فحص أمان موقع شركتك: أدوات مجانية ومدفوعة وماذا تفعل بالنتائج
موقع شركتك واجهتها الأولى وهدف سهل إن أُهمل. هذه أدوات فحص مجانية ومدفوعة، وما يكشفه كل منها، وطريقة عملية لترتيب إصلاح النتائج حسب الخطورة.
قراءة 6 دقائق
محتويات المقال
مثال واقعي في شركات كثيرة: موقع ووردبريس بُني قبل أربع سنوات، والشركة التي صممته لم تعد تتابعه، وعليه عشرون إضافة لا يعرف أحد أيها ما زال مستخدماً. ثم يتصل عميل ليقول إن المتصفح يعرض تحذيراً عند فتح الموقع، أو إن نتائج البحث تُظهر صفحات غريبة باسم شركتك. فحص أمان المواقع بشكل دوري يكشف هذه المشكلات قبل أن يكتشفها عملاؤك.
الإجابة المختصرة: ابدأ بأدوات مجانية تفحص الموقع من الخارج، مثل فحص شهادة SSL وترويسات الأمان والبرمجيات الخبيثة الظاهرة، ثم أضف فحصاً من داخل الموقع أو الخادم، مثل إضافة أمان لووردبريس أو فحص من لوحة الاستضافة. الأدوات المدفوعة والاختبار اليدوي يستحقان التكلفة عندما يحتوي موقعك على حسابات عملاء أو مدفوعات أو بيانات حساسة.
هذا المقال جزء من خطة الأمن الرقمي للشركات الصغيرة.
افحص فقط المواقع التي تملكها أو لديك إذن مكتوب بفحصها. تشغيل أدوات الفحص النشط على موقع شخص آخر دون إذن قد يخالف القانون وشروط الاستضافة، حتى لو كان بنية حسنة.
أنواع فحص أمان المواقع: ماذا يرى كل فحص؟
ليست كل الأدوات متشابهة، وفهم الفرق يمنع شعوراً زائفاً بالأمان:
- الفحص الخارجي السلبي: ينظر إلى الموقع كما يراه الزائر: الشهادة، وترويسات HTTP، والشيفرات الظاهرة في الصفحات، وقوائم الحظر. سريع وآمن، لكنه لا يرى ما على الخادم.
- فحص الثغرات المعروفة: يتعرف على نظام إدارة المحتوى والإضافات والقوالب وإصداراتها، ويقارنها بقواعد بيانات الثغرات.
- الفحص الديناميكي DAST: يرسل طلبات تجريبية إلى النماذج والصفحات بحثاً عن ثغرات مثل حقن SQL أو XSS. أقوى، لكنه قد يُثقل الموقع أو يملأ النماذج ببيانات تجريبية.
- الفحص من الداخل: إضافة أو أداة على الخادم تفحص كل ملف، فتكتشف الأبواب الخلفية والملفات المعدلة التي لا تظهر للزائر.
- اختبار الاختراق اليدوي: خبير يحاول الاختراق فعلاً، ويكتشف الأخطاء المنطقية التي لا تراها الأدوات الآلية.
علامات تدل على أن موقعك مخترق
أحياناً لا تنتظر الفحص الدوري لتعرف أن هناك مشكلة. هذه علامات تستدعي فحصاً فورياً:
- تحذير من المتصفح أو من Google عند فتح الموقع.
- صفحات غريبة باسم دومينك في نتائج البحث، غالباً بمحتوى أدوية أو قمار أو بلغات أخرى.
- تحويل الزوار القادمين من الجوال أو من نتائج البحث إلى مواقع أخرى، بينما يبدو الموقع طبيعياً عند فتحه مباشرة.
- مستخدمون جدد بصلاحية مسؤول في لوحة الموقع لا يعرفهم أحد.
- بطء مفاجئ أو استهلاك غير طبيعي للموارد، أو رسالة من شركة الاستضافة عن إرسال بريد مزعج من حسابك.
في هذه الحالات لا تكتفِ بفحص خارجي يعطي نتيجة «نظيف»، فالإصابات المتقدمة تخفي نفسها عن الزوار العاديين وتظهر فقط لمحركات البحث أو لزوار الجوال.
أدوات مجانية تبدأ بها اليوم
| الأداة | ما تفحصه | مناسبة لـ | حدودها |
|---|---|---|---|
| HTTP Observatory من Mozilla | ترويسات الأمان مثل CSP وHSTS وإعدادات أخرى | أي موقع، وفحصها سريع | لا تبحث عن ثغرات في الشيفرة أو الإضافات |
| SSL Labs من Qualys | شهادة SSL وإعدادات التشفير والبروتوكولات | التأكد من أن HTTPS مضبوط بشكل صحيح | تركز على طبقة التشفير فقط |
| Sucuri SiteCheck | البرمجيات الخبيثة الظاهرة، وقوائم الحظر، والبرامج القديمة الظاهرة | فحص سريع عند الشك في إصابة | فحص عن بعد لا يرى ملفات الخادم ولا الأبواب الخلفية |
| WPScan | ثغرات ووردبريس والإضافات والقوالب المعروفة | مواقع ووردبريس | أداة سطر أوامر؛ واجهة البيانات مجانية بحد يومي محدود للاستخدام غير التجاري |
| ZAP | فحص ديناميكي DAST للنماذج والصفحات | المطورون ومواقع التطبيقات والبوابات | يحتاج خبرة تقنية، والفحص النشط قد يؤثر على الموقع |
| Google Search Console | تقرير مشكلات الأمان عند رصد Google لإصابة أو محتوى مخترق | كل موقع يهمه ظهوره في البحث | ينبهك بعد حدوث المشكلة وليس قبلها |
ملاحظات مهمة: Sucuri نفسها تنبه إلى أن الفحص عن بعد يرى ما يظهر في المتصفح فقط، فلا يكتشف الأبواب الخلفية أو ملفات إرسال البريد المزعج على الخادم. وWPScan مشروع تابع لشركة Automattic، والأداة نفسها مجانية بينما تُباع واجهة البيانات للاستخدام التجاري. أما ZAP فمشروع مفتوح المصدر ومجاني ترعاه اليوم شركة Checkmarx.
ولا تخلط بين أدوات تدقيق السيو وأدوات الأمان: أدوات تدقيق المواقع التسويقية تكشف روابط مكسورة ومشكلات أداء، لكنها ليست فحصاً أمنياً.
الفحص من الداخل: ووردبريس ولوحة الاستضافة
أغلب مواقع الشركات الصغيرة في المنطقة تعمل على ووردبريس، وهنا يكون الفحص من الداخل أهم من أي أداة خارجية:
- إضافات الأمان مثل Wordfence أو Jetpack أو غيرها تفحص ملفات الموقع وتقارنها بالنسخ الأصلية، وتنبهك للإضافات التي تحتوي ثغرات معروفة. اختر واحدة فقط لتجنب التعارض.
- فحص لوحة الاستضافة: كثير من شركات الاستضافة تقدم ماسحاً للبرمجيات الخبيثة ضمن اللوحة، وأحياناً مجاناً. راجع ما يتضمنه عرضك، وإن كنت تفكر في الترقية فقارن أنواع الاستضافة في مقال الاستضافة المشتركة أم VPS أم السحابية.
- جدار حماية تطبيقات الويب WAF: لا يفحص الموقع، لكنه يحجب كثيراً من محاولات الاستغلال قبل وصولها. Cloudflare يقدم طبقة حماية مجانية أساسية، وشرحناها في مقال Cloudflare للشركات.
متى تحتاج أداة مدفوعة أو اختبار اختراق؟
الأدوات المجانية كافية لموقع تعريفي بسيط. ارفع المستوى عندما ينطبق عليك أحد التالي:
- الموقع يحتوي حسابات عملاء أو بوابة للموظفين أو الموردين.
- تقبل مدفوعات أو تخزن بيانات شخصية أو طلبات.
- لديك تطبيق ويب مخصص بنته شركة برمجة وليس قالباً جاهزاً.
- عميل كبير أو جهة حكومية تطلب منك تقرير فحص ضمن متطلبات التعاقد.
الخيارات المدفوعة تتدرج من خدمات فحص سحابية مستمرة مثل Detectify وIntruder، إلى أدوات يستخدمها المختصون مثل Burp Suite Professional وAcunetix، وصولاً إلى اختبار اختراق يدوي تنفذه شركة متخصصة. الأسعار تختلف كثيراً حسب عدد المواقع ونطاق الفحص، فاطلب عرضاً مكتوباً يحدد النطاق والمنهجية وشكل التقرير.
| المستوى | ماذا يشمل | مناسب لـ | التكلفة النسبية |
|---|---|---|---|
| أدوات مجانية شهرية | SSL، والترويسات، والبرمجيات الظاهرة، وثغرات ووردبريس | المواقع التعريفية | مجانية، مع وقتك |
| فحص سحابي مستمر | فحص آلي دوري للثغرات مع تنبيهات | المتاجر والمواقع ذات الحسابات | اشتراك شهري أو سنوي |
| اختبار اختراق يدوي | خبير يختبر المنطق والصلاحيات والتكاملات | التطبيقات المخصصة والبيانات الحساسة | الأعلى، ويُسعَّر لكل مشروع |
وعند التعاقد على اختبار اختراق، اسأل الشركة المنفذة عن ثلاثة أمور: هل يشمل الاختبار إعادة فحص مجانية بعد إصلاح الملاحظات؟ وهل يُكتب التقرير بلغة يفهمها غير المتخصص مع ملخص تنفيذي؟ ومن يتحمل المسؤولية إن تعطل الموقع أثناء الاختبار؟ الإجابات الواضحة على هذه الأسئلة تميز المزود الجاد عن غيره، وتضمن أن تحصل على خطة إصلاح قابلة للتنفيذ وليس قائمة طويلة من المصطلحات.
ماذا تفعل بالنتائج؟ ترتيب الإصلاح حسب الخطورة
أول تقرير فحص قد يحتوي عشرات الملاحظات، وهذا يربك. رتّبها هكذا:
- إصابة فعلية أو إدراج في قائمة حظر: أولوية قصوى اليوم. خذ نسخة من الموقع للتحليل، ونظّفه أو استعده من نسخة سليمة، وغيّر كل كلمات المرور، ثم اطلب المراجعة من Google عبر Search Console.
- ثغرات حرجة في إضافات أو نظام قديم: حدّث فوراً، واحذف الإضافات غير المستخدمة بدلاً من تعطيلها فقط.
- مشكلات الشهادة والتشفير: شهادة منتهية أو بروتوكولات قديمة تُصلح عادة من لوحة الاستضافة في دقائق.
- ترويسات الأمان الناقصة: مثل HSTS وContent-Security-Policy. أضفها تدريجياً واختبر الموقع بعد كل تغيير، لأن سياسة CSP الصارمة قد تعطل أجزاء من الموقع.
- ملاحظات معلوماتية: مثل كشف رقم إصدار الخادم. أصلحها عندما يتاح الوقت.
نصيحة: لا تبدأ الإصلاح قبل التأكد من وجود نسخة احتياطية حديثة وقابلة للاستعادة. تحديث إضافة قديمة قد يعطل الموقع، والنسخة الاحتياطية تعيدك خلال دقائق.
قبل الفحص: من يملك مفاتيح موقعك؟
كثير من المشكلات الأمنية ليست ثغرات تقنية، بل صلاحيات مبعثرة. قبل أي فحص تأكد من أن الشركة، وليس مصمماً سابقاً أو موظفاً غادر، تملك حساب مسجّل الدومين، ولوحة الاستضافة، وحساب المسؤول في ووردبريس، وحساب Search Console. فعّل المصادقة الثنائية على كل منها، واحذف حسابات المسؤولين غير المستخدمة، وخزّن بيانات الدخول في مدير كلمات مرور الشركة.
جدول فحص دوري مقترح
- أسبوعياً: تحديث ووردبريس والإضافات والقوالب، ومراجعة تنبيهات إضافة الأمان.
- شهرياً: فحص خارجي بأدوات SSL والترويسات والبرمجيات الخبيثة، ومراجعة حسابات المستخدمين في لوحة الموقع.
- ربع سنوياً: فحص شامل للثغرات، واختبار استعادة نسخة احتياطية، ومراجعة من يملك صلاحيات لوحة الاستضافة والدومين.
- سنوياً أو عند تغيير كبير: اختبار اختراق للمواقع التي تحتوي حسابات أو مدفوعات.
ولا تنس أن أمان الموقع مرتبط بأمان البريد على الدومين نفسه؛ إن لم تضبط سجلات التوثيق بعد فراجع إعداد SPF وDKIM وDMARC.
الخطوة التالية
خصص ساعة هذا الأسبوع لفحص موقعك بأدوات SSL والترويسات وSucuri SiteCheck، وسجّل النتائج في جدول بسيط. إذا كان الموقع على ووردبريس فأضف فحص الإضافات القديمة واحذف ما لا تستخدمه. هذا وحده يعالج أغلب المخاطر في المواقع التعريفية، ويجعل فحص أمان المواقع عادة شهرية قصيرة بدلاً من استجابة طارئة بعد الاختراق. وحدد شخصاً واحداً مسؤولاً عن هذا الجدول، حتى لا يفترض كل فريق أن غيره يتابعه.
وإذا كان موقعك قديماً ويصعب تحديثه دون أن يتعطل، فقد يكون الأوفر إعادة بنائه على أساس نظيف. يستطيع فريق تسويق أون لاين مساعدتك في بناء موقع ووردبريس مضبوط أمنياً من البداية.
أسئلة شائعة
هل الفحص المجاني كافٍ لموقع شركتي؟
للمواقع التعريفية البسيطة غالباً نعم، إذا جمعت بين فحص خارجي دوري وإضافة أمان من الداخل وتحديثات منتظمة. أما المواقع التي تحتوي حسابات أو مدفوعات أو بيانات شخصية فتحتاج فحصاً أعمق واختبار اختراق دوري.
هل يؤثر فحص الأمان على سرعة الموقع؟
الفحوص الخارجية السلبية لا تؤثر تقريباً. أما الفحص الديناميكي النشط فقد يرسل آلاف الطلبات ويملأ النماذج ببيانات تجريبية، لذلك يُفضل تشغيله على نسخة تجريبية أو في وقت قليل الزيارات.
ظهر تحذير أحمر عند فتح موقعي، ماذا أفعل؟
غالباً رصدت Google أو جهة أخرى محتوى ضاراً. راجع تقرير مشكلات الأمان في Search Console، ونظّف الموقع أو استعده من نسخة سليمة، وغيّر كلمات المرور وحدّث كل شيء، ثم اطلب المراجعة لإزالة التحذير.
ما الفرق بين فحص الثغرات واختبار الاختراق؟
فحص الثغرات آلي يبحث عن مشكلات معروفة بسرعة وتكلفة منخفضة. أما اختبار الاختراق فينفذه خبير يحاول استغلال الثغرات فعلاً ويكتشف أخطاء المنطق والصلاحيات التي لا تراها الأدوات الآلية.
شاركنا رأيك أو سؤالك