هل أحتاج إلى جدار حماية لـWordPress، أم يكفي ماسح البرمجيات الخبيثة؟

جدار الحماية والماسح يؤديان عملين مختلفين، ومعظم مواقع WordPress أفضل حالًا بنوعي الحماية معًا. جدار الحماية ينظر في كل طلب قبل أن يعالجه WordPress، ويرفض ما يطابق هجومًا. أما الماسح فينظر في ما هو موجود فعلًا على الموقع: الملفات والحسابات والإعدادات وإصدارات الإضافات. جدار الحماية لا يستطيع أن يخبرك بأن أحدهم زرع باب خلفي الشهر الماضي. والماسح لا يستطيع إيقاف الطلب الذي يزرعه.

ولا يلزم أن يكون جدار الحماية إضافة لـWordPress. في كثير من المواقع الصغيرة يأتي من شركة الاستضافة أو من شبكة CDN أمام الموقع.

ما يفعله جدار حماية تطبيقات الويب

يقع جدار حماية تطبيقات الويب (WAF) بين الزائر وموقعك. يقارن في كل طلب العنوان والمعاملات وحقول النماذج والترويسات بمجموعة من القواعد، ثم يحجب الطلب أو يبطئه أو يمرّره. وتلتقط القواعد النموذجية محاولات حقن SQL والبرمجة عبر المواقع (XSS)، وطلبات ملفات إضافات فيها ثغرات معروفة، وسيول محاولات تسجيل الدخول، والروبوتات الضارة.

ويمكن أن يعمل في ثلاثة أماكن:

• على الحافة، في CDN أو وكيل عكسي (reverse proxy) تمرّ به كل الحركة. الطلب المحجوب لا يصل إلى خادمك أبدًا، فلا يكلّف خادمك شيئًا.
• على الخادم، كوحدة في خادم الويب تشغّلها الاستضافة لكل موقع تخدمه.
• داخل WordPress، كإضافة. لا ترى الطلب إلا بعد أن يصل إلى خادمك ويبدأ PHP، وتستهلك من معالج استضافتك وذاكرتها مع كل طلب. وفي المقابل تعرف WordPress: من سجّل الدخول، وإلى أي إضافة ينتمي عنوان معين.

ما لا يستطيع جدار الحماية فعله

يحكم جدار الحماية على الطلبات واحدًا واحدًا، بالقواعد. وتبقى بعض الثغرات مفتوحة مهما كانت مجموعة القواعد:

• تسجيل دخول بكلمة مرور مسروقة لكنها صحيحة يبدو كأنه المالك يدخل.
• ثغرة في إضافة لم يكتب لها أحد قاعدة بعد تمرّ دون حجب. القواعد تتبع الثغرات المنشورة، فتوجد دائمًا فترة فاصلة.
• الشيفرة الموجودة أصلًا على الخادم تواصل العمل. جدار حماية يُركَّب بعد الاختراق لا يزيل الباب الخلفي.
• التغييرات التي تتم من حساب مدير، بما فيه حساب مخطوف، حركة عادية في نظر جدار الحماية.

لهذا تأتي التحديثات أولًا. قاعدة جدار الحماية لثغرة معروفة تكسب لك وقتًا حتى تحدّث. ولا تحل محل التحديث.

ما يفعله ماسح البرمجيات الخبيثة

الماسح يفحص حالة الموقع. والماسح الجيد لـWordPress:

• يقارن ملفات WordPress والإضافات والقوالب بالنسخ الرسمية على WordPress.org لإصدارك، فيكشف الملفات المتغيرة دون تخمين،
• يبحث عن ملفات PHP في مجلد الرفع (uploads)،
• يعرض حسابات المديرين وينتبه إلى الجديد منها،
• يقارن إصدارات الإضافات والقوالب بالثغرات المنشورة،
• يعثر على النسخ الاحتياطية ونسخ الإعدادات التي يستطيع أي شخص تنزيلها.

وهو لا يوقف شيئًا أثناء الهجوم. يخبرك بعده بما تغيّر وما يجب فعله. وطريقة قراءة هذه النتائج في مقال كيف تفحص موقعك بحثًا عن برمجيات خبيثة.

من أين يمكن أن يأتي جدار الحماية

من شركة الاستضافة. كثير من شركات الاستضافة تُرشّح الطلبات لكل موقع على خوادمها. اسألها كتابةً: هل أمام موقعي جدار حماية لتطبيقات الويب، ومن يحدّث قواعده، وهل أستطيع رؤية ما حجبه؟ إذا كان الجواب نعم، فقد لا تحتاج إلى طبقة أخرى.

من CDN أمام الموقع. تقع خدمة CDN مثل Cloudflare بين الزوار وخادمك، ويمكنها ترشيح الطلبات على الحافة. في 19 أكتوبر 2026 ذكرت وثائق WAF لدى Cloudflare (بالإنجليزية) أن مجموعة القواعد المُدارة المجانية (Free Managed Ruleset) متاحة في جميع خطط Cloudflare وتغطي الثغرات واسعة الاستغلال وعالية الأثر. وبعد إعداد CDN تحقق من أمرين. يجب ألّا يردّ خادمك على الطلبات التي تتجاوز CDN وتذهب مباشرة إلى عنوان IP الخاص به. ويجب أن ترى حماية تسجيل الدخول عنوان الزائر، لا عنوان CDN.

من إضافة جدار حماية. هذا هو الطريق حين لا تقدّم الاستضافة شيئًا ولا يناسبك CDN. قبل أن تختار واحدة، ابحث في صفحتها أو وثائقها عن:

• هل تُحمَّل قبل الإضافات الأخرى، فترى الطلب قبل الشيفرة المصابة بالثغرة،
• كم مرة تُحدَّث قواعدها، وهل يحصل المستخدمون المجانيون على القواعد الجديدة في الوقت نفسه الذي يحصل عليه الدافعون،
• وضع تعلّم أو تسجيل فقط، لترى ما كانت ستحجبه قبل أن تبدأ الحجب،
• أثرها على خادمك. قِس زمن التحميل قبل التثبيت وبعده بيوم.

اجعل جدار حماية واحدًا لكل طبقة. إضافتا جدار حماية على موقع واحد تؤديان العمل نفسه مرتين، وحين يُرفض أحد عملائك يصعب معرفة أيهما فعل ذلك.

أيهما تحتاج

• هل تُرشّح استضافتك الطلبات أصلًا؟ إذن يغطي الماسح والعادات الجيدة ما تبقى.
• هل تدير متجرًا أو منطقة أعضاء أو نماذج يستخدمها كثيرون؟ جدار الحماية على الحافة منطقي هنا، لأن ما يُهاجَم أكثر وما يُخسَر أكثر.
• هل تحدّث الإضافات خلال أيام من صدور الإصدار؟ إذن يلتقط جدار الحماية في الغالب ضجيجًا فقط. وإذا بقيت التحديثات أسابيع، فهو يغطي هذه الفجوة بالتحديد.
• هل ستعرف لو تغيّر ملف على الخادم الليلة؟ إن لم تكن ستعرف، فأنت بحاجة إلى ماسح مهما كان لديك غيره.

ولا يغني أيٌّ منهما عن نسخة احتياطية محفوظة بعيدًا عن الخادم. بعد الاختراق تعيد النسخة النظيفة الموقع إلى العمل.

ما يجب الانتباه إليه

• الحجب الخاطئ. جدار حماية يرفض ردود بوابة الدفع أو رسائل نموذج الاتصال يكلّفك طلبات، ولا يظهر لك أي خطأ. اقرأ سجله في الأسابيع الأولى.
• جدار الحماية ذريعةً لتأجيل التحديثات. قد تصل القاعدة بعد الهجوم.
• «التنظيف» الموعود ضمن الباقة. إزالة البرمجيات الخبيثة عمل على الملفات، يقوم به من يقرؤها. اسأل من يفعل ذلك وكيف يعرف الطريق الذي دخل منه المهاجم. وإلا بقي الطريق نفسه مفتوحًا.

أين تقع Ensomedia Security

Ensomedia Security في الأساس ماسح مع حماية لتسجيل الدخول ومفاتيح للتحصين. ومنذ الإصدار 1.1.26 فيها أيضًا جدار حماية الطلبات، وهو مطفأ حتى تفعّله. إنه مجموعة قواعد محلية على خادمك، لا جدار حماية سحابي (WAF)، ولا ينظّف موقعًا مخترقًا.

وهذا موقعه من القائمة أعلاه:

• يُحمَّل مبكرًا. ملف من النوع must-use يفحص كل طلب قبل تحميل الإضافات العادية. وعلى الاستضافات التي تشغّل PHP عبر CGI أو FastCGI، يشغّله إعداد التحميل قبل WordPress قبل WordPress نفسه عبر ملف .user.ini.
• تصل قواعده مع تحديثات الإضافة، وهي واحدة لكل المواقع لأن الإضافة ليست لها نسخة مدفوعة. تغطي هجمات الحقن الشائعة ورفع الملفات القابلة للتنفيذ، والحظر حسب عنوان IP أو نطاق العناوين أو البلد، وحدود الطلبات وأخطاء 404، واستثناءات ضيقة. وخلف Cloudflare يعمل حظر البلدان بنطاقات عناوين Cloudflare التي تأتي مع الإضافة منذ الإصدار 1.1.28. والحركة العادية (الدفع في WooCommerce ومحرر المكوّنات وواجهة REST والتعليقات ونماذج الاتصال وتسجيل الدخول) تغطيها اختبارات، وتمر وكل القواعد مفعّلة.
• فيه وضع التسجيل فقط. ابدأ به، واقرأ سجل الجدار أسبوعًا أو أسبوعين، ثم انتقل إلى حظر.
• يعمل على خادمك، فالطلب المحجوب يكون قد وصل إلى استضافتك وشغّل PHP. لذلك لا يخفف الحمل عن الخادم كما يفعل مرشّح على حافة الشبكة. ولا يرسل بيانات الطلبات إلى أي مكان، ويبقى سجله على موقعك 30 يومًا على الأكثر.

جدار الحماية لدى الاستضافة أو في CDN وهذا الجدار يعملان على طبقتين مختلفتين، فيمكن تشغيلهما معًا. لا تشغّله إلى جانب إضافة جدار حماية أخرى. وإذا حجبك يومًا، فالأسئلة الشائعة للإضافة تشرح كيف تطفئه دون لوحة التحكم.

ما تفعله أيضًا:

• تبدأ بالبصمات الرسمية (checksums). تُقارَن نواة WordPress وإضافات الدليل وقوالبه بالملفات التي نشرتها WordPress.org لإصدارك.
• لا تعيد كتابة الموقع من تلقاء نفسها أبدًا. لا تتغير الملفات والمستخدمون والإعدادات إلا حين تضغط زرًا أو تفعّل مفتاحًا. ويمكن نقل ملف عليه نتيجة بخطورة متوسطة أو أعلى إلى الحجر بزر واحد، وزر استعادة يعيده. ومنذ الإصدار 1.1.21 يستبدل زر واحد ملفًا متغيرًا من النواة أو الإضافات أو القوالب بأصله من WordPress.org ويحتفظ بالملف المتغير في الحجر، فاستعادته تتراجع عن الإصلاح. ومنذ الإصدار 1.1.25 تزيل أيضًا الشيفرة المحقونة في قالب أو إضافة مخصصة أو مجلد الرفع أو المقالات أو الخيارات: تعرض التغيير بالضبط، وتأخذ نسخة احتياطية، ولا تطبّقه إلا بعد موافقتك، ويمكن التراجع عن كل تنظيف. وأي تنظيف آخر تشرحه الإضافة فهو عليك أو على مطوّرك أو على استضافتك.
• تحدّ من تسجيلات الدخول الفاشلة لكل عنوان ولكل اسم مستخدم. ولا يُعتدّ إلا بعنوان الاتصال نفسه، لا بترويسة يمكن لطلب أن يزوّرها. خلف CDN أو وكيل تسرد عناوينه كوكلاء موثوقين وتختار الترويسة التي تحمل عنوان الزائر.
• ومنذ الإصدار 1.1.27 فيها فحوصات اختيارية لتسجيل الدخول: الدخول بمفتاح مرور دون كلمة مرور، والتحقق من البوت عند تسجيل الدخول والتسجيل وإعادة تعيين كلمة المرور، ورفض كلمات المرور الموجودة في تسريبات البيانات، وعنوان دخول مخفي، وفخاخ للرسائل المزعجة في التعليقات والتسجيل ونماذج الاتصال. كلها مطفأة حتى تفعّلها.
• فيها مفاتيح تحصين، كلها مطفأة حتى تفعّلها: محرر الملفات، وXML-RPC، وحظر PHP في مجلد الرفع، وترويسات الأمان. والترويسة التي يرسلها خادمك أو CDN أو إضافة أخرى فعلًا تُترك كما هي.
• فيها رقع افتراضية، وهي ضيقة النطاق عمدًا. بعد تفعيل موجز التهديدات المباشر، يستطيع ملف صغير من النوع must-use إيقاف طلب يستغل ثغرة معروفة في إضافة مثبّتة لديك، ما دام إصدارك المثبّت متأثرًا بها. وتحجب الرقع إذا قبلت عرض تفعيل الحماية بعد تفعيل الإضافة، وإلا فهي تكتفي بتسجيل الطلبات المطابقة. وهي لا تفحص كل الحركة كما يفعل جدار الحماية.

الفحوص والفحص اليومي المجدول وتنبيهات البريد الإلكتروني مجانية، دون حساب ودون حدود. أما جدار الحماية وفحوصات تسجيل الدخول وموجز التهديدات المباشر والبحث عن الثغرات والرأي الثاني من الذكاء الاصطناعي فتبقى مطفأة حتى تفعّلها. تجد الإضافة في دليل WordPress.org باسم Ensomedia Security، وتسرد صفحة الإضافة ما ترسله كل خدمة اختيارية. ومقارنة جنبًا إلى جنب مع Wordfence، بما تملكه كل إضافة وما ينقصها، في صفحة المقارنة (بالإنجليزية).

افحص موقعك من الخارج. أدخل عنوانك في shieldwave.io. يستغرق الأمر نحو 90 ثانية، ولا يحتاج إلى كلمة مرور ولا إلى إضافة.