هل موقعي آمن؟ فحص في 15 دقيقة لأصحاب الشركات

على الأرجح لم تبنِ موقعك بنفسك. أعدّه شخص ما قبل بضع سنوات، وهو يعمل منذ ذلك الحين، وما دام نموذج التواصل يرسل الرسائل والمتجر يستقبل الطلبات، فلا سبب يدفعك إلى النظر في ما تحت الغطاء.

أغلب أصحاب المواقع لا يفكرون في الأمان إلا بعد أن يقع شيء: عميل يذكر تحويلًا غريبًا إلى موقع آخر، أو تحذير يظهر في Google، أو شركة الاستضافة توقف الحساب. وفي تلك المرحلة يكون الإصلاح أغلى، والضرر قد وقع.

تستطيع أن تكتشف كثيرًا من المشكلات قبل ذلك دون أي معرفة تقنية. فيما يلي ستة فحوص تستغرق نحو خمس عشرة دقيقة في المجموع. لا يلمس أي منها الشيفرة، ولا يمكن لأي منها أن يعطّل شيئًا.

1. انظر إلى موقعك كما يراه Google

افتح Google واكتب site:yourdomain.com مع عنوان موقعك. ستظهر لك قائمة بكل صفحات موقعك التي يعرفها Google.

تصفّح القائمة. أنت تبحث عن صفحات لا تعرفها: أسماء منتجات لم تبعها قط، أو نصوص باليابانية أو الصينية، أو روابط عن الصيدليات أو الكازينوهات أو القروض. كثيرًا ما تُضاف إلى المواقع المخترقة آلاف من صفحات الرسائل المزعجة هذه دون أن يلاحظ أحد، لأن المهاجم يريد أن يستعير سمعة موقعك في نتائج البحث. ولدى Google دليل خاص بإحدى صورها الشائعة، واسمها اختراق الكلمات المفتاحية اليابانية (Japanese keyword hack).

وإن كان لديك وصول إلى Google Search Console، فافتح تقرير مشاكل الأمان (Security issues) من القائمة الجانبية. يذكر Google هناك كل ما رصده في موقعك. والتقرير الفارغ خبر جيد.

2. تأكد أن القفل حقيقي

اضغط على رمز القفل بجانب العنوان في المتصفح وافتح تفاصيل الشهادة. انظر إلى تاريخ انتهاء الصلاحية. في أغلب خطط الاستضافة تتجدد الشهادات تلقائيًا، لكن «أغلب» لا تعني «كل». والشهادة المنتهية تعرض على زوارك صفحة تحذير تملأ الشاشة.

ثم اكتب عنوانك بيدك مع http:// بدل https://، ومرة مع www ومرة دونها. يجب أن تصل النسخ الأربع كلها إلى العنوان الآمن نفسه. وإن بقيت إحداها على http العادي، فالنماذج في تلك النسخة ترسل البيانات دون تشفير.

3. اعرف متى حُدّث الموقع آخر مرة

إن كان موقعك يعمل بـWordPress وتستطيع تسجيل الدخول، فافتح لوحة التحكم > التحديثات. سجّل ثلاثة أمور: إصدار WordPress، وعدد الإضافات التي تنتظر تحديثًا، وهل للقالب تحديث معلّق.

الإضافة التي لم تُحدَّث منذ عام هي الطريق الأكثر شيوعًا لاختراق مواقع WordPress. وتقول Patchstack، وهي شركة تتابع ثغرات WordPress، عامًا بعد عام إن الغالبية الكبرى من الثغرات الجديدة تقع في الإضافات وليس في WordPress نفسه.

وما دمت هناك، افتح صفحة الإضافات. كل إضافة معطّلة ما زالت موجودة على خادمك، ويمكن في أحيان كثيرة الوصول إلى ملفاتها مباشرة، سواء كانت مفعّلة أم لا. إن لم تكن تستخدم إضافة، فاطلب حذفها، لا تعطيلها فقط.

4. عُدّ الأشخاص الذين يستطيعون تسجيل الدخول

في لوحة الإدارة نفسها افتح المستخدمون واختر دور «مدير». واسأل نفسك عن كل اسم: هل ما زال هذا الشخص يعمل معك؟

الموظفون السابقون، والوكالة التي افترقت عنها قبل عامين، والمستقل الذي أصلح خطأ واحدًا: هذه الحسابات تبقى في العادة إلى الأبد. وكل حساب منها كلمة مرور لا تتحكم فيها، وربما تسربت في مكان آخر. احذف ما لا تحتاج إليه، وتأكد أن الحسابات الباقية تستخدم تسجيل الدخول بخطوتين.

5. تحقق ممن يستطيع إرسال البريد باسمك

ادخل إلى أداة فحص مجانية مثل MXToolbox، واختر فحص DMARC، واكتب نطاقك. ثم افعل الشيء نفسه مع SPF.

إن لم يكن لديك DMARC، فأي شخص يستطيع إرسال رسالة تبدو كأنها من عنوانك. لن يرى عملاؤك الفرق، والفاتورة المزيفة التي تحمل شعارك مع بيانات حساب بنكي غير بياناتك من أكثر أساليب الاحتيال الموجهة إلى الشركات الصغيرة شيوعًا. ومنذ 2024 يتوقع Gmail وYahoo أيضًا وجود DMARC لدى كل من يرسل البريد بكميات كبيرة، فغياب السجل يضر بنشراتك البريدية الحقيقية أيضًا.

السجل الذي ينص على p=none موجود لكنه يراقب فقط. أما ما يحميك فعلًا فهو p=quarantine أو p=reject. والانتقال إليه مهمة من يدير نطاقك، ويستغرق منه دقائق بعد إعداد SPF وDKIM.

6. اسأل أين تُحفظ النسخ الاحتياطية

هذا سؤال، لا ضغطة زر. اسأل من يتولى موقعك أين تُخزَّن النسخ الاحتياطية.

إن كان الجواب «في مجلد على الخادم نفسه»، فالأمر يستحق حديثًا آخر. ملف النسخة الاحتياطية الموجود في مجلد الموقع، باسم مثل backup.zip أو site-old.tar.gz، يستطيع أي شخص تنزيله إن خمّن العنوان. وفيه موقعك كاملًا، وغالبًا قاعدة بيانات العملاء وكلمة المرور إليها. والروبوتات تجرّب أسماء الملفات هذه في كل موقع تزوره.

النسخ الاحتياطية الجيدة تُحفظ في مكان آخر، وتعمل وفق جدول، وقد جرّب أحدهم استعادة واحدة منها مرة على الأقل.

ما لا تكشفه هذه الفحوص

الفحوص الستة أعلاه تغطي ما تستطيع رؤيته وأنت على مكتبك. ويفوتها ما يحتاج إلى أداة: هل تقبل نماذجك مدخلات يجب أن ترفضها، ومكتبات JavaScript القديمة ذات الثغرات المعروفة، والنطاقات الفرعية التجريبية المنسية، ومنافذ الخادم المفتوحة، وملفات الإعدادات المتروكة حيث يستطيع أي شخص قراءتها.

لهذه الفجوة بنيتُ ShieldWave. تكتب عنوانك، وخلال نحو 90 ثانية يجري أكثر من 20 فحصًا من هذا النوع من الخارج، كما يفعل المهاجم. ويشرح التقرير كل نتيجة بلغة واضحة، ويرتبها في ما يجب إصلاحه هذا الأسبوع وهذا الشهر ولاحقًا، ويعطيك ملخصًا جاهزًا ترسله إلى المطوّر. الفحص الأول مجاني ولا يحتاج إلى حساب.

خمسة أسئلة لمن يتولى موقعك

لا تحتاج إلى فهم الأجوبة بالتفصيل. تحتاج إلى أن تسمع أن أحدًا فكّر فيها.

1. متى حُدّث WordPress والقالب والإضافات آخر مرة، ومن يتولى ذلك؟
2. أين تُحفظ النسخ الاحتياطية، وكم مرة تُؤخذ، وهل استعدتَ واحدة منها من قبل؟
3. من يملك صلاحية المدير الآن؟
4. هل أُعدّت سجلات SPF وDKIM وDMARC لنطاقنا، وهل DMARC مضبوط على quarantine أو reject؟
5. لو اختُرق الموقع غدًا، ماذا ستفعل أولًا، وكيف سأعرف بذلك؟

وإن جاءت الأجوبة غامضة، فهذا يخبرك بشيء أيضًا. أمان موقع شركة صغيرة صيانة منتظمة، مثل صيانة السيارة. نادرًا ما يحتاج إلى ميزانية كبيرة. يحتاج إلى شخص ينظر فيه وفق جدول، وأنت تعرف الآن ما الذي تطلب منه أن ينظر فيه.