أمان الموقع الإلكتروني: الشهادة وكلمات المرور والنماذج

مقدمة

• أمان الموقع الإلكتروني لا يحتاج أن تكون خبيراً تقنياً، بل يحتاج عادات واضحة وقرارات صحيحة في من يملك الحسابات ومن يحدّث الموقع ومن يستعيده عند العطل.
• معظم المشكلات التي تصيب مواقع الأنشطة الصغيرة والمتوسطة في عُمان والخليج لا تأتي من هجمات معقدة، بل من أبواب بسيطة تُركت مفتوحة: كلمة مرور مكررة، أو إضافة لم تُحدَّث منذ سنتين، أو حساب لمطوّر سابق ما زال يعمل.
• هذا المقال ليس للتخويف. هو قائمة عملية لما تطلبه من فريقك أو من الجهة التي بنت موقعك، وما تفعله بهدوء إذا حدث اختراق.

أمان الموقع الإلكتروني بلغة صاحب النشاط: ماذا تحمي؟

قبل الأدوات، اعرف ما الذي تحميه فعلاً:

• بيانات العملاء: أسماء وأرقام هواتف ورسائل من النماذج، وطلبات وعناوين في المتاجر.
• سمعتك: موقع يعرض محتوى غريباً أو يحوّل الزوار إلى مواقع أخرى يضر بالثقة أكثر من أي إعلان سيئ.
• ظهورك في البحث: جوجل قد يعرض تحذيراً للزوار إذا اكتشف برمجيات ضارة على موقعك، وهذا يوقف الزيارات عملياً حتى يُعالَج.
• قدرتك على العمل: إذا كانت الطلبات أو الحجوزات تمر عبر الموقع، فتوقفه يعني توقف جزء من المبيعات.

الشهادة الأمنية وHTTPS: الأساس الظاهر للعميل

• الشهادة (SSL/TLS) تشفّر الاتصال بين متصفح الزائر وموقعك، فلا يستطيع طرف في الطريق قراءة ما يكتبه في النموذج.
• تأكد أن كل الصفحات تفتح على https، وأن من يكتب الرابط بصيغة http يُحوَّل تلقائياً إلى النسخة الآمنة.
• انتبه للمحتوى المختلط: صورة أو سكربت يُحمَّل عبر http داخل صفحة آمنة قد يجعل المتصفح يعرض تنبيهاً.
• التجديد التلقائي ضروري. شهادة منتهية تجعل المتصفح يعرض صفحة تحذير كاملة قبل الدخول، وكثير من الزوار يغادرون فوراً.
• الشهادة وحدها لا تعني أن الموقع آمن. هي تحمي الاتصال، لا لوحة التحكم ولا الإضافات ولا كلمات المرور.

كلمات مرور لوحة التحكم والتحقق بخطوتين

لوحة التحكم هي مفتاح الموقع كله، فعاملها كمفتاح الخزنة:

• كلمة مرور طويلة وفريدة لكل حساب، ويفضّل أن تكون عبارة من عدة كلمات لا تُستخدم في أي خدمة أخرى.
• مدير كلمات مرور للشركة بدلاً من دفتر أو رسائل واتساب أو ملف على سطح المكتب.
• التحقق بخطوتين (2FA) عبر تطبيق على الهاتف لكل حسابات الإدارة: لوحة الموقع، والاستضافة، والنطاق، والبريد. إن سُرقت كلمة المرور، يبقى الحساب محمياً.
• لا حساب «admin» مشتركاً. لكل شخص حساب باسمه، حتى تعرف من فعل ماذا، وتستطيع إيقاف شخص دون تغيير كلمة مرور الجميع.
• تقييد محاولات الدخول الفاشلة إن كان نظام الموقع يدعم ذلك، لتقليل محاولات التخمين الآلية.
• احفظ رموز الاسترداد التي تعطيك إياها خدمات التحقق بخطوتين في مكان آمن، حتى لا تفقد الدخول إذا ضاع الهاتف أو تغيّر الرقم.

من يملك الصلاحيات؟ جرد الحسابات

أغلب أصحاب الأنشطة لا يعرفون كم شخصاً يملك دخولاً إلى موقعهم اليوم. اصنع جدولاً بسيطاً وراجعه كل ثلاثة أشهر:

• مبدأ أقل صلاحية: من يكتب المقالات لا يحتاج صلاحية تثبيت إضافات.
• عند مغادرة موظف أو انتهاء عقد مستقل: أوقف حساباته في اليوم نفسه، وغيّر أي كلمة مرور كان يعرفها.

التحديثات: الباب الذي يُترك مفتوحاً

• نظام إدارة المحتوى والإضافات والقوالب تصدر لها تحديثات تسد ثغرات معروفة. التأخر في التحديث يترك الثغرة مفتوحة بعد أن أصبحت معروفة للجميع.
• احذف ما لا تستخدمه: كل إضافة معطلة أو قالب قديم هو كود إضافي قد يحمل ثغرة.
• لا تستخدم قوالب أو إضافات مدفوعة منسوخة من مصادر غير رسمية، فبعضها يأتي بكود خفي.
• اختبر التحديث قبل نشره على نسخة تجريبية إن أمكن، خاصة في المتاجر.
• جدول التحديثات والفحوصات الدورية مشروح بالتفصيل في مقال صيانة الموقع بعد الإطلاق، فلن نكرره هنا.

حماية النماذج من الرسائل المزعجة

نموذج التواصل أو طلب عرض السعر هو أكثر جزء يتعرض للرسائل الآلية:

• تحقق خفي أو CAPTCHA خفيف يميّز الإنسان من البرامج دون إزعاج العميل الحقيقي.
• حقل مخفي (Honeypot) لا يراه الإنسان وتملؤه البرامج الآلية، فتُرفض رسالتها.
• تحديد عدد الإرسالات من المصدر نفسه خلال فترة قصيرة.
• التحقق على الخادم من نوع البيانات وطولها، لا في المتصفح فقط.
• رفع الملفات إن وُجد: حدد الأنواع المسموحة والحجم، ولا تجعل الملفات المرفوعة قابلة للتشغيل.
• أين تذهب الرسائل؟ إلى بريد الشركة أو نظام CRM، لا إلى بريد شخصي لموظف.

النسخ الاحتياطية: خطة الطوارئ الأمنية

• نسخة خارج الخادم تحميك إذا كان الخادم نفسه هو المصاب.
• احتفظ بنسخ لعدة أيام أو أسابيع، لأن الإصابة قد تُكتشف متأخرة، وتحتاج نسخة من قبل حدوثها.
• جرّب الاستعادة مرة على الأقل، حتى تعرف كم تستغرق ومن ينفّذها.

ماذا تفعل إذا اختُرق موقعك؟ خطوات هادئة

1. لا تحذف شيئاً بنفسك على عجل، فقد تضيع الأدلة التي تكشف كيف حدث الاختراق.
2. تواصل مع الجهة التقنية والاستضافة فوراً، وأعطهم وصفاً لما رأيت ومتى.
3. غيّر كلمات المرور كلها وفعّل التحقق بخطوتين، وأنهِ جلسات الدخول المفتوحة.
4. أوقف الموقع مؤقتاً بصفحة صيانة إذا كان يحوّل الزوار أو ينشر ملفات ضارة.
5. حدد الثغرة قبل الاستعادة. استعادة نسخة نظيفة دون سد الباب الذي دخل منه المهاجم تعني تكرار المشكلة.
6. استعد النسخة النظيفة وحدّث كل شيء، ثم افحص الموقع من جديد.
7. راجع تقرير مشكلات الأمان في Google Search Console، واطلب المراجعة بعد التنظيف إن ظهر تحذير.
8. إذا تأثرت بيانات العملاء، فاسأل مستشاراً قانونياً في بلدك عن واجبات الإبلاغ، لأنها تختلف بين عُمان والسعودية والإمارات وغيرها.
9. دوّن ما حدث وما تغيّر، حتى لا يتكرر.

قائمة فحص أمان الموقع الإلكتروني

راجعها مع فريقك أو الجهة التقنية:

• كل الصفحات على https، والشهادة تتجدد تلقائياً.
• كل حسابات الإدارة بكلمات مرور فريدة وتحقق بخطوتين.
• لا يوجد حساب مشترك، ولكل شخص صلاحية على قدر عمله.
• جرد الحسابات محدّث، وحسابات المغادرين مُغلقة.
• النظام والإضافات والقوالب محدّثة، والمعطّل منها محذوف.
• النماذج محمية من الرسائل الآلية، والملفات المرفوعة مقيّدة.
• نسخ احتياطية خارج الخادم، وجُرّبت استعادتها.
• خطة مكتوبة لما تفعله عند الاختراق، ورقم من تتصل به.

أخطاء شائعة نراها كثيراً

• رابط لوحة التحكم وكلمة المرور مرسلان في مجموعة واتساب فيها أشخاص غادروا العمل.
• مطوّر مستقل انتهى عمله قبل سنة وما زال حسابه مديراً كاملاً.
• إضافات معطلة متروكة داخل الموقع «للاحتياط».
• نموذج تواصل بلا أي حماية، فيمتلئ البريد برسائل آلية ويضيع بينها طلب عميل حقيقي.
• نسخ احتياطية على الخادم نفسه فقط.

الخلاصة

• أمان موقعك يبدأ من عادات بسيطة: شهادة سليمة، وكلمات مرور قوية مع تحقق بخطوتين، وصلاحيات محدودة، وتحديثات منتظمة، ونسخ مجرّبة.
• اعرف دائماً من يملك الدخول إلى كل حساب، وأغلق حسابات من غادر.
• إذا وقع اختراق، تصرّف بخطوات مرتبة لا بردة فعل.
• خدمة السيو التقني من Xposio تفحص HTTPS والتحويلات والمحتوى المختلط ضمن صحة الموقع العامة، وعند بناء موقع جديد عبر تصميم وتطوير المواقع نسلّمك الحسابات باسمك مع إعدادات الحماية الأساسية.