HTTPS: القفل الذي يحمي بيانات زبائنك

HTTPS هو النسخة المشفرة من بروتوكول الويب: كل ما يرسله الزائر إلى موقعك (اسمه ورقم هاتفه ورسالته) يصبح غير قابل للقراءة لمن يعترض الاتصال في الطريق. المتصفحات الحديثة تعرض تحذير «غير آمن» أمام المواقع التي لا تستعمله، وهذا التحذير وحده كافٍ لدفع الزبون بعيداً.

منذ 2014 يعتمد Google على HTTPS كإشارة ضمن عوامل الترتيب، وتنصح رسمياً باعتماده لأمان المستخدمين والموقع معاً. الشهادة لا يجب أن تكلفك شيئاً: هيئة Let's Encrypt غير الربحية تمنحها مجاناً وبشكل آلي، ومعظم مزوّدي الاستضافة في الجزائر يوفرون تفعيلاً بنقرة واحدة من لوحة التحكم.

  • اطلب من مزوّد الاستضافة تفعيل الشهادة وتجديدها تلقائياً.
  • أعد توجيه كل روابط HTTP القديمة إلى نسخة HTTPS (تحويل 301).
  • تأكد أن القفل يظهر دون تحذيرات على كل صفحات موقعك.

التحديثات والنسخ الاحتياطي: خطة الطوارئ التي تنقذ موقعك

معظم الاختراقات الناجحة تستغل ثغرات معروفة في أنظمة إدارة المحتوى وإضافاتها، لا هجمات متطورة. يوصي Google بالاحتفاظ بقائمة بكل البرامج والإضافات المثبتة مع أرقام إصداراتها، وتطبيق كل رقعة أمنية فور صدورها. الموقع الذي بقي دون تحديث لأشهر باب مفتوح.

النسخ الاحتياطي هو الشبكة التي تلتقطك حين تسقط: نسخة أسبوعية من الملفات وقاعدة البيانات، مخزنة خارج خادم الموقع نفسه، مع اختبار استعادة دوري. قاعدة عملية: ثلاث نسخ، على وسيطين مختلفين، واحدة خارج المكتب.

  • حدّث نظام إدارة المحتوى والإضافات في غضون أيام من صدور الرقعة الأمنية.
  • احذف الإضافات والقوالب غير المستخدمة.
  • أعدّ نسخة احتياطية تلقائية أسبوعية وجرّب الاستعادة كل شهرين.

كلمات مرور قوية وفريدة لكل حساب

المهاجم لا يكتفي بتخمين كلمات المرور؛ بل يجرب على مواقع عديدة قوائم كلمات مرور سُرّبت من مواقع أخرى. القاعدة الأولى إذن هي الفرادة: كلمة مرور مختلفة لكل حساب، طويلة وليست من القاموس. وبالنسبة للتخزين، يلخص OWASP المطلوب في جملة واحدة: لا تخزّن كلمة المرور نصاً صريحاً أبداً، بل استعمل تشفيراً بطيئاً مثل Argon2id أو bcrypt مع ملح فريد لكل كلمة.

ولأن أحداً لا يحفظ عشرات الكلمات الطويلة، استعمل مدير كلمات مرور يولّدها ويخزنها، وفعّل التحقق بخطوتين على حساب الإدارة وعلى البريد المرتبط به: فالبريد هو مفتاح استعادة كل الحسابات الأخرى.

  • كلمة مرور واحدة لكل حساب، بطول 12 حرفاً على الأقل.
  • فعّل التحقق بخطوتين على الإدارة والبريد والاستضافة.
  • لا ترسل أي كلمة مرور عبر البريد أو تطبيقات المراسلة.

ترويسات الأمان بلغة واضحة

ترويسة الأمان تعليمة قصيرة يرسلها خادم موقعك مع كل صفحة، يقرأها المتصفح ويعدّل سلوكه بناءً عليها. يوثّق مشروع OWASP Secure Headers أهمها، ويضبطها مطوّر الموقع مرة واحدة:

لا يحتاج المدير إلى فهم التفاصيل التقنية؛ يكفي أن يطلب من مطوّر الموقع تفعيلها وفحصها مرة في السنة. إنها طبقة مجانية تمنع أنواعاً من الهجمات تلقائياً.

  • HSTS: يلزم المتصفح باستعمال الاتصال المشفر دائماً مع موقعك.
  • X-Frame-Options: يمنع عرض موقعك داخل صفحة أخرى لخداع الزائرين.
  • X-Content-Type-Options: يمنع المتصفح من تخمين نوع الملفات بطريقة قد تشغّل تعليمات ضارة.
  • Content-Security-Policy: قائمة بيضاء بالمصادر المسموح لها بالتحميل داخل صفحاتك.
  • Referrer-Policy: يحدد ما تكشفه صفحاتك عن الصفحة السابقة للزائر.

اخترقوا موقعك؟ خطوات الساعة الأولى

الوقت عامل حاسم. الترتيب المقترح يستند إلى توصيات Google للمواقع المخترقة:

إذا كان موقعك يجمع بيانات الزبائن وقد مستها الحادثة، تذكّر أن القانون الجزائري 18-07 يلزم مسؤول المعالجة بوضع تدابير تقنية وتنظيمية مناسبة لضمان سرية المعالجة وأمنها (المادتان 38 و39): فالحادث الذي يمسّ بيانات زبائنك ليس مشكلة تقنية فحسب.

  • أوقف الوصول مؤقتاً: صفحة صيانة أو لوحة إدارة معزولة، بدل ترك صفحاتك تخدم زبائنك بمحتوى مزيف.
  • غيّر كل كلمات المرور: الإدارة والاستضافة وقاعدة البيانات والبريد، من جهاز نظيف.
  • حدّد الضرر: راجع تقرير «مشاكل الأمان» في Google Search Console وابحث عن صفحات غريبة أنشأها المخترق (اكتب site:اسم_نطاقك في بحث Google).
  • استعد من نسخة احتياطية سليمة سابقة للاختراق بعد فحصها من البرمجيات الخبيثة.
  • حدّث كل شيء، ثم اطلب من Google إعادة مراجعة إن كان هناك تحذير أمني ظاهر.

قائمة تحقق عملية لأمان موقعك

اطبع هذه القائمة وراجعها كل ثلاثة أشهر، أو اجعلها بنداً ثابتاً في اجتماعاتك:

  • HTTPS مفعّل ومتجدد تلقائياً ولا توجد تحذيرات في المتصفح.
  • النظام والإضافات محدّثة، والمكوّنات غير المستخدمة محذوفة.
  • نسخة احتياطية تلقائية أسبوعية، واختبار استعادة ناجح هذا الشهر.
  • كلمات مرور فريدة لكل حساب، والتحقق بخطوتين مفعّل.
  • ترويسات الأمان مفعّلة ومفحوصة.
  • حساب Google Search Console مفعّل، والتنبيهات الأمنية تُتابع.
  • شخص واحد معيّن مسؤول عن الأمان ويحتفظ بمستند يوثّق هذه الإعدادات.