تحصين ووردبريس بالترتيب الذي يهم

الترتيب الحقيقي، ولماذا ترتيب معظم القوائم خاطئ

عادة ما تضم قائمة أمن ووردبريس ثلاثين بندا تبدو كلها بالحجم نفسه. وليست كذلك عمليا. فالبنود الثلاثة الأولى تمنع أكثر مما تمنعه السبعة والعشرون الباقية، والترتيب هو ما لا يكتبه أحد، لأن القائمة الطويلة تبدو أكثر احترافا.

والترتيب الذي نمشي عليه في موقع العميل ست خطوات، وهو ليس مرتبا بحسب السهولة. بل بحسب ما تمنعه كل خطوة.

التحديث أولا، لأن معظم عمليات الاقتحام الناجحة لموقع ووردبريس تأتي عبر ثغرة عامة مرقّعة من قبل. ثم أقل صلاحية، لأن حجم الضرر تحدده صلاحيات الحسابات التي دخلت. ثم التحقق بخطوتين، الذي يحول كلمة المرور المسربة من كارثة إلى تنبيه. ثم نسخة احتياطية استعدتها مرة، لأن النسخة غير المختبرة افتراض لا نسخة. ثم إضافة أمنية ما زالت مصانة. وأخيرا تحصين صفحة الدخول، وهو مفيد ومكانه آخر القائمة لا أولها.

والخطوات الثلاث الأولى بيدك وحدك ولا تكلف أي منها مالا. والرابعة تكلف قليلا وتشتري أكبر قدر من الطمأنينة. أما الخامسة والسادسة فهما ما يفعله الناس أولا عادة، وأثرهما أصغر ما في الست.

التحديث، ولماذا يمنع هذا أكثر من غيره

حين تُنشر ثغرة يولد شيئان في اللحظة نفسها: وصف المشكلة ورقعتها. ومن تلك اللحظة يعرف كل من يريد استعمالها أين يصوب بالضبط، ويخرج كل من حدّث من القائمة. واللعبة كلها هي الفجوة بين النشر والتحديث.

على هذا الموقع، ومن مارس ٢٠٢٥ حتى اليوم، سجل ماسح الثغرات ١٣ إعلانا لبرمجيات مثبتة على هذا التنصيب وحده. ١٠ منها كانت في الإضافات، واثنان في نواة ووردبريس نفسها، وواحد في قالب. وبحسب النوع، كانت سبعة برمجة عبر المواقع، واثنان تحكما مكسورا في الوصول، والباقي واحدا واحدا: تنفيذ شفرة عشوائية، وكشف بيانات حساسة، ورفع ملف عشوائي، وحقن كائن PHP.

وأُغلق اثنا عشر من هذه الثلاثة عشر بتحديث، ومعظمها خلال أيام. وهذا الرقم هو الجدير بالنظر: ففي ثمانية عشر شهرا، وعلى موقع لم يحدث فيه شيء استثنائي، أُعلن ثلاث عشرة مرة أن برنامجا يعمل عليه مصاب، وكان الجواب في كل مرة تقريبا زرا واحدا.

والآن ما يقال أقل، وما واجهناه نحن: عدّاد التحديث الذي يظهر صفرا ليس دليلا على أنك محدَّث. فالإضافات التجارية تُحدَّث عبر قناتها الخاصة، والترخيص المنتهي يجعل ذلك العدّاد صامتا لا حديثا. وعلى هذا التنصيب يظهر العدّاد صفرا ويخالفه ماسح الثغرات في بند واحد. ولهذا يلزم ماسح ثغرات إلى جانب عدّاد التحديث؛ فالثاني يرى تنصيبك والأول يرى القائمة المنشورة.

وقد كتبنا عن مثال حديث من النواة في مقال منفصل: الرقعة الأمنية لووردبريس ٧.٠.٤ وأي الخوادم كانت في خطر فعلا.

الحسابات، ولماذا لموقع فيه ١٢٢٤ مستخدما مدير واحد فقط

على هذا الموقع ١٢٢٤ حساب مستخدم. واحد منها مدير. والـ١٢٢٣ الباقية تحمل أدوارا لا تستطيع تثبيت شيء، ولا تحرير ملف قالب، ولا رؤية بيانات أي مستخدم آخر.

وهذا الرقم قرار لا مصادفة، وسببه بسيط: فالحساب الذي يُخترق يسلّم بالضبط ما كان يستطيع فعله. وأقل صلاحية ليست بيروقراطية، بل هي حجم الانفجار.

وثمة موضعان تنكسر فيهما هذه القاعدة عادة، وكلاهما نابع من حسن نية. الأول منح حساب مدير لمطور أو وكالة «مؤقتا»، ثم لا يُحذف أبدا؛ فقائمة مديري موقع عمره خمس سنوات تضم عادة أشخاصا كفوا عن العمل عليه منذ ثلاث سنوات. والثاني أدوار أضافتها إضافة. فووردبريس يجمع الصلاحيات، ومن ثم فالإضافة التي تمنح المشتركين قدرة جديدة قد غيّرت قائمة وصولك ولم تكتب الخبر في أي مكان.

والخطوة التالية هي التحقق بخطوتين، واختيار الطريقة مهم. فعلى هذا الموقع لا تُفعَّل إلا طريقة تطبيق المصادقة، لا الرسائل القصيرة ولا البريد. والسبب أن الرسائل تعتمد على رقم هاتف والرقم يمكن انتزاعه من المشغل، وأن البريد يعتمد على صندوق يُفتح هو نفسه بكلمة مرور؛ فإن كانت تلك الكلمة في التسريب نفسه، فقد كف العامل الثاني عن كونه عاملا ثانيا.

ونقطة خاصة بووردبريس: كلمات مرور التطبيقات. وهي كلمات منفصلة تُنشأ لربط الأدوات، وتتجاوز التحقق بخطوتين بحكم التصميم، لأنها مصممة للعمل بلا إنسان. فإن كنت قد فعّلت التحقق بخطوتين، فانظر أيضا في قائمة كلمات مرور التطبيقات للحساب نفسه؛ وإلا بقي باب مفتوح بجوار الباب المقفل.

النسخة غير المختبرة ليست نسخة، وهي نفسها قد تتسرب

النسخة الاحتياطية التي لم تستعدها قط مجلد. وتبدو هذه الجملة مبتذلة إلى يوم تحتاجها فتكتشف أن الملف مبتور، أو أن كلمة المرور اللازمة لفتحه كانت داخل الموقع الذي ضاع.

لكن ثمة نقطة ثانية لا يكاد أحد يذكرها، وقد واجهناها على هذا الخادم نفسه.

إضافة الترحيل الشائعة في ووردبريس تبني أرشيفات بحجم مئتي ميغابايت، وتضعها في مجلد تحت wp-content، وتحمي ذلك المجلد بملف htaccess.. وعلى nginx لا يفعل ذلك الملف شيئا البتة؛ بل لا يُقرأ أصلا. وقبل أن نكتب القاعدة الموجودة اليوم اختبرنا فوجدنا الأرشيف قابلا للتنزيل عبر HTTP عاديا، بل والخادم يستجيب لطلب تنزيل جزئي. وداخل كل أرشيف قاعدة البيانات كاملة: صفوف المستخدمين، وبصمات كلمات المرور، ومفاتيح الخدمات، ومحتوى ملف الإعدادات.

ومعنى ذلك أن نسخة احتياطية سليمة تماما، إن جلست في المكان الخطأ، تصير أكبر تسريب متاح. ملف واحد، والموقع كله.

وطريقة هذا الموقع اليوم أن يُسلَّم طلب مثل هذا الملف إلى PHP للتحقق من الإذن؛ فالمدير الداخل يحصل على الملف وسواه يحصل على ٤٠٤. وقد اختبرناها اليوم من جديد: طلب زائر لأحد تلك الأرشيفات، حتى بترويسة طلب جزئي، عاد بـ٤٠٤.

وتبقى من تلك الحكاية ثلاث قواعد. ألا تبقى النسخة على الجهاز نفسه، لأن النسخة الملاصقة للموقع تنجو من الخطأ ولا تنجو من عطب الجهاز. وأن يكون الوصول إلى النسخة مقيدا بقدر تقييد الوصول إلى قاعدة البيانات نفسها. وأن تتمرن على الاسترجاع مرة في السنة إلى مجلد مؤقت؛ وطريقة ذلك مشروحة على حدة في مسار مبادئ الحاسوب.

ما لا يستحق وقتك

والآن الموقف صراحة، لأن جزءا كبيرا من نصائح أمن ووردبريس أمور تعطي شعورا بالأمان دون أن تعطي أمانا.

الإخفاء وحده ليس دفاعا. فتغيير عنوان صفحة الدخول، وإخفاء رقم إصدار ووردبريس، وتغيير بادئة الجداول لا تغلق أي ثغرة؛ بل تبطئ ماسحا آليا قليلا لا غير. ومن يستهدفك أنت تحديدا سيجد الثلاثة خلال دقائق.

والآن النصف الصادق، لأن هذا الموقع يفعل تلك الثلاثة كلها. فعنوان الدخول هنا مغيَّر، ومسارات ملفات الإضافات معاد كتابتها أيضا. وما يشتريه ذلك ضجيج أقل لا أمان أكثر، وسجلنا يبين النصفين معا: ففي ثلاثة أيام ذهب ١٢٧ طلبا إلى عنوان الدخول الافتراضي في ووردبريس ولم يبلغ أي منها نموذج دخول، لأن ذلك العنوان يحوّل الزائر إلى صفحة أخرى. ولم تُحذف تلك الطلبات الـ١٢٧؛ بل لم تعد تحط على شيء فحسب. ولو لم يكن هذا الموقع نفسه محدَّثا لما صمد ذلك العنوان المغيَّر يوما واحدا.

وثلاثة أمور أخرى يُنصح بها ولا ننصح بها. تغيير بادئة جداول قاعدة البيانات على موقع حي مخاطره أكبر من فائدته؛ فهو ينجز نصف إنجاز، وتنكسر الإضافات التي خزنت البادئة في مكان ما. وإطفاء REST API كليا يكسر محرر ووردبريس ولا يحل شيئا لا يحله تقييد الوصول. وإضافة أمنية إسهامها قائمة طويلة من قواعد الجدار الناري لم تضف إليك شيئا إن كنت لا تقرأ تلك القائمة أبدا.

وثمة اختبار بسيط يمكن وضعه على أي نصيحة أمنية: أي هجوم محدد يوقفه هذا، وما الذي يغيره إن كان أحدهم في الداخل أصلا. والنصيحة التي لا جواب واضح لها عن هذين السؤالين هي عادة شعور.