إضافة Ensomedia Security لـWordPress: ما الذي تفحصه وكيف تستخدمها

Ensomedia Security إضافة مجانية لـWordPress تفحص موقعك من الداخل وتخبرك بكلمات واضحة بما فيه من خلل وكيف تصلحه. يُدرجها دليل WordPress.org باسم Ensomedia Security powered by shieldwave.io، وتظهر في لوحة التحكم باسم ShieldWave.

فحوصاتها الـ25 تبحث عن البرمجيات الخبيثة والملفات المعبوث بها، وعن الثغرات المعروفة في الإضافات والقوالب، وعن البريد العشوائي والسكربتات المخبأة في محتواك، وعن النسخ الاحتياطية التي يستطيع أي شخص تنزيلها، وعن الحسابات والإعدادات الخطرة. وهي أيضًا تحظر من يخمّنون كلمات المرور، وتضيف تسجيل الدخول بخطوتين. ولا تغيّر ملفاتك ولا مستخدميك ولا إعداداتك من تلقاء نفسها أبدًا. فالحجر وإعادة الأصل من WordPress.org وإزالة الشيفرة المحقونة لا تحدث إلا عندما تضغط زرًا.

تُظهر لقطات الشاشة الإصدار 1.0.3 بالمظهر الداكن، وتعرض واجهة الإضافة بالإنجليزية. الأزرار في رأس الإضافة تحوّلها إلى المظهر الفاتح.

ثبّتها وشغّل الفحص الأول

في لوحة التحكم اذهب إلى الإضافات > إضافة جديدة (Plugins > Add New Plugin)، وابحث عن «Ensomedia Security»، ثم اضغط التثبيت الآن وتفعيل. تتطلب WordPress 6.2 وPHP 7.4 أو أحدث. التفعيل لا يبدأ أي فحص ولا يرسل شيئًا إلى أي مكان.

افتح ShieldWave في القائمة اليمنى واضغط بدء الفحص الأول.

يستغرق الفحص الأول عادة بضع دقائق، لأن ShieldWave يسجل ملفاتك كخط أساس تُقارن به الفحوصات اللاحقة. والفحوصات التالية أسرع، لأن الملف النظيف الذي لم يتغير لا يُحلَّل مرة أخرى. تعمل الفحوصات في الخلفية بخطوات قصيرة، ولا تعمل أبدًا أثناء تحميل صفحة زائر، فيمكنك إغلاق التبويب. ومن ذلك الحين يفحص ShieldWave كل يوم في الساعة 03:00 بتوقيت موقعك. ويمكن تغيير الساعة وعدد المرات من الإعدادات.

قراءة النظرة العامة

تبدأ نظرة عامة بجملة واحدة عن موقعك: يبدو موقعك آمنًا، أو يبدو موقعك بحالة جيدة أي لا شيء عاجل لكن بعض الأمور يمكن تحسينها، أو أمر واحد يحتاج إلى انتباهك أو أكثر، مع ذكر الأهم تحتها، أو يُظهر موقعك علامات اختراق، وسيأتي شرحه أدناه.

تحتها ترى متى جرى آخر فحص ومتى موعد التالي، ودرجة من 100. في كل فحص تخصم أخطر مشكلة مفتوحة نقاطًا: 30 للحرجة، و15 للعالية، و8 للمتوسطة، و3 للمنخفضة.

وتحتها قائمة مهامك. المشكلات من النوع نفسه تتشارك صفًا واحدًا، فعدة إضافات قديمة تصنع بندًا واحدًا لا عدة بنود. وتقع الصفوف في أربع مجموعات:

• إصلاح الآن: مشكلات قد تسمح لأحدهم بدخول موقعك، أو علامات على أن أحدهم دخل بالفعل.
• يستحق الإصلاح: ليست عاجلة، لكن كل واحدة تجعل الهجوم أسهل.
• اطلب من مطوّرك التحقق: نتائج لا يكون ShieldWave متأكدًا منها، مثل ملف PHP جديد في إضافة مدفوعة ظهر دون تحديث. يستطيع من يعرف الموقع أن يحسم الأمر في دقيقة، ولا تُرسل بشأنها رسائل بريد أبدًا.
• معلومات مفيدة: تحسينات صغيرة لوقت الفراغ.

يسرد العمود الأيمن ما يحمي الموقع: الفحوصات التلقائية، وتنبيهات البريد، وفحص الثغرات المعروفة، وحماية تسجيل الدخول، وتسجيل الدخول بخطوتين، والتحصين. وأي شيء مطفأ يحمل رابط تفعيل إلى الإعدادات، ويبيّن الرقم على تبويب الإعدادات كم منها ما زال مطفأً. وما الذي يفحصه ShieldWave تحت القائمة ينفتح على كل فحص مع أحدث نتيجة له.

يحدد الكوكب تقريبًا مكان موقعك، وعليه نطاقك. ويأتي الموضع من المنطقة الزمنية المضبوطة في WordPress، ولا يُبحث عن شيء عبر الإنترنت. والطلقات المارّة فوقه محاكاة لحركة روبوتات نموذجية، كما تقول الملاحظة تحت الكوكب، وليست سجلًا لهجمات على موقعك. والزر بجانب الملاحظة يوقف الحركة.

إصلاح مشكلة واحدة

انقر على صف لفتحه.

يذكر البند المفتوح أي فحص وجده ومتى، وما الذي وُجد بالضبط، وفي صندوق خاص كيفية إصلاحها. وإذا كان الإصلاح يتم في شاشة من WordPress، فالزر الرئيسي يأخذك إليها: فتح التحديثات للإضافات القديمة، وفتح صفحة الأعضاء لمدير لم تتوقعه، وفتح الإعدادات العامة حين يحصل من يسجلون في موقعك على صلاحيات أكثر من اللازم. وإذا كان أحد مفاتيح ShieldWave نفسها يصلح المشكلة، كما في محرر الملفات أو XML-RPC، فالزر يفتح ذلك المفتاح.

بعض الإصلاحات يحتاج إلى من لديه وصول إلى الخادم. يضع نسخ لمطوّرك رسالة جاهزة في الحافظة: عنوان موقعك، وما وُجد وأين، والتفاصيل التقنية، وكيفية الإصلاح. الصقها في رسالة بريد فلا يبقى شيء تشرحه. وللاطلاع على بقية تلك المحادثة، انظر الحديث مع مطوّرك عن الأمان. وتسرد التفاصيل التقنية في الأسفل الملف والقاعدة المطابقة والشيفرة، أو رقم CVE للثغرة والإصدار الذي يصلحها.

إذا كانت النتيجة عن شيء غيّرته عن قصد، فاضغط تجاهل. تتوقف عن الاحتساب في الدرجة وفي التنبيهات، وتنتقل تحت رابط المتجاهَلة أسفل القائمة، حيث يعيدها زر استعادة. والملف المتجاهَل يعود من تلقاء نفسه إذا تغيّر مرة أخرى.

بعد الإصلاح اضغط الفحص الآن. يغادر البند القائمة حين لا يجد الفحص المشكلة.

حين تقول إن موقعك يُظهر علامات اختراق

يتطلب هذا العنوان دليلًا واضحًا: شيفرة خبيثة في ملف، أو ملفات PHP لـWordPress أو الإضافات أو القوالب تختلف عن الإصدار الرسمي، أو ملفات PHP ليس لها مكان هناك، أو web shell (سكربت يتيح لأحدهم التحكم بالخادم من متصفح) في مجلد الرفع، أو حساب بصلاحيات مدير دون دور المدير. أما النتائج التي لا يكون ShieldWave متأكدًا منها فلا تُظهره أبدًا.

عندئذٍ يعطي صندوق ما يجب فعله الآن فوق القائمة ثلاث خطوات:

1. لا تحذف الملفات ولا تعدّلها بعد. افتح البنود تحت إصلاح الآن لترى أي الملفات أو الحسابات معنيّة.
2. من جهاز تثق به، غيّر كلمات مرور كل مدير وحساب استضافتك وقاعدة البيانات.
3. أرسل التفاصيل إلى مطوّرك أو استضافتك بزر نسخ لمطوّرك. يستطيعان استعادة الملفات من نسخة احتياطية نظيفة.

حذف الملفات على عجل يُتلف الآثار التي تبيّن كيف دخل المهاجم، ويبقى الطريق الذي دخل منه مفتوحًا. ويتناول مقال علامات اختراق موقعك الساعة الأولى بتفصيل أكبر.

تفعيل الحماية من الإعدادات

الإعدادات صفحة واحدة بقائمة أقسام على اليسار.

الفحوصات التلقائية وتنبيهات البريد الإلكتروني مفعّلة منذ البداية. بعد فحص مجدول تصلك رسالة عن المشكلات الجديدة أو التي ازدادت سوءًا فقط، وبالمستوى الذي تختاره: الحرجة فقط، أو الخطيرة (الافتراضي)، أو الأصغر منها أيضًا. لا مرتين عن المشكلة نفسها، وأربع رسائل في اليوم كحد أقصى، ولا شيء بعد فحص بدأته أنت، لأنك تنظر أصلًا إلى النتيجة. ومفتاح منفصل يراسلك فورًا حين يصبح أحدهم مديرًا.

حماية تسجيل الدخول مفعّلة منذ البداية في التثبيت الجديد، وإن حدّثت من إصدار أقدم فعّلها من هنا. خمس محاولات دخول فاشلة من عنوان واحد (يمكنك الاختيار من 3 إلى 50) تحظر ذلك العنوان 20 دقيقة، أو المدة التي تحددها. الحظر مؤقت دائمًا، والعناوين الموثوقة لا تُحظر أبدًا، والعنوان الذي تفعّل منه الحماية يدخل في القائمة الموثوقة. والمفتاح نفسه يحفظ أسماء مستخدميك خاصة: يتوقف نموذج الدخول عن تأكيدها، ولا يستطيع الزوار غير المسجلين قراءتها من REST API أو خريطة الموقع أو حيلة ?author=.

تسجيل الدخول بخطوتين يعدّه كل مدير لحسابه. اضغط بدء الإعداد، وأضف المفتاح إلى تطبيق مصادقة مثل Google Authenticator أو Authy، واكتب الرمز المكوّن من ست خانات الذي يعرضه. لا يُطلب الرمز إلا بعد هذا التأكيد، وتحصل على عشرة رموز استرداد لاستخدام واحد لهاتف مفقود. يعرضها ShieldWave مرة واحدة، فاحفظها في مدير كلمات مرور.

التحصين فيه مفتاح لكل حماية. إيقاف محرر الملفات يزيل محرر شيفرة الإضافات والقوالب من لوحة التحكم، فلا تُستخدم كلمة مرور مدير مسروقة لزرع شيفرة عبره، وتستمر التحديثات في العمل. وإيقاف XML-RPC يغلق واجهة قديمة يستخدمها المهاجمون لتخمين كلمات المرور بالجملة، وإذا كانت إضافة تستخدمها تحتاج إليها، مثل Jetpack، فالإعداد يسميها. هذان المفتاحان لا يغيّران أي ملف، وإطفاء أحدهما يعيد الأمور فورًا. وحظر PHP في مجلد الوسائط المرفوعة يضيف حظرًا إلى ملف .htaccess في مجلد الرفع على Apache وLiteSpeed، ويعرض القاعدة التي تضيفها على nginx وIIS، والتحقق الآن يختبر أن الحظر يعمل. وإرسال ترويسات الأمان يضيف الترويسات التي لا يرسلها خادمك بعد. والرقع الافتراضية توقف الطلبات التي تستغل ثغرة معروفة في إضافة مثبّتة، حين يكون في موجز التهديدات رقعة لها. وتحديثات الأمان، التي تختارها لكل إضافة على حدة في WordPress 6.6 أو أحدث، تدع WordPress يثبّت إصدارًا يصلح ثغرة معروفة في إصدارك، ويتراجع عنه إن فشل التحديث.

فحوصات تسجيل الدخول وفخاخ الرسائل المزعجة مطفأة حتى تفعّلها. يمكنك السماح بالدخول بمفتاح مرور بدل كلمة المرور، وإضافة تحقق من البوت إلى نماذج تسجيل الدخول والتسجيل وإعادة تعيين كلمة المرور (لغز صغير يحله المتصفح، أو Cloudflare Turnstile بمفاتيحك أنت)، ورفض كلمات المرور الجديدة الموجودة في تسريبات البيانات، ونقل صفحة الدخول إلى عنوان تختاره، والتقاط النماذج التي يملؤها برنامج في التعليقات والتسجيل وContact Form 7 وWPForms. وإذا حجبتك إحداها، فالأسئلة الشائعة للإضافة تذكر السطر الذي تضيفه إلى wp-config.php أو أمر WP-CLI الذي يطفئها.

وجدار حماية الطلبات مطفأ كذلك. يفحص الطلبات على خادمك بقواعد محلية لهجمات الحقن الشائعة ورفع الملفات القابلة للتنفيذ، والحظر حسب IP والبلد، وحدود الطلبات، ولا يرسل بيانات الطلبات إلى أي مكان. شغّله في وضع التسجيل فقط، وانظر ما كان سيوقفه، ثم انتقل إلى حظر بعد أسبوع أو أسبوعين. ويشرح مقال هل أحتاج إلى جدار حماية لـWordPress؟ مكانه إلى جانب جدار الحماية لدى الاستضافة أو في CDN.

الحماية المباشرة فيها ثلاث ميزات، كلها مطفأة حتى تفعّلها، ولكل منها ملاحظة ما الذي يُرسَل:

• الثغرات المعروفة، بما يشمل الإضافات المدفوعة تنبهك حين تحمل إضافة أو قالب أو إصدار WordPress تستخدمه ثغرة أمنية منشورة، وتسمي التحديث الذي يصلحها. ترسل إصدار WordPress وأسماء إضافاتك وقوالبك وإصداراتها، ولا ترسل عنوان موقعك أبدًا.
• موجز التهديدات المباشر ينزّل قواعد برمجيات خبيثة جديدة ورقعًا افتراضية مرة كل ساعة تقريبًا. ولا يرسل شيئًا عن موقعك.
• رأي ثانٍ من الذكاء الاصطناعي يعطي حكمًا بلغة واضحة على ملف لا يستطيع الماسح الحكم عليه وحده، انطلاقًا من مقتطف قصير يُحذف منه أولًا عنوان موقعك وعناوين البريد وأي شيء يشبه كلمة مرور أو مفتاحًا. أما wp-config.php فلا يُرسل أبدًا.

بعد التفعيل تسألك الإضافة مرة واحدة هل تريد تفعيل الحماية. زر فعّل الحماية يشغّل البحث عن الثغرات وموجز التهديدات والرقع الافتراضية. وللرأي الثاني من الذكاء الاصطناعي هناك خانة خاصة، ويبقى مطفأ ما لم تحددها. أما زر تفعيل الحماية المباشرة في النظرة العامة فيفعّل الميزات الثلاث كلها، ومعها الرأي الثاني من الذكاء الاصطناعي، والمفاتيح في الإعدادات تتيح لك الاختيار. وعلى استضافة رخيصة أو مزدحمة افتح فحوصات إضافية، ثم متقدم، واضبط سرعة الفحص على هادئة.

السجل

يسجل السجل (History) كل فحص وكل تغيير يهم الأمان، يومًا بيوم، بجمل واضحة: مشكلات وُجدت أو أُصلحت، ومدير جديد، وإضافات ثُبّتت أو حُدّثت أو حُذفت، وقالب جديد، وتحديثات WordPress، وحالات حظر بعد محاولات دخول فاشلة، وتنبيهات أُرسلت، وإعدادات تغيّرت. ومنذ الإصدار 1.1.27 يسجل أيضًا عمليات تسجيل الدخول، والحسابات التي أُنشئت أو حُذفت، وتغييرات الأدوار، ومن عدّل مقالة أو صفحة أو نشرها أو نقلها إلى سلة المهملات، ويذكرها بعنوانها لا بمحتواها. وتحصر الأزرار في الأعلى العرض في الفحوصات أو في التغييرات في الموقع.

إذا ظهر مدير لا يتذكر أحد أنه أضافه، فالسجل يبيّن متى حدث ذلك، وهو أول ما سيسأل عنه مطوّرك أو استضافتك.

ما المجاني وما يحتاج إلى حساب

كل ما في هذا الدليل يعمل دون حساب، وليس للفحوصات والفحوصات المجدولة وتنبيهات البريد أي حدود. لا تجري الإضافة أي طلبات خارجية حين تفعّلها أو تفتح شاشاتها. وخلال الفحص تطلب من WordPress.org البصمات الرسمية (checksums)، وتطلب بضعة عناوين من موقعك أنت. أما ميزات الحماية المباشرة والربط بالحساب فلا تتصل بـshieldwave.io إلا بعد أن تفعّلها. والتحقق من كلمات المرور المسرّبة يتصل بخدمة Have I Been Pwned، وCloudflare Turnstile يتصل بـCloudflare، وكلاهما أيضًا بعد أن تفعّله فقط.

الحساب لإدارة مواقعك في مكان واحد. من الإعدادات > حساب ShieldWave اضغط الربط مع shieldwave.io، وسجّل الدخول أو أنشئ حسابًا مجانيًا وأكّد: تعود إلى WordPress مربوطًا، دون مفتاح تنسخه. ثم تعرض لوحة shieldwave.io الموقع بدرجته ومشكلاته المفتوحة، إلى جانب الفحص الخارجي للموقع نفسه. يعرض كل حساب، بما فيه الحساب المجاني، كل موقع مربوط. وما دام الموقع مربوطًا، تضيف الإضافة وسمًا غير مرئي إلى صفحتك الرئيسية، يتيح لـshieldwave.io تأكيد أن النطاق لك. ولا يرسل الربط إلا النتائج: لا تستطيع اللوحة تغيير أي إعداد ولا بدء أي شيء على موقعك، وفكّ الربط يزيل الموقع ونتائجه من shieldwave.io. ولا يزال بإمكانك لصق مفتاح API تحت استخدام مفتاح API بدلًا من ذلك. وتسرد صفحة الإضافة ما ترسله كل خدمة اختيارية.

ما لا تفعله الإضافة

• ليست جدار حماية كاملًا لتطبيقات الويب. جدار حماية الطلبات فيها يطبّق قواعد محلية على خادمك، ولا يغني عن مرشّح لدى الاستضافة أو في CDN. بعد التثبيت مباشرة لا ترفض الإضافة إلا تسجيل دخول سيئًا وغريبًا يطلب قائمة مستخدميك. وكل ما عدا ذلك لا ترفضه إلا بعد أن تفعّله: الطلبات التي يحجبها الجدار أو رقعة افتراضية، والنماذج التي تفشل في التحقق من البوت أو تقع في فخ للرسائل المزعجة، وكلمات المرور الموجودة في التسريبات، وزيارات عنوان الدخول القديم، ومحرر الملفات وXML-RPC.
• لا تنظّف موقعًا مخترقًا. تبيّن أين البرمجيات الخبيثة وماذا تفعل. والشيفرة المحقونة في قالب أو إضافة مخصصة أو مجلد الرفع أو المقالات أو الخيارات لا تزيلها إلا بعد موافقتك على كل تغيير، مع نسخة احتياطية وإمكانية التراجع. وبقية التغييرات تجريها أنت أو مطوّرك أو استضافتك.
• لا تنشئ نسخًا احتياطية. فحص النسخ الاحتياطية يبحث عن إضافة نسخ احتياطي وينبّهك حين تكون أحدث نسخة أقدم من 7 أيام. استعادة موقع بعد اختراق تحتاج إلى نسخة نظيفة محفوظة بعيدًا عن الخادم.
• لا تضيف شيئًا إلى الصفحات التي يراها زوارك، إلا وسم التحقق غير المرئي في الصفحة الرئيسية ما دام الموقع مربوطًا بحساب. وعند تفعيلهما، يضيف التحقق من البوت لغزًا أو Cloudflare Turnstile إلى نماذج الدخول، وتضيف فخاخ الرسائل المزعجة حقلًا مخفيًا إلى نماذج التعليقات والتسجيل والاتصال.

ومن المفيد كذلك حذف الإضافات التي لم تعد تستخدمها. يشرح مقال إضافات WordPress القديمة ما تحدّثه أولًا وما تزيله.