HTTPS والتحديثات وكلمات المرور والنسخ الاحتياطية: قائمة عملية وبسيطة لتأمين موقعك الإلكتروني وحماية بياناتك وبيانات زبنائك.
يظن كثير من أصحاب المواقع أن شركتهم الصغيرة لا تهم القراصنة. وهذا خطأ: فالهجمات في الغالب آلية، تمسح آلاف المواقع بحثاً عن ثغرات معروفة، دون اكتراث بحجم الشركة. والموقع المهمَل يتم العثور عليه عاجلاً أو آجلاً. والوقاية أقل كلفة وأيسر بكثير من معالجة موقع مخترق بعد وقوع الضرر.
وتتراوح العواقب بين موقع مشوَّه، وضياع بيانات الزبناء، ورسائل مزعجة تُرسَل من نطاقكم، أو تحذير من المتصفح ينفّر زوّاركم. وفيما يلي قائمة تحقق بسيطة تستطيع أي مقاولة تطبيقها لتخفيض هذه المخاطر بشكل ملحوظ.
HTTPS والشهادة: الحد الأدنى الحيوي
يجب أن يعمل موقعكم عبر HTTPS، الذي يشفّر التبادلات بين الزائر والخادم. وهو ضروري بمجرد وجود استمارة أو تسجيل دخول أو أداء، وتعرض المتصفحات تحذيراً منفّراً على المواقع التي لا تعتمده. ويقدم أغلب المستضيفين شهادة مجانية.
تأكدوا من أنها تُجدَّد تلقائياً، وأن جميع الصفحات تُحوِّل إلى النسخة الآمنة. فالشهادة المنتهية تعرض شاشة تحذير قد تفقدكم زواراً في ساعات معدودة، دون أن تشعروا بذلك. واطلبوا من مستضيفكم تنبيهاً بالبريد الإلكتروني قبل انتهاء الشهادة بمدة كافية.
التحديثات: لماذا هي بهذه الأهمية؟
تستغل أغلب عمليات الاختراق ثغرات معروفة، سبق أن أصلحها الناشرون، لكن الإصلاح لم يُطبَّق. وسواء كنتم تستعملون WordPress أو نظاماً آخر، فحدّثوا بانتظام النواة والقوالب والإضافات، بعد أخذ نسخة احتياطية من الموقع.
واحذفوا ما لم يعد مفيداً: إضافات غير مستعملة، وقوالب قديمة، وحسابات متعاونين سابقين. فكلما قلّت الشيفرة قلّت المنافذ. واحذروا كذلك القوالب أو الإضافات المقرصنة المجانية: فهي تحتوي غالباً على شيفرة خبيثة. ودوّنوا قائمة بكل ما هو مثبَّت على موقعكم حتى يسهل عليكم التنظيف والمراجعة دورياً.
كلمات المرور والصلاحيات: كيف تحمونها؟
استعملوا كلمات مرور طويلة وفريدة لإدارة الموقع والاستضافة والبريد واسم النطاق، ويفضَّل أن تُدار بمدير لكلمات المرور. وتجنبوا اسم المستخدم الافتراضي «admin» وفعّلوا المصادقة الثنائية أينما أمكن.
وحدّدوا الصلاحيات: يجب ألا يملك كل شخص إلا ما يحتاجه من وصول. وحين يغادر مزوّد خدمة أو موظف الشركة، احذفوا صلاحياته أو غيّروها فوراً. ولا تتشاركوا بيانات الدخول أبداً عبر رسائل غير مؤمَّنة. وخصصوا لكل شخص حساباً باسمه بدل حساب مشترك، فذلك يتيح معرفة من قام بأي تعديل.
النسخ الاحتياطية: تأمينكم عند حدوث مشكلة
لا توجد حماية مطلقة، ولهذا تكتسي النسخ الاحتياطية أهمية جوهرية. برمجوا نسخاً تلقائية من الموقع وقاعدة البيانات، تُحفظ خارج الخادم الرئيسي، واختبروا الاسترجاع بانتظام. فنسخة احتياطية لم تجرّبوا استرجاعها قط هي نسخة لا تعرفون قيمتها.
ويتوقف التواتر على النشاط: فمتجر إلكتروني يتلقى طلبات كل يوم يحتاج إلى نسخ أكثر تكراراً من موقع تعريفي لا يتغير إلا مرة كل ثلاثة أشهر. واحتفظوا بعدة إصدارات، لأن الإصابة قد تمر دون أن تُلاحَظ عدة أيام. وتأكدوا من أن النسخ لا تُحفظ في المكان نفسه الذي يوجد فيه الموقع فقط.
الاستمارات والأداء والمعطيات الشخصية
احموا استماراتكم بنظام مضاد للرسائل المزعجة وتحققوا من صحة البيانات المُدخلة. أما بالنسبة إلى الأداء، فلا تخزّنوا أبداً أرقام البطاقات على موقعكم: استعملوا حل أداء معتمداً يتولى هذه المعطيات الحساسة. وحدّثوا مكوّنات الاستمارة كما تحدّثون بقية الموقع.
وفي المغرب، تخضع حماية المعطيات الشخصية للقانون 09-08 وللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP). فإذا كنتم تجمعون معلومات عن زبنائكم، فأخبروهم بوضوح بالاستعمال المزمع، ولا تحتفظوا إلا بالضروري، واكتبوا إشعارات قانونية وسياسة للخصوصية. واستشيروا قانونياً بشأن حالتكم الخاصة.
وفكروا أخيراً في الاستضافة: فقد يعرّض خادم مشترك رخيص جداً وسيئ الصيانة عدة مواقع في وقت واحد. اختاروا مستضيفاً جاداً، يطبّق التصحيحات، ويوفر نسخاً احتياطية وجدار حماية، ويستجيب دعمه فعلاً حين تواجهون مشكلة عاجلة.
المراقبة ورد الفعل: ماذا نفعل عند حدوث مشكلة؟
راقبوا توفر موقعكم بأداة للتنبيه، وتفقّدوا بين الحين والآخر Search Console ورسائل مستضيفكم. وعند أي شك (صفحات مجهولة، أو عمليات إعادة توجيه غريبة، أو بطء مفاجئ)، غيّروا كلمات المرور، واسترجعوا نسخة سليمة، وأخضعوا الموقع للفحص. وأعدّوا مسبقاً قائمة بمن تتصلون به عند الطوارئ: المستضيف، والمطوّر، والمسؤول عن النطاق.
ويسهل الالتزام بهذه الممارسات مع متابعة منتظمة. وقد تحذّر المتصفحات من الموقع المخترق فيفقد ظهوره، وهو ما يسعى كل عمل في تحسين الظهور في محركات البحث إلى تفاديه. ولتدقيق أمن موقعكم، فإن Ismaaf Web Agency في خدمتكم: تواصلوا معنا.
