تأمين لوحة cPanel خطوة بخطوة

cPanel تتحكّم في ملفاتك وقواعد بياناتك وبريدك وشهاداتك وأحيانًا إعدادات DNS. هذا الدليل المرجعي يرفع أمانها خطوة بخطوة، من الأهمّ إلى المكمّل، مع جداول مرجعية وأوامر جاهزة وقائمة تحقّق وخطّة استجابة عند الاختراق. اقرأه مرّة كاملة، ثم استخدمه كقائمة عمل تطبّقها على حسابك الفعلي.

لماذا تأمين cPanel أولوية قصوى؟

من يملك cPanel يملك كل شيء: ملفات الموقع كاملة، قواعد البيانات، حسابات البريد، الشهادات، وأحيانًا سجلّات DNS. هي لوحة تحكّم واحدة تجمع كل مفاتيح مملكتك الرقمية في مكان واحد، وهذا تحديدًا ما يجعلها هدفًا مغريًا. ثغرة واحدة هنا لا تعني تعطّل صفحة أو سرقة منشور، بل سيطرة كاملة للمهاجم على وجودك الرقمي بالكامل.

cPanel بوّابة لكل مواقعك دفعة واحدة

كثير من المستخدمين يضعون عدّة مواقع تحت حساب cPanel واحد (نطاق رئيسي + نطاقات إضافية + نطاقات فرعية). هذا مريح من ناحية الإدارة، لكنه يعني أن اختراق اللوحة لا يسقط موقعًا واحدًا بل كل المواقع المستضافة تحته في لحظة. على الاستضافة المشتركة قد يطال الضرر حتى جيرانك على الخادم نفسه عبر تصعيد الصلاحيات. لهذا، تأمين cPanel ليس ترفًا تقنيًا بل خط الدفاع الأول الذي يحمي استثمارك كاملًا.

ماذا يستطيع المهاجم أن يفعل بعد الدخول؟

حين يضع المهاجم يده على لوحتك، تتحوّل من مدير إلى ضيف على موقعك. يستطيع زرع أبواب خلفية (backdoors) في ملفاتك تبقى نشطة حتى بعد تغيير كلمة المرور، أو إرسال آلاف رسائل التصيّد من بريدك فيدخل نطاقك القوائم السوداء، أو سرقة بيانات عملائك من قاعدة البيانات، أو إعادة توجيه زوّارك إلى مواقع خبيثة (defacement / redirect)، أو استخدام خادمك في تعدين العملات أو شنّ هجمات على آخرين. والأخطر: قد يبقى أسابيع دون أن تلاحظ. لهذا نبني الأمان بطبقات لا بإجراء واحد — فكل طبقة تشتري وقتًا وتزيد كلفة الاختراق على المهاجم.

قائمة التأمين السريعة (من الأهمّ للأقلّ)

قبل التفاصيل، إليك خريطة الطريق. رتّبنا الإجراءات حسب نسبة العائد الأمني إلى الجهد، فابدأ من الأعلى ولا تقفز للأسفل قبل إتمام الأعلى:

1. كلمة مرور قوية ومصادقة ثنائية (الأهمّ)

أكثر الاختراقات تبدأ من كلمة مرور ضعيفة أو مُعاد استخدامها أو مسرّبة. هذه الطبقة وحدها تسدّ الغالبية العظمى من المحاولات، فلا تتعجّل تجاوزها.

كيف تبني كلمة مرور لا تُكسر؟

القاعدة بسيطة: الطول أهمّ من التعقيد. كلمة مرور من 16 حرفًا عشوائيًا أصعب بمراحل من 8 أحرف «معقّدة» يسهل تخمينها. اتبع التالي:

1. من Password & Security في cPanel، اضبط كلمة مرور طويلة (16+ حرفًا) وفريدة لا تستخدمها في أي مكان آخر (مولّد كلمات المرور المدمج يساعد، أو استخدم خانة Generate Password).
2. لا تشتقّ كلمة المرور من اسمك أو اسم نطاقك أو تاريخ ميلادك أو كلمات قاموسية متتابعة — هذه أول ما تجرّبه أدوات التخمين.
3. لا تعد استخدام كلمة مرور cPanel في بريدك أو ووردبريس أو FTP. كل خدمة كلمتها المنفصلة.

لماذا مدير كلمات المرور ليس رفاهية؟

تذكّر عشرات كلمات المرور الفريدة الطويلة مستحيل بشريًا، والنتيجة العملية أن الناس يعيدون الاستخدام — وهنا تقع الكارثة: تسريب من منتدى عشوائي يفتح به المهاجم لوحة استضافتك. الحل أن تستخدم مدير كلمات مرور (مثل Bitwarden أو 1Password أو KeePass) يولّد ويخزّن كلمة فريدة لكل خدمة، وأنت لا تحفظ إلا كلمة مرور رئيسية واحدة قوية. هكذا تصبح كل كلمة عشوائية طويلة فريدة بلا عبء ذاكرة، وتسريب خدمة لا يمسّ البقية.

المصادقة الثنائية (2FA): الطبقة التي توقف المسروق

المصادقة الثنائية تطلب — بالإضافة إلى كلمة المرور — رمزًا متغيّرًا من تطبيق على هاتفك. أثرها هائل: حتى لو سُرّبت كلمة مرورك بالكامل، لا يستطيع المهاجم الدخول دون هاتفك. فعّلها فورًا:

1. افتح قسم Security ثم Two-Factor Authentication (2FA) في cPanel.
2. اربطها بتطبيق مصادقة (Authenticator) مثل Google Authenticator أو Authy أو Microsoft Authenticator بمسح رمز QR.
3. أدخل الرمز المولّد للتأكيد، واحفظ رموز الاسترداد (backup codes) في مكان آمن خارج الهاتف تحسبًا لفقدانه.

نصيحة خبير: تجنّب 2FA عبر الرسائل النصية (SMS) إن توفّر بديل التطبيق، لأن SMS عرضة لاختطاف شريحة الاتصال (SIM swapping). تطبيق المصادقة يعمل دون اتصال وأكثر أمانًا.

2. حدّث جهة الاتصال وفعّل استرداد الحساب

ثغرة يغفلها الكثيرون: بريد جهة الاتصال في cPanel قديم أو يشير إلى عنوان على النطاق نفسه. تخيّل أن موقعك اختُرق وبريد الاسترداد يعيش على الخادم المخترَق — تفقد كل سبل الاستعادة دفعة واحدة.

لماذا بريد الاسترداد الخارجي حاسم؟

اضبط من Contact Information بريدًا خارج نطاقك (مثل Gmail أو بريد مزوّد آخر) لاستقبال تنبيهات الأمان وروابط إعادة التعيين. لو اختُرق الخادم وعُطّل بريد نطاقك، يبقى لديك قناة مستقلة لاستعادة السيطرة. فعّل أيضًا إشعارات الدخول وإشعارات تجاوز الموارد لتصلك تنبيهات بأي نشاط غير معتاد.

3. cPHulk والحماية من القوة الغاشمة (Brute Force)

هجوم القوة الغاشمة (brute force) يجرّب آلاف كلمات المرور آليًا حتى يصيب. الدفاع المباشر ضدّه هو cPHulk Brute Force Protection (يُدار غالبًا من جهة المزوّد على مستوى WHM، فاطلبه إن لم يكن مفعّلًا).

كيف يعمل cPHulk؟

يراقب cPHulk محاولات الدخول الفاشلة على cPanel وWHM والبريد وSSH، ويحظر تلقائيًا أي عنوان IP يتجاوز عتبة محاولات خلال نافذة زمنية. هذا يحوّل التخمين من «وقت ومحاولات لا نهائية» إلى «طريق مسدود بعد محاولات قليلة». على خوادم VPS التي تملك جذرها، تأكّد من ضبط:

• عتبة محاولات فاشلة منطقية (مثلًا 5 محاولات خلال 5 دقائق) قبل الحظر.
• قائمة بيضاء (whitelist) لعنوان IP الثابت الخاص بك حتى لا تحبس نفسك خارجًا.
• مدة حظر تصاعدية للعناوين المتكررة.

إن كنت على خادم خاص افتراضي وتريد فهم الفرق في مستوى التحكّم، راجع ما هي استضافة VPS.

موقع آمن يبدأ من استضافة آمنة

استضافة wpressly تأتيك بـSSL مجاني وحماية مدمجة ونسخ احتياطي تلقائي — أمّن موقعك وزوّارك من اليوم الأول.

اكتشف الاستضافة الآمنة

4. SSH والمفاتيح بدل كلمات المرور (إن أتيح)

إن كان وصول SSH متاحًا في خطّتك (شائع على VPS والاستضافة المُدارة، نادر على المشتركة)، فهو قناة قوية لكنها هدف رئيسي للتخمين. القاعدة الذهبية: استخدم مفاتيح SSH وعطّل الدخول بكلمة المرور.

لماذا المفتاح أأمن من كلمة المرور؟

مفتاح SSH زوج تشفير (عام + خاص) يستحيل عمليًا تخمينه، بخلاف كلمة مرور يمكن كسرها بالقوة الغاشمة. تولّد المفتاح من SSH Access › Manage SSH Keys في cPanel أو محليًا ثم ترفع الجزء العام. الأوامر المحلية لتوليد مفتاح حديث:

# توليد زوج مفاتيح ed25519 (أحدث وأأمن من RSA القديم)
ssh-keygen -t ed25519 -C "my-cpanel-key"

# نسخ المفتاح العام إلى الخادم (إن سُمح)
ssh-copy-id -p 22 username@your-server-ip

بعد تأكيد أن الدخول بالمفتاح يعمل، اطلب تعطيل المصادقة بكلمة المرور لـSSH. وعلى الخوادم التي تملك جذرها، يُنصح بنقل SSH من المنفذ الافتراضي 22 إلى منفذ غير قياسي لتقليل ضوضاء التخمين الآلي، وتعطيل دخول الجذر المباشر (PermitRootLogin no).

5. قيّد الوصول إلى cPanel/WHM حسب الـIP

إن كنت تدير لوحتك من عنوان IP ثابت (مكتب أو خادم إدارة)، يمكنك تقييد الوصول إلى cPanel/WHM على عناوين محدّدة عبر إعدادات الخادم أو طلب ذلك من مزوّدك. هذا يحوّل لوحتك من «متاحة للعالم» إلى «متاحة لك وحدك»، فيصبح التخمين مستحيلًا من خارج عناوينك المعتمدة.

متى يناسبك تقييد IP ومتى لا؟

يناسبك إذا كان لديك عنوان ثابت وفريق صغير. لا يناسبك إذا كنت تدير من عناوين متغيّرة باستمرار (سفر، إنترنت منزلي متغيّر) لأنك قد تحبس نفسك خارجًا. البديل الوسط: قائمة بيضاء لنطاق عناوين مزوّد خدمتك، أو الاعتماد على cPHulk + 2FA بدلًا من التقييد الصارم. وازِن دائمًا بين الأمان وعدم قفل نفسك خارج لوحتك.

6. ModSecurity (جدار تطبيقات الويب)

ModSecurity جدار حماية لتطبيقات الويب (WAF) يفحص كل طلب وارد ويصدّ أنماط الهجوم الشائعة — حقن SQL (SQLi)، البرمجة عبر المواقع (XSS)، محاولات استغلال الثغرات المعروفة — قبل وصولها إلى موقعك أو إضافاتك. هو طبقة دفاع استباقية تعمل بصمت.

ماذا يصدّ ModSecurity فعليًا؟

يعتمد على قواعد (rulesets) جاهزة مثل OWASP Core Rule Set تُحدَّث باستمرار لتغطية الثغرات الناشئة. حين يطابق طلب نمط هجوم معروف، يُحظر الطلب ويُسجَّل دون أن يصل لتطبيقك. هذا مفيد خصوصًا لمواقع ووردبريس التي تكثر فيها الإضافات والثغرات. فعّله من قسم Security › ModSecurity إن أتاحه مزوّدك، وراقب سجلّاته بين حين وآخر؛ فإن حجب طلبًا شرعيًا (false positive) يمكنك إضافة استثناء لقاعدة محددة بدل تعطيل الجدار كله.

تذكّر: ModSecurity طبقة مكمّلة لا بديلة. لا يُغني عن كلمة مرور قوية ولا عن تحديث إضافاتك ولا عن أذونات صحيحة — هو شبكة أمان إضافية فوقها.

7. أذونات الملفات الصحيحة (644/755) وحماية wp-config

أذونات الملفات الخاطئة من أشهر أبواب الاختراق وأكثرها تجاهلًا. أذونات فضفاضة (مثل 777) تعني أن أي عملية على الخادم — بما فيها سكربت خبيث رفعه مهاجم — تستطيع تعديل ملفاتك أو تنفيذها.

قاعدة 644 للملفات و755 للمجلدات

القاعدة المرجعية البسيطة: الملفات 644 (القراءة للجميع، الكتابة للمالك فقط)، والمجلدات 755 (الدخول للجميع، الكتابة للمالك فقط). لا تستخدم 777 أبدًا إلا مؤقّتًا للتشخيص ثم أعدها فورًا. تضبط الأذونات من File Manager › Permissions أو عبر SSH:

# كل المجلدات إلى 755
find /home/user/public_html -type d -exec chmod 755 {} \;

# كل الملفات إلى 644
find /home/user/public_html -type f -exec chmod 644 {} \;

# تشديد ملف الإعداد الحسّاس في ووردبريس
chmod 600 /home/user/public_html/wp-config.php

لماذا wp-config أخطر ملف لديك؟

ملف wp-config.php يحوي اسم قاعدة البيانات ومستخدمها وكلمة مرورها ومفاتيح التأمين (salts). تسريبه يعني تسليم قاعدة بياناتك. شدّد إذنه إلى 600، وامنع الوصول إليه عبر .htaccess. لفهم أعمق لبنية ووردبريس وتأمينه، راجع دليل ووردبريس الكامل.

8. حماية wp-admin و.htaccess

لوحة تحكّم ووردبريس (/wp-admin/ وwp-login.php) من أكثر الأهداف تعرّضًا للتخمين. أضف طبقة حماية فوق ملف .htaccess.

حماية wp-login بكلمة مرور إضافية

أبسط حماية فعّالة: Directory Privacy في cPanel لحماية مجلد wp-admin بكلمة مرور إضافية (HTTP Auth)، فيواجه المهاجم بوّابتين بدل واحدة. يمكنك أيضًا تقييد الوصول إلى wp-login.php على عنوان IP الخاص بك عبر .htaccess:

# تقييد wp-login.php على عنوان IP محدد
<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

# منع الوصول المباشر إلى wp-config.php
<Files wp-config.php>
  Require all denied
</Files>

# منع تنفيذ PHP داخل مجلد الرفع
<FilesMatch "\.(php|phtml)$">
  Require all denied
</FilesMatch>

ضع كتلة منع PHP الأخيرة في ملف .htaccess داخل wp-content/uploads — فهي تمنع تنفيذ أي سكربت خبيث رُفع إلى مجلد الوسائط، وهو سيناريو اختراق شائع جدًا.

9. AutoSSL وفرض HTTPS

اتصال غير مشفّر (HTTP) يكشف بيانات الدخول وبيانات الزوّار لأي متنصّت على الشبكة. تأكّد أن AutoSSL مفعّلة وأن كل نطاقاتك ونطاقاتك الفرعية تحمل شهادة سارية، ثم افرض إعادة التوجيه إلى HTTPS على المستوى الكامل.

AutoSSL تصدر وتجدّد شهادات مجانية تلقائيًا، فلا تنتهي صلاحيتها فجأة. بعد التفعيل، فعّل خيار «Force HTTPS Redirect» إن توفّر، أو أضف القاعدة في .htaccess. الخطوات الكاملة (التحقق من الشهادة، فرض التوجيه، معالجة المحتوى المختلط) في تركيب شهادة SSL وتفعيل HTTPS.

10. احظر العناوين المشبوهة (IP Blocker)

من أداة IP Blocker يمكنك حظر عناوين أو نطاقات IP تُظهر سلوكًا عدائيًا (محاولات دخول متكررة، طلبات مشبوهة في السجلّات). مفيد لإيقاف مصدر هجمات متكرّر بسرعة.

لكن لا تعتمد عليه وحده: المهاجمون المحترفون يغيّرون عناوينهم ويوزّعون هجماتهم على آلاف العناوين (botnets). اعتبره أداة تكتيكية لإطفاء حرائق محددة، بينما يبقى cPHulk + 2FA + ModSecurity هي الدفاع البنيوي.

ملاحظة: CSF (ConfigServer Security & Firewall) أداة قوية لكنها تُدار على مستوى الخادم (root)، فهي خيار لمن يملك VPS أو خادمًا مخصّصًا لا للاستضافة المشتركة. لفهم أيّ نوع استضافة يمنحك هذا التحكّم، راجع الاستضافة المشتركة وVPS والمُدارة.

موقع آمن يبدأ من استضافة آمنة

استضافة wpressly تأتيك بـSSL مجاني وحماية مدمجة ونسخ احتياطي تلقائي — أمّن موقعك وزوّارك من اليوم الأول.

اكتشف الاستضافة الآمنة

11. احمِ المجلدات وعطّل الفهرسة

لماذا فهرسة الدليل خطر صامت؟

حين لا يوجد ملف index في مجلد وتكون الفهرسة مفعّلة، يعرض الخادم قائمة بكل الملفات داخله لأي زائر. هذا يكشف بنية موقعك، وأسماء النسخ الاحتياطية، وملفات الإعداد، ومسارات حسّاسة كان يُفترض ألا يراها أحد. عطّل Directory Indexing من أداة Indexes في cPanel، أو أضف Options -Indexes في .htaccess. أمّا Hotlink Protection فيمنع المواقع الأخرى من تضمين صورك مباشرة واستنزاف عرض نطاقك، وLeech Protection يكشف إن سُرّبت بيانات دخول منطقة محمية وشاركها كثيرون.

12. النسخ الاحتياطي عبر cPanel

النسخ الاحتياطي ليس إجراء أمان وقائيًا بل خطّ التعافي الأخير. حين تفشل كل الطبقات السابقة، النسخة السليمة هي الفرق بين «استعدنا الموقع في ساعة» و«خسرنا كل شيء».

القاعدة الذهبية: نسخة خارج الخادم

النسخة التي تعيش على الخادم نفسه ليست تأمينًا حقيقيًا — تضيع معه عند الاختراق أو عطل القرص. اتبع قاعدة 3-2-1: ثلاث نسخ، على وسيطين مختلفين، واحدة منها خارج الموقع (off-site). في cPanel استخدم Backup / Backup Wizard لإنشاء نسخة كاملة، وفعّل النسخ التلقائي الذي يرفع النسخ إلى وجهة بعيدة (FTP أو سحابة) إن أتاحه مزوّدك.

نصيحة خبير: اختبر استعادة نسختك دوريًا. نسخة لم تُختبر استعادتها قد تكون تالفة دون أن تدري، فتكتشف ذلك في أسوأ لحظة ممكنة.

13. التحديثات: cPanel والنظام والـCMS

البرمجيات القديمة ثغرات معلنة تنتظر الاستغلال. كل تحديث أمني يغلق بابًا اكتشفه أحدهم. اجعل التحديث عادة لا حدثًا.

اترك تحديثات الخادم تلقائية

على الاستضافة المشتركة والمُدارة، يتولّى المزوّد تحديثات cPanel ونظام التشغيل تلقائيًا — وهذا أحد أهمّ أسباب اختيار استضافة مُدارة. على VPS تملك جذره، فعّل التحديثات التلقائية لـcPanel من Update Preferences في WHM، وحدّث حزم النظام دوريًا. أمّا طبقة التطبيق (ووردبريس، الإضافات، القوالب) فهي مسؤوليتك أنت دائمًا: فعّل التحديثات التلقائية للإضافات الموثوقة، وراجع يدويًا التحديثات الكبرى. أكثر اختراقات ووردبريس تأتي من إضافة قديمة بثغرة معروفة.

14. إدارة قواعد البيانات والمستخدمين بأقل صلاحيات

مبدأ أقل الصلاحيات (least privilege) يعني أن كل مستخدم وكل خدمة يحصل على الحد الأدنى المطلق من الصلاحيات اللازمة، لا أكثر. تطبيقه على قواعد البيانات يقلّل أثر أي اختراق.

لماذا لا تمنح مستخدم القاعدة كل الصلاحيات؟

في MySQL Databases أنشئ لكل موقع مستخدم قاعدة بيانات منفصلًا بكلمة مرور قوية فريدة، وامنحه صلاحيات على قاعدته فقط لا على كل القواعد. تجنّب منح صلاحيات إدارية (DROP, GRANT) لمستخدم يحتاج فقط القراءة والكتابة العادية. هكذا، لو اختُرق موقع عبر ثغرة حقن SQL، يبقى الضرر محصورًا في قاعدته ولا يمتد لبقية مواقعك. احذف أيضًا أي مستخدمي قواعد بيانات قدامى لم يعودوا مستخدمين — كل حساب نشط سطح هجوم إضافي.

15. أمّن البريد: SPF وDKIM وDMARC

البريد سلاح ذو حدّين: أداة عمل وبوّابة اختراق. اختطاف بريد نطاقك (spoofing) يعني أن يرسل المهاجم رسائل تبدو منك — تصيّدًا أو سبامًا — فيتضرر اسمك ويدخل نطاقك القوائم السوداء.

كيف توقف انتحال نطاقك؟

ثلاثة سجلّات DNS تشكّل خط الدفاع:

• SPF يحدّد الخوادم المصرّح لها بالإرسال باسم نطاقك، فترفض الخوادم المستقبِلة أي رسالة من مصدر غير مُدرَج.
• DKIM يوقّع رسائلك توقيعًا تشفيريًا يثبت أنها لم تُعدَّل وأنها من نطاقك فعلًا.
• DMARC يربط الاثنين ويخبر المستقبِل ماذا يفعل بالرسائل الفاشلة (يرفض/يحجر/يبلّغ)، ويرسل لك تقارير عن محاولات الانتحال.

تُضبط هذه السجلّات في DNS لا داخل cPanel مباشرة، وشرحها الكامل في شرح سجلّات DNS. راقب أيضًا Email Deliverability في cPanel الذي يكشف نواقص مصادقة بريدك ويقترح تصحيحها. واستخدم كلمات مرور قوية لكل حساب بريد، فحساب بريد مخترَق يُستغل لإرسال السبام من خادمك.

16. مراقبة السجلّات (Raw Access / Error Logs)

الأمان ليس إعدادًا تضبطه مرة وتنساه، بل مراقبة مستمرة. السجلّات هي عيناك على ما يجري فعلًا على خادمك.

ماذا تقرأ في السجلّات؟

• Raw Access Logs: سجلّ كل طلب وصل لموقعك (العنوان، الوقت، الاستجابة). ابحث عن طلبات متكررة لـwp-login.php، أو محاولات وصول لمسارات حسّاسة، أو عناوين IP مشبوهة بكثافة غير طبيعية.
• Errors / Error Log: أخطاء PHP والخادم. أخطاء مفاجئة أو غريبة قد تشير لمحاولة استغلال جارية.
• Visitors / Bandwidth: قفزات مفاجئة في الزيارات أو النطاق الترددي قد تعني هجوم DDoS أو سكربتًا خبيثًا يستنزف مواردك.

راجعها دوريًا — أسبوعيًا على الأقل، ويوميًا إن كان موقعك حسّاسًا. النشاط غير المألوف (دخول من دول لا تتعامل معها، ملفات جديدة لم ترفعها، قفزة بريد صادر) هو إشارتك المبكّرة قبل أن يتفاقم الاختراق.

17. أزل ما لا تستخدم

كل ميزة مفعّلة وكل ملف قديم وكل نطاق فرعي مهجور هو سطح هجوم إضافي بلا فائدة. مبدأ تقليل سطح الهجوم (attack surface) يقول: ما لا تحتاجه، احذفه.

راجع دوريًا وأزل: النطاقات الفرعية (subdomains) التي لم تعد تستخدمها، تثبيتات ووردبريس أو سكربتات تجريبية قديمة، إضافات وقوالب معطّلة (المعطّل المُحدَّث ما زال ثغرة محتملة)، حسابات FTP وبريد لم تعد نشطة، وملفات نسخ احتياطية مرفوعة في public_html بأسماء يسهل تخمينها. كل عنصر تزيله يقلّل احتمال أن يجد فيه المهاجم بابًا.

ماذا تفعل إذا اختُرقت لوحتك؟ (خطّة الاستجابة)

الاكتشاف المبكر نصف المعركة، والاستجابة المنظّمة النصف الآخر. إن ظهرت مؤشّرات اختراق (إعادة توجيه غريبة، ملفات مجهولة، تحذير من Google، بريد صادر بكثافة)، تصرّف بترتيب:

1. احتوِ فورًا: غيّر كل كلمات المرور (cPanel، FTP، قواعد البيانات، البريد، لوحة ووردبريس) من جهاز نظيف. فعّل 2FA إن لم يكن مفعّلًا.
2. اعزل: إن أمكن، اجعل الموقع في وضع الصيانة أو علّقه مؤقتًا لمنع امتداد الضرر وحماية الزوّار.
3. حقّق: راجع السجلّات لتحديد وقت الدخول الأول والمسار المستغَلّ، وافحص الملفات المعدّلة حديثًا والملفات المشبوهة (شيلات PHP).
4. نظّف من نسخة سليمة: استعد من نسخة احتياطية سابقة للاختراق بدل محاولة التنظيف اليدوي الذي قد يفوّت بابًا خلفيًا. ثم حدّث كل شيء.
5. أغلق الثغرة: عالج السبب الجذري (إضافة قديمة، إذن خاطئ، كلمة مرور ضعيفة) وإلا تكرّر الاختراق فورًا.
6. راقب بعدها: راقب السجلّات والبريد الصادر أسابيع للتأكد من نظافة كاملة، واطلب إزالة موقعك من القوائم السوداء إن دخلها.

أخطاء شائعة

• كلمة مرور واحدة لكل شيء (cPanel + البريد + ووردبريس + FTP) — تسريب واحد يفتح الجميع.
• تعطيل 2FA «مؤقّتًا» ونسيان إعادته.
• الاعتماد على ModSecurity وحده دون كلمة مرور قوية وأذونات صحيحة.
• أذونات 777 على الملفات والمجلدات «لحلّ مشكلة بسرعة» ثم نسيانها.
• بريد استرداد يعيش على النطاق نفسه فتفقده مع الخادم.
• نسخ احتياطي يعيش على الخادم نفسه (ليس تأمينًا حقيقيًا)، أو نسخة لم تُختبر استعادتها.
• إضافات وقوالب قديمة معطّلة تُركت دون حذف.
• تجاهل سجلّات الوصول حتى يقع الاختراق.

استكشاف الأخطاء وإصلاحها (Troubleshooting)

قائمة التحقّق الأمنية النهائية

استخدم هذه القائمة كمراجعة دورية (شهرية) لحساب cPanel:

الخلاصة

أمان cPanel طبقات لا إجراء واحد. ابدأ بالأهمّ — كلمة مرور قوية فريدة و2FA وcPHulk — فهذه وحدها تسدّ الأغلبية الساحقة من المحاولات. ثم احكم الباقي: بريد استرداد خارجي، AutoSSL وفرض HTTPS، ModSecurity، أذونات 644/755 وحماية wp-config، مصادقة البريد (SPF/DKIM/DMARC)، أقل صلاحيات لقواعد البيانات، وحظر IP وتعطيل الفهرسة. واختم دائمًا بنسخ احتياطي خارجي مُختبَر ومراقبة منتظمة للسجلّات، مع خطّة استجابة جاهزة إن وقع المكروه. لا طبقة منها تكفي وحدها، لكن مجموعها يجعل اختراقك مكلفًا جدًا — وهذا هو الهدف. وإن كان موقعك على ووردبريس، أكمل الصورة بتأمينه عبر دليل ووردبريس الكامل.

موقع آمن يبدأ من استضافة آمنة

استضافة wpressly تأتيك بـSSL مجاني وحماية مدمجة ونسخ احتياطي تلقائي — أمّن موقعك وزوّارك من اليوم الأول.

اكتشف الاستضافة الآمنة

الأسئلة الشائعة

ما أهمّ خطوة لتأمين cPanel؟ كلمة مرور قوية فريدة + مصادقة ثنائية (2FA). أكثر الاختراقات تبدأ من كلمة مرور ضعيفة أو مسروقة، و2FA يوقف الدخول حتى لو تسرّبت كلمة المرور بالكامل. ابدأ بهذه الطبقة قبل أي شيء آخر.

ما هو ModSecurity ولماذا أفعّله؟ هو جدار حماية لتطبيقات الويب (WAF) يفحص الطلبات الواردة ويصدّ أنماط الهجوم الشائعة مثل حقن SQL وXSS قبل وصولها لموقعك. فعّله من قسم Security إن أتاحه مزوّدك. تذكّر أنه طبقة مكمّلة لا بديلة عن كلمة المرور القوية والأذونات الصحيحة.

ما الفرق بين cPHulk وModSecurity؟ cPHulk يحمي من تخمين الدخول (brute force) على cPanel وWHM والبريد وSSH بحظر العناوين بعد محاولات فاشلة كثيرة. ModSecurity يفحص محتوى طلبات الويب ويصدّ هجمات التطبيق مثل SQLi وXSS. هما يعملان على طبقتين مختلفتين، وتحتاج الاثنين معًا.

ما الأذونات الصحيحة لملفات موقعي؟ الملفات 644 والمجلدات 755 كقاعدة عامة، مع تشديد wp-config.php إلى 600. لا تستخدم 777 أبدًا إلا مؤقّتًا للتشخيص ثم أعد الإذن الصحيح فورًا، لأن 777 تتيح لأي سكربت خبيث تعديل ملفاتك.

هل أحتاج SSL داخل cPanel؟ نعم. فعّل AutoSSL ليصدر شهادة مجانية تلقائيًا لكل نطاقاتك، ثم افرض HTTPS. اتصال غير مشفّر يكشف بيانات الدخول وبيانات الزوّار لأي متنصّت. التفاصيل في دليل تركيب شهادة SSL وتفعيل HTTPS.

كيف أمنع انتحال بريد نطاقي؟ بضبط ثلاثة سجلّات DNS: SPF يحدّد خوادم الإرسال المصرّح بها، DKIM يوقّع رسائلك تشفيريًا، DMARC يربطهما ويحدّد سياسة التعامل مع الفشل. شرحها الكامل في شرح سجلّات DNS.

هل المصادقة الثنائية عبر SMS كافية؟ تطبيق المصادقة (Authenticator) أأمن من SMS، لأن الرسائل النصية عرضة لاختطاف شريحة الاتصال (SIM swapping). استخدم تطبيقًا مثل Google Authenticator أو Authy متى توفّر، واحتفظ برموز الاسترداد في مكان آمن.

أين أحفظ النسخ الاحتياطي؟ خارج الخادم (سحابة أو تخزين منفصل) وفق قاعدة 3-2-1: ثلاث نسخ، على وسيطين، واحدة off-site. النسخة التي تعيش على الخادم نفسه تضيع معه عند الاختراق أو العطل، فلا تُعدّ تأمينًا حقيقيًا. واختبر استعادة نسختك دوريًا.

كيف أكتشف اختراق cPanel مبكرًا؟ راقب سجلّات الوصول (Raw Access) وسجلّات الأخطاء، فعّل إشعارات الدخول وتجاوز الموارد، وراجع حسابات البريد والملفات غير المعتادة دوريًا. النشاط غير المألوف — دخول من مواقع غريبة، ملفات جديدة، قفزة بريد صادر — إشارة مبكّرة.

ماذا أفعل فور اكتشاف الاختراق؟ غيّر كل كلمات المرور من جهاز نظيف وفعّل 2FA، اعزل الموقع مؤقتًا، حقّق في السجلّات لتحديد المسار المستغَلّ، استعد من نسخة احتياطية سابقة للاختراق، أغلق الثغرة الجذرية، ثم راقب أسابيع للتأكد من نظافة كاملة وأزل موقعك من القوائم السوداء إن لزم.

هل تكفي إجراءات cPanel وحدها لحماية موقعي؟ لا. cPanel يؤمّن البوّابة، لكن أمان موقعك يحتاج أيضًا تأمين طبقة التطبيق (ووردبريس وإضافاته وقوالبه) واختيار استضافة مناسبة. للمواقع الحسّاسة فكّر في استضافة مُدارة أو VPS لتحكّم أعمق — راجع الاستضافة المشتركة وVPS والمُدارة.