تأمين موقع ووردبريس ضد الاختراق: أفضل الممارسات والأدوات

لماذا مواقع ووردبريس هدف شائع للاختراق؟

بسبب شعبيته الهائلة، ووردبريس هدف رئيسي للمخترقين. لكن معظم الاختراقات تحدث بسبب إهمال بسيط — كلمات مرور ضعيفة، إضافات قديمة، أو إعدادات افتراضية. في هذا الدليل ستتعلم تأمين موقعك بإجراءات عملية.

الإجراءات الأساسية (نفّذها فوراً)

1. تغيير رابط صفحة الدخول

# ثبّت إضافة WPS Hide Login
# الإعدادات > WPS Hide Login
# غيّر /wp-admin إلى رابط مخصص مثل:
# /my-secret-login-2026

# أو يدوياً في .htaccess:
RewriteRule ^wp-admin$ - [R=404,L]
RewriteRule ^wp-login.php$ - [R=404,L]

2. تقييد محاولات تسجيل الدخول

# ثبّت Limit Login Attempts Reloaded
# أو أضف في functions.php:
function custom_login_attempts() {
    return 3; // 3 محاولات فقط
}
add_filter('login_errors', 'custom_login_attempts');

3. حماية ملف wp-config.php

# في .htaccess:
<files wp-config.php>
order allow,deny
deny from all
</files>

# أو انقل الملف لمجلد أعلى:
mv wp-config.php ../
# ووردبريس يبحث عنه تلقائياً في المجلد الأعلى

4. تعطيل تحرير الملفات

# أضف في wp-config.php:
define('DISALLOW_FILE_EDIT', true);
# يمنع تحرير القوالب والإضافات من لوحة التحكم

5. إخفاء إصدار ووردبريس

# أضف في functions.php:
remove_action('wp_head', 'wp_generator');
function remove_version_from_scripts($src) {
    if (strpos($src, 'ver=')) {
        $src = remove_query_arg('ver', $src);
    }
    return $src;
}
add_filter('style_loader_src', 'remove_version_from_scripts');
add_filter('script_loader_src', 'remove_version_from_scripts');

إعدادات الخادم

# حماية مجلد wp-includes
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

# إضافة headers أمنية
Header set X-Content-Type-Options "nosniff"
Header set X-Frame-Options "SAMEORIGIN"
Header set X-XSS-Protection "1; mode=block"
Header set Referrer-Policy "strict-origin-when-cross-origin"

النسخ الاحتياطي التلقائي

# باستخدام WP-CLI:
#!/bin/bash
DATE=$(date +%Y-%m-%d)
BACKUP_DIR="/backup/wordpress"
mkdir -p $BACKUP_DIR

# نسخ قاعدة البيانات
wp db export "$BACKUP_DIR/db_$DATE.sql" --path=/var/www/html

# نسخ الملفات
tar -czf "$BACKUP_DIR/files_$DATE.tar.gz" /var/www/html/wp-content/

# رفع إلى السحابة
rclone copy $BACKUP_DIR remote:wp-backup/

قائمة تحقق أمنية

• ☑️ كلمات مرور قوية لكل المستخدمين
• ☑️ المصادقة الثنائية مفعّلة
• ☑️ رابط تسجيل الدخول مُغيّر
• ☑️ تقييد محاولات الدخول
• ☑️ كل الإضافات والقوالب محدّثة
• ☑️ الإضافات غير المستخدمة محذوفة
• ☑️ النسخ الاحتياطي يعمل تلقائياً
• ☑️ SSL/HTTPS مفعّل
• ☑️ wp-config.php محمي
• ☑️ تحرير الملفات معطّل

ملخص المهارات المكتسبة

• حماية صفحة تسجيل الدخول
• تأمين ملفات ووردبريس الحساسة
• إضافة headers أمنية للخادم
• إعداد نسخ احتياطي تلقائي

الخطوة التالية: نفّذ كل بند في قائمة التحقق أعلاه اليوم.