أمن المواقع الإلكترونية

انشر SPF وDKIM وDMARC وانقل DMARC إلى وضع الإنفاذ حتى لا يمكن انتحال نطاقك. فعّل مصادقة متعددة العوامل مقاوِمة للتصيّد على البريد وحسابات الإدارة وحسابات الدفع حتى تصبح كلمة المرور المسروقة بلا قيمة. سجّل النطاقات المشابهة. امنح الموظفين طريق إبلاغ بنقرة واحدة يصل إلى شخص يتصرّف. تحقّق من كل بيانات مصرفية جديدة أو معدّلة هاتفيًا على رقم كان لديك مسبقًا. التدريب يساعد على الهامش، لكن الطبقات التقنية هي ما يوقف التصيّد فعليًا، لأن رسالة جيدة بما يكفي ستخدع أحدًا دائمًا. ترتيب العمل الكامل موجود في الخطوات الست أعلاه.

تحديث المنصة وإضافاتها، وتحصين الخادم وحسابات الإدارة، ونسخ احتياطية لا يصل إليها المهاجم، ومراقبة التغييرات غير المصرّح بها، وتوثيق النطاق حتى لا يُستخدم في التصيّد على عملائك. ويضاف إلى ذلك اختبار على مستوى التطبيق مقابل قائمة OWASP لأهم عشرة مخاطر للمواقع التي تقبل المدفوعات أو تحتفظ ببيانات شخصية.

لا. تعمل الإضافة داخل الشيء الذي تحميه، فإذا اختُرقت المنصة صارت الإضافة تعمل على جهاز المهاجم. هي طبقة إضافية مفيدة وأساس ضعيف. الضوابط التي تصمد تقع خارج الموقع: انضباط التحديثات، ونسخة احتياطية معزولة، ونطاق موثَّق، ومراقبة تصل إلى إنسان.

اسحب الموقع إلى وضع عدم الاتصال أو وضع الصيانة بدل حذف أي شيء، واحفظ سجلات الخادم ونسخة من الحالة الراهنة، ثم غيّر كل بيانات الاعتماد التي يحتفظ بها الموقع، بما فيها قاعدة البيانات ولوحة الاستضافة وإدارة نظام المحتوى وأي مفاتيح واجهات برمجية في ملفات الإعداد. استعِد من نسخة احتياطية أُخذت قبل أول تغيير غير مصرّح به بدل تنظيف الموقع الحي، ثم أغلق مسار الدخول قبل إعادته إلى الخدمة. التسلسل الكامل، بما فيه خطوات الإبلاغ والتأمين، موجود في تعرّضت للاختراق، ماذا أفعل.

التحديثات الأمنية خلال أيام من صدورها، وتلقائيًا حيثما تسمح المنصة بذلك. صارت الفترة بين نشر التحديث واستغلال الثغرة تُقاس بالأيام في منصات المحتوى الشائعة، لأن التحديث نفسه يدل المهاجمين على موضع الخلل.

مزوّدكم أو فريقكم، وفق مواصفة المراقبة التي نكتبها: سلامة الملفات، وتسجيلات دخول إدارية غير متوقّعة، وانتهاء الشهادات، والإتاحة، مع تنبيهات توجَّه إلى شخص. نراجع الإعداد دوريًا. المراقبة التي لا يقرأها أحد هي أكثر أشكال استعراض أمن المواقع شيوعًا مما نصادفه.

نعم. يُستخدم الموقع التعريفي المخترق لاستضافة صفحات تصيّد، وتوزيع برمجيات خبيثة على زوارك، وإرسال بريد من نطاقك. ما يريده المهاجم هو سمعتك ونطاقك، وكلاهما يستحق الاستيلاء عليه حتى من دون بوابة دفع.

نعم، وهو التقسيم الصحيح عادةً. نحن نحدّد المتطلبات ونتحقق من النتيجة، ووكالتكم تنفّذ ما تتولى صيانته أصلًا. نحن لا نعيد بيع الاستضافة أو الإضافات، فليس لدينا سبب تجاري للتوصية بنقل أي شيء.