رسائل كثيرة من إضافة الأمان في WordPress؟ كيف يبدو التنبيه المفيد

إن كانت إضافة الأمان ترسل إليك عدة رسائل في اليوم، فالأرجح أنك توقفت عن قراءتها. وهذه هي الكلفة الحقيقية لكثرة التنبيهات: الرسالة عن حساب مدير جديد تصل بين عشرين إشعارًا بحظر تسجيل الدخول، وتُحذف معها. يجب أن تكتب الإضافة أقل، وأن تقول أكثر حين تكتب، وأغلب ذلك مسألة إعدادات.

لماذا ترسل إضافات الأمان كل هذا

يأتي معظم الحجم من بضع عادات:

• رسالة لكل حدث. كل تسجيل دخول محجوب، وكل حظر، وكل تحديث لإضافة، وكل ملف تغيّر، رسالة مستقلة. وكل موقع على الإنترنت يتلقى كل يوم محاولات تسجيل دخول من الروبوتات، فهذا وحده قد يعني عشرات الرسائل.
• المشكلة نفسها مرة بعد مرة. إضافة قديمة لا تستطيع تحديثها هذا الأسبوع يُبلَّغ عنها بعد كل فحص.
• إشارات ضعيفة تُعامل كنتائج. الشيفرة التي تفك ترميز base64 أو تستدعي eval موجودة في كثير من الإضافات السليمة. والأداة التي تبلغ عن كل ظهور لها تحوّل شيفرة الموقع العادية إلى قائمة مشتبه بهم.
• أعطال تُعرض كمشكلات. حين لا تستطيع أداة الفحص الوصول إلى WordPress.org للحصول على قيم التحقق (checksums)، تبلغ بعض الأدوات عن كل ملف بأنه غير متحقق منه، ثم «يصلحها» الفحص التالي كلها مرة أخرى.

محاولة تسجيل دخول فاشلة من روبوت ليست خبرًا. وحظر أسماء مستخدمين عشوائية ضجيج خلفي في كل موقع على الإنترنت، والقفل أدى عمله بالفعل.

كيف يبدو التنبيه المفيد

خذ آخر بضعة تنبيهات وصلتك، وقارن كل واحد منها بهذه القائمة:

1. يتعلق بشيء جديد، أو بشيء ساء. المشكلة التي تعرفها مسبقًا لا تحتاج إلى رسالة ثانية.
2. يقول ماذا وأين وما درجة الخطورة. الملف أو الإضافة أو الحساب، ودرجة خطورة تخبرك هل هذا عمل اليوم.
3. يقول ما الذي تفعله. خطوة أو خطوتان، أو إلى من ترسله.
4. يقول ما درجة يقينه. «تطابقت شيفرة خبيثة في هذا الملف» و«هذا الملف غير معتاد، اسأل من يعرف الموقع» رسالتان مختلفتان، ويجب أن تبدوا مختلفتين.
5. يحتوي رابطًا إلى الشاشة التي تتصرف منها.
6. يصل في دفعة واحدة. رسالة واحدة لكل فحص تذكر كل ما هو جديد أفضل من عشر رسائل من الفحص نفسه.

إن عرفت ما تفعله خلال دقيقة من فتح الرسالة، فالتنبيه يعمل. وإن اضطررت إلى تسجيل الدخول لتعرف هل الأمر مهم أصلًا، فهو ضجيج.

ما الذي يستحق رسالة فورية

قائمة قصيرة من الأحداث تحتاج إلى رسالة فورًا، لأن انتظار الفحص التالي له ثمن:

• حساب أصبح مديرًا،
• محاولات تسجيل دخول فاشلة تحظر حساب مدير، أي أن أحدًا يستهدف ذلك الحساب،
• فحص وجد برمجية خبيثة أو ملفات WordPress معدّلة، بدليل واضح.

والباقي يمكن أن ينتظر الرسالة التي تلي الفحص المجدول، أو الملخص الأسبوعي: التحديثات المتاحة، والملاحظات منخفضة الخطورة، وحظر أسماء مستخدمين غير موجودة في الموقع.

كيف تضبط أي إضافة أمان

تعمل هذه الخطوات أيًا كانت الإضافة التي تستخدمها.

1. عُدّ لمدة أسبوع. أنشئ مجلدًا أو تصنيفًا لبريد الإضافة، وانظر ما يصل وكم مرة. وسجّل أي الرسائل دفعتك فعلًا إلى عمل شيء.
2. ارفع الحد. في أغلب الإضافات حد أدنى للخطورة التي تُرسل عندها الرسائل. ابدأ بالمشكلات الخطيرة فقط، واخفض الحد حين تقصر قائمة المشكلات المفتوحة.
3. أوقف الرسائل عن الحظر العادي. أبقِ القفل وتخلّ عن الرسالة. واحتفظ بالتنبيهات عن حسابات المديرين إن كانت الإضافة تعاملها بشكل منفصل.
4. أرسل التنبيهات إلى من يتصرف بناءً عليها. إن كان مطوّرك هو من يصلح المشكلات، فأضف عنوانه. وتأكد أن لا عنوان في القائمة يخص شخصًا لم يعد يعمل معك.
5. تجاهل ما غُيّر عن قصد، عنصرًا واحدًا في كل مرة. الملف الذي عدّله أحدهم عمدًا يمكن تمييزه بأنه معروف. وتأكد أن الإضافة تبلغ عنه من جديد إن تغيّر لاحقًا، وإلا صار كل تجاهل نقطة عمياء.
6. أرسل رسالة تجريبية وانظر في مجلد الرسائل المزعجة. التنبيه في مجلد الرسائل المزعجة عديم الفائدة مثل التنبيه الذي لا يقرأه أحد. وإن كانت تنبيهاتك تصل إلى هناك، فاطلب ممن يدير بريدك أن يفحص طريقة إرسال الموقع للبريد. ويشرح مقال SPF وDKIM وDMARC السجلات المعنية.
7. لا توجّه التنبيهات إلى مجلد لا تفتحه أبدًا. إن كنت تفضّل قراءتها مرة في الأسبوع، ففعّل الملخص بدل ذلك.

والصمت يحتاج إلى فحص أيضًا. إن لم تصل أي رسالة منذ أشهر، فأرسل رسالة تجريبية وابحث في شاشة الإضافة عن تاريخ آخر فحص. الفحص الذي توقف عن العمل لا يرسل شيئًا هو الآخر.

حين يكون التنبيه خاطئًا

الإنذار الكاذب نتيجة عن شيء سليم. قبل أن تتجاهله:

• افتح النتيجة واقرأ أي ملف أو إعداد تذكره،
• إن كان ملفًا من WordPress أو من إضافة أو قالب، فقارنه بنسخة جديدة من الإصدار نفسه،
• اسأل من بنى الموقع هل غيّره،
• أبلغ عنه في منتدى دعم الإضافة على WordPress.org، مع اسم الفحص وما تراه.

لا تعطّل فحصًا كاملًا بسبب نتيجة خاطئة واحدة. فالنتيجة الحقيقية التالية لن يبلغك بها أحد.

كيف تتعامل Ensomedia Security مع التنبيهات

هكذا تصف شيفرة Ensomedia Security وملف readme الخاص بها تنبيهاتها:

• رسالة واحدة لكل فحص، فقط عن المشكلات الجديدة أو التي ساءت عند الحد الذي تختاره أو فوقه، وأربع رسائل في اليوم على الأكثر. وما يتجاوز الحد ينتظر الرسالة التالية. والفحص الذي تبدؤه بنفسك عبر الفحص الآن لا يرسل رسالة، لأنك تنظر إلى النتيجة بالفعل.
• ثلاثة حدود في الإعدادات، تحت تنبيهات البريد الإلكتروني: الحرجة فقط، والخطيرة (الإعداد الافتراضي)، والأصغر منها أيضًا. ويقبل حقل إرسال إلى حتى خمسة عناوين، ويبيّن زر إرسال رسالة تجريبية هل تصل الرسائل إليها.
• فورًا حين يصبح حساب ما مديرًا، وحين يُحظر اسم مستخدم لمدير بعد محاولات تسجيل دخول فاشلة. وتتوقف رسائل الحظر عند ثلاث في اليوم لكل موقع.
• ملخص أسبوعي كل يوم اثنين، معطّل إلى أن تفعّله.
• الفحص الذي تعذّر تشغيله لا يرسل بريدًا أبدًا، ولا يضع على أي شيء علامة «تم الإصلاح»، فيبقى انقطاع WordPress.org صامتًا.
• النتائج غير المؤكدة لا تُرسل بالبريد أبدًا. تظهر تحت طلب التحقق من المطوّر. والإشارة الضعيفة الواحدة، مثل base64 في ملف، ليست نتيجة أبدًا، ولا تُرسل بالبريد إلا النتائج عالية اليقين.
• تجاهل يُخرج النتيجة من الدرجة ومن التنبيهات، والملف الذي تجاهلته يعود إن تغيّر مرة أخرى.

كل الفحوص، والفحص اليومي المجدول (الساعة 03:00 بتوقيت الموقع افتراضيًا)، وتنبيهات البريد مجانية وتعمل دون حساب. وتجد التفاصيل في صفحة الإضافة.

افحص موقعك من الخارج. اكتب عنوانك في shieldwave.io. يستغرق الفحص نحو 90 ثانية، ولا يحتاج إلى كلمة مرور ولا إلى إضافة.