قبل اللجوء إلى فحص مدفوع، إلى أي مدى يمكننا الوثوق بأدوات فحص أمان المواقع المجانية عبر الإنترنت؟

معظم الأدوات المجانية تقوم بفحص سلبي. أي أنها تنظر فقط في ترويسات استجابات HTTP (مثل Content-Security-Policy وStrict-Transport-Security). لا تستطيع النظر في ثغرات استعلامات قاعدة بيانات موقعك ولا في ثغرات إدارة جلسات المستخدمين المسجّلين لأنها لا تملك صلاحيات تسجيل الدخول. إصلاح الترويسات جيد لكنه لا يعني أن موقعك غير قابل للاختراق.

نحن أيضاً عشنا معضلة مشابهة عندما كنا في نطاق إيرادات 500 ألف دولار. في الأدوات المجانية كان كل شيء يبدو أخضر. لكن شركة الاستضافة أوقفت موقعنا فجأة لأن ملف PHP كان مرفوعاً في الخلفية يرسل 3,000 رسالة بريد مزعج. اضطررنا لدفع 1,800 دولار لفريق تدخل طارئ لتنظيف ذلك الملف واستعادة قاعدة البيانات.

الوثوق بالتقييم الذي تعطيه الفاحصات المجانية يشبه غسل سيارة من الخارج فقط ومحاولة معرفة إن كان زيتها يسرّب. الهيكل يلمع لكن ناقل الحركة على وشك الانهيار. لا تنم مرتاحاً على تلك اللوحة لمجرد أنها تعطي ضوءاً أخضر من الخارج.

لا تقبل عرض الـ 2,500 دولار فوراً. أولاً أغلق الترويسات الناقصة التي حذّرت منها الأدوات المجانية من ملف إعدادات السيرفر أو عبر إضافة أمان. ثم احذف كل الإضافات غير الضرورية وحدّث إصدار PHP. بعد أن تنجز واجبك الأساسي، تفاوض إذا استمرت الحاجة.

بعض عمليات التدقيق التي تبيعها شركات الأمان بـ 2,500 دولار قد تكون في الحقيقة مجرد تشغيل برامج تجارية آلية وتسليم ملف PDF الناتج. اسأل الشركة صاحبة العرض بالتأكيد إن كانت ستجري فحصاً منطقياً يدوياً. إذا كانوا سيشغّلون أداة آلية فلا حاجة إطلاقاً لدفع ذلك المال.

طيب إذا كنا نستلم المدفوعات أصلاً عبر مزوّد دفع خارجي معروف بنظام التوجيه، فهل توجد احتمالية سرقة بطاقات العملاء حتى لو أصاب موقعنا فيروس؟ كنا مطمئنين لأننا لا نحتفظ بأرقام البطاقات إطلاقاً.

الترتيب الذي يُتبع عند تقييم النتائج المجانية: 1) إذا كانت فحوصات القائمة السوداء خضراء فنطاقك ليس في قائمة البريد المزعج، وهذه نقطة إيجابية أساسية. 2) عالج تحذيرات الترويسات الناقصة من إعدادات السيرفر حسب توصية الفاحص. 3) حدّث تحذيرات الإضافات القديمة فوراً أو استبدلها ببديل. 4) ثبّت على جانب السيرفر مراقب سلامة ملفات يتابع تغييرات الملفات اليومية.

صار لي سنتين أشتغل بالتجارة الإلكترونية، الفاحصات المجانية تعرض الأخطاء البسيطة فقط. مثلاً وضع تقييد IP على لوحة إدارة wp وتغيير رابط دخول wp-admin يمنع عشرات الهجمات التي لا تستطيع الفاحصات المجانية عرضها، سووا هذي الأشياء وكفاية حالياً.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح. على كل حال كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

صحيح.

ملخص سريع للجدد: فعل الجميع لشيء ما لا يعني أنه صحيح.

لو كنت مكانك، لسلك هذا المسار.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

هذا العنوان مؤرشف.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

مثبت بالتجربة.

أنا أيضًا متحمس لمعرفة ذلك.

هناك نقطة أثارت فضولي. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

هناك خطأ شائع جداً يقع فيه الكثيرون أثناء فعل هذا.. ثم معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

لو كنت مكانك، لسلك هذا المسار.

أتفق، بل أود التأكيد على هذه النقطة. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات. هذا كل شيء، أرجو المعذرة إذا أطالت.