استلام موقع عميل: ما الذي تفحصه قبل أن تقدّم عرض السعر
قائمة تحقق للوكالات والمستقلين الذين يستلمون موقعًا من مطوّر آخر: ما الذي تفحصه من الخارج وفي لوحة الإدارة، وكيف تحوّل النتائج إلى عرض سعر يفهمه العميل.
عميل جديد افترق عن مطوّره السابق ويريد من يتسلّم موقعه. ويسأل كم ستكلف الصيانة الشهرية. من المغري أن ترد بسعرك المعتاد. لكن المشكلة أنك لا تعرف بعد ما الذي ستلتزم به.
الموقع الذي انتقل من يد إلى يد قد يأتي بعشرات الإضافات، بعضها لم يلمسه أحد منذ زمن طويل، ونسخة من قاعدة البيانات في مجلد عام، وحساب مدير يخص شخصًا لا يتذكره أحد. إن سعّرته كموقع يحظى بعناية جيدة، فستعمل أسابيع الصيانة الأولى دون مقابل. وإن كان الموقع مخترقًا بالفعل، فمن يوم الاستلام يبدو الأمر مشكلتك أنت.
فيما يلي قائمة تحقق من جزأين: ما تستطيع فحصه من الخارج قبل أن يسلّمك العميل أي كلمة مرور، وما تنظر فيه في لوحة الإدارة بعد أن يسلّمك إياها. وفي الختام، كيف تحوّل النتائج إلى عرض سعر.
احصل على إذن العميل أولًا
النظر إلى الموقع كما يفعل أي زائر لا يحتاج إلى إذن أحد. أما تشغيل أدوات الفحص عليه فأمر مختلف: قد تتفاعل شركة الاستضافة أو المطوّر السابق بشكل سيئ مع حركة لم يتوقعاها. ورسالة من سطر واحد من العميل، «أوافق على أن تفحص الموقع قبل تقديم عرض السعر»، تحميك.
من الخارج، دون كلمات مرور
تستطيع أن تفعل كل هذا قبل الاجتماع الأول. يستغرق نحو نصف ساعة، وكثيرًا ما يكفي لتعرف هل سيكون العرض عاديًا.
الشهادة والتحويلات. هل يعمل الموقع عبر HTTPS فقط؟ وهل تصل http:// والنسختان مع www ودونها كلها إلى عنوان آمن واحد؟ ومتى تنتهي الشهادة، وهل ما زال الخادم يقبل TLS 1.0 و1.1 المتقاعدين؟ تجيب أداة فحص شهادة SSL (بالإنجليزية) عن كل ذلك في ثوانٍ.
البريد على النطاق. سجلات MX وSPF وDKIM وDMARC. غياب DMARC، أو DMARC مضبوط على p=none، بند في عرض سعرك، وإشارة إلى أن أحدًا لم ينظر في DNS منذ فترة. وسجّل أيضًا أين يُستضاف بريد العميل، لأن كل تغيير تجريه في DNS لاحقًا يجب أن يراعي ذلك. ويعرض فحص SPF وDKIM وDMARC (بالإنجليزية) الحالة الراهنة.
المنصة والإصدارات. على أي منصة يعمل الموقع، وأي إصدار، وأي الإضافات تظهر في شيفرة الصفحة، وهل تكشف أرقام إصداراتها. وسم generator ومعاملات ?ver= في عناوين النصوص البرمجية يخبرانك بالكثير. وطابق ما تجده مع قاعدة بيانات ثغرات مثل WPScan أو Patchstack.
ملفات لا ينبغي أن تكون عامة. backup.zip، ونسخ .sql، وwp-config.php.bak، ومجلد .git، وملف .env، وphpinfo.php. لا تخمّن العناوين يدويًا، فالأداة تفحصها أسرع وأشمل. وإن وجدت شيئًا، فلا تنزّله. سجّل العنوان وأبلغ العميل فورًا. ويشرح مقال النسخة الاحتياطية المنسية على خادمك لماذا لا يحتمل هذا الأمر الانتظار.
النماذج. هل يُرسَل كل نموذج عبر HTTPS، وهل توجد حماية من الرسائل المزعجة، وهل بجانبه إشعار بالخصوصية؟ أرسل استفسارًا تجريبيًا واحدًا واسأل العميل هل وصل، وإلى أي صندوق بريد. يحدث أن يظل نموذج التواصل يرسل طلبات العملاء المحتملين إلى عنوان موظف سابق لأشهر.
الترويسات والنطاقات الفرعية. إضافة ترويسات الأمان الناقصة عمل صغير في العادة، لكن مكانه في عرض السعر. والنطاقات الفرعية المنسية مثل test. أو old. قد تكون أخطر من الموقع الرئيسي، لأن أحدًا لا يحدّثها.
علامات الاختراق. ابحث في Google عن site:clientdomain.com وتصفّح النتائج. الصفحات باليابانية، أو عن الصيدليات أو الكازينوهات، تعني أنك تبدأ بالتنظيف، لا بالصيانة.
في لوحة الإدارة، بعد أن تحصل على الوصول
النسخ الاحتياطية. أين هي، وكم مرة تُؤخذ، وإلى أي مدى تعود في الزمن، ومن يستطيع الوصول إليها. واسأل هل استعاد أحد الموقع من واحدة منها من قبل. وقبل أن تغيّر أي شيء، خذ نسختك الاحتياطية الكاملة واحفظها خارج الخادم. هذا تأمينك إن تبيّن أن شيئًا كان معطلًا قبل وصولك.
حسابات المديرين. راجع كل مستخدم له دور «مدير». الحسابات التي تخص الوكالة السابقة، أو الموظفين السابقين، أو أشخاصًا لا يعرفهم أحد، يجب أن تُحذف بعد موافقة العميل. وتعامل مع الحساب الذي لا يستطيع أحد تفسيره على أنه إشارة محتملة إلى اختراق، لا على أنه فوضى.
الإضافات والقالب. عُدّ الإضافات، وسجّل أيها ينتظر تحديثات، وأيها معطّل، وأيها لم يصدر له إصدار جديد منذ زمن طويل. وافحص تراخيص الإضافات المدفوعة: باسم من هي، وهل انتهت صلاحيتها. الإضافة المدفوعة دون ترخيص لا تحصل على تحديثات، والنسخة «من مصدر غير رسمي» قد تحمل شيفرة إضافية. وانظر هل عُدّل القالب مباشرة بدل استخدام قالب فرعي (child theme)، لأن التحديث التالي سيمحو تلك التعديلات. ويشرح مقال إضافات WordPress القديمة ما تحدّثه أولًا وما تحذفه.
إصدار PHP والبيئة. تعرض شاشة صحة الموقع تحت أدوات إصداري PHP وقاعدة البيانات مع تحذيرات WordPress نفسه. وإصدار PHP القديم كثيرًا ما يمنع كل التحديثات الأخرى، فهو يحدد ترتيب العمل.
الاستضافة والنطاق وDNS. هذا البند يسهل تأجيله، ثم يعطّل كل شيء. اعرف باسم من سُجّل النطاق ومن يستطيع تسجيل الدخول إلى مسجّل النطاق، وعلى حساب من الاستضافة ومن يدفع ثمنها، ومن يستطيع تغيير DNS. والأفضل أن يكون كل شيء ملكًا للعميل، وأن تحصل أنت على حساب دخول خاص بك، لا على حساب المطوّر السابق. وإن كان النطاق مسجلًا باسم الوكالة القديمة، فابدأ النقل قبل أن تخطط لأي ترحيل.
النماذج من الداخل. إلى أين تذهب الطلبات المرسلة، وهل تُخزَّن في قاعدة البيانات، وإلى متى. سنوات من الاستفسارات القديمة المليئة بالبيانات الشخصية مسألة تخص العميل بموجب اللائحة العامة لحماية البيانات (GDPR)، فاذكرها في تقريرك حتى لو لم يكن القرار بيدك.
تحويل النتائج إلى عرض سعر
لا يرى العميل الفرق بين موقع يحظى بعناية جيدة وموقع مهمل. في المتصفح يبدوان متشابهين. وإن عرض عرضك رقمًا واحدًا لـ«استلام الموقع» وكان رقم منافسك أقل، فسيختار العميل الأقل. عليك أن تبيّن من أين يأتي الفرق.
قسّم العرض إلى ثلاثة أجزاء:
- الحالة الراهنة. قائمة قصيرة بما وجدته، مع تاريخ الفحص. ثلاث جمل لكل بند: ما الخطأ، وما الذي قد يكلفه للنشاط التجاري، وما الذي يجب فعله. دون مصطلحات تقنية. بدل «لا يوجد DMARC»، اكتب «يستطيع أي شخص إرسال رسائل تبدو كأنها من شركتك، ومنها الفواتير المزيفة».
- التنظيف الأولي. عمل لمرة واحدة ينتج عن الحالة الراهنة، ولكل بند سعره أو تقدير وقته. يرى العميل بالضبط ما الذي يدفع ثمنه، ويستطيع تحديد الأولويات إن كانت الميزانية محدودة. وضع على البنود العاجلة، مثل نسخة قاعدة بيانات مكشوفة للعموم، علامة «شرط للاستلام».
- الصيانة الشهرية. رسم ثابت للحفاظ على الموقع في الحالة التي توصله إليها.
وأضف جملة واحدة عن المسؤولية: صيانتك تغطي الموقع من تاريخ الاستلام، والمشكلات المذكورة تحت الحالة الراهنة لا تصبح مسؤوليتك إلا بعد إصلاحها. اطلب من محامٍ صياغتها بما يناسب سوقك، لكن المبدأ يحمي الطرفين. يعرف العميل ما يدفع ثمنه، ولا تُسأل أنت عن إهمال غيرك.
واحتفظ بأدلة يوم الفحص: التقرير، ولقطات الشاشة، وقائمة الحسابات والإضافات. فإن ظهرت بعد ثلاثة أشهر إصابة تعود إلى ما قبل وقتك، تستطيع أن تثبت ذلك.
تقرير يقرؤه العميل وحده
القائمة في عرض السعر تعمل أفضل حين يستطيع العميل إرسالها إلى شريك في العمل أو إلى محاسبه دون أن يتصل بك ليفهمها. لذلك يستحق تقرير الفحص، تحت علامتك التجارية، أن يُرفق بعرض السعر.
يتولى ShieldWave النصف الخارجي من قائمة التحقق هذه. يفحص الموقع دون إضافة أو كلمات مرور، وفي خطة Enterprise يحمل التقرير شعار وكالتك وبياناتها. يحصل العميل على شرح لكل مشكلة دون مصطلحات تقنية، وخطة إصلاح مرتبة حسب الأولوية، وتحصل أنت على النتائج مع العناوين والأدلة وتقدير وقت العمل لتبني منها عرض السعر. تكلف خطة Enterprise 29 دولارًا شهريًا لعدد غير محدود من المواقع، مع فترة تجربة 7 أيام. ولن تنظر بدلًا منك داخل لوحة الإدارة ولا في النسخ الاحتياطية ولا في قائمة الصلاحيات، فالنصف الثاني من قائمة التحقق يبقى عملك أنت.