلها على: الاستضافة، لوحة الإدارة، البريد، حساب مسجل الدومين، وGitHub. هي تمنع معظم محاولات الدخول حتى لو سُرقت كلمة المرور.

4) أقل صلاحيات ممكنة

لا تمنح كل من يعمل على موقعك صلاحية مدير. أنشئ حسابًا مستقلًا لكل شخص بصلاحية تكفي عمله، واحذف الحسابات التي انتهت الحاجة إليها. لا تشارك حسابك الشخصي.

5) غيّر الأسماء الافتراضية

لا تترك مستخدم admin ولا قاعدة بيانات بأسماء متوقعة ولا مسار دخول افتراضي معروف إن أمكن. هذا لا يغني عن 2FA لكنه يقلل الهجمات الآلية.

التحديثات والنسخ الاحتياطي

6) حدّث كل شيء باستمرار

أغلب الاختراقات تستغل ثغرات معروفة في نسخ قديمة من نظام الإدارة أو الإضافات أو القوالب أو المكتبات (npm/composer) أو PHP. فعّل التحديثات التلقائية للإصلاحات الأمنية، وراجع التحديثات الأخرى أسبوعيًا بعد أخذ نسخة. وراجع دليل صيانة المواقع.

7) احذف ما لا تستخدمه

كل إضافة أو قالب أو سكربت غير مستخدم هو سطح هجوم محتمل. احذفها لا تعطّلها فقط. وقلل عدد الإضافات إلى الضروري، وتجنب الإضافات المنسوخة غير الرسمية (Nulled) لأنها غالبًا تحمل أبوابًا خلفية.

8) نسخ احتياطي منتظم ومختبر

قاعدة 3-2-1: ثلاث نسخ، على وسيطين، واحدة خارج الخادم. نسخ يومي تلقائي للمتاجر والمواقع المتغيرة، ثم جرّب الاستعادة مرة كل فترة. النسخ الاحتياطي هو طوق النجاة الأخير عند أي هجوم فدية أو تلف.

حماية الخادم والشبكة

9) جدار حماية تطبيقات الويب (WAF) وCDN

خدمات مثل Cloudflare تفحص الطلبات وتحجب الهجمات المعروفة وهجمات الحجب (DDoS) قبل أن تصل خادمك، وتسرّع الموقع في الوقت نفسه (مركز التعلم في Cloudflare). فعّل حماية الهجمات الآلية وحدّ المعدل لصفحات الدخول.

10) رؤوس الأمان (Security Headers)

أضف رؤوس HTTP التالية على الخادم:

Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: geolocation=(), camera=(), microphone=()
Content-Security-Policy: default-src 'self'; frame-ancestors 'self'; object-src 'none'

وظيفة كل منها: HSTS يفرض HTTPS، وnosniff يمنع خلط أنواع الملفات، وX-Frame-Options وframe-ancestors يمنعان تضمين موقعك في إطار خداع (Clickjacking)، وReferrer-Policy يقلل تسريب الروابط، وCSP يحدد من أين يُسمح بتحميل السكربتات والصور. ابدأ بـCSP بوضع التقارير قبل التشديد حتى لا يتعطل شيء. المرجع: الأمان على MDN. ويمكنك فحص موقعك بأدوات مثل securityheaders.com.

11) أخفِ معلومات الإصدار

لا تكشف رقم نسخة الخادم أو نظام الإدارة في الرؤوس أو الصفحات. المهاجم يبحث عن النسخ الضعيفة.

12) صلاحيات الملفات والمجلدات

الملفات 644 والمجلدات 755 عادة، ولا تضع 777 أبدًا. امنع تنفيذ السكربتات في مجلدات الرفع (uploads). امنع عرض محتوى المجلدات (Options -Indexes في Apache). وحمِ ملفات الإعداد (.env, wp-config.php) بحيث لا تُقدَّم للعامة.

حماية التطبيق والنماذج وقاعدة البيانات

13) تحقق من كل المدخلات وهرّب المخرجات

أي بيانات من المستخدم (نماذج، روابط، رفع ملفات) تعتبر غير موثوقة. تحقق منها على الخادم (النوع والطول والصيغة)، وهرّب ما تعرضه في الصفحة لمنع هجمات XSS التي تحقن سكربتات ضارة.

14) استعلامات مُعلَّمة ضد حقن SQL

// خطر: دمج مدخل المستخدم داخل الاستعلام
db.query("SELECT * FROM users WHERE email = '" + email + "'");
// آمن
db.query('SELECT * FROM users WHERE email = $1', [email]);

وللتفاصيل قواعد البيانات SQL وNoSQL.

15) حماية النماذج من الرسائل المزعجة والهجمات

استخدم رمز CSRF للنماذج التي تغير بيانات، وتحقق مخفي (Honeypot) أو CAPTCHA غير مزعج لحجب الروبوتات، وحدّ عدد المحاولات لصفحات الدخول وإعادة تعيين كلمة المرور.

16) رفع الملفات بحذر

اسمح بأنواع محددة فقط، وتحقق من المحتوى لا من الامتداد فقط، وغيّر اسم الملف، واحفظه خارج مجلد التنفيذ، وحدّد الحجم الأقصى.

17) كلمات المرور المخزنة

لا تخزن كلمات المرور نصًا أبدًا؛ استخدم bcrypt أو argon2 مع ملح. وإن استخدمت نظامًا جاهزًا فتأكد أنه يفعل ذلك. ولا تضع مفاتيح API السرية في كود الواجهة أو في مستودع عام (راجع دليل Git وأهمية .gitignore). وللواجهات البرمجية دليل REST API.

18) الدفع الآمن

لا تخزن بيانات البطاقات على خادمك. استخدم بوابة دفع معتمدة تعالج البطاقة بنفسها (صفحة دفع مستضافة أو حقول مضمنة)، فتبتعد عن عبء الامتثال. وللتفاصيل دليل المتجر الإلكتروني.

الرصد والاستجابة

19) راقب وسجّل وتنبّه

• فعّل سجلات الخادم والتطبيق واحتفظ بها مدة كافية.
• أضف موقعك لأداة مراقبة التوقف.
• راقب تنبيهات Google Search Console (قسم الأمان والإجراءات اليدوية) (Google Search Console).
• راجع تغييرات الملفات غير المتوقعة أو المستخدمين الجدد.

20) خطة استجابة مكتوبة

إن اخترق موقعك فلا ترتجل. خطوات مجرّبة:

1. أوقف الضرر: فعّل وضع الصيانة أو احجب الوصول مؤقتًا.
2. غيّر كل كلمات المرور (الاستضافة، الإدارة، قاعدة البيانات، FTP، البريد) وفعّل 2FA.
3. احتفظ بنسخة للتحليل ثم افحص الملفات وقاعدة البيانات بحثًا عن الأكواد الضارة والمستخدمين الغرباء.
4. استعد من نسخة نظيفة سابقة للاختراق إن توفرت، ثم حدّث كل شيء.
5. سدّ الثغرة التي دخل منها المهاجم وإلا سيعود.
6. اطلب مراجعة جوجل إن ظهر تحذير في Search Console بعد التنظيف.
7. أبلغ المتضررين إن تسربت بيانات عملاء وفق ما يقتضيه القانون عندك.
8. وثّق ما حدث لتتعلم منه.

كيف تختبر مستوى أمان موقعك؟

• افحص رؤوس الأمان وشهادة SSL بأدوات مجانية على الإنترنت.
• شغّل Lighthouse وراجع قسم أفضل الممارسات (Lighthouse).
• راجع القائمة الأشهر للمخاطر OWASP وقارنها بموقعك.
• للمواقع الحساسة، اطلب فحص اختراق (Penetration Test) من مختص.

الأمان والسيو وسرعة الموقع

الأمان ليس منفصلًا عن نجاح موقعك التجاري. موقع مخترق قد يعرض صفحات غير مرغوبة ويضعه جوجل ضمن مواقع خطرة، فيخسر ترتيبه وزواره. وإجراءات مثل CDN والتخزين المؤقت تحسّن الأمان والسرعة معًا (تسريع الموقع). وللبدء الصحيح من اختيار الاستضافة راجع الدومين والاستضافة. وفي خدمة تصميم وبرمجة المواقع نضبط رؤوس الأمان والنسخ الاحتياطي ضمن التسليم.

أخطاء شائعة

• «موقعي صغير ولن يهاجمه أحد»: الهجمات آلية ولا تفرق.
• ترك الإضافات والقوالب قديمة شهورًا.
• كلمة مرور واحدة لكل شيء.
• حساب مدير مشترك بين عدة أشخاص.
• عدم أخذ نسخ احتياطية أو عدم اختبارها.
• ترك ملفات تجريبية أو نسخ قديمة (backup.zip, old/) على الخادم.
• تعطيل التحقق من الشهادة في التطبيقات لتجاوز مشكلة مؤقتة.

أسئلة شائعة

أسئلة شائعة

اقرأ أيضاً

مصادر موثوقة للاستزادة

• OWASP Top 10
• الأمان على MDN
• Let's Encrypt
• مركز التعلم في Cloudflare