إضافة أمان مجانية لـWordPress: ماذا يجب أن تفحص، وما الذي لا يجوز أن تفعله أبدًا؟
خمسة معايير تحكم بها على إضافة أمان مجانية دون أن تقرأ شيفرتها، وأربعة أمور ينبغي أن تبعدك عن أي إضافة.
في دليل إضافات WordPress.org إضافات كثيرة تحمل كلمة «security» في اسمها، ولكلها تقريبًا نسخة مجانية. الأوصاف متشابهة، وأنت لن تقرأ الشيفرة. فكيف تختار؟
فيما يلي خمسة معايير تستطيع الحكم بها بنفسك: من صفحة الإضافة في الدليل، ومن شاشة الإعدادات، ومن أول فحص. وبعدها قائمة بما لا ينبغي أن تفعله الإضافة المجانية، مع الإحالة إلى قواعد الدليل نفسه.
ما تستطيع الإضافة فعله وما لا تستطيعه
تعمل إضافة الأمان من داخل موقعك. ترى الملفات على الخادم، وقاعدة البيانات، وحسابات المستخدمين، والإعدادات. والفحص من الخارج لا يرى شيئًا من ذلك، فالإضافة الجيدة تغطي ما يحتاج إلى صلاحيات.
لكن الإضافة تبقى جزءًا من WordPress. ومن يسيطر على الموقع بصلاحيات المدير يستطيع إيقافها أو تغيير إعداداتها. لهذا لا تمنح أي إضافة حماية كاملة، ولا تعد بها أي إضافة صادقة. تعامل معها كطبقة واحدة، إلى جانب التحديثات والنسخ الاحتياطية وفحص الموقع من الخارج.
1. تفحص وتبلّغ، ولا تغيّر شيئًا إلا بأمرك
أغلب الفائدة تأتي من فحوص تقرأ فقط:
- مقارنة ملفات WordPress والإضافات والقوالب بالبصمات الرسمية (checksums) من WordPress.org لإصدارك، وهذا يكشف الملفات التي عُبث بها،
- البحث عن ملفات PHP في مجلد الرفع (uploads)، حيث لا مكان لها،
- عرض كل حساب لديه صلاحيات المدير،
- العثور على ملفات يسلّمها الخادم لأي أحد: نسخ من
wp-config.php، وتفريغات قاعدة البيانات، وأرشيفات فيها نسخة احتياطية من الموقع، - رصد الإعدادات التي تسهّل الاختراق: وضع التصحيح (debug) المتروك مفعّلًا، ومحرر الملفات في لوحة التحكم، وتسجيل المستخدمين المفتوح.
أما التغييرات، مثل إيقاف XML-RPC أو نقل ملف إلى الحجر، فيجب ألا تحدث إلا بعد أن تضغط زرًا. «الإصلاحات» التلقائية قد توقف متجرًا: تحذف الإضافة ملفًا بدا لها مشبوهًا، ثم يتبين أنه جزء من القالب.
كيف تتحقق: ابحث في صفحة الإضافة عن جملة تقول إنها لا تغيّر شيئًا دون موافقتك. وبعد أول فحص انظر: هل عُرضت النتائج فقط، أم تغيّر شيء بالفعل؟
2. لا تبطئ الموقع
فحص الملفات الكامل عمل حقيقي للخادم. الإضافة الجيدة تقسمه إلى خطوات صغيرة في الخلفية، وتتجاوز الملفات التي لم تتغير، ولا تفعل شيئًا ثقيلًا مع كل زيارة لصفحاتك.
كيف تتحقق: قِس زمن تحميل موقعك في PageSpeed Insights قبل التثبيت وبعده بيوم. وانظر أيضًا إلى لوحة الاستضافة، التي تعرض عادة استهلاك المعالج. إن ارتفع بوضوح بعد التثبيت وبدأت شركة الاستضافة ترسل تحذيرات، ففي الأمر خلل.
3. تتكلم بلغة واضحة ولا تطلق إنذارات كاذبة
كل نتيجة تحتاج إلى ثلاثة أمور: ماذا تعني، وما درجة خطورتها، وماذا تفعل. عبارة «Suspicious base64 string in file» دون شرح لا تخبرك بشيء.
والتنبيهات تخضع للقاعدة نفسها. الإضافة التي تراسلك بالبريد عن كل صغيرة تنتهي رسائلها خلال أسبوع في مجلد لا يقرؤه أحد. الأفضل أن تكتب فقط عن المشكلات الجديدة أو التي ازدادت سوءًا، وأن تصف النتائج غير المؤكدة بأنها غير مؤكدة بدل إطلاق الإنذار.
4. تراقب التحديثات
الإضافات القديمة أكثر الطرق شيوعًا لاختراق مواقع WordPress. وتجد المزيد عن ذلك في مقال إضافات WordPress القديمة.
إضافة الأمان الجيدة تبيّن أي إضافة أو قالب فيه ثغرة معروفة، وأي إصدار يصلحها. وتحذّر أيضًا من الإضافات التي أُغلقت في دليل WordPress.org أو تخلّى عنها مطوّرها، وتذكّرك بأن الإضافة المعطّلة تبقى على الخادم. وبهذه القائمة تعرف ما تحدّثه اليوم وما تحذفه.
5. تفتح لك طريقًا إلى الرؤية من الخارج
من الداخل لا ترى كل ما يراه الزائر. إعدادات الخادم، وسجلات البريد في DNS، والشهادة كما يراها الإنترنت، والنطاقات الفرعية المنسية: كل ذلك يُفحص من الخارج. الإضافة الجيدة إما أن تطلب موقعها نفسه عبر الإنترنت، لتختبر مثلًا هل يمكن الوصول إلى ملفات يجب أن تبقى خاصة، وإما أن تتيح لك الربط بفحص خارجي.
ويشرح مقال أدوات فحص أمان المواقع عبر الإنترنت الفرق بين الرؤيتين.
ما لا يجوز أن تفعله الإضافة المجانية أبدًا
لدليل WordPress.org إرشادات مفصلة للإضافات (بالإنجليزية). وعدد منها يتحول مباشرة إلى ما يحق لك أن تتوقعه:
- لا ترسل بيانات عنك دون موافقة. ينص الإرشاد 7 على أن الإضافات لا يجوز أن تتتبع المستخدمين دون موافقتهم. وإن كانت الإضافة تتصل بخدمة خارجية، فيجب أن تذكر صفحتها الخدمة وسبب الاتصال.
- لا تسحب الميزات بعد فترة تجريبية. لا يسمح الإرشاد 5 بالبرمجيات التجريبية (trialware) في الدليل، فلا ينبغي أن تتوقف إضافة مدرجة فيه عن العمل بعد بضعة أيام.
- لا تملأ لوحة التحكم بإعلانات النسخة المدفوعة. ينص الإرشاد 11 على أن الإضافات لا ينبغي أن تستولي على لوحة تحكم المدير. إشعار واحد عن خطة مدفوعة أمر طبيعي. أما اللافتات في كل شاشة فلا.
- لا تعد بحماية كاملة. الوعد بأمان تام إشارة إلى أن تقرأ صفحة الإضافة بعناية أكبر.
خيار واحد
بنيتُ بنفسي إضافة من هذا النوع: Ensomedia Security في دليل WordPress.org، وهي مرتبطة بـShieldWave. احكم عليها بالمعايير الخمسة نفسها التي تحكم بها على غيرها. وهذه الحقائق من صفحتها:
- تجري 25 فحصًا، وكل الفحوص والفحوص المجدولة وتنبيهات البريد مجانية، دون حساب ودون حدود،
- تقارن الملفات ببصمات WordPress.org، وتراقب التغييرات في الملفات التي لا يستطيع WordPress.org التحقق منها،
- تفحص في الخلفية بخطوات قصيرة، ولا تحلل الملفات التي لم تتغير مرة أخرى،
- لا تغيّر الملفات والمستخدمين والإعدادات إلا حين تضغط زرًا أو تفعّل مفتاحًا،
- ليست جدار حماية كاملًا لتطبيقات الويب، ولا تنظّف الملفات بدلًا منك: أنت أو مطوّرك أو شركة الاستضافة تنفّذون التغيير الذي تشرحه،
- تستطيع اختياريًا الاتصال بلوحة shieldwave.io، حيث يظهر الموقع إلى جانب فحصه الخارجي.
ودليل الإضافة شاشة بشاشة في مقال مستقل عن الإضافة.
ماذا تفعل بعد تثبيت أي إضافة أمان
- شغّل الفحص الأول، واقرأ أخطر النتائج أولًا.
- حدّث أو احذف الإضافات والقوالب التي فيها ثغرات معروفة.
- راجع قائمة المديرين، واحذف كل من لم يعد يعمل معك.
- جدول فحصًا. مرة في الأسبوع تكفي.
- افحص الموقع من الخارج لترى ما لا تراه الإضافة.
افحص موقعك من الخارج. أدخل عنوانك في shieldwave.io. يستغرق الأمر نحو 90 ثانية، ولا يحتاج إلى كلمة مرور ولا إلى إضافة.