حماية موقع ووردبريس من الاختراق: القائمة الأساسية

أغلب الثغرات التي تُكتشف في مواقع ووردبريس تقع في الإضافات والقوالب، لا في نواة ووردبريس نفسها، بحسب تقارير أمان ووردبريس السنوية؛ والاختراق يأتي غالباً من إهمال القواعد الأساسية للأمان: مثل استخدام إضافات مقرصنة، أو ترك صلاحيات الملفات مفتوحة، أو السماح للبوتات بتخمين كلمات المرور لآلاف المرات في الدقيقة دون رادع.

تأمين موقعك لا يتطلب شراء إضافات أمنية باهظة الثمن تبطئ الخادم؛ بل يبدأ بتطبيق قائمة ممارسات تقنية حاسمة تغلق الأبواب الخلفية الأكثر استهدافاً من المخترقين. فيما يلي القائمة الأساسية المرتبة بحسب الأولوية لحصانة موقعك.

1. تأمين حسابات المديرين والدخول#

البوابة الأولى لأي اختراق هي صفحة تسجيل الدخول:

• احذف اسم المستخدم admin فوراً: أول ما تجربه بوتات التخمين هو اسم admin أو اسم النطاق نفسه. أنشئ حساب مدير جديد باسم مستخدم غير متوقع، وامنحه صلاحية Administrator، ثم سجل الدخول منه واحذف الحساب القديم وانقل مقالاته للحساب الجديد.
• فعّل المصادقة الثنائية (2FA): تجعل اختراق حسابك مستحيلاً حتى لو تسربت كلمة المرور؛ حيث تطلب رمزاً متغيراً من تطبيق هاتفك (مثل Google Authenticator) عند كل تسجيل دخول.
• تحديد عدد محاولات الدخول الفاشلة (Limit Login Attempts): افتراضياً، يسمح ووردبريس بعدد لا نهائي من محاولات الدخول الخاطئة، مما يتيح لهجمات القوة الغاشمة (Brute Force) تجربة ملايين الكلمات. تفعيل إضافة حظر بعد 3 أو 5 محاولات فاشلة يوقف هذه الهجمات تماماً.
• تغيير رابط صفحة الدخول: تغيير مسار الدخول الافتراضي من /wp-login.php إلى رابط مخصص يخفّف كثيراً من الضغط الذي تسببه البوتات العشوائية على المعالج.

2. إغلاق محرر الملفات المدمج في لوحة التحكم#

يتضمن ووردبريس افتراضياً محرراً للأكواد داخل لوحة التحكم (المظهر > محرر ملفات القالب). إذا تمكن مخترق من الوصول إلى لوحة تحكمك بأي طريقة، فإن أول خطوة يقوم بها هي فتح هذا المحرر وحقن كود خبيث (Web Shell) داخل ملف functions.php للسيطرة على الخادم بالكامل.

يمكنك تعطيل هذا المحرر نهائياً بإضافة هذا السطر البسيط داخل ملف wp-config.php قبل سطر That's all, stop editing!:

define('DISALLOW_FILE_EDIT', true);

3. منع تنفيذ أكواد PHP داخل مجلد الرفع (Uploads)#

مجلد /wp-content/uploads/ مخصص لحفظ الصور والمستندات فقط؛ ولا يوجد أي مبرر على الإطلاق لوجود أو تشغيل ملف ينتهي بامتداد .php داخله. إذا استغل مخترق ثغرة في نموذج اتصال أو إضافة لرفع ملف PHP خبيث، فلن يتمكن من تشغيله إذا قمت بحظر التنفيذ.

على خوادم Apache أو LiteSpeed:#

أنشئ ملفاً جديداً باسم .htaccess داخل مجلد wp-content/uploads/، وضع فيه الكود التالي:

<Files "*.php">
Require all denied
</Files>

هذه صيغة Apache 2.4. الصيغة القديمة deny from all وOrder Allow,Deny خاصة بإصدار 2.2، ولا تعمل في 2.4 إلا إذا كانت وحدة التوافق mod_access_compat مفعلة.

على خوادم Nginx:#

أضف القاعدة التالية داخل كتلة server في ملف إعداد موقعك:

location ~* ^/wp-content/uploads/.*\.php$ {
    deny all;
}

4. ضبط الصلاحيات القياسية للملفات والمجلدات#

الصلاحيات المتساهلة (مثل إعطاء صلاحية 777 لأي مجلد) هي دعوة صريحة لأي سكربت خبيث لتعديل ملفات موقعك. التزم بالقاعدة القياسية الصارمة لووردبريس ولينكس:

• جميع المجلدات: يجب أن تأخذ الصلاحية 755 (أو 750 لمزيد من التشدد).
• جميع الملفات: يجب أن تأخذ الصلاحية 644 (أو 640).
• ملف wp-config.php الحساس: يجب أن يأخذ الصلاحية 440 أو 400 كما يوصي دليل تأمين ووردبريس، بحيث لا يستطيع قراءته إلا أنت وخادم الويب.

يمكنك تصحيح كافة الصلاحيات دفعة واحدة عبر الطرفية (SSH) بتشغيل الأمرين التاليين من داخل مجلد ووردبريس الرئيسي:

find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;
chmod 440 wp-config.php

5. حظر الوصول إلى ملف xmlrpc.php#

ملف xmlrpc.php صُمم قديماً للسماح للتطبيقات الخارجية بالتواصل مع ووردبريس. اليوم، ومع وجود REST API الحديث، لم يعد له استخدام لمعظم المواقع، وتحول إلى هدف رئيسي للمخترقين لتنفيذ هجمات تخمين مركزة (Amplified Brute Force) وهجمات حجب الخدمة (DDoS).

أغلق هذا الملف في خوادم Apache بإضافة الكود التالي في ملف .htaccess الرئيسي:

<Files "xmlrpc.php">
Require all denied
</Files>

6. حظر القوالب والإضافات المقرصنة (Nulled)#

استخدم فقط الإضافات المتاحة في دليل ووردبريس الرسمي wordpress.org/plugins أو اشتري القوالب من مطوريها المعتمدين.

7. النسخ الاحتياطي الخارجي المعزول#

أفضل خط دفاع أمني ليس جدار الحماية، بل النسخة الاحتياطية السليمة. إذا تعرض موقعك للاختراق أو التشفير، فإن استعادة نسخة احتياطية نظيفة يستغرق 10 دقائق فقط:

• لا تحتفظ بالنسخ الاحتياطية على نفس خادم الموقع؛ فالمخترق سيحذفها أولاً.
• اربط نظام النسخ الاحتياطي بمساحة تخزين سحابية خارجية مستقلة تماماً (مثل Google Drive أو Amazon S3 أو خادم بعيد).
• تأكد من أخذ نسخة يومية لقاعدة البيانات وأسبوعية للملفات.

كيف تفحص موقعك وتتأكد من خلوه من البرمجيات الخبيثة؟#

• الفحص الخارجي: افحص موقعك عبر أداة Sucuri SiteCheck (مجانية عبر sitecheck.sucuri.net) للكشف عما إذا كان موقعك مدرجاً في القوائم السوداء لجوجل أو يحتوي على سكربتات إعادة توجيه ضارة.
• الفحص الداخلي: يمكنك استخدام أداة الفحص الشهيرة WPScan لفحص موقعك واكتشاف الثغرات في الإضافات المثبتة قبل أن يستغلها المخترقون.
• مراقبة التغيير في الملفات: انتبه دائماً لأي ملف غريب يظهر في مجلدات ووردبريس بأسماء عشوائية مثل x.php أو alfa.php.

المصادر#

• WordPress Official Documentation: Hardening WordPress
• OWASP: WordPress Security Cheat Sheet
• WordPress Codex: Changing File Permissions