كيف تتحدث مع مطوّرك عن أمان الموقع

أمامك تقرير أمني، أو رسالة من شركة الاستضافة، أو رسالة من عميل يقول إن شيئًا ما يبدو غريبًا. ولست متأكدًا من مدى خطورة الأمر. لا تريد أن تبدو كمن لا يعرف شيئًا، ولا تريد أن تدفع ثمن عمل لم تكن هناك حاجة إليه.

لا تحتاج إلى معرفة تقنية لتجري حديثًا جيدًا مع مطوّرك. تحتاج إلى بنية: طلب واضح، وموعد محدد، وطريقة للتحقق من أن العمل أُنجز. وهذه طريقة ترتيب ذلك.

ماذا ترسل في الرسالة الأولى

يعمل المطوّر بأسرع ما يمكن حين يتلقى ثلاثة أمور منذ البداية.

النتيجة بكلمات مصدرها. انسخ اسم المشكلة كما كتبه التقرير أو شركة الاستضافة بالضبط. لا تُعِد صياغته. عبارة «Backup file publicly accessible»، أي ملف نسخة احتياطية متاح للعموم، تخبر المطوّر أكثر بكثير من «في النسخ الاحتياطية مشكلة ما».

العنوان الدقيق. لا «في الموقع»، بل العنوان الكامل للصفحة أو الملف، مثل https://yourdomain.com/backup.zip.

الدليل. لقطة شاشة يظهر فيها التاريخ، والتقرير الكامل مرفقًا، ورسالة الاستضافة محوّلة. هكذا لا يضطر أحد إلى تخمين ما رأيته.

يمكن أن تكون الرسالة كلها بهذا القِصر:

الموضوع: yourdomain.com، ملف نسخة احتياطية متاح للعموم

مرحبًا يا أحمد، أظهر فحص أمني في 2 سبتمبر أن نسخة احتياطية من الموقع يمكن تنزيلها من https://yourdomain.com/backup.zip. لقطة الشاشة والتقرير الكامل مرفقان. هل يمكنك أن تؤكد صحة ذلك، وترسل إليّ عرض سعر وموعدًا للإصلاح؟ وإن رأيت أنه إنذار كاذب، فأخبرني بالسبب في جملتين.

وشيء واحد لا ترسله: كلمات المرور في نص الرسالة. إن احتاج مطوّرك إلى الدخول إلى لوحة الإدارة، فأنشئ له حسابًا منفصلًا يسهل حذفه لاحقًا.

اطلب عرض سعر وموعدًا، لا «نظرة سريعة»

«ألقِ نظرة سريعة حين يتسع وقتك» طلب يمكن أن ينتظر أشهرًا. اطلب بدلًا منه أربعة أمور محددة: ما الذي سيُنجز بالضبط، وكم يكلف أو كم ساعة يستغرق، ومتى ينتهي، وهل قد يتوقف شيء عن العمل خلال ذلك.

السؤال الأخير أهم مما يبدو. تحديث إضافة قديمة قد يكون بسيطًا، وقد يجرّ معه تغييرات في القالب. الأفضل أن تعرف ذلك مسبقًا بدل أن تكتشف في عطلة نهاية الأسبوع أن نموذج الطلبات معطّل.

وإن كنت تدفع لمطوّرك رسمًا شهريًا، فاسأل هل الإصلاح مشمول أم يُحسب عملًا منفصلًا. وفي أي أمر خطير، اطلب منه أن يفصل بين أمرين: إزالة العَرَض وإغلاق السبب. حذف ملف خبيث دون معرفة كيف وصل إلى الخادم إصلاح يدوم نحو أسبوع.

اتفقا على ما يُنجز هذا الأسبوع وهذا الشهر ولاحقًا

ليس كل شيء عاجلًا، ومحاولة إصلاح كل شيء دفعة واحدة تعني في العادة أن لا شيء يُنجز كما يجب. ثلاثة أطر زمنية تعمل جيدًا.

هذا الأسبوع يشمل كل ما يمكن أن يستغله أحد الآن أو ما يكشف بيانات: ملف نسخة احتياطية أو ملف إعدادات يستطيع أي شخص تنزيله، وإضافة فيها ثغرة معروفة تُستغل حاليًا، وتحذير من Google، وشهادة منتهية، وحساب مدير لا يعرفه أحد، ونموذج يرسل البيانات دون تشفير.

هذا الشهر يشمل التحديثات المتأخرة التي لا يُعرف هجوم نشط عليها، وغياب سجل DMARC أو ضبطه على p=none، وترويسات الأمان الناقصة، والحسابات القديمة لموظفين أو متعاقدين سابقين.

لاحقًا يشمل ما يرفع مستوى الحماية لكنه لن يضر أحدًا إن انتظر بضعة أسابيع: إخفاء أرقام الإصدارات، وضبط سياسة أمان المحتوى بدقة، والانتقال إلى استضافة أفضل.

قد يرى مطوّرك الترتيب بشكل مختلف، ومن المفيد أن تسمع سببه. لكن القرار الأخير لك، لأنك من يتحمل الخطر ويدفع ثمن العواقب.

كيف تتحقق من أن الإصلاح أُنجز

كلمة «تم» في رسالة لا تكفي. اطلب ملاحظة قصيرة: ما الذي تغيّر، وأين، ومتى. تكفي جملتان، بشرط أن تكونا مكتوبتين.

بعض الأمور تستطيع التحقق منها بنفسك. إن كانت المشكلة ملف نسخة احتياطية، فيجب أن يعرض عنوانه الآن خطأ بدل أن يبدأ التنزيل. وإن كانت الشهادة، فسيعرض القفل في متصفحك تاريخ انتهاء جديدًا. وإن كانت التحديثات، فيجب ألا ينتظر شيء في قائمة صفحة الإضافات في WordPress.

أبسط طريقة للتحقق أن تشغّل الفحص نفسه الذي وجد المشكلة وتقارن النتائج. إن اختفت النتيجة من التقرير، فهذا تأكيدك. وإن لم تختفِ، فلديك سبب محدد لاستئناف الحديث.

واحفظ كل المراسلات في مجلد واحد. فهي تساعد في الإصلاح التالي، وإن تسربت البيانات يومًا، تبيّن أنك اعتنيت بالأمان، وهو ما تتوقع اللائحة العامة لحماية البيانات (GDPR) أن تستطيع إثباته.

ما الذي تتضمنه خطة صيانة معقولة

الإصلاحات لمرة واحدة تطفئ الحرائق. ولمنع اشتعالها، يحتاج الموقع إلى عناية منتظمة. هذا نطاق شهري معقول لموقع شركة صغيرة:

• تحديثات نظام إدارة المحتوى والقالب والإضافات مرة في الشهر على الأقل، وإصلاحات الأمان العاجلة قبل ذلك، مع فحص الموقع بعد كل تحديث،
• نسخ احتياطية محفوظة بعيدًا عن الخادم، مع تجربة استعادة بين حين وآخر،
• مراقبة أن الموقع يعمل وأن الشهادة ليست على وشك الانتهاء،
• مراجعة الحسابات التي تستطيع الدخول إلى لوحة الإدارة،
• فحص أمني دوري من الخارج،
• ملخص شهري قصير: ما الذي أُنجز وما الذي يحتاج إلى قرارك،
• زمن استجابة متفق عليه وقناة تواصل في حال الاختراق.

الأسعار تتفاوت كثيرًا، فقارن ما يتضمنه العرض لا الرقم الشهري وحده. وتأكد من أمر واحد أيًا كان ما ينص عليه العقد: يجب أن يكون النطاق والاستضافة مسجلين باسم شركتك، وأن يكون لديك حساب مدير خاص بك. إن انتهت العلاقة، يجب ألا تُمنع من دخول موقعك.

إشارات تحذير في الأجوبة

لا تحتاج إلى تقييم الموقع تقنيًا لتلاحظ أجوبة ينبغي أن تقلقك:

• «WordPress آمن، لا يوجد ما يُفعل».
• «لا نحدّث لأن شيئًا قد يتعطل». هذا صحيح أحيانًا، لكن الحل عندئذ نسخة تجريبية من الموقع (staging) تُجرَّب عليها التحديثات أولًا، لا ترك التحديثات.
• «النسخ الاحتياطية على الخادم». إن كان المقصود الخادم نفسه الذي يعمل عليه الموقع، فالاختراق أو العطل يذهب بها مع الموقع.
• «أرسل لي كلمة مرورك فقط». يجب أن يكون لكل شخص حسابه الخاص.
• «إنه إنذار كاذب»، دون أي تفسير.
• «سأتولى الأمر»، دون موعد.
• التردد في منحك الوصول إلى استضافتك أو نطاقك أو لوحة الإدارة الخاصة بك.

المطوّر الجيد لا يأخذ الأسئلة على محمل شخصي، لأن الأسئلة الواضحة تسهّل الاتفاق على النطاق والحصول على أجره. وإن جاءت الأجوبة غامضة أو دفاعية، فهذا يخبرك بشيء أيضًا، ومن المفيد أن تتذكره قبل العقد التالي.