حماية موقع ووردبريس 2026: دليل التأمين الشامل خطوة بخطوة

يعمل ووردبريس على نحو 40% من كل مواقع الإنترنت بحسب W3Techs (سبتمبر 2026)، ولهذا هو أكثر نظام إدارة محتوى يتعرض للهجوم. السبب ليس ضعف ووردبريس نفسه، بل ملايين المواقع التي تعمل بإضافات قديمة وكلمات مرور مكررة وبلا نسخ احتياطية. في مواقع ووردبريس التي أتولى تأمينها، نقطة الدخول الأكثر شيوعًا تكاد لا تكون النواة أبدًا: هي إضافة فيها ثغرة، أو كلمة مرور مدير مسروقة، أو نسخة تجريبية منسية من الموقع.

لو كنت تسأل «إزاي أحمي موقعي؟»، فهذه هي القائمة التي أستخدمها بنفسي في العمل. طبّقها بالترتيب، وسيصبح موقعك أصعب في الاختراق من الغالبية العظمى من مواقع ووردبريس.

لماذا تُخترق مواقع ووردبريس في 2026؟

الأرقام توضح أين يكمن الخطر. تقرير Patchstack بعنوان State of WordPress Security in 2026 سجّل 11,334 ثغرة جديدة خلال 2025، بزيادة 42% عن العام السابق. 91% منها في الإضافات (Plugins) و9% في القوالب، و6 ثغرات فقط في نواة ووردبريس. والأخطر أن 46% من هذه الثغرات لم يكن لها إصلاح متاح لحظة الإعلان عنها.

والمهاجمون أسرع من أغلب أصحاب المواقع. بحسب التقرير نفسه، الثغرات الأكثر استهدافًا بدأ استغلالها الجماعي بعد 5 ساعات في المتوسط من نشرها، ونحو نصف الثغرات عالية التأثير استُغل خلال 24 ساعة. وفي اختبارات Patchstack، لم تصد دفاعات الاستضافة التقليدية سوى 12% من الهجمات على الثغرات المستغلة فعليًا.

وعندما يدخل المهاجم، يحرص على البقاء. تقرير Sucuri عن المواقع المخترقة وجد أن 39.1% من المواقع المصابة كانت غير محدّثة لحظة الإصابة، وأن 49.21% منها احتوت على باب خلفي (Backdoor) واحد على الأقل. تناولت سرعة هذا التصاعد في مقال 216 ثغرة في ووردبريس خلال أسبوع واحد وفي مقال أزمة أمان ووردبريس في 2026.

قائمة تأمين ووردبريس في لمحة

لو معك ساعة واحدة فقط اليوم

أعمال الحماية قد تبدو بلا نهاية، لذلك ابدأ بالخطوات التي تزيل أكبر قدر من الخطر في أقل وقت:

1. خذ نسخة احتياطية كاملة. نزّل نسخة من الملفات وقاعدة البيانات قبل أن تغيّر أي شيء.
2. حدّث كل شيء. النواة والإضافات والقوالب، وابدأ بما هو مصنّف كإصلاح أمني.
3. احذف ما لا تستخدمه. الإضافات المعطلة والقوالب القديمة ومجلدات النسخ التجريبية المنسية.
4. راجع المستخدمين. احذف حسابات المديرين المجهولة أو القديمة، وفعّل التحقق الثنائي للباقي.
5. أوقف تعديل الملفات من اللوحة. أضف سطر DISALLOW_FILE_EDIT الموضح بالأسفل.

هذه الخطوات الخمس تغلق الأبواب التي أرى المهاجمين يستخدمونها أكثر من غيرها، وبقية الدليل تجعل موقعك صامدًا على المدى الطويل.

1. التحديثات ونظافة الإضافات

بما أن الإضافات تحمل تسع ثغرات من كل عشر، فإدارة الإضافات هي أهم جزء في حماية موقع ووردبريس على الإطلاق.

• فعّل التحديث التلقائي للإصدارات الفرعية من النواة، والتحديث التلقائي للإضافات الموثوقة التي نادرًا ما تكسر التصميم.
• في المواقع المعقدة (متاجر WooCommerce ومنصات التعليم والعضويات) جرّب التحديثات على نسخة تجريبية (Staging)، لكن طبّق التحديثات الأمنية في نفس اليوم.
• احذف كل إضافة أو قالب لا تستخدمه، ولا تكتفِ بالتعطيل؛ فالكود المعطّل قد يظل قابلًا للوصول.
• لا تثبّت أبدًا إضافات أو قوالب مدفوعة «مكركة» (Nulled)؛ فهي من أشهر طرق زرع الأبواب الخلفية.
• استبدل الإضافات التي لم تُحدّث منذ أكثر من عام أو التي أُغلقت على WordPress.org.
• استخدم PHP 8.2 أو أحدث؛ فالإصدارات القديمة لم تعد تتلقى إصلاحات أمنية.

مثال حديث يوضح أهمية السرعة: في أغسطس 2026 أصلحت إضافة All-in-One WP Migration ثغرة حقن SQL في الإصدار 7.110، ومع ذلك أفاد موقع BleepingComputer في سبتمبر بأن نحو 3.25 مليون موقع لم تُحدّث بعد. وهجمات سلسلة التوريد سبب إضافي لمراقبة قائمة إضافاتك، كما حدث في زرع أبواب خلفية في أكثر من 30 إضافة في أبريل 2026.

2. تأمين تسجيل الدخول وحسابات المستخدمين

كلمات المرور المسروقة والمكررة هي نقطة الدخول الكبيرة الثانية. دليل ووردبريس الرسمي يوصي بالتحقق الثنائي لكل المديرين، ومفاتيح المرور حيثما أمكن، وتحديد معدل المحاولات على مستوى الشبكة.

1. ألزِم الجميع بالتحقق الثنائي. لكل مدير ومحرر ومدير متجر، وليس لحسابك أنت فقط.
2. كلمات مرور فريدة ومولّدة. احفظها في مدير كلمات مرور، ولا تشارك حسابًا واحدًا بين أكثر من موظف.
3. مبدأ أقل صلاحية. الكاتب يأخذ دور Author أو Contributor وليس Administrator، واحذف حسابات الموظفين السابقين والشركات القديمة في نفس اليوم.
4. حدّد محاولات الدخول. قيّد المحاولات الفاشلة وأضف تحققًا من نوع CAPTCHA أو Turnstile على صفحة wp-login.php.
5. تعامل مع XML-RPC. عطّل xmlrpc.php إذا لم يكن هناك ما يستخدمه، وإلا فقيّده وحدّد معدل طلباته.
6. كلمات مرور التطبيقات (Application Passwords). أعطِ كل تطبيق أو تكامل بيانات دخول خاصة يمكن إلغاؤها بدلًا من كلمة مرور المدير.

3. تقوية ووردبريس والسيرفر (Hardening)

التقوية تعني سدّ الطرق السهلة التي يستغلها المهاجم بعد أن يجد ثغرة صغيرة. هذه الإعدادات من دليل التقوية الرسمي أطبقها على كل موقع:

• أضف define( 'DISALLOW_FILE_EDIT', true ); إلى ملف wp-config.php حتى لا يستطيع أحد تعديل ملفات PHP من لوحة التحكم.
• اضبط المجلدات على 755 والملفات على 644، واقفل wp-config.php على 400 أو 440.
• امنع تشغيل PHP داخل wp-content/uploads، فهو المكان المفضل لزرع ملفات التحكم عن بُعد (Web Shells).
• امنح مستخدم قاعدة البيانات الصلاحيات التي يحتاجها ووردبريس فقط، واجعل لكل موقع مستخدم قاعدة بيانات منفصلًا.
• فعّل HTTPS إجباريًا، وأضف ترويسات الأمان (Security Headers) مثل HSTS وX-Content-Type-Options وسياسة CSP مناسبة، وأخفِ إصدار السيرفر.
• غيّر مفاتيح التشفير (Salts) في wp-config.php عند أي شك في تسريب؛ هذا يُخرج كل المستخدمين فورًا.
• اعزل المواقع: حساب استضافة أو حاوية لكل موقع، حتى لا ينقل موقع مخترق العدوى إلى البقية.

الاستضافة جزء من الحماية. إذا كان سيرفرك يعمل بإصدار PHP قديم، أو يشارك مستخدمًا واحدًا بين كل المواقع، أو بلا جدار حماية، فاطّلع على خدمة إدارة السيرفرات والاستضافة.

4. جدار حماية تطبيقات الويب وفحص البرمجيات الخبيثة

جدار حماية تطبيقات الويب (WAF) يفلتر الطلبات الخبيثة قبل أن تصل إلى الكود المصاب بالثغرة. يوجد نوعان رئيسيان، وأفضل إعداد غالبًا يجمع بينهما:

• جدار على مستوى الشبكة/DNS (مثل Cloudflare أو Sucuri): يوقف البوتات والهجمات الكثيفة قبل وصولها لسيرفرك، فيوفّر موارده أيضًا.
• جدار على مستوى الموقع/إضافة (مثل Wordfence أو Patchstack): يفهم طلبات ووردبريس ويستطيع تطبيق ترقيع افتراضي (Virtual Patching) لثغرات إضافات بعينها.

اعرف حدود النسخة المجانية: في Wordfence المجاني تصل قواعد الجدار وتوقيعات البرمجيات الخبيثة الجديدة بعد 30 يومًا من وصولها لمشتركي Premium، واشتراك Premium بسعر 149 دولارًا سنويًا لموقع واحد. للمتاجر ومواقع العضويات النشطة، الحماية اللحظية تستحق غالبًا.

5. النسخ الاحتياطي والمراقبة وخطة الطوارئ

نسخ احتياطية تنقذك فعلًا

• انسخ الملفات وقاعدة البيانات تلقائيًا، يوميًا على الأقل للمتاجر والمواقع الإخبارية.
• اتبع قاعدة 3-2-1: ثلاث نسخ، على نوعين من التخزين، واحدة منها خارج السيرفر (تخزين سحابي لا يستطيع حساب الاستضافة حذفه).
• احتفظ بسجل 30 يومًا على الأقل، لأن الإصابة كثيرًا ما تُكتشف بعد أسابيع.
• جرّب استرجاعًا كاملًا على نسخة تجريبية كل شهر. النسخة غير المختبرة أمنية، وليست خطة.

المراقبة

• سجل نشاط لتسجيلات الدخول والمستخدمين الجدد وتثبيت الإضافات وتغيير الإعدادات.
• مراقبة سلامة الملفات (File Integrity Monitoring)، بما فيها مجلد wp-content/mu-plugins الذي تختبئ فيه البرمجيات الخبيثة كثيرًا.
• مراقبة التوقف وشهادة SSL، مع Google Search Console لتنبيهات الأمان.

وإذا وقع الأسوأ، اتبع دليلي لاسترجاع موقع ووردبريس مخترق خطوة بخطوة.

كم تكلف حماية موقع ووردبريس في مصر في 2026؟

الجدول التالي يوضح نطاقات سوقية تقريبية لعام 2026 في مصر، بناءً على ما يطلبه المستقلون والشركات عادةً. هذه ليست قائمة أسعاري؛ كل موقع يُسعَّر بعد مراجعته.

ما الذي يحدد السعر؟ عدد الإضافات وحجم الكود المخصص، وهل الموقع يعالج مدفوعات أو بيانات شخصية، ونوع الوصول للسيرفر (استضافة مشتركة أم VPS)، وعدد المواقع المشمولة، وسرعة الاستجابة التي تحتاجها عند حدوث مشكلة.

تريد أن أتولى تأمين موقعك؟

أنا إسلام عبد الله، مطوّر ووردبريس ومتخصص في أمن المواقع، بخبرة تزيد على 8 سنوات وأكثر من 450 مشروعًا منفذًا لعملاء في مصر والسعودية والخليج وبريطانيا وأمريكا. أجري فحصًا كاملًا، وأصلح مواطن الخطر، وأقوّي السيرفر، وأجهز النسخ الاحتياطي والمراقبة، ثم أسلّمك تقريرًا واضحًا.

• الفحص الأمني والتقوية وتنظيف الاختراق: خدمة حماية المواقع وإزالة البرمجيات الخبيثة.
• التحديثات والنسخ الاحتياطي والمراقبة المستمرة: خدمة صيانة ودعم المواقع.

أخبرني عن موقعك عبر نموذج التواصل وسأرد عليك بخطة عملية.

الأسئلة الشائعة

المصادر

• Patchstack – State of WordPress Security in 2026
• WordPress.org – Hardening WordPress (Advanced Administration Handbook)
• WordPress.org – Brute Force Attacks (Advanced Administration Handbook)
• Sucuri – 2023 Hacked Website & Malware Threat Report
• BleepingComputer – WordPress backup plugin flaw exposes millions of sites
• W3Techs – Usage statistics of WordPress
• FatLab – Wordfence Free vs Premium pricing 2026