حصّن WordPress قبل الحادث: أبعد من تثبيت إضافة أمن واحدة

تأخذ مواقع كثيرة الأمن بجدية بعد الحادث بيوم: تتغير الرئيسية أو يرسل الخادم بريداً مزعجاً أو يظهر مدير مجهول. إضافة أداة حماية جديدة ليست جواباً كاملاً. نحتاج إلى دليل على نقطة الدخول ونطاق التغيير وآخر نسخة سليمة.

قلّل سطح الهجوم

احذف الإضافات والقوالب غير المستخدمة بدلاً من تعطيلها فقط. استخدم مصادر موثوقة واقصر صلاحية الإدارة على من يحتاجها فعلاً.

امنح كل شخص حساباً منفصلاً وكلمة قوية ومصادقة متعددة العوامل. الحساب المشترك يلغي المساءلة ويجعل خروج الموظف خطراً.

اجعل التحديث عملية مضبوطة

خذ نسخة قبل التغيير واختبر في staging أو وقت منخفض المخاطر ثم افحص الرحلات المهمة. التأخير يكشف ثغرات معروفة والتحديث بلا اختبار قد يوقف الخدمة.

سجّل تغييرات الملفات ومحاولات الدخول الفاشلة وإنشاء المديرين وتغييرات الإضافات. من دون الرؤية يطول الزمن بين الاختراق واكتشافه.

استعد للحادث

احتفظ بنسخة سليمة خارج الخادم وقائمة وصول وتعليمات لإبطال الجلسات. احتوِ الحادث أولاً واحفظ الدليل واعرف نقطة الدخول؛ الاستعادة بلا إغلاقها تشتري وقتاً فقط.

تناسب الضوابط مستوى الخطر. المتجر والعضوية يحتاجان صرامة أكبر، لكن كل موقع يحتاج إدارة وصول ونسخاً قابلة للاستعادة.

مراجعة شهرية

• مراجعة النواة والقوالب والإضافات.
• الحسابات الإدارية ضرورية فعلاً.
• النسخة سليمة وقابلة للاستعادة.
• تنبيهات الدخول وتغيير الملفات فعالة.
• فحص النماذج والرفع وAPI ضد الإساءة.

مرجع رسمي: دليل تحصين WordPress