النسخ الاحتياطي وأمان المواقع: قبل أن تتعرض للاختراق
النسخة الاحتياطية التي لم تُختبر ليست نسخة احتياطية؛ طبّق قائمة التحقق هذه قبل الاختراق لحماية موقعك من الكارثة.
نشره: Hızlı Yazılım
أين تعيش نسختك الاحتياطية فعلًا
إذا كانت النسخة الاحتياطية لموقعك موجودة فقط في مجلد منفصل على الخادم نفسه، فيمكن للمهاجم الناجح أن يشفّر هذا المجلد أو يحذفه أثناء الاختراق. تبقى قاعدة 3-2-1 الأساس العملي للأعمال الصغيرة: احتفظ بثلاث نسخ، واستخدم وسيطَي تخزين مختلفين، وخزّن نسخة واحدة خارج الموقع. النسخة التي لا تغادر خادم الإنتاج أبدًا ليست نسخة احتياطية، بل تستهلك مساحة القرص فحسب.
استخدم أدوات مثل UpdraftPlus أو Duplicator Pro أو cPanel Backup أو JetBackup، أو ببساطة rsync مع مهمة cron. أرسل النسخ الخارجية إلى AWS S3 أو Google Drive أو Backblaze B2 أو Hetzner Storage Box. إذا كان قطاعك يشترط بقاء البيانات داخل بلد أو منطقة معينة، فتحقق من موقع التخزين لدى مزوّد الخدمة السحابية. بعض اللوائح المهنية تقيّد نقل البيانات عبر الحدود، لذا استشر مستشار الامتثال لديك قبل اختيار وجهة التخزين الخارجي.
لا تمرين استعادة، لا نسخة احتياطية
وجود ملف نسخة احتياطية لا يعني أن هذه النسخة قابلة للاستعادة. الأرشيفات التالفة، وتفريغات قاعدة البيانات الناقصة، وصلاحيات الملفات الخاطئة لا تظهر إلا أثناء استعادة حقيقية. ولهذا فإن النسخة غير المختبَرة ليست نسخة احتياطية أصلًا. مرة واحدة في الشهر على الأقل، نفّذ استعادة كاملة إلى بيئة تجريبية، وتحقق من الملفات وقاعدة البيانات والإضافات وإعدادات القالب معًا.
أتمت التمرين بسكربت صغير: خذ نسخة احتياطية حديثة، وفكّها في منطقة اختبار، ثم تحقق من أن الصفحة الرئيسية تُرجع HTTP 200. إذا فشل هذا الفحص، فاعتبر نظام النسخ الاحتياطي في حالة إنذار أحمر. وقِس كذلك زمن الاستعادة؛ فالنسخة التي تُستعاد في ساعتين أثمن بكثير من نسخة تستغرق ثماني ساعات في حالة طوارئ.
الانضباط في التحديثات: البرامج القديمة تستدعي المهاجمين
الإصدارات القديمة من WordPress أو WooCommerce أو Joomla أو التطبيقات المخصصة تكشف ثغرات معروفة يبحث عنها المهاجمون آليًا. والموقع الذي يتجاهل التحديثات يصبح بعد فترة هدفًا متوقعًا. فعّل التحديثات التلقائية لتصحيحات الأمان الصغيرة، لكن اختبر القفزات إلى الإصدارات الرئيسية في البيئة التجريبية أولًا.
احتفظ بقائمة جرد للإضافات والقوالب، واحذف كل ما لا تستخدمه، لأن الإضافة القديمة حتى وهي غير مفعّلة تضيف خطرًا. اقرأ سجلات التغييرات قبل التحديث، وتحقق من التعارضات المعروفة. لكن كن حذرًا: التحديثات التلقائية قد تعطّل الشيفرة المخصصة وتُسقط الموقع. فبدلًا من دفع التحديثات الرئيسية التلقائية إلى بيئة الإنتاج، حدّد نافذة صيانة وطبّقها مع خطة للتراجع.
أغلق لوحة الإدارة كما تُغلق الخزنة
كثيرًا ما يقتحم المهاجمون لوحات الإدارة بهجمات القوة الغاشمة. غيّر المسارات الافتراضية مثل /admin أو /wp-admin، وحدّد عدد محاولات تسجيل الدخول، وافرض المصادقة الثنائية. استخدم كلمات مرور طويلة وفريدة يولّدها مدير كلمات المرور، ولا تكرر الكلمة نفسها أبدًا في البريد الإلكتروني أو الخدمات الأخرى.
قيّد الوصول إلى لوحة الإدارة بقائمة عناوين IP مسموح بها، مع VPN لمن يعملون عن بُعد. في WordPress، عطّل XML-RPC ونقاط REST غير الضرورية. أدوات مثل Wordfence أو Sucuri أو Imunify360 على مستوى الخادم تصدّ هجمات القوة الغاشمة والطلبات الخبيثة. وافصل الأدوار كذلك: محرر المحتوى لا ينبغي أن يحصل على صلاحيات المدير الكاملة.
اجعل تكرار النسخ الاحتياطي مناسبًا لنوع الموقع
لا يناسب جدول نسخ احتياطي واحد كل المواقع. مواقع التجارة الإلكترونية وأنظمة العضوية ووحدات الحجز تتغير بياناتها باستمرار؛ ولهذه المواقع، خذ نسخة احتياطية لقاعدة البيانات كل ساعة على الأقل، ونسخة كاملة للملفات يوميًا. أما الموقع التعريفي الثابت فغالبًا ما تكفيه نسخة كاملة أسبوعية.
للمواقع كثيفة المعاملات، استخدم النسخ الاحتياطي التزايدي؛ فإذا كانت النسخة الكاملة تستغرق ساعات في كل مرة، فإن نسخة تزايدية يومية مع نسخة كاملة أسبوعية خيار معقول. ومع ميزانية محدودة، صدّر البيانات الأكثر أهمية (الطلبات، والمستخدمين، والمحتوى) بشكل منفصل. لكن النسخ الكاملة التلقائية كل ساعة ليست ضرورية لكل موقع؛ فهي تستهلك الموارد وترفع التكلفة. ابدأ بتحديد الهدف الزمني للاستعادة.
اجمع بين النسخ الاحتياطي واكتشاف التهديدات الأمنية
النسخ الاحتياطي وحده ليس أمانًا؛ فهو لا يوقف الهجوم، بل يتيح الاستعادة فقط. بعد الاختراق، لا تكفي الاستعادة من نسخة نظيفة — فإذا لم تجد الثغرة وتغلقها، سيدخل المهاجم من الباب نفسه مرة أخرى. اجمع بين النسخ الاحتياطي ومراقبة سلامة الملفات وفحص البرمجيات الخبيثة ومراجعة السجلات.
شغّل Sucuri SiteCheck أو Wordfence أو ClamAV أو أدوات الفحص على مستوى الخادم بانتظام. استخدم التحكم في الإصدارات المعتمد على Git لمقارنة تغييرات الملفات قبل الحادثة وبعدها. روتين عملي لفريق صغير: نسخ احتياطي تلقائي + تقرير أمني أسبوعي + تمرين استعادة شهري. بهذه الطريقة تتحرك قبل أن يُخترق الموقع.