ShieldWave blog
Plain-language articles about website security for people who run a business.
English
- php2shell: two critical PHP flaws are patched. Update your site's PHP todayPHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix CVE-2026-109618 and CVE-2026-109619, two unauthenticated remote code execution flaws. Who is affected, how to check your PHP version and what to do now.
- Two-factor login for WordPress: app codes, passkeys and how not to lock yourself outHow the second login step works on WordPress, how an authenticator code differs from a passkey, how to set it up for free, and what to prepare before someone loses their phone.
- Do I need a firewall for WordPress, or is a malware scanner enough?What a web application firewall and a malware scanner each do on a WordPress site, where a firewall can come from, and what to check before you add one.
- A WordPress activity log: how to find out who changed your site, and whenWhat WordPress records on its own, what it leaves out, what a good activity log should keep, and how to tell whether someone deleted entries from it.
- Too many emails from your WordPress security plugin? What a useful alert looks likeWhy security plugins flood the inbox, what an alert worth reading contains, which events deserve an email at once, and how to tune any plugin so the important message gets read.
- What does an online website security scanner check, what can it not see, and how do you read the score?What a scan from the outside can see, what needs a plugin or a penetration test, how to read a 0-100 score and the three most serious findings, and where moje.cert.pl fits.
- How can you check if a website has malware?The symptoms, a check in Google Safe Browsing and Search Console, what a scan from the outside finds, what to do first and when to call a developer.
- A free WordPress security plugin: what should it check, and what should it never do?Five criteria to judge a free security plugin without reading its code, and four things that should put you off one.
- The email that quotes your website: how scammers use what you publishAI-written messages built from your own website sound credible. What a company site tells a scammer, how to spot personalised phishing, and the rules that protect your payments.
- The Ensomedia Security plugin for WordPress: what it checks and how to use itA screen-by-screen guide to the free ShieldWave plugin for WordPress: the first scan, the Overview, fixing a problem, login protection, History, and what it does not do.
- How well protected are popular UAE and Saudi websites? 1,000 .ae and .sa domains measured (September 2026)On 24 September 2026 I checked the 500 most popular .ae and 500 .sa domains. About half guard their domain against e-mail spoofing; 21.9% still accept TLS 1.0.
- Taking over a client's website: what to check before you quoteA checklist for agencies and freelancers inheriting a site from another developer: what to check from the outside and in the admin panel, and how to turn the findings into a quote the client understands.
- How well protected are Poland's most popular websites? 1,000 .pl domains measured (September 2026)On 24 September 2026 I checked the 1,000 most popular .pl domains. Fewer than half guard their domain against e-mail spoofing; one homepage in four has a CSP.
- NIS2 and your website: what your clients will ask you as a supplierA client covered by NIS2 has sent you a supplier security questionnaire. Where the questions come from, which ones your website and email domain already answer, and how to prepare the evidence.
- What a DPO can check on a client's website without ITGDPR Article 32 and a client's public website: six things a data protection officer can check alone in 20 minutes, what stays invisible from the outside, and how to record the check with a date.
- Is my website secure? A 15-minute check for business ownersSix things you can check on your own website this afternoon, without touching code, and the five questions to ask whoever looks after it.
- Website security headers: what they are and what to ask forSix HTTP headers that tell the browser how to protect people on your website. What each one does, how to check yours, and a ready brief for your developer.
- Your contact form is a way in: how to secure itContact and order forms accept text from anyone, bots included. Spam, code injection, file uploads, captcha and honeypots, and who can read what people send.
- How to talk to your developer about website securityYou have a scan result or a worrying sign and need to pass it on. What to send, how to ask for a quote and a date, how to set priorities and check the fix.
- Saudi Arabia's Personal Data Protection Law and your company websiteWhat the Saudi Personal Data Protection Law asks of your company website: a privacy policy, consent for marketing messages, data security, and notifying SDAIA of any leak within 72 hours.
- Google says your site is dangerous: what to do, step by stepA red warning screen in the browser or a hacked label in Google results. Where they come from, how to confirm in Search Console, clean up and request a review.
- The UAE Personal Data Protection Law and your company websiteWhat Federal Decree-Law No. 45 of 2021 asks of your company website: consent, a privacy policy, data security, breach reporting, and when the DIFC and ADGM rules apply instead.
- GDPR and your website: what you are responsible for as the ownerYour contact form collects names, emails and phone numbers. Here is what GDPR expects from you, not your developer: security, the 72-hour rule and paperwork.
- Signs your website was hacked, and what to do in the first hourRedirects only on mobile, strange pages in Google, new admin accounts, emails in spam. How to recognise a break-in and what to do calmly in the first hour.
- SPF, DKIM and DMARC explained: who can send email in your nameA fake invoice sent from your address is a real risk. What SPF, DKIM and DMARC do, how to check your domain, and how to move safely from p=none to quarantine.
- Outdated WordPress plugins: what to update first and what to deleteWhy old plugins are the most common way into WordPress, how to spot them, what to update first, what to delete, and whether to switch on auto-updates.
- The forgotten backup on your server that anyone can downloadFiles such as backup.zip, .sql dumps and old/ folders in your web folder are easy pickings for bots. How to check, what to ask for, and where backups belong.
- SSL certificate expiring: what to do before customers see a warningHow to read your certificate's expiry date, what visitors see once it lapses, why automatic renewal sometimes fails, and what to ask your hosting company.
Polski
- php2shell: dwie krytyczne luki w PHP są załatane. Zaktualizuj PHP na swojej stronie dzisiajPHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35 naprawiają CVE-2026-109618 i CVE-2026-109619, dwie luki pozwalające zdalnie uruchomić kod bez logowania. Kogo dotyczą, jak sprawdzić wersję PHP i co zrobić teraz.
- Za dużo maili od wtyczki bezpieczeństwa? Jak wygląda alert, który warto czytaćSkąd się biorą dziesiątki maili od wtyczki bezpieczeństwa, co powinien zawierać dobry alert, o czym pisać od razu i jak ustawić dowolną wtyczkę, żeby ważna wiadomość nie zginęła.
- Logowanie dwuskładnikowe w WordPressie: kod z aplikacji, klucz dostępu i jak nie zablokować sobie kontaJak działa drugi krok logowania w WordPressie, czym kod z aplikacji różni się od klucza dostępu (passkey), jak włączyć to za darmo i jak przygotować się na zgubiony telefon.
- Firewall dla WordPressa: czy jest potrzebny, czy wystarczy skaner?Co robi firewall aplikacyjny (WAF), a co skaner złośliwego kodu, skąd wziąć firewall dla strony na WordPressie i co sprawdzić, zanim go włączysz.
- Dziennik aktywności w WordPressie: jak sprawdzić, kto i kiedy zmienił stronęCo WordPress zapisuje sam, czego nie zapisuje, co powinien zawierać dziennik zdarzeń i jak poznać, czy ktoś usunął z niego wpisy.
- Co sprawdza skaner bezpieczeństwa strony online, czego nie widzi i jak czytać wynik?Co widać na stronie z zewnątrz, co wymaga wtyczki albo pentestu, jak czytać wynik 0-100 i trzy najpoważniejsze problemy, i kiedy skorzystać z moje.cert.pl.
- Jak sprawdzić, czy strona ma wirusa?Objawy, sprawdzenie w Google Safe Browsing i Search Console, co znajdzie skan z zewnątrz, co zrobić najpierw i kiedy wezwać programistę.
- Darmowa wtyczka bezpieczeństwa do WordPressa: co ma sprawdzać, a czego nie powinna robić?Pięć kryteriów, po których ocenisz darmową wtyczkę bezpieczeństwa bez czytania kodu, i cztery rzeczy, które powinny Cię od niej odstraszyć.
- Mail, który cytuje Twoją stronę: jak oszuści używają tego, co publikujeszWiadomości pisane przez AI na podstawie Twojej strony brzmią wiarygodnie. Co strona firmy mówi oszustom, jak rozpoznać spersonalizowany phishing i jakie zasady chronią przelewy.
- Wtyczka Ensomedia Security do WordPressa: co sprawdza i jak z niej korzystaćDarmowa wtyczka ShieldWave do WordPressa ekran po ekranie: pierwsze skanowanie, Przegląd, naprawa problemu, ochrona logowania, Historia i to, czego wtyczka nie robi.
- Przejmujesz stronę klienta: co sprawdzić przed wycenąLista kontrolna dla agencji i freelancerów: co sprawdzić z zewnątrz i w panelu, zanim wycenisz opiekę nad stroną po poprzednim wykonawcy, i jak wpisać wyniki do oferty, żeby klient zrozumiał cenę.
- NIS2 a strona Twojej firmy: o co zapyta Cię klientKlient podlega znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa i przysłał Ci ankietę dla dostawców? Skąd te pytania, na które odpowiada Twoja strona i poczta i jak przygotować dowody.
- Co IOD może sprawdzić na stronie klienta bez informatykaArt. 32 RODO a strona internetowa klienta: sześć rzeczy, które inspektor ochrony danych sprawdzi sam w 20 minut, czego z zewnątrz nie zobaczy i jak udokumentować przegląd z datą.
- Jak zabezpieczone są popularne strony w ZEA i Arabii Saudyjskiej? Pomiar 1000 domen .ae i .sa (wrzesień 2026)24 września 2026 r. sprawdziłem 500 najpopularniejszych domen .ae i 500 .sa. Około połowa chroni domenę przed podszywaniem się w mailach, a 21,9% nadal przyjmuje TLS 1.0.
- Jak zabezpieczone są najpopularniejsze polskie strony? Pomiar 1000 domen .pl (wrzesień 2026)24 września 2026 r. sprawdziłem 1000 najpopularniejszych domen .pl. Mniej niż połowa chroni się przed podszywaniem w mailach, a co czwarta strona ma CSP.
- Czy moja strona jest bezpieczna? Test na 15 minut dla właściciela firmySześć rzeczy, które sprawdzisz na swojej stronie jeszcze dziś, bez dotykania kodu, i pięć pytań do osoby, która się nią opiekuje.
- Nagłówki bezpieczeństwa: co to jest i co zlecić programiścieSześć nagłówków HTTP, które mówią przeglądarce, jak chronić ludzi na Twojej stronie. Co robi każdy z nich, jak je sprawdzić i gotowe zlecenie dla programisty.
- Formularz kontaktowy jako furtka: jak go zabezpieczyćFormularze kontaktowe i zamówień przyjmują tekst od każdego, także od botów. Spam, wstrzykiwanie kodu, przesyłane pliki, captcha i to, kto czyta zgłoszenia.
- Jak rozmawiać z programistą o bezpieczeństwie stronyMasz wynik testu albo niepokojący sygnał i chcesz przekazać go programiście. Co wysłać, jak poprosić o wycenę i termin, ustalić priorytety i sprawdzić naprawę.
- Saudyjska ustawa o ochronie danych osobowych a strona Twojej firmyCzego saudyjska ustawa o ochronie danych osobowych wymaga od strony firmy: polityki prywatności, zgody na wiadomości marketingowe, zabezpieczenia danych i zgłoszenia każdego wycieku do SDAIA w ciągu 72 godzin.
- Google ostrzega przed Twoją stroną: co zrobić krok po krokuCzerwony ekran w przeglądarce albo dopisek o hakerach w wynikach Google. Skąd się biorą, jak je potwierdzić w Search Console, posprzątać i poprosić o przegląd.
- RODO a strona firmowa: za co odpowiadasz jako właścicielTwój formularz zbiera imiona, maile i numery telefonów? Zobacz, czego RODO wymaga od Ciebie, a nie od programisty: zabezpieczeń, zgłoszenia w 72 godziny i umów.
- Ustawa o ochronie danych osobowych w ZEA a strona Twojej firmyCzego federalny dekret z mocą ustawy nr 45 z 2021 r. wymaga od strony firmy: zgody, polityki prywatności, zabezpieczenia danych, zgłaszania naruszeń, oraz kiedy zamiast niego obowiązują przepisy DIFC i ADGM.
- Objawy zhakowanej strony i co zrobić w pierwszej godziniePrzekierowania tylko na telefonie, obce podstrony w Google, nowi administratorzy, maile w spamie. Jak rozpoznać włamanie i co zrobić w pierwszej godzinie.
- SPF, DKIM i DMARC po ludzku: kto może wysyłać maile w Twoim imieniuFałszywa faktura z Twojego adresu to prawdziwe ryzyko. Co robią SPF, DKIM i DMARC, jak sprawdzić swoją domenę i jak bezpiecznie przejść z p=none na quarantine.
- Nieaktualne wtyczki w WordPressie: co aktualizować, a co usunąćDlaczego stare wtyczki to najczęstsza droga do WordPressa, jak je znaleźć, co zaktualizować najpierw, co usunąć i czy włączać automatyczne aktualizacje.
- Zapomniana kopia zapasowa na serwerze, którą może pobrać każdyPliki backup.zip, zrzuty bazy .sql i foldery old/ w katalogu strony to łatwy łup dla botów. Jak to sprawdzić, o co poprosić i gdzie bezpiecznie trzymać kopie.
- Certyfikat SSL wygasa: co zrobić, zanim klienci zobaczą ostrzeżenieJak odczytać datę ważności certyfikatu, co widzi klient po jego wygaśnięciu, dlaczego automatyczne odnawianie czasem zawodzi i o co zapytać firmę hostingową.
Deutsch
- php2shell: Zwei kritische PHP-Lücken sind geschlossen. Aktualisieren Sie das PHP Ihrer Website noch heutePHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 beheben CVE-2026-109618 und CVE-2026-109619, zwei Lücken für Remotecodeausführung ohne Anmeldung. Wer betroffen ist, wie Sie Ihre PHP-Version prüfen und was jetzt zu tun ist.
- Zwei-Faktor-Anmeldung für WordPress: App-Codes, Passkeys und wie Sie sich nicht aussperrenWie der zweite Anmeldeschritt in WordPress funktioniert, worin sich ein Authenticator-Code von einem Passkey unterscheidet, wie Sie ihn kostenlos einrichten und was Sie vorbereiten sollten, bevor jemand sein Telefon verliert.
- Zu viele E-Mails vom WordPress-Sicherheitsplugin? So sieht eine brauchbare Warnung ausWarum Sicherheitsplugins das Postfach fluten, was eine lesenswerte Warnung enthält, welche Ereignisse sofort eine E-Mail verdienen und wie Sie jedes Plugin so einstellen, dass die wichtige Nachricht gelesen wird.
- Brauche ich eine Firewall für WordPress, oder reicht ein Malware-Scanner?Was eine Web Application Firewall und ein Malware-Scanner auf einer WordPress-Website jeweils leisten, woher eine Firewall kommen kann und was Sie prüfen sollten, bevor Sie eine hinzufügen.
- Ein Aktivitätsprotokoll für WordPress: So finden Sie heraus, wer Ihre Website wann geändert hatWas WordPress selbst aufzeichnet, was es auslässt, was ein gutes Aktivitätsprotokoll festhalten sollte und wie Sie erkennen, ob jemand Einträge daraus gelöscht hat.
- Wie prüfen Sie, ob eine Website Malware enthält?Die Anzeichen, eine Prüfung bei Google Safe Browsing und in der Search Console, was ein Scan von außen findet, was Sie zuerst tun und wann Sie einen Entwickler holen.
- Was prüft ein Online-Sicherheitsscanner für Websites, was sieht er nicht, und wie lesen Sie die Punktzahl?Was ein Scan von außen sieht, wofür es ein Plugin oder einen Penetrationstest braucht, wie Sie eine Punktzahl von 0 bis 100 und die drei schwersten Befunde lesen und wo moje.cert.pl ins Bild passt.
- Kostenloses WordPress-Sicherheits-Plugin: Was es prüfen sollte und was es nie tun darfFünf Kriterien, mit denen Sie ein kostenloses Sicherheits-Plugin beurteilen, ohne seinen Code zu lesen, und vier Dinge, bei denen Sie die Finger davon lassen sollten.
- Die E-Mail, die Ihre Website zitiert: wie Betrüger nutzen, was Sie veröffentlichenKI-geschriebene Nachrichten, gebaut aus Ihrer eigenen Website, klingen glaubwürdig. Was eine Firmenwebsite einem Betrüger verrät, wie Sie personalisiertes Phishing erkennen und welche Regeln Ihre Zahlungen schützen.
- Das Plugin Ensomedia Security für WordPress: Was es prüft und wie Sie es nutzenEine Anleitung Bildschirm für Bildschirm zum kostenlosen ShieldWave-Plugin für WordPress: der erste Scan, die Übersicht, ein Problem beheben, Anmeldeschutz, Verlauf und was das Plugin nicht tut.
- Wie gut sind beliebte Websites in den VAE und Saudi-Arabien geschützt? 1.000 .ae- und .sa-Domains gemessen (September 2026)Am 24. September 2026 habe ich die 500 beliebtesten .ae- und 500 .sa-Domains geprüft. Etwa die Hälfte schützt ihre Domain vor E-Mail-Spoofing, 21, % akzeptieren noch TLS 1.0.
- Wie gut sind die beliebtesten Websites Polens geschützt? 1.000 .pl-Domains gemessen (September 2026)Am 24. September 2026 habe ich die 1.000 beliebtesten .pl-Domains geprüft. Weniger als die Hälfte schützt ihre Domain vor E-Mail-Spoofing, jede vierte Startseite hat eine CSP.
- NIS2 und Ihre Website: Was Ihre Kunden Sie als Lieferanten fragen werdenEin Kunde, der unter NIS2 fällt, hat Ihnen einen Sicherheitsfragebogen für Lieferanten geschickt. Woher die Fragen kommen, welche davon Ihre Website und Ihre E-Mail-Domain schon beantworten und wie Sie die Nachweise vorbereiten.
- Die Website eines Kunden übernehmen: Was Sie vor dem Angebot prüfenEine Checkliste für Agenturen und Freelancer, die eine Website von einem anderen Entwickler übernehmen: was Sie von außen und im Backend prüfen und wie Sie aus den Befunden ein Angebot machen, das der Kunde versteht.
- Was ein Datenschutzbeauftragter auf der Website eines Mandanten ohne IT prüfen kannArtikel 32 DSGVO und die öffentliche Website eines Mandanten: sechs Punkte, die ein Datenschutzbeauftragter in 20 Minuten allein prüfen kann, was von außen unsichtbar bleibt und wie Sie die Prüfung mit Datum dokumentieren.
- Ist meine Website sicher? Ein 15-Minuten-Check für UnternehmerSechs Dinge, die Sie heute Nachmittag an Ihrer eigenen Website prüfen können, ohne Code anzufassen, und fünf Fragen an den, der sie betreut.
- Sicherheitsheader für Ihre Website: was sie sind und worum Sie bitten solltenSechs HTTP-Header, die dem Browser sagen, wie er die Menschen auf Ihrer Website schützt. Was jeder davon tut, wie Sie Ihre prüfen, und ein fertiger Auftrag für Ihren Entwickler.
- Ihr Kontaktformular ist ein Einfallstor: so sichern Sie es abKontakt- und Bestellformulare nehmen Text von jedem an, auch von Bots. Spam, eingeschleuster Code, Datei-Uploads, Captcha und Honeypots, und wer lesen kann, was Menschen schicken.
- Wie Sie mit Ihrem Entwickler über die Sicherheit Ihrer Website sprechenSie haben ein Scan-Ergebnis oder ein beunruhigendes Anzeichen und müssen es weitergeben. Was Sie schicken, wie Sie nach Angebot und Termin fragen, wie Sie Prioritäten setzen und die Behebung prüfen.
- Das saudische Datenschutzgesetz und die Website Ihres UnternehmensWas das saudische Gesetz zum Schutz personenbezogener Daten von Ihrer Unternehmenswebsite verlangt: Datenschutzerklärung, Einwilligung in Werbenachrichten, Datensicherheit und die Meldung jeder Datenpanne an SDAIA innerhalb von 72 Stunden.
- Google stuft Ihre Website als gefährlich ein: Was Sie Schritt für Schritt tunEin roter Warnbildschirm im Browser oder ein Hinweis auf einen Hack in den Google-Ergebnissen. Woher die Warnung kommt, wie Sie sie in der Search Console bestätigen, aufräumen und eine Überprüfung beantragen.
- DSGVO und Ihre Website: Wofür Sie als Inhaber verantwortlich sindIhr Kontaktformular sammelt Namen, E-Mail-Adressen und Telefonnummern. Was die DSGVO von Ihnen erwartet und nicht von Ihrem Entwickler: Sicherheit, die 72-Stunden-Regel und Dokumentation.
- Das Datenschutzgesetz der VAE und die Website Ihres UnternehmensWas das Bundesgesetzesdekret Nr. 45 von 2021 von Ihrer Unternehmenswebsite verlangt: Einwilligung, Datenschutzerklärung, Datensicherheit, Meldung von Datenpannen, und wann die Regeln von DIFC und ADGM gelten.
- Woran Sie erkennen, dass Ihre Website gehackt wurde, und was Sie in der ersten Stunde tunWeiterleitungen nur auf dem Handy, fremde Seiten bei Google, neue Administratorkonten, E-Mails im Spam. Wie Sie einen Einbruch erkennen und was Sie in der ersten Stunde in Ruhe tun.
- SPF, DKIM und DMARC erklärt: Wer darf in Ihrem Namen E-Mails senden?Eine gefälschte Rechnung von Ihrer Adresse ist ein reales Risiko. Was SPF, DKIM und DMARC tun, wie Sie Ihre Domain prüfen und wie Sie sicher von p=none zu quarantine wechseln.
- Veraltete WordPress-Plugins: Was Sie zuerst aktualisieren und was Sie löschenWarum alte Plugins der häufigste Weg in WordPress sind, wie Sie sie erkennen, was Sie zuerst aktualisieren, was Sie löschen und ob Sie automatische Updates einschalten sollten.
- Das vergessene Backup auf Ihrem Server, das jeder herunterladen kannDateien wie backup.zip, .sql-Dumps und old/-Ordner im Webverzeichnis sind leichte Beute für Bots. Wie Sie das prüfen, worum Sie bitten sollten und wohin Backups gehören.
- SSL-Zertifikat läuft ab: Was zu tun ist, bevor Kunden eine Warnung sehenWie Sie das Ablaufdatum Ihres Zertifikats ablesen, was Besucher sehen, wenn es abgelaufen ist, warum die automatische Verlängerung manchmal scheitert und was Sie Ihren Hoster fragen sollten.
Español
- php2shell: dos fallos críticos de PHP ya están corregidos. Actualice hoy el PHP de su webPHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen CVE-2026-109618 y CVE-2026-109619, dos fallos de ejecución remota de código sin autenticación. Quién está afectado, cómo comprobar su versión de PHP y qué hacer ahora.
- Un registro de actividad en WordPress: cómo saber quién cambió su sitio y cuándoQué registra WordPress por sí mismo, qué deja fuera, qué debería guardar un buen registro de actividad y cómo saber si alguien ha borrado entradas de él.
- Inicio de sesión en dos pasos para WordPress: códigos de aplicación, llaves de acceso y cómo no quedarse fueraCómo funciona el segundo paso del inicio de sesión en WordPress, en qué se diferencia un código de una aplicación de autenticación de una llave de acceso, cómo configurarlo gratis y qué preparar antes de que alguien pierda el móvil.
- ¿Demasiados correos de su plugin de seguridad de WordPress? Cómo es una alerta útilPor qué los plugins de seguridad llenan la bandeja de entrada, qué contiene una alerta que vale la pena leer, qué eventos merecen un correo inmediato y cómo ajustar cualquier plugin para que el mensaje importante se lea.
- ¿Necesito un cortafuegos para WordPress o basta con un escáner de malware?Qué hacen en un sitio WordPress un cortafuegos de aplicaciones web y un escáner de malware, de dónde puede venir el cortafuegos y qué comprobar antes de añadirlo.
- Un plugin de seguridad gratuito para WordPress: qué debe revisar y qué no debe hacer nuncaCinco criterios para valorar un plugin de seguridad gratuito sin leer su código, y cuatro señales que deberían hacerle desconfiar.
- ¿Qué revisa un escáner de seguridad web en línea, qué no puede ver y cómo se lee la puntuación?Lo que ve un análisis desde fuera, lo que necesita un plugin o una prueba de penetración, cómo leer una puntuación de 0 a 100 y los tres hallazgos más graves, y qué papel tiene moje.cert.pl.
- ¿Cómo comprobar si un sitio web tiene malware?Los síntomas, una comprobación en Google Safe Browsing y Search Console, lo que encuentra un análisis desde fuera, qué hacer primero y cuándo llamar a un desarrollador.
- El correo que cita su web: cómo usan los estafadores lo que usted publicaLos mensajes escritos por IA a partir de su propia web suenan creíbles. Qué le cuenta a un estafador la web de una empresa, cómo detectar el phishing personalizado y qué reglas protegen sus pagos.
- El plugin Ensomedia Security para WordPress: qué revisa y cómo usarloUna guía pantalla por pantalla del plugin gratuito de ShieldWave para WordPress: el primer análisis, el Resumen, cómo solucionar un problema, la protección del inicio de sesión, el Historial y lo que no hace.
- ¿Están bien protegidas las webs más populares de Polonia? Medición de 1000 dominios .pl (septiembre de 2026)El 24 de septiembre de 2026 revisé los 1000 dominios .pl más populares. Menos de la mitad protege su dominio contra la suplantación de correo, y una de cada cuatro páginas de inicio tiene CSP.
- ¿Están bien protegidas las webs populares de Emiratos y Arabia Saudí? Medición de 1000 dominios .ae y .sa (septiembre de 2026)El 24 de septiembre de 2026 revisé los 500 dominios .ae y los 500 dominios .sa más populares. Cerca de la mitad protege su dominio contra la suplantación de correo, y el 21,9 % sigue aceptando TLS 1.0.
- Qué puede revisar un DPD en la web de un cliente sin ayuda de informáticaEl artículo 32 del RGPD y la web pública de un cliente: seis cosas que un delegado de protección de datos puede comprobar solo en 20 minutos, lo que no se ve desde fuera y cómo dejar constancia fechada de la revisión.
- NIS2 y su sitio web: lo que sus clientes le preguntarán como proveedorUn cliente sujeto a NIS2 le ha enviado un cuestionario de seguridad para proveedores. De dónde salen las preguntas, cuáles responden ya su sitio web y su dominio de correo, y cómo preparar las pruebas.
- Hacerse cargo del sitio web de un cliente: qué revisar antes de presupuestarUna lista de comprobación para agencias y freelancers que heredan un sitio de otro desarrollador: qué revisar desde fuera y en el panel de administración, y cómo convertir los hallazgos en un presupuesto que el cliente entienda.
- ¿Es seguro mi sitio web? Una revisión de 15 minutos para propietarios de empresasSeis cosas que puede comprobar esta misma tarde en su propio sitio web, sin tocar código, y las cinco preguntas que debe hacer a quien lo mantiene.
- Cabeceras de seguridad de un sitio web: qué son y qué pedirSeis cabeceras HTTP que indican al navegador cómo proteger a las personas en su sitio web. Qué hace cada una, cómo comprobar las suyas y un encargo listo para su desarrollador.
- Su formulario de contacto es una puerta de entrada: cómo protegerloLos formularios de contacto y de pedido aceptan texto de cualquiera, también de bots. Spam, inyección de código, subida de archivos, captcha y honeypot, y quién puede leer lo que la gente envía.
- Cómo hablar con su desarrollador sobre la seguridad de su webTiene el resultado de un análisis o una señal preocupante y debe transmitirlo. Qué enviar, cómo pedir un presupuesto y una fecha, cómo fijar prioridades y cómo comprobar la corrección.
- La ley saudí de protección de datos personales y el sitio web de su empresaLo que la ley saudí de protección de datos personales exige al sitio web de su empresa: política de privacidad, consentimiento para mensajes comerciales, seguridad de los datos y notificación a SDAIA de cualquier filtración en 72 horas.
- Google dice que su sitio es peligroso: qué hacer, paso a pasoUna pantalla roja de aviso en el navegador o una etiqueta de sitio pirateado en los resultados de Google. De dónde salen, cómo confirmarlo en Search Console, limpiar el sitio y solicitar una revisión.
- El RGPD y su sitio web: de qué responde usted como propietarioSu formulario de contacto recoge nombres, correos y teléfonos. Esto es lo que el RGPD espera de usted, no de su desarrollador: seguridad, la regla de las 72 horas y documentación.
- La ley de protección de datos personales de los Emiratos y el sitio web de su empresaLo que el Decreto-ley federal n.º 45 de 2021 exige al sitio web de su empresa: consentimiento, política de privacidad, seguridad de los datos, notificación de brechas y cuándo se aplican las normas de DIFC y ADGM.
- Señales de que su sitio web ha sido hackeado y qué hacer en la primera horaRedirecciones solo en el móvil, páginas extrañas en Google, nuevas cuentas de administrador, correos en spam. Cómo reconocer una intrusión y qué hacer con calma en la primera hora.
- SPF, DKIM y DMARC explicados: quién puede enviar correo en su nombreUna factura falsa enviada desde su dirección es un riesgo real. Qué hacen SPF, DKIM y DMARC, cómo comprobar su dominio y cómo pasar con seguridad de p=none a quarantine.
- Plugins de WordPress desactualizados: qué actualizar primero y qué borrarPor qué los plugins antiguos son la vía de entrada más habitual a WordPress, cómo detectarlos, qué actualizar primero, qué borrar y si conviene activar las actualizaciones automáticas.
- La copia de seguridad olvidada en su servidor que cualquiera puede descargarArchivos como backup.zip, volcados .sql y carpetas old/ dentro de la carpeta de su web son presa fácil para los bots. Cómo comprobarlo, qué pedir y dónde deben guardarse las copias.
- Su certificado SSL caduca: qué hacer antes de que sus clientes vean una advertenciaCómo leer la fecha de caducidad de su certificado, qué ven los visitantes cuando caduca, por qué a veces falla la renovación automática y qué preguntar a su empresa de alojamiento.
Français
- php2shell : deux failles critiques de PHP sont corrigées. Mettez à jour le PHP de votre site dès aujourd'huiPHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent CVE-2026-109618 et CVE-2026-109619, deux failles d'exécution de code à distance sans authentification. Qui est concerné, comment vérifier votre version de PHP et que faire maintenant.
- Trop d'e-mails de votre extension de sécurité WordPress ? À quoi ressemble une alerte utilePourquoi les extensions de sécurité inondent la boîte de réception, ce que contient une alerte qui mérite d'être lue, quels événements justifient un e-mail immédiat et comment régler n'importe quelle extension pour que le message important soit lu.
- Faut-il un pare-feu pour WordPress, ou un scanner de logiciels malveillants suffit-il ?Ce que font un pare-feu applicatif web et un scanner de logiciels malveillants sur un site WordPress, d'où peut venir un pare-feu et ce qu'il faut vérifier avant d'en ajouter un.
- Un journal d'activité WordPress : savoir qui a modifié votre site, et quandCe que WordPress enregistre de lui-même, ce qu'il laisse de côté, ce que doit conserver un bon journal d'activité et comment savoir si quelqu'un en a supprimé des entrées.
- Connexion à deux facteurs pour WordPress : codes d'application, clés d'accès et comment éviter de vous enfermer dehorsComment fonctionne la deuxième étape de connexion sur WordPress, en quoi un code d'application diffère d'une clé d'accès, comment la mettre en place gratuitement et que préparer avant que quelqu'un perde son téléphone.
- Que vérifie un scanner de sécurité de site en ligne, que ne voit-il pas et comment lire le score ?Ce que voit une analyse de l'extérieur, ce qui demande une extension ou un test d'intrusion, comment lire un score de 0 à 100 et les trois constats les plus graves, et la place de moje.cert.pl.
- Extension de sécurité WordPress gratuite : que doit-elle vérifier, et que ne doit-elle jamais faire ?Cinq critères pour juger une extension de sécurité gratuite sans lire son code, et quatre signes qui devraient vous en détourner.
- Comment vérifier si un site contient un malware ?Les symptômes, un contrôle dans Google Safe Browsing et la Search Console, ce que trouve une analyse de l'extérieur, quoi faire en premier et quand appeler un développeur.
- L'e-mail qui cite votre site : comment les escrocs utilisent ce que vous publiezLes messages écrits par une IA à partir de votre propre site paraissent crédibles. Ce qu'un site d'entreprise apprend à un escroc, comment repérer l'hameçonnage personnalisé et les règles qui protègent vos paiements.
- L'extension Ensomedia Security pour WordPress : ce qu'elle vérifie et comment l'utiliserUn guide écran par écran de l'extension gratuite ShieldWave pour WordPress : la première analyse, la Vue d'ensemble, la correction d'un problème, la protection de la connexion, l'Historique, et ce qu'elle ne fait pas.
- Quel est le niveau de protection des sites populaires des Émirats et d'Arabie saoudite ? 1 000 domaines .ae et .sa mesurés (septembre 2026)Le 24 septembre 2026, j'ai analysé les 500 domaines .ae et les 500 domaines .sa les plus populaires. Environ la moitié protègent leur domaine contre l'usurpation d'e-mails, et 21,9 % acceptent encore TLS 1.0.
- Reprendre le site d'un client : ce qu'il faut vérifier avant de faire un devisUne liste de contrôle pour les agences et les indépendants qui héritent d'un site laissé par un autre développeur : ce qu'on vérifie depuis l'extérieur et dans l'administration, et comment transformer les constats en devis que le client comprend.
- Quel est le niveau de protection des sites les plus populaires de Pologne ? 1 000 domaines .pl mesurés (septembre 2026)Le 24 septembre 2026, j'ai contrôlé les 1 000 domaines .pl les plus populaires. Moins de la moitié protègent leur domaine contre l'usurpation d'e-mail ; une page d'accueil sur quatre a une CSP.
- NIS2 et votre site : ce que vos clients vous demanderont en tant que fournisseurUn client soumis à NIS2 vous a envoyé un questionnaire de sécurité pour fournisseurs. D'où viennent les questions, lesquelles votre site et votre domaine de messagerie traitent déjà, et comment préparer les preuves.
- Ce qu'un DPO peut vérifier sur le site d'un client sans service informatiqueArticle 32 du RGPD et site public d'un client : six points qu'un délégué à la protection des données peut contrôler seul en 20 minutes, ce qui reste invisible de l'extérieur et comment consigner le contrôle avec une date.
- Mon site est-il sécurisé ? Un contrôle de 15 minutes pour les chefs d'entrepriseSix points que vous pouvez vérifier sur votre site dès cet après-midi, sans toucher au code, et les cinq questions à poser à la personne qui s'en occupe.
- En-têtes de sécurité d'un site web : ce que c'est et quoi demanderSix en-têtes HTTP qui indiquent au navigateur comment protéger les personnes qui visitent votre site. Ce que fait chacun, comment vérifier les vôtres, et des consignes prêtes pour votre développeur.
- Votre formulaire de contact est une porte d'entrée : comment le sécuriserLes formulaires de contact et de commande acceptent du texte de n'importe qui, robots compris. Spam, injection de code, envoi de fichiers, captcha et pots de miel, et qui peut lire ce que les gens envoient.
- Comment parler de la sécurité de votre site avec votre développeurVous avez un résultat d'analyse ou un signe inquiétant à transmettre. Ce qu'il faut envoyer, comment demander un devis et une date, comment fixer les priorités et vérifier la correction.
- La loi saoudienne sur la protection des données personnelles et le site de votre entrepriseCe que la loi saoudienne sur la protection des données personnelles exige du site de votre entreprise : politique de confidentialité, consentement aux messages marketing, sécurité des données et notification de toute fuite à la SDAIA sous 72 heures.
- Google indique que votre site est dangereux : que faire, étape par étapeUn écran rouge dans le navigateur ou une mention de piratage dans les résultats Google. D'où ils viennent, comment confirmer dans la Search Console, nettoyer et demander un examen.
- RGPD et votre site : ce qui vous incombe en tant que propriétaireVotre formulaire de contact collecte des noms, des e-mails et des numéros de téléphone. Voici ce que le RGPD attend de vous, et non de votre développeur : sécurité, règle des 72 heures et documents.
- La loi des Émirats arabes unis sur la protection des données personnelles et le site de votre entrepriseCe que le décret-loi fédéral n° 45 de 2021 exige du site de votre entreprise : consentement, politique de confidentialité, sécurité des données, notification des violations, et les cas où les règles du DIFC et de l'ADGM s'appliquent à la place.
- Les signes d'un site piraté, et que faire dans la première heureRedirections seulement sur mobile, pages étranges dans Google, nouveaux comptes administrateurs, e-mails dans les spams. Comment reconnaître une intrusion et que faire calmement dans la première heure.
- SPF, DKIM et DMARC expliqués : qui peut envoyer des e-mails en votre nomUne fausse facture envoyée depuis votre adresse est un risque réel. Ce que font SPF, DKIM et DMARC, comment vérifier votre domaine et comment passer sans risque de p=none à quarantine.
- Extensions WordPress obsolètes : quoi mettre à jour en premier et quoi supprimerPourquoi les vieilles extensions sont la porte d'entrée la plus fréquente de WordPress, comment les repérer, quoi mettre à jour d'abord, quoi supprimer, et s'il faut activer les mises à jour automatiques.
- La sauvegarde oubliée sur votre serveur, que n'importe qui peut téléchargerDes fichiers comme backup.zip, des dumps .sql ou des dossiers old/ dans le répertoire du site sont des proies faciles pour les robots. Comment vérifier, quoi demander et où ranger les sauvegardes.
- Certificat SSL bientôt expiré : que faire avant que vos clients voient un avertissementComment lire la date d'expiration de votre certificat, ce que voient les visiteurs quand il expire, pourquoi le renouvellement automatique échoue parfois et ce qu'il faut demander à votre hébergeur.
中文
- php2shell：PHP 的两个严重漏洞已修复，请今天就更新网站的 PHPPHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了 CVE-2026-109618 和 CVE-2026-109619，这是两个无需登录即可远程执行代码的漏洞。谁受影响，如何查看 PHP 版本，现在该做什么。
- WordPress 双重验证登录：验证器代码、通行密钥，以及如何避免把自己锁在门外WordPress 的第二步登录验证如何工作，验证器代码与通行密钥有何不同，如何免费设置，以及在有人丢手机之前要准备什么。
- WordPress 需要防火墙吗，还是恶意软件扫描器就够了？Web 应用防火墙和恶意软件扫描器在 WordPress 网站上各自做什么，防火墙可以从哪里来，以及添加之前该检查什么。
- WordPress 活动日志：如何查出谁在什么时候改了你的网站WordPress 自己会记录什么，遗漏什么，一份好的活动日志应该保留什么，以及如何判断有人是否删除过其中的记录。
- WordPress 安全插件的邮件太多？一条有用的提醒应该是什么样安全插件为什么会把收件箱塞满，值得一读的提醒应包含什么，哪些事件需要立刻发邮件，以及如何调整任何一款插件，让重要的那一封被看到。
- 在线网站安全扫描工具检查什么，看不到什么，评分怎么读？从外部扫描能看到什么，哪些需要插件或渗透测试，如何解读 0 到 100 的评分和最严重的三项发现，以及 moje.cert.pl 的位置。
- 如何检查网站有没有恶意软件？能看到的症状，在 Google 安全浏览和 Search Console 里的检查，从外部扫描能发现什么，先做什么，以及什么时候该找开发者。
- 免费的 WordPress 安全插件：应该检查什么，绝不该做什么？不用读代码，就能评判一款免费安全插件的五条标准，以及四种应该让你打消念头的做法。
- 引用你网站内容的邮件：骗子如何利用你公开的信息用你自己的网站内容写出来的 AI 邮件，读起来很可信。公司网站会向骗子透露什么，如何识别定制化的钓鱼邮件，以及保护你付款安全的规则。
- WordPress 的 Ensomedia Security 插件：检查什么，怎么用免费 ShieldWave WordPress 插件的逐屏指南：首次扫描、概览、修复问题、登录保护、历史记录，以及它不做什么。
- 阿联酋和沙特的热门网站防护得如何？实测 1000 个 .ae 和 .sa 域名（2026 年 9 月）2026 年 9 月 24 日，我检查了最热门的 500 个 .ae 域名和 500 个 .sa 域名。约一半的域名防范了邮件伪造，21.9% 仍接受 TLS 1.0。
- 接手客户的网站：报价之前该检查什么给从其他开发者手中接手网站的代理公司和自由职业者的清单：从外部和在后台分别检查什么，以及如何把发现整理成客户看得懂的报价。
- 波兰最热门的网站防护得怎么样？实测 1000 个 .pl 域名（2026 年 9 月）2026 年 9 月 24 日，我检查了最热门的 1000 个 .pl 域名。不到一半的域名能防止邮件伪造，四个首页里只有一个启用了 CSP。
- NIS2 与你的网站：作为供应商，客户会问你什么一家受 NIS2 约束的客户给你发来了供应商安全问卷。这些问题从哪里来，哪些问题你的网站和邮件域名已经替你回答了，以及如何提前准备证据。
- 数据保护官不靠 IT 部门，能查客户网站的哪些地方GDPR 第 32 条与客户的公开网站：数据保护官 20 分钟内可以独自检查的六件事，从外部看不到什么，以及如何带着日期把检查记录下来。
- 我的网站安全吗？给企业主的 15 分钟自查今天下午就能在自己网站上完成的六项检查，不用碰代码，另外还有五个该问负责网站的人的问题。
- 网站安全标头：它们是什么，该要求配置什么六个 HTTP 标头，告诉浏览器如何保护你网站上的人。每个的作用，如何检查你自己的，以及一份可直接发给开发者的需求说明。
- 你的联系表单是一扇门：怎么给它上锁联系表单和订单表单会接收任何人输入的文字，机器人也不例外。垃圾信息、代码注入、文件上传、验证码和蜜罐，以及谁能看到用户提交的内容。
- 如何和开发者谈网站安全你手里有一份扫描结果，或者发现了令人担心的迹象，需要转告开发者。该发什么，怎样要报价和日期，如何排优先级，以及如何确认修复。
- 沙特阿拉伯《个人数据保护法》与你的公司网站沙特《个人数据保护法》对你的公司网站有什么要求：隐私政策、营销信息的同意、数据安全，以及发生泄露时 72 小时内通知 SDAIA。
- Google 提示你的网站有危险：一步一步该怎么办浏览器里的红色警告页，或 Google 搜索结果里的“已被入侵”标记。它们从哪里来，如何在 Search Console 中确认、清理并申请重新审核。
- 阿联酋《个人数据保护法》与你公司的网站2021 年第 45 号联邦法令对公司网站有哪些要求：同意、隐私政策、数据安全、泄露报告，以及何时改适用 DIFC 和 ADGM 的规则。
- GDPR 与你的网站：作为所有者，你要负什么责任你的联系表单收集姓名、邮箱和电话。通用数据保护条例（GDPR）要求你，而不是你的开发者，做到什么：安全措施、72 小时规则和书面材料。
- 网站被黑的迹象，以及发现后第一个小时该做什么只在手机上才跳转、谷歌里出现陌生页面、多出管理员账号、邮件进了垃圾箱。如何识别入侵，以及第一个小时怎样冷静应对。
- SPF、DKIM 和 DMARC 详解：谁能以你的名义发邮件用你的地址发出的假发票是真实的风险。SPF、DKIM 和 DMARC 各自的作用，如何检查你的域名，以及如何安全地从 p=none 过渡到 quarantine。
- 过时的 WordPress 插件：先更新什么，删除什么为什么旧插件是进入 WordPress 最常见的入口，如何发现它们，先更新什么，删除什么，以及要不要开启自动更新。
- 服务器上被遗忘的备份文件，任何人都能下载网站目录里的 backup.zip、.sql 导出文件和 old/ 文件夹，是机器人最容易得手的目标。怎么检查，该向开发者提什么要求，备份应该放在哪里。
- SSL 证书即将到期：在客户看到警告之前该怎么办如何查看证书的到期日期，到期后访客会看到什么，自动续期为什么有时会失败，以及该向主机商问什么。
العربية
- php2shell: ثغرتان حرجتان في PHP تم إصلاحهما. حدّث PHP موقعك اليومالإصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35 تصلح CVE-2026-109618 وCVE-2026-109619، وهما ثغرتان تتيحان تنفيذ تعليمات برمجية عن بُعد دون تسجيل دخول. من المتأثر، وكيف تعرف إصدار PHP لديك، وماذا تفعل الآن.
- تسجيل الدخول بخطوتين في WordPress: رموز التطبيق ومفاتيح المرور وكيف تتجنب إغلاق الباب على نفسككيف تعمل الخطوة الثانية لتسجيل الدخول في WordPress، وما الفرق بين رمز تطبيق المصادقة ومفتاح المرور، وكيف تعدّها مجانًا، وما الذي يجب تجهيزه قبل أن يفقد أحدهم هاتفه.
- هل أحتاج إلى جدار حماية لـWordPress، أم يكفي ماسح البرمجيات الخبيثة؟ما يفعله جدار حماية تطبيقات الويب وماسح البرمجيات الخبيثة على موقع WordPress، ومن أين يمكن أن يأتي الجدار، وما الذي تتحقق منه قبل أن تضيف واحدًا.
- سجل نشاط WordPress: كيف تعرف من غيّر موقعك ومتىما يسجله WordPress من تلقاء نفسه، وما يتركه، وما ينبغي أن يحفظه سجل النشاط الجيد، وكيف تعرف إن كان أحدهم قد حذف إدخالات منه.
- رسائل كثيرة من إضافة الأمان في WordPress؟ كيف يبدو التنبيه المفيدلماذا تُغرق إضافات الأمان صندوق البريد، وما الذي يحتويه التنبيه الذي يستحق القراءة، وأي الأحداث تستحق رسالة فورية، وكيف تضبط أي إضافة لتُقرأ الرسالة المهمة.
- ماذا تفحص أداة فحص أمان المواقع عبر الإنترنت، وما الذي لا تراه، وكيف تقرأ الدرجة؟ما الذي يراه الفحص من الخارج، وما الذي يحتاج إلى إضافة أو اختبار اختراق، وكيف تقرأ درجة من 0 إلى 100 وأخطر ثلاث نتائج، وأين تقع خدمة moje.cert.pl.
- كيف تعرف إن كان في موقعك برمجيات خبيثة؟العلامات، والفحص في Google Safe Browsing وSearch Console، وما يجده الفحص من الخارج، وماذا تفعل أولًا، ومتى تستدعي المطوّر.
- إضافة أمان مجانية لـWordPress: ماذا يجب أن تفحص، وما الذي لا يجوز أن تفعله أبدًا؟خمسة معايير تحكم بها على إضافة أمان مجانية دون أن تقرأ شيفرتها، وأربعة أمور ينبغي أن تبعدك عن أي إضافة.
- رسالة تقتبس من موقعك: كيف يستغل المحتالون ما تنشره شركتكرسائل يكتبها الذكاء الاصطناعي اعتمادًا على موقعك تبدو مقنعة. ماذا يكشف موقع الشركة للمحتال، وكيف تميّز التصيد الموجّه، وما القواعد التي تحمي تحويلاتك المالية.
- إضافة Ensomedia Security لـWordPress: ما الذي تفحصه وكيف تستخدمهادليل شاشة بشاشة لإضافة ShieldWave المجانية لـWordPress: الفحص الأول، ونظرة عامة، وإصلاح مشكلة، وحماية تسجيل الدخول، والسجل، وما لا تفعله.
- استلام موقع عميل: ما الذي تفحصه قبل أن تقدّم عرض السعرقائمة تحقق للوكالات والمستقلين الذين يستلمون موقعًا من مطوّر آخر: ما الذي تفحصه من الخارج وفي لوحة الإدارة، وكيف تحوّل النتائج إلى عرض سعر يفهمه العميل.
- ما مدى حماية أشهر المواقع في بولندا؟ قياس 1000 نطاق .pl (سبتمبر 2026)في 24 سبتمبر 2026 فحصتُ أشهر 1000 نطاق .pl. أقل من نصفها يحمي نطاقه من انتحال البريد، وصفحة رئيسية واحدة من كل أربع فيها CSP.
- NIS2 وموقع شركتك: ما الذي سيسألك عنه عملاؤك بصفتك موردًاأرسل إليك عميل يخضع لتوجيه NIS2 استبيانًا أمنيًا للموردين. من أين تأتي الأسئلة، وأيها يجيب عنه موقعك ونطاق بريدك مسبقًا، وكيف تجهّز الأدلة.
- ما مدى حماية المواقع الأكثر شعبية في الإمارات والسعودية؟ قياس 1000 نطاق (سبتمبر 2026)في 24 سبتمبر 2026 فحصتُ أشهر 500 نطاق إماراتي و500 نطاق سعودي. نصفها تقريبًا محمي من انتحال البريد، و21.9% منها لا تزال تقبل TLS 1.0. والأرقام لكل بلد على حدة.
- ما يستطيع مسؤول حماية البيانات فحصه في موقع العميل دون فريق تقنية المعلوماتالمادة 32 من اللائحة العامة لحماية البيانات وموقع العميل العام: ستة أمور يفحصها مسؤول حماية البيانات وحده في 20 دقيقة، وما لا يُرى من الخارج، وكيف يوثّق الفحص بتاريخه.
- هل موقعي آمن؟ فحص في 15 دقيقة لأصحاب الشركاتستة أمور تستطيع أن تفحصها في موقعك بنفسك اليوم دون أن تلمس الشيفرة، وخمسة أسئلة توجّهها إلى من يتولى صيانة الموقع.
- ترويسات أمان الموقع: ما هي وماذا تطلب من مطوّركست ترويسات HTTP تُخبر المتصفح كيف يحمي زوار موقعك. ما تفعله كل واحدة، وكيف تفحص ترويسات موقعك، ونص جاهز تُرسله إلى مطوّرك.
- علامات اختراق موقعك وما تفعله في الساعة الأولىتحويل زوار الجوال إلى مواقع غريبة، وصفحات لا تعرفها في Google، وحسابات مدير جديدة، ورسائل تصل إلى البريد المزعج. كيف تتعرف على الاختراق وماذا تفعل أولًا.
- نموذج التواصل باب إلى موقعك: كيف تؤمّنهنماذج التواصل والطلبات تقبل نصوصًا من أي أحد، والروبوتات منهم. الرسائل المزعجة، وحقن الشيفرة، ورفع الملفات، وcaptcha وhoneypot، ومن يستطيع قراءة ما يرسله الناس.
- كيف تتحدث مع مطوّرك عن أمان الموقعأمامك نتيجة فحص أو إشارة مقلقة وتحتاج إلى نقلها. ماذا ترسل، وكيف تطلب عرض سعر وموعدًا، وكيف تحدد الأولويات وتتحقق من الإصلاح.
- نظام حماية البيانات الشخصية في السعودية وموقع شركتكما يطلبه نظام حماية البيانات الشخصية السعودي من موقع شركتك: سياسة الخصوصية، والموافقة على الرسائل التسويقية، وأمن البيانات، وإشعار سدايا بأي تسرب خلال 72 ساعة.
- Google يقول إن موقعك خطير: ماذا تفعل خطوة بخطوةشاشة تحذير حمراء في المتصفح، أو إشارة إلى الاختراق في نتائج Google. من أين تأتي، وكيف تتأكد منها في Search Console، وكيف تنظّف الموقع وتطلب المراجعة.
- قانون حماية البيانات الشخصية في الإمارات وموقع شركتكما يطلبه المرسوم بقانون اتحادي رقم 45 لسنة 2021 من موقع شركتك: الموافقة، وسياسة الخصوصية، وأمن البيانات، والإبلاغ عن الاختراق، ومتى تنطبق قواعد DIFC وADGM.
- اللائحة العامة لحماية البيانات وموقعك: ما أنت مسؤول عنه بصفتك المالكنموذج التواصل في موقعك يجمع الأسماء وعناوين البريد وأرقام الهواتف. هذا ما تتوقعه منك اللائحة العامة لحماية البيانات، لا من مطوّرك: الأمان، وقاعدة 72 ساعة، والوثائق.
- فواتير مزيفة من بريد شركتك: SPF وDKIM وDMARC بكلمات بسيطةعميلك يتلقى فاتورة من عنوان شركتك برقم حساب آخر. ما الذي تفعله سجلات SPF وDKIM وDMARC، وكيف تفحص نطاقك، وكيف تشدد الحماية تدريجيًا دون أن يضيع بريدك الحقيقي.
- شهادة SSL على وشك الانتهاء: ماذا تفعل قبل أن يرى عملاؤك التحذيركيف تقرأ تاريخ انتهاء شهادة موقعك، وماذا يرى الزائر بعد انتهائها، ولماذا يتعطل التجديد التلقائي أحيانًا، وما الأسئلة التي ترسلها إلى شركة الاستضافة اليوم.
- إضافات WordPress القديمة: ماذا تحدّث أولًا وماذا تحذفلماذا تُعد الإضافات القديمة أكثر طرق اختراق WordPress شيوعًا، وكيف تكتشفها، وبأيها تبدأ التحديث، وما الذي تحذفه، وهل تفعّل التحديثات التلقائية أم تبقيها يدوية.
- نسخة احتياطية منسية على خادمك يستطيع أي شخص تنزيلهاملفات مثل backup.zip وتفريغات قاعدة البيانات .sql ومجلدات old/ في مجلد الموقع صيد سهل للروبوتات. كيف تتحقق، وماذا تطلب، وأين يجب أن تُحفظ النسخ الاحتياطية.