قائمة تأمين موقع ووردبريس هي مجموعة إجراءات ثابتة تُطبَّق بانتظام لتبقى منصة شركتك محدَّثة ومحصّنة ومنسوخة احتياطياً وتحت المراقبة. تغطي الخطوات العشرون التالية ما يهم فعلاً في 2026: التحديث الفوري لكل المكونات، وحذف ما لا تستخدمه، ومنح كل مستخدم أقل صلاحية يحتاجها مع التحقق الثنائي، ووضع جدار حماية لتطبيقات الويب أمام الموقع، وحفظ النسخ الاحتياطية خارج الخادم، ووجود خطة مكتوبة لليوم الذي يقع فيه الاختراق.
معظم اختراقات ووردبريس ليست معقدة؛ فهي تستغل إضافة قديمة أو كلمة مرور مكررة أو حساب مدير منسيّاً، ما يعني أن الانضباط وحده يزيل معظم المخاطر.
لماذا تُخترق مواقع ووردبريس في 2026؟#
نواة ووردبريس نفسها نادراً ما تكون المشكلة. فبحسب تقرير Patchstack بعنوان State of WordPress Security in 2026، رصد الباحثون 11,334 ثغرة جديدة في منظومة ووردبريس خلال عام 2025، بزيادة 42% عن عام 2024. وكانت 91% منها في الإضافات و9% في القوالب، بينما لم تُسجَّل على النواة سوى ستة بلاغات، جميعها منخفضة الأولوية.
ويكشف التقرير نفسه ثلاث نتائج تفسر لماذا أصبحت السرعة حاسمة:
- 46% من الثغرات لم يكن لها أي إصلاح من المطوّر لحظة الإعلان عنها.
- بلغ الوسيط المرجّح للوقت حتى الاستغلال الواسع للثغرات الأكثر استهدافاً خمس ساعات فقط، واستُغل نحو نصف الثغرات عالية التأثير خلال 24 ساعة.
- شكّلت الإضافات والقوالب المدفوعة وشبه المدفوعة 29% من البلاغات الصحيحة، أي أن الدفع مقابل إضافة لا يعني أنها آمنة تلقائياً.
ويحدد Patchstack ثغرات «كسر التحكم في الوصول» بوصفها الأكثر استغلالاً، أي إضافات تسمح لزائر مجهول بما لا يحق إلا للمدير. فكل إضافة شيفرة تأتمنها على عملك، والفاصل بين كشف الثغرة واستغلالها بات يُقاس بالساعات.
قائمة تأمين ووردبريس في 20 خطوة#
التحديثات ونظافة الشيفرة#
- حدّث النواة والإضافات والقوالب فوراً. فعّل التحديث التلقائي للإصدارات الفرعية والإضافات الموثوقة، وجرّب الترقيات الكبيرة على نسخة تجريبية (Staging) ثم طبّقها خلال أيام لا أشهر.
- احذف الإضافات والقوالب غير المستخدمة. الإضافة المعطّلة تبقى على الخادم ويمكن استغلالها. احتفظ بقالب افتراضي واحد فقط.
- افحص كل إضافة قبل تثبيتها. راجع تاريخ آخر تحديث وسجل دعم المطوّر وقواعد بيانات الثغرات العامة. إضافة واحدة متقنة أكثر أماناً من ثلاث متداخلة.
- لا تستخدم أبداً النسخ المقرصنة (Nulled). فهي طريق شائع للبرمجيات الخبيثة. اشترِ الترخيص من المطوّر الأصلي لتحصل على التحديثات الأمنية.
- استخدم إصدار PHP مدعوماً. يوصي موقع WordPress.org بإصدار PHP 8.3 أو أحدث. وبحسب PHP.net، يتلقى الإصدار 8.2 إصلاحات أمنية فقط حتى 31 ديسمبر 2026، أما الإصداران 8.0 و8.1 فقد انتهى دعمهما. خطط الآن للانتقال إلى 8.3 أو 8.4 واختبر قالبك وإضافاتك عليه.
المستخدمون والصلاحيات#
- طبّق مبدأ أقل صلاحية. امنح كل شخص أدنى دور يكفيه: محرّر أو كاتب لفريق المحتوى، ومدير متجر لموظفي ووكومرس، وصلاحية المدير لمن يدير الموقع فعلاً فقط.
- حساب باسم كل شخص. لا لحسابات «admin» المشتركة. احذف حسابات الموظفين والمستقلين والوكالات السابقة يوم مغادرتهم.
- افرض كلمات مرور قوية وفريدة. استخدم مدير كلمات مرور وعبارات طويلة؛ فكلمات المرور المكررة من خدمات مسرّبة مدخل سهل.
- فعّل التحقق الثنائي (2FA) لكل حساب يستطيع النشر أو تغيير الإعدادات. تطبيق المصادقة أو مفتاح الأمان الفعلي أقوى من الرموز المرسلة برسائل SMS.
- حدّد محاولات الدخول وعطّل XML-RPC إن لم تكن بحاجة إليه. ضع حداً لمحاولات تسجيل الدخول، واحجب XML-RPC ما لم تعتمد عليه خدمة أو تطبيق فعلاً.
- غيّر رابط تسجيل الدخول الافتراضي كإجراء ثانوي. نقل صفحة /wp-login.php يقلل ضجيج الروبوتات في السجلات، لكنه ليس حماية حقيقية بحد ذاته؛ فالتحقق الثنائي وتقييد المحاولات هما ما يقوم بالعمل الفعلي.
تحصين الخادم والتطبيق#
- عطّل تحرير الملفات من لوحة التحكم. أضف السطر
define('DISALLOW_FILE_EDIT', true);إلى ملف wp-config.php حتى لا تُستغل جلسة مدير مسروقة لحقن شيفرة عبر محرر القوالب والإضافات. - أحكم الملفات والإعدادات. اضبط صلاحيات الملفات بشكل صحيح، واحمِ ملف wp-config.php، واستخدم مفاتيح أمان فريدة، وامنع تنفيذ PHP داخل مجلد الرفع uploads.
- افرض HTTPS في كل مكان. يدرج WordPress.org دعم HTTPS ضمن متطلباته. حوّل كل زيارات HTTP، واجعل تجديد الشهادات تلقائياً، وفعّل HSTS بعد التأكد من تحميل كل الصفحات والملفات بشكل آمن.
- أرسل ترويسات الأمان (Security Headers). كحد أدنى: Strict-Transport-Security وX-Content-Type-Options وقاعدة frame-ancestors أو X-Frame-Options ضد الخداع بالنقر، وReferrer-Policy وPermissions-Policy، ومعها Content-Security-Policy حيثما أمكن.
الحماية الخارجية والاستضافة والاستعادة#
- ضع جدار حماية WAF وشبكة CDN أمام الموقع. جدار حماية تطبيقات الويب يصفّي الطلبات الخبيثة قبل وصولها إلى ووردبريس. وتذكر وثائق Cloudflare أن مجموعة القواعد المجانية Free Managed Ruleset متاحة على جميع الخطط بما فيها المجانية، بينما تضيف الخطط المدفوعة مجموعة Cloudflare Managed Ruleset الكاملة وقواعد OWASP Core Ruleset. ادمج ذلك مع خدمة «ترقيع افتراضي» متخصصة بووردبريس تحجب استغلال ثغرات الإضافات.
- اختر استضافة مبنية لأمان ووردبريس. ابحث عن عزل بين المواقع، وPHP حديث، وفحص على مستوى الخادم، ونسخ احتياطي يومي، وبيئة تجريبية، ودعم سريع. الاستضافة الرخيصة توفير زائف.
- احفظ نسخاً احتياطية تلقائية خارج الخادم. توصي الوكالة الأمريكية للأمن السيبراني وأمن البنية التحتية (CISA) بقاعدة 3-2-1: ثلاث نسخ من الملفات المهمة، على نوعين من وسائط التخزين، مع نسخة واحدة خارج مقر العمل. احفظ النسخ خارج حساب الاستضافة، واحتفظ بنسخة واحدة على الأقل لا يمكن الكتابة فوقها من الخادم، واختبر الاستعادة الكاملة بانتظام.
- افحص الموقع بحثاً عن البرمجيات الخبيثة. جدول فحوصات على مستوى الخادم وعبر الإضافات، وراقب تقرير «مشكلات الأمان» في Google Search Console. انتبه لحسابات مدير مجهولة، أو ملفات نواة معدّلة، أو صفحات سبام، أو تحويلات غير متوقعة.
- راقب الموقع وجهّز خطة للحوادث. استخدم مراقبة الجاهزية، وسجل نشاط، وتنبيهات سلامة الملفات، وتنبيهات الثغرات الخاصة بإضافاتك تحديداً، واتفق مسبقاً على من يفعل ماذا عند الاختراق.
جدول قائمة التأمين: الخطوة والسبب والتكرار#
| # | الخطوة | لماذا تهم | كم مرة |
|---|---|---|---|
| 1 | تحديث النواة والإضافات والقوالب | تسد الثغرات المعروفة قبل أن تجدها الروبوتات | فحص أسبوعي؛ الإصلاحات الأمنية في اليوم نفسه |
| 2 | حذف الإضافات والقوالب غير المستخدمة | الشيفرة المعطّلة قابلة للاستغلال | شهرياً |
| 3 | فحص الإضافات الجديدة | الإضافات المصدر الرئيسي للثغرات | قبل كل تثبيت |
| 4 | إضافات مرخّصة فقط | النسخ المقرصنة تحمل برمجيات خبيثة غالباً | عند الشراء والتجديد |
| 5 | إصدار PHP مدعوم | الإصدارات المنتهية لا تتلقى إصلاحات أمنية | مراجعة مرتين سنوياً |
| 6 | أقل صلاحية لكل دور | تحدّ من ضرر الحساب المسروق | مراجعة ربع سنوية |
| 7 | حساب لكل شخص | مساءلة وإلغاء وصول سريع | عند كل تعيين أو مغادرة |
| 8 | كلمات مرور قوية وفريدة | توقف هجمات حشو بيانات الدخول | مستمر؛ وإعادة تعيين بعد أي حادث |
| 9 | التحقق الثنائي | كلمة المرور المسروقة وحدها لا تكفي | مرة واحدة؛ تحقق ربع سنوي |
| 10 | تقييد الدخول وتعطيل XML-RPC | يحجب هجمات التخمين | مرة واحدة؛ تحقق بعد التحديثات |
| 11 | رابط دخول مخصص | يقلل ضجيج الروبوتات (إجراء ثانوي) | مرة واحدة |
| 12 | تعطيل تحرير الملفات | يمنع حقن الشيفرة من لوحة التحكم | مرة واحدة |
| 13 | صلاحيات الملفات وwp-config ومجلد الرفع | يمنع تشغيل السكربتات المرفوعة | مرة واحدة؛ وبعد كل نقل للموقع |
| 14 | HTTPS وHSTS | تشفير بيانات الدخول والعملاء | مرة واحدة؛ تجديد تلقائي للشهادات |
| 15 | ترويسات الأمان | تخفف هجمات XSS والخداع بالنقر | مرة واحدة؛ اختبار بعد تغيير القالب |
| 16 | جدار WAF وشبكة CDN | يصفّي الهجمات قبل وصولها للموقع | دائم؛ مراجعة القواعد شهرياً |
| 17 | استضافة تركّز على الأمان | عزل وPHP حديث وفحص على الخادم | مراجعة عند التجديد |
| 18 | نسخ احتياطية خارجية | استعادة سريعة بعد الاختراق أو الخطأ | نسخ يومي؛ اختبار استعادة كل ربع سنة |
| 19 | فحص البرمجيات الخبيثة | اكتشاف الإصابة مبكراً | يومي تلقائي؛ مراجعة يدوية شهرية |
| 20 | المراقبة وخطة الحوادث | تقصّر زمن الاكتشاف والاستجابة | مستمر؛ تمرين سنوي |
الاستجابة للحوادث: ماذا تفعل إذا اختُرق موقع ووردبريس؟#
خطة الاستجابة للحوادث قائمة قصيرة متفق عليها مسبقاً تحدّ من الضرر عند اختراق الموقع. اجعلها في صفحة واحدة واحفظها في مكان آخر غير الموقع نفسه.
- الاحتواء. فعّل وضع الصيانة أو احجب الزيارات عبر جدار الحماية، ولا تحذف الملفات بعد.
- حفظ الأدلة. خذ لقطة للملفات وقاعدة البيانات وسجلات الخادم قبل التنظيف.
- إعادة تعيين كل بيانات الدخول: مستخدمو ووردبريس ولوحة الاستضافة وSFTP/SSH وقاعدة البيانات ومفاتيح API وبريد النطاق، مع إعادة توليد مفاتيح wp-config.php.
- تحديد نقطة الدخول. استعادة نسخة احتياطية دون سد الثغرة تعني غالباً عودة الإصابة.
- التنظيف أو الاستعادة من نسخة سليمة مؤكدة أو ملفات رسمية جديدة، ثم إزالة الأبواب الخلفية والحسابات الدخيلة.
- الإبلاغ عند اللزوم. دخل قانون حماية البيانات الشخصية الأردني رقم 24 لسنة 2023 حيز التنفيذ في 17 آذار 2024، ويُلزم المسؤول عن البيانات، بحسب ملخص مكتب المحاماة Clyde & Co، بإبلاغ الجهة الرقابية خلال 72 ساعة من اكتشاف أي خرق جسيم. وفي السعودية، يشير مكتب DLA Piper إلى أن نظام حماية البيانات الشخصية يوجب إبلاغ سدايا (SDAIA) خلال 72 ساعة من العلم بالخرق.
- المراجعة. اطلب مراجعة من Google Search Console إذا وُسم الموقع، ووثّق ما غيّرته.
اعتبارات خاصة بالأردن ودول الخليج#
- المواقع ثنائية اللغة تضيف شيفرة. فهي تحتاج إلى إضافة تعدد لغات وتعديلات من اليمين إلى اليسار وخطوط عربية، وكلها تتطلب تحديثاً.
- النماذج وأزرار واتساب تجمع بيانات شخصية. احمِ النماذج من السبام والحقن، واحفظ فقط ما تحتاجه من أسماء وأرقام هواتف.
- متاجر ووكومرس أعلى خطورة. استخدم صفحة الدفع المستضافة لدى بوابة الدفع أو الدفع المرمّز (Tokenised) قدر الإمكان، كي لا تمر بيانات البطاقات عبر خادمك.
- صاحب الموقع هو المسؤول. قوانين حماية البيانات في الأردن والسعودية تضع الالتزامات على من يتحكم في بيانات العملاء، لا على شركة الاستضافة وحدها.
كيف تساعدك كونسلت ون؟#
تبني كونسلت ون المواقع وتديرها من عمّان منذ عام 2004 لشركات في الأردن ودول الخليج والولايات المتحدة. يبني فريق تطوير ووردبريس لدينا المواقع على مجموعة إضافات محدودة ومدروسة مع تحصين أمني من اليوم الأول. وتغطي خدمات أمن البنية التحتية لتكنولوجيا المعلومات جدران الحماية وحماية الأجهزة الطرفية والمراجعات الأمنية، فيما توفر استضافة البريد الإلكتروني والويب بيئة مُدارة لمواقع ووردبريس مع نسخ احتياطي وإصدارات PHP حديثة.
هل تريد معرفة موقع موقعك من هذه القائمة؟ أرسل لنا الرابط وسنوضح لك الثغرات وما يلزم لسدّها. احصل على عرض سعر مجاني
الأسئلة الشائعة#
هل ووردبريس آمن بما يكفي لموقع شركة؟
نعم، بشرط صيانته بشكل صحيح. فنواة ووردبريس تتمتع بسجل أمني قوي؛ إذ لم يرصد Patchstack سوى ستة بلاغات عن النواة في 2025 مقابل آلاف البلاغات في الإضافات. تأتي المخاطر أساساً من الإضافات القديمة أو ضعيفة البرمجة وكلمات المرور الضعيفة والاستضافة المهملة. والموقع الذي يعتمد إضافات قليلة وتحديثات فورية وتحققاً ثنائياً وجدار حماية ونسخاً احتياطية خارجية منصة متينة لمعظم الشركات.
كم مرة يجب تحديث إضافات ووردبريس؟
افحص التحديثات أسبوعياً على الأقل، وطبّق الإصدارات الأمنية فور صدورها، ويفضَّل في اليوم نفسه. فقد وجد Patchstack أن الثغرات الأكثر استغلالاً في ووردبريس بلغت مرحلة الاستغلال الواسع خلال وسيط مرجّح قدره خمس ساعات في 2025. فعّل التحديث التلقائي للإضافات الموثوقة، واختبر الترقيات الكبيرة على نسخة تجريبية قبل نقلها إلى الموقع الحي.
هل أحتاج إضافة أمان إذا كنت أستخدم Cloudflare؟
في الغالب نعم. تصفّي Cloudflare الزيارات الخبيثة على حافة الشبكة، لكنها لا ترى ما يجري داخل ووردبريس. أما إضافة الأمان أو أداة الاستضافة فتضيف حماية تسجيل الدخول والتحقق الثنائي وفحص البرمجيات الخبيثة ومراقبة سلامة الملفات وسجلات النشاط. استخدم جدار الحافة لإيقاف الهجمات مبكراً، والأداة الداخلية لاكتشاف ما يتسلل أو ما يصدر عن حساب مخترق.
هل يمنع تغيير رابط تسجيل الدخول المخترقين؟
لا. إخفاء صفحة /wp-login.php يقلل زيارات الروبوتات وضجيج السجلات، لكنه أمان عبر الإخفاء فقط. فالمهاجم الذي يستغل إضافة مصابة لا يحتاج إلى صفحة الدخول أصلاً، وكثير من الهجمات تستهدف الإضافات مباشرة. اعتبر الرابط المخصص طبقة إضافية صغيرة فوق كلمات المرور القوية والتحقق الثنائي وتقييد محاولات الدخول والتحديث الفوري.
كيف أنسخ موقع ووردبريس احتياطياً بالطريقة الصحيحة؟
انسخ الملفات وقاعدة البيانات تلقائياً، واحفظ النسخ خارج حساب الاستضافة. توصي CISA بقاعدة 3-2-1: ثلاث نسخ من البيانات المهمة، على نوعين من الوسائط، مع نسخة واحدة خارج الموقع. احتفظ بسجل نسخ يكفي للعودة إلى ما قبل بدء الإصابة، لأن البرمجيات الخبيثة قد تبقى دون اكتشاف لفترة، واختبر الاستعادة الكاملة وفق جدول منتظم.
ما إصدار PHP المناسب لموقع ووردبريس في 2026؟
يوصي WordPress.org بإصدار PHP 8.3 أو أحدث. ويُدرج موقع PHP.net الإصدارين 8.4 و8.5 ضمن الدعم النشط، بينما يتلقى الإصدار 8.2 إصلاحات أمنية فقط حتى 31 ديسمبر 2026، وانتهى دعم الإصدارين 8.0 و8.1. اطلب من مزوّد الاستضافة نقل موقعك إلى 8.3 أو 8.4 بعد اختبار القالب والإضافات على نسخة تجريبية.
