ما تحتاج تقرأ كودًا عشان تحمي موقعك. أغلب الحوادث الحقيقية عادية جدًا: كلمة مرور مستخدمة في خدمة ثانية، حساب إدارة بدون خطوة تحقق ثانية، مفتاح سري ملصوق في مكان يراه أي أحد، أو نموذج يصدّق أي شيء يستقبله.
هذه القائمة مكتوبة لأصحاب المواقع لا للمهندسين. لا شيء هنا يجعل موقعك محصّنًا تمامًا، لكن كل بند يغلق بابًا شائعًا. شاركها مع من يبني موقعك أو يصونه، بما في ذلك أوترا إذا كنت تبني عندنا بالمحادثة.
أغلب المواقع المخترقة تسقط بسبب كلمات مرور ضعيفة أو مكررة، وبرامج قديمة، ومفاتيح مسرّبة، وليس بهجمات سينمائية. عالج هذه الأمور وستكون أفضل حالًا من الأغلبية.
الحسابات: أضعف حلقة
حسابات الاستضافة ومسجّل الدومين والبريد و GitHub أغلى عند المخترق من صفحتك الرئيسية، فمن يملكها يملك موقعك.
- استخدم مدير كلمات مرور وكلمة مرور طويلة وفريدة لكل حساب.
- فعّل التحقق بخطوتين في كل مكان يدعمه، وأهمها البريد ومسجّل الدومين.
- لا تشارك حسابًا واحدًا بين أفراد الفريق؛ أعطِ كل شخص صلاحيته واحذفها عند مغادرته.
- جهّز طريقة الاسترداد أولًا: حدّث بريد الاسترداد ورقم الجوال.
المفاتيح السرية وما لا يوضع في الصفحة
مفاتيح الدفع والبريد وخدمات الذكاء الاصطناعي مثل كلمات المرور للأجهزة. لو وُضع المفتاح في كود الواجهة فأي زائر يفتح أدوات المتصفح وينسخه.
احفظ الأسرار في جهة الخادم أو في إعدادات الأسرار بالمنصة، ولا تضعها في لقطات شاشة أو رسائل ترسلها للآخرين أو مستودعات GitHub العامة. وإذا تسرّب مفتاح فلا تتجاهله: ألغِه عند المزوّد وأنشئ بديلًا.
النماذج وتسجيل الدخول وبيانات العملاء
كل نموذج هو باب. اطلب ممن يبني موقعك التأكد أن الخادم يتحقق من المدخلات، ويحدّ من تكرار المحاولات، ولا يعرض للزائر تفاصيل الأخطاء الخام.
- اجمع البيانات التي تحتاجها فعلًا فقط؛ ما لا تخزّنه لا يمكن أن يتسرّب.
- لا تخزّن كلمات المرور كنص صريح؛ استخدم طريقة دخول موثوقة.
- تأكد أن الموقع يعمل على HTTPS فقط.
- لا تستقبل أرقام البطاقات بنفسك؛ استخدم صفحة دفع مستضافة لدى مزوّد الدفع.
التحديثات والأكواد الخارجية
المكتبات القديمة فيها ثغرات معروفة تبحث عنها أدوات المهاجمين آليًا. احذف الإضافات والسكربتات التي لم تعد تستخدمها، وحدّث الباقي بجدول ثابت مثل كل شهر، ولا تحمّل سكربتات خارجية إلا من مصادر موثوقة.
وللعلم، تنشر الهيئة الوطنية للأمن السيبراني ضوابط أساسية للأمن السيبراني؛ فإذا كان عملاؤك جهات منظّمة فاسألهم ماذا يشترطون عليك.
اطلب مراجعة أمنية بالمحادثة
حين تبني مع Uttra تستطيع طلب مراجعة بكلام عادي. هذا طلب جاهز للصق:
«راجع موقعي من ناحية الأمان الأساسي: تأكد أن النماذج تتحقق من المدخلات وتحدّ من الإرسال المتكرر، وأنه لا توجد مفاتيح سرية في كود الواجهة، وأن كل شيء يعمل على HTTPS، واكتب لي ما يجب أن أفعله بنفسي مثل تفعيل التحقق بخطوتين.»
اعتبر الرد قائمة تتأكد منها لا ضمانًا. واحتفظ بنسخة احتياطية أيضًا، لأن الوقاية لا تصل إلى مئة في المئة.