تقوية الموقع الإلكتروني عمل عملي يهدف إلى تقليل التعرّض الذي يمكن تجنّبه في موقع أو تطبيق ويب قيد التشغيل، من خلال تحسين إعداداته وخيارات الحماية فيه. وهي تقلّل التعرّض الذي يمكن تجنّبه في المجالات المتفق عليها، وصُمّمت لتسير جنبًا إلى جنب مع الملكية والمتابعة المستمرة للموقع. بل هي طريقة مركّزة لمعالجة نقاط الضعف الشائعة في مواقع WordPress وPHP وغيرها، التي تتراكم بفعل الإعدادات الافتراضية، والإضافات القديمة، وإصدارات PHP الأقدم، وتغيّر ترتيبات الاستضافة، أو قرارات الإطلاق المتعجّلة. والنتيجة إعدادات أوضح وأكثر تروّيًا، مع قرارات موثّقة بشأن ما جرى تغييره، وما يبقى خارج النطاق، وما ينبغي أن يرصده الفريق المسؤول.
ما هو
يراجع ارتباط تقوية الموقع الإعدادات التقنية المتفق عليها المحيطة بموقع أو تطبيق موجّه للجمهور ويحسّنها. ويُؤكَّد النطاق كتابيًا، وقد يشمل ترويسات أمان HTTP، وإعدادات TLS وملفات تعريف الارتباط، والضوابط المتعلقة بالمصادقة، وإعدادات الخادم أو المنصة، والمسارات الإدارية المكشوفة، والنصوص البرمجية للأطراف الثالثة، وترتيبات التحديث الأساسية. والهدف تقليل مسارات التعرّض الشائعة التي يمكن تجنّبها ضمن النطاق المتفق عليه، مع دعم كل ملاحظة بالأدلة. وضمن الصلاحيات المؤكَّدة، يطبّق فريقنا التغييرات المتفق عليها ويسجّل كل تغيير في سجل مكتوب يوضّح الحالة قبل التغيير وبعده؛ أما البنود التي تحتاج إلى المطوّر أو مزوّد الاستضافة أو مزوّد CDN لديك فتُوثَّق لهم. وتُؤكَّد حدود المسؤولية قبل بدء العمل. وتكون التقوية أكثر فائدة عندما يكون الموقع مستقرًا بما يكفي لتقييمه، ويستطيع المالكون المعنيون تأكيد السلوك المقصود، وتوجد طريقة واضحة لاختبار التغييرات قبل نشرها أو بعده.
لمن هذا؟
تناسب تقوية المواقع الإلكترونية المنشآت التي:
- تشغّل موقعًا إلكترونيًا عامًا أو تطبيق ويب يتضمن نماذج موجّهة للعملاء أو حسابات أو مدفوعات أو وظائف أخرى حيوية للأعمال
- لديها مراجعة أو فحص سابق أو قائمة تحقق داخلية حدّدت بنود إعدادات تحتاج إلى خطوة متابعة عملية
- تستعد لإطلاق أو إعادة إطلاق أو انتقال في الاستضافة، وتريد تقليل الاعتماد على إعدادات افتراضية لم تخضع للمراجعة
- تحتاج إلى تسليم أوضح بين فرق المنتج والتطوير والتسويق والاستضافة بشأن من يملك إعدادات الأمان الرئيسية
ما يساعد على توضيح
يساعد ارتباط التقوية على توضيح:
- أي نقاط ضعف الإعدادات المتفق عليها مكشوفة حاليًا، وأيها يمكن معالجته ضمن حدود الموقع
- أي التغييرات مباشرة، وأيها يتطلب قرارًا لأنه قد يؤثر في التحليلات أو المحتوى المضمَّن أو مسارات تسجيل الدخول أو غيرها من سلوكيات الموقع
- أين تحتاج النصوص البرمجية للأطراف الثالثة أو ضوابط الاستضافة أو الصلاحيات الإدارية إلى مالك أوضح أو مراجعة منفصلة
- ما الذي جرى تغييره أو التوصية به، وما الذي لا يزال يحتاج إلى متابعة، وما البنود التي لا تزال مفتوحة
ما هو متضمن
- تأكيد كتابي للنطاق يشمل الموقع والنطاقات والبيئات ومجالات الإعدادات المشمولة
- مراجعة إعدادات WordPress أو PHP أو غيرها من إعدادات الموقع المتفق عليها، بما في ذلك الإضافات المشمولة بالنطاق، وترويسات HTTP، وإعدادات TLS وملفات تعريف الارتباط، والضوابط المتعلقة بالمصادقة، والنصوص البرمجية للأطراف الثالثة، وإعدادات المنصة أو الخادم
- قائمة موثّقة بالملاحظات والتغييرات المقترحة، مع شرح السبب العملي لكل بند
- تنفيذ مصرَّح به لتغييرات الإعدادات المتفق عليها، مع سجل مكتوب للحالة قبل التغيير وبعده
- تحقق أساسي من التغييرات المتفق عليها ومناقشة أي مفاضلات وظيفية تظهر أثناء التنفيذ
- مكالمة مراجعة واحدة لمناقشة التسليم والملكية المتبقية والإجراءات التالية المعقولة
ما لا يشتمل عليه
- اختبار الاختراق، أو الاستغلال الفعلي للثغرات، أو أي وعد باكتشاف كل ثغرة ممكنة
- شهادات الامتثال، أو إقرار التدقيق، أو أي تعهّد بأن الموقع يستوفي جميع المتطلبات القانونية أو متطلبات القطاع
- الرصد المستمر، أو الاستجابة للحوادث، أو الإدارة المتواصلة بعد انتهاء الارتباط
- مراجعة النطاقات أو الأنظمة أو الإضافات أو التكاملات غير المدرجة في النطاق المتفق عليه
- مراجعة الشيفرة على مستوى التطبيق، أو مراجعة مسار الدفع، أو أعمال أمن المنتج الأوسع ما لم تُحدَّد بنطاق منفصل
متى تختارها
اختر تقوية الموقع الإلكتروني عندما يكون هناك قلق معروف بشأن الإعدادات، أو حاجة مركّزة للجاهزية قبل الإطلاق، أو مجموعة واضحة من النتائج السابقة ينبغي تحويلها إلى تغييرات مضبوطة. وكثيرًا ما تكون خطوة تالية معقولة بعد مراجعة الأساس الأمني، أو فحص للثغرات، أو ترحيل للمنصة. وقد تكون مناسبة أيضًا عندما يتولى صيانة الموقع عدة مورّدين ولا يكون أحد واثقًا تمامًا من الإعدادات الافتراضية أو النصوص البرمجية التي لا تزال قيد الاستخدام. وإذا لم يكن السؤال المحوري واضحًا بعد، فابدأ بخدمة «Security Baseline Review» حتى تميّز بين مهمة إعدادات ومسألة أوسع تتعلق بالصلاحيات أو الشيفرة أو العمليات. وتكون التقوية أكثر فاعلية عندما تستطيع المنشأة تسمية مالك الموقع والمالك التقني ونافذة الاختبار المقبولة قبل الاتفاق على التغييرات.
نهجنا
نبدأ بتحديد حدود الموقع وطريقة التنفيذ كتابيًا. ويحدّد الموجز النطاقات والبيئات ومجالات الإعدادات ومتطلبات الصلاحيات ومسؤولية التغيير. وتُطبَّق التغييرات بمجرد توفّر هذا التأكيد. وحيثما قد يؤثر تغيير ما في الوظائف، مثل سياسة متصفح مقيِّدة تغيّر سلوك نص برمجي لطرف ثالث، نشرح المفاضلة قبل المتابعة. ونتحقق من التغييرات المتفق عليها ضمن الحدود العملية للنطاق، ونسجّل ما طُبّق أو أُرجئ أو تُرك لمالك آخر. وإذا صادفنا مصدر قلق يشير إلى ضعف على مستوى الشيفرة، أو مخاطر لدى المورّدين، أو مسألة أمنية أوسع، نوثّق الملاحظة بدلًا من توسيع العمل دون اتفاق. ويُكتب التسليم بحيث يستطيع فريق التطوير أو الاستضافة أو العمليات الداخلية لديك فهم النتيجة دون الحاجة إلى ترجمة قائمة طويلة من المصطلحات الأمنية.
الأسئلة المتكررة
مقالات ذات صلة
ابدأ
هل أنت مستعد لجعل إعدادات موقعك أكثر تروّيًا؟
يُؤكَّد النطاق كتابيًا قبل أي دفع أو التزام. ابدأ بطلب قصير، وسنوضّح معك ما إذا كانت التقوية المركّزة للموقع تناسب موقعك وتوقيتك ونموذج الملكية الذي لديك اليوم.
اطلب مناقشة حول تقوية الموقع الإلكتروني