أمان أي موقع صغير: ٦ خطوات قبل ما تنشر
مش محتاج فريق أمن عشان تحمي موقعك. دي ٦ خطوات بسيطة بتوقف أغلب المشاكل الشائعة — كل واحدة بتاخد دقايق.
الأمان مش حاجة بتحصل بعد الاستقرار — هو شوية قرارات بتتاخد من أول يوم. والخطوات دي مش متقدمة، لكنها بتوقف أغلب المشاكل اللي بتحصل للمواقع الصغيرة.
١) متخزّنش أي سر في الكود
مفاتيح الـAPI والتوكنات والباسوردات **عمرها** ما تتحط في ملفات الموقع. أي حد يفتح المصدر يشوفها، وحتى لو مسحتها بعدين هي فضلت في تاريخ الملفات.
استخدم متغيرات البيئة (Environment variables) في منصة الاستضافة. وللأسف أغلب اللي بيتسرقوا مش بسبب هاكر شاطر — بسبب توكن مرفوع بالغلط.
٢) حط رؤوس أمان (Security Headers)
شوية سطور في إعدادات الموقع بتقلل هجمات شائعة جدًا:
- X-Content-Type-Options: nosniff — يمنع المتصفح يخمّن نوع الملف.
- Referrer-Policy — متبعتش URLs داخلية لمواقع تانية.
- Content-Security-Policy — تحدد من فين يجي السكربت (دي الأقوى، وأصعبها في الإعداد).
٣) شغّل HTTPS إجباري
مجاني في أغلب المنصات الحديثة. لو مش مفعّل، أي بيانات بتتبعت (فورم، بريد، كلمة سر) بتبقى مكشوفة على الشبكة.
٤) نظّف أي مدخلات من المستخدم
أي حاجة المستخدم بيكتبها وبتترجع تظهر في الصفحة = احتمال XSS. القاعدة: اعرضها كنص، مش كـHTML. في معظم الحالات ده سطر واحد، وممكن يمنع مشكلة كبيرة.
٥) خد نسخة احتياطية قبل أي تغيير كبير
مش كل «اختراق» اختراق — أحيانًا إنت اللي بتبوّظ حاجة بنفسك. النسخة الاحتياطية أرخص تأمين في الدنيا: نسخة من الملفات، ونسخة من البيانات، ودول بعيد عن السيرفر.
٦) حدّث الحاجات اللي بتستخدمها
المكتبات القديمة فيها ثغرات معروفة ومنشورة. مش محتاج تبقى على أحدث نسخة دايمًا، لكن **اقرا التحديثات الأمنية** وطبّقها. أهم حاجة: أي مكتبة بتستقبل بيانات من المستخدم.
والنصيحة الأخيرة
الهدف مش إنك تبقى غير مخترق — الهدف إنك تبقى مرتفع التكلفة على اللي بيحاول، ومتقدرش ترجّع الخسارة. الخطوات الستة دول بيعملوا الاتنين، وكلفتهم صفر تقريبًا.
ولو عندك فورم بيسجّل بيانات مستخدمين — دي أعلى نقطة خطر في أي موقع صغير، فخدها بجدية أكتر من أي حاجة تانية.