قبل إطلاق الموقع، تركز العديد من الشركات على مظهر الصفحات واكتمال المحتوى، وغالبًا ما يتم تأجيل الجوانب الأمنية. في الواقع، بعد الإطلاق، سيكون الموقع معرضًا باستمرار للبيئة العامة، وإذا لم يتم تكوين الإعدادات الأمنية الأساسية بشكل صحيح، فستكون الصيانة اللاحقة متكررة وسلبية. إليك قائمة تحقق أمنية أساسية مناسبة لمواقع الشركات، مقسمة إلى ثلاث مراحل: التحضير، والتنفيذ، والمراجعة.
أولاً: مرحلة التحضير: تحديد الأصول والصلاحيات
قبل بدء الفحص، حدد بوضوح المداخل والحسابات الموجودة في الموقع. تشمل عادةً لوحة تحكم الموقع، ولوحة إدارة الخادم، وأدوات إدارة قاعدة البيانات، وFTP أو SSH. قم بإعداد جدول بعناوين كل مدخل، وطريقة تسجيل الدخول، والصلاحيات الحالية، لتسهيل الفحص التفصيلي.
فيما يتعلق بصلاحيات الحسابات، يجب التمييز بين الأدوار مثل المدير، والمحرر، والرافع، وتخصيص الحد الأدنى من الصلاحيات اللازمة لكل دور. على سبيل المثال، لا يحتاج المحرر العادي إلى صلاحيات إدارة الخادم، ولا يحتاج موظفو الدعم إلى صلاحيات تشغيل قاعدة البيانات. إذا كان هناك موظفون سابقون أو مقاولون خارجيون قد تعاملوا مع النظام، فيجب حذف حساباتهم أو إعادة تعيينها قبل الإطلاق.
ثانيًا: مرحلة التنفيذ: فحص العناصر الأمنية الرئيسية
1. عنوان لوحة التحكم وحماية تسجيل الدخول
لا تستخدم المسار الافتراضي للوحة التحكم (مثل /admin)، وقم بتغييره إلى مسار يصعب تخمينه. تحقق أيضًا من تفعيل رمز التحقق أو المصادقة الثنائية لمنع هجمات القوة الغاشمة. إذا كان نظام الموقع يدعم ذلك، يُنصح بتقييد عدد محاولات تسجيل الدخول الفاشلة، وقفل عنوان IP مؤقتًا بعد تجاوز الحد.
2. رفع الملفات وصلاحيات الدلائل
تحقق من منع تنفيذ البرامج النصية في دليل رفع الملفات. على سبيل المثال، يجب أن يكون دليل رفع الصور للقراءة فقط، ولا يمكن تشغيل برامج مثل PHP أو ASP. إذا كان الموقع يحتوي على وظيفة إدارة الملفات، فتأكد من أن المستخدمين العاديين لا يمكنهم الوصول إلى ملفات تكوين النظام.
3. قاعدة البيانات واستراتيجية النسخ الاحتياطي
لا تستخدم root أو admin لحساب قاعدة البيانات، ويجب أن تكون كلمة المرور معقدة بما يكفي. تأكد أيضًا من خطة النسخ الاحتياطي لقاعدة البيانات: هل تم تكوين نسخ احتياطي تلقائي؟ هل يتم تخزين ملفات النسخ الاحتياطي خارج دليل الموقع؟ يُنصح بالاحتفاظ بنسخ احتياطية لآخر 7 أيام على الأقل، واختبار عملية الاستعادة بانتظام.
4. فحص الثغرات الشائعة
تحقق مما إذا كان الموقع يستخدم مكونات إضافية أو مكونات معروفة بثغراتها، خاصة أنظمة إدارة المحتوى مفتوحة المصدر (مثل ووردبريس، ودريم ويفر). قم بتحديثها إلى أحدث إصدار، واحذف المكونات الإضافية والثيمات غير المستخدمة. تحقق أيضًا من وجود ثغرات حقن SQL و XSS، ويمكن اختبار نماذج الإدخال بأحرف خاصة، مع الحرص على عدم التأثير على البيانات الفعلية.
5. HTTPS وحماية المعلومات الحساسة
تأكد من تفعيل HTTPS على الموقع، خاصة لصفحات تسجيل الدخول وصفحات الدفع. تحقق من فرض استخدام HTTPS لتسجيل الدخول إلى لوحة التحكم، لتجنب نقل كلمات المرور بنص واضح. افحص أيضًا كود الموقع للتأكد من عدم كشف معلومات اتصال قاعدة البيانات أو مفاتيح API.
ثالثًا: مرحلة المراجعة: التأكد من فعالية الفحص والنسخ الاحتياطي
بعد اكتمال الفحص، يجب إجراء اختبار فعلي. على سبيل المثال، قم بتسجيل الدخول إلى لوحة التحكم بحساب غير مسؤول، وتأكد من رؤية الوظائف ضمن صلاحياته فقط؛ وحاول الوصول إلى عنوان لوحة التحكم، وتأكد من حظره أو طلب التحقق. قم أيضًا بتنفيذ تمرين استعادة نسخة احتياطية يدويًا للتأكد من أن ملفات النسخ الاحتياطي قابلة للاستخدام وأن خطوات الاستعادة واضحة.
الأمان ليس مهمة لمرة واحدة، بل يجب إعادة الفحص بانتظام بعد الإطلاق. يُنصح بفحص صلاحيات الحسابات وحالة النسخ الاحتياطي كل ثلاثة أشهر، وبعد كل تحديث لنظام الموقع، أعد فحص صلاحيات الملفات والثغرات. إذا كان الموقع يتعامل مع بيانات المستخدمين أو المعاملات، يجب زيادة الاستثمار الأمني، ويمكن الاستعانة بفريق أمني متخصص لإجراء اختبارات الاختراق عند الحاجة.
تنطبق القائمة أعلاه على معظم مواقع الشركات التعريفية. إذا كان الموقع يتضمن معاملات عبر الإنترنت أو جمع معلومات خصوصية للمستخدمين، فيجب مراعاة متطلبات أكثر صرامة مثل الامتثال لمعايير حماية البيانات، ويجب استشارة مزود خدمة متخصص بناءً على الوضع الفعلي.
