ماذا تفحص أداة فحص أمان المواقع عبر الإنترنت، وما الذي لا تراه، وكيف تقرأ الدرجة؟

تنظر أداة فحص أمان المواقع عبر الإنترنت إلى موقعك كما يراه أي شخص على الإنترنت. تكتب العنوان، فترسل الأداة طلبات إلى الموقع، وتقرأ الردود، وتقارنها بقائمة من المشكلات المعروفة. ولا تحتاج إلى كلمة مرور ولا إلى إضافة ولا إلى وصول إلى خادمك.

ولهذا وجهان. الجيد: تحصل على جواب خلال دقائق، ولا تحتاج إلى أن تطلب من أحد صلاحية وصول. والحد: الأداة لا ترى إلا ما يعرضه الموقع للعالم الخارجي. فيما يلي ما يدخل في هذه الرؤية وما لا يدخل، وكيف تقرأ التقرير لتعرف خطوتك التالية.

ما الذي تراه أداة الفحص من الخارج

تبدأ أداة الفحص من حيث يبدأ المهاجم. الروبوتات التي تمشّط الإنترنت كل يوم بحثًا عن أهداف سهلة لا تملك كلمات مرورك أيضًا. تقرأ ما يمكن قراءته دون تسجيل دخول. وأداة الفحص الجيدة تنظر في الأماكن نفسها:

• الشهادة والتشفير. هل شهادة SSL صالحة ومتى تنتهي، وهل ما زال الخادم يقبل تشفيرًا قديمًا، وهل تنتهي كل صيغ عنوانك إلى https://.
• إصدارات البرمجيات. كثيرًا ما تكشف شيفرة صفحتك إصدار WordPress والقالب والإضافات ومكتبات JavaScript. وتطابقها الأداة مع قواعد بيانات الثغرات المعروفة.
• ملفات مكشوفة للجميع. نسخ احتياطية بأسماء مثل backup.zip، وملفات .env، ومجلد .git، والسجلات، ونسخ قواعد البيانات. إن كان الخادم يسلّمها لكل من يطلبها، فستراها الأداة.
• ترويسات الأمان وملفات تعريف الارتباط. هل يتلقى المتصفح التعليمات التي تصعّب تضمين موقعك داخل إطار في صفحة أخرى أو حقن نص برمجي فيه، وهل تحمل ملفات تعريف الارتباط الخاصة بالجلسة العلامات الصحيحة.
• البريد. سجلات SPF وDKIM وDMARC، وهي التي تحدد هل يستطيع شخص غريب إرسال بريد يبدو كأنه من نطاقك.
• الشيفرة الخبيثة والسمعة. هل النطاق مدرج في قوائم التهديدات مثل Google Safe Browsing، وهل تحتوي شيفرة الصفحة الرئيسية على إطارات مخفية أو تحويلات مريبة.
• المنافذ المفتوحة والنطاقات الفرعية المنسية. لوحة إدارة قاعدة بيانات مكشوفة على الإنترنت، أو نسخة تجريبية قديمة من الموقع على عنوان مثل test.yourdomain.com.

يجري ShieldWave أكثر من 20 فحصًا من هذا النوع دفعة واحدة، في نحو 90 ثانية. والفحوص التي ترسل بيانات اختبار إلى نماذجك لا تعمل إلا بعد أن تؤكد أن الموقع لك. ودون هذا التأكيد يقرأ ShieldWave فقط ما يعرضه الموقع لكل زائر.

ما لا تستطيع أداة الفحص عبر الإنترنت فحصه

كل ما يقع خلف تسجيل الدخول أو داخل الملفات على خادمك خارج متناول الفحص من الخارج:

• ملفات PHP. لا تستطيع الأداة فتح الملفات على الخادم، فلن تجد بابًا خلفيًا لا يترك أثرًا في الصفحة. في WordPress هذه مهمة إضافة تعمل من الداخل، أو أداة فحص البرمجيات الخبيثة في لوحة الاستضافة.
• الحسابات وكلمات المرور. لا تستطيع أن تعرف عدد المديرين لديك، ولا هل يسجّل أحدهم الدخول بكلمة «admin123»، ولا هل تسجيل الدخول بخطوتين مفعّل.
• إضافات لا تترك أثرًا. إن لم تضف الإضافة شيئًا إلى شيفرة الصفحة، فلا تستطيع الأداة معرفة إصدارها.
• محتوى قاعدة البيانات. رسائل مزعجة أُضيفت إلى منشورات قديمة ولا تظهر إلا في بضع صفحات.
• منطق متجرك أو تطبيقك. هل يستطيع العميل رؤية طلب عميل آخر إذا غيّر رقمًا في العنوان. هذا يفحصه شخص في اختبار الاختراق: يقضي مختص عدة أيام يحاول الاختراق يدويًا، وهو يعرف كيف يعمل نشاطك التجاري.

إذن الفحص من الخارج لا يغني عن الإضافة ولا عن اختبار الاختراق. هو يجيب عن سؤال آخر: ماذا يرى كل من يصل إلى موقعك، والروبوتات منهم. ولاثنين من أكثر الموضوعات تكرارًا في تلك القائمة مقالان مستقلان: الإضافات القديمة وترويسات الأمان.

كيف تقرأ درجة من 0 إلى 100

يلخّص ShieldWave الفحص في رقم واحد من 0 إلى 100. كلما ارتفع، قلّت المشكلات التي وجدتها الفحوص وقلّت خطورتها. ويفيد الرقم في أمرين: مقارنة موقعك بنفسه بعد الإصلاحات، وجواب سريع عن سؤال هل يحتاج شيء إلى عمل هذا الأسبوع.

ثلاث قواعد:

1. اقرأ القائمة لا الرقم وحده. الموقع الذي حصل على 70 وفيه مشكلة حرجة واحدة يحتاج إلى تحرك أسرع من موقع حصل على 60 وفيه عشرات الملاحظات البسيطة.
2. الدرجة العالية لا تعني أن الموقع آمن. تعني أن الفحوص الخارجية لم تجد إلا القليل. والأمور المذكورة في القسم السابق قد تظل خاطئة.
3. قارن التواريخ. الفحص نفسه بعد شهر يبيّن هل نجحت الإصلاحات، وهل ظهر شيء جديد، مثل ثغرة في إضافة نُشرت في هذه الأثناء.

أخطر ثلاث نتائج في الخطة المجانية

تعرض الخطة المجانية درجتك وأخطر ثلاث مشكلات لديك. القائمة قصيرة عن قصد: إن كان شيء يحتاج إلى إصلاح هذا الأسبوع، فسيكون فيها.

كل نتيجة تقول ما الخطأ وما معناه للنشاط التجاري، دون مصطلحات تقنية. وفي رأس القائمة تظهر عادة أمور مثل نسخة احتياطية يستطيع أي شخص تنزيلها، أو إضافة فيها ثغرة معروفة، أو شهادة على وشك الانتهاء.

ويرتب التقرير الكامل كل النتائج في ثلاثة أطر زمنية: هذا الأسبوع، وهذا الشهر، ولاحقًا. ويضيف ملخصًا لمطوّرك فيه التفاصيل التقنية التي يحتاج إليها لتسعير العمل. وإن لم تكن متأكدًا كيف تسلّمه ذلك، فاقرأ كيف تتحدث مع مطوّرك عن الأمان.

أين تقع moje.cert.pl

إن كانت شركتك أو مؤسستك في بولندا، فافتح حسابًا في moje.cert.pl. هي خدمة مجانية يديرها CERT Polska، فريق الاستجابة للحوادث الوطني الذي يعمل ضمن NASK. تستطيع أن تطلب فحص نطاقاتك، وتبلغك الخدمة بالثغرات المعروفة في البرمجيات التي تستخدمها، وبالنطاقات والنطاقات الفرعية ذات الإعدادات الخاطئة، وبتسريبات البيانات التي تشمل حسابات في نطاقك.

أنصح بها كل صاحب موقع في بولندا، أيًا كان ما يستخدمه غيرها. تُعدّها مرة واحدة، ثم تصل الإشعارات وحدها.

ويقف ShieldWave إلى جانبها حين تريد جوابًا فوريًا، بلغة واضحة، مع ترتيب للإصلاحات وملخص تستطيع تمريره. كلاهما ينظر من الخارج، فستتداخل النتائج جزئيًا.

كم مرة تفحص موقعك

مرة في الشهر تكفي أغلب الشركات الصغيرة. وافحص أكثر من ذلك حين:

• يتغير شيء في الموقع: إضافة جديدة، أو قالب جديد، أو انتقال إلى استضافة أخرى،
• يغادر شخص أو وكالة كان لديهما وصول إلى لوحة الإدارة،
• تلاحظ إشارة إلى خلل: تحذير من Google، أو عميل يذكر تحويلًا غريبًا، أو رسائل مزعجة تُرسل من نطاقك. وفي هذه الحالة اقرأ أيضًا علامات اختراق موقعك.

افحص موقعك. اكتب عنوانك في shieldwave.io. يستغرق الفحص نحو 90 ثانية، ولا يحتاج إلى كلمة مرور ولا إلى حساب.