كيف تعرف أن موقع ووردبريس مخترق؟ 12 علامة وطرق التأكد خطوة بخطوة

علامات اختراق موقع ووردبريس لا تظهر دائمًا في صورة صفحة مشوّهة أو رسالة واضحة. كثير من الاختراقات الحديثة مصمم ليبقى مخفيًا عن صاحب الموقع: يحوّل زوار الجوال فقط إلى مواقع أخرى، أو ينشئ آلاف الصفحات المزعجة التي لا تظهر إلا لمحركات البحث، أو يضيف حساب مدير جديدًا وينتظر. لذلك لا يكفي أن يبدو الموقع طبيعيًا عندما تفتحه من جهازك.

هذا الدليل مخصص لسؤال واحد: هل موقعي مخترق فعلًا أم لا؟ ستجد فيه العلامات الظاهرة والخفية، ثم طرق التأكد منها خطوة بخطوة. أما إذا تأكدت من الاختراق، فخطوات الاستجابة والتنظيف موجودة في دليل تنظيف موقع ووردبريس مخترق.

لماذا لا ترى الاختراق عندما تفتح موقعك؟

كثير من الشيفرات الخبيثة تتعمد إخفاء نفسها عن صاحب الموقع. من الأنماط المعروفة:

• التحويل يحدث لزوار الجوال فقط، أو للقادمين من نتائج Google فقط.
• الشيفرة لا تعمل إذا كنت مسجل الدخول في لوحة التحكم.
• التحويل يحدث مرة واحدة لكل زائر، ثم يتوقف عن الظهور له في الزيارات التالية.
• الصفحات المزعجة تُعرض لزاحف Google فقط، بينما يرى الزائر العادي صفحة 404 أو الصفحة الرئيسية.

لذلك اختبر الموقع دائمًا من نافذة تصفح خاصة، ومن جهاز آخر على شبكة الجوال، وبالنقر على رابط موقعك من نتائج بحث Google، لا بكتابة الرابط مباشرة.

علامات يراها الزوار في المتصفح

1. تحويل الزوار إلى مواقع غريبة

إذا اشتكى عميل من أن موقعك فتح له موقع مراهنات أو جوائز وهمية أو متجرًا غير معروف، فتعامل مع الشكوى بجدية حتى لو لم يتكرر الأمر معك. التحويل المشروط من أكثر أنواع الاختراق انتشارًا، وغالبًا ما يكون مصدره شيفرة في ملف .htaccess أو في ملفات القالب أو في قاعدة البيانات.

2. تحذير أمني من Google أو المتصفح

قد تظهر تحت رابط موقعك في نتائج البحث عبارة مثل «ربما تم اختراق هذا الموقع»، أو يعرض المتصفح صفحة حمراء تحذر من برامج ضارة أو تصيد احتيالي قبل فتح الموقع. هذه التحذيرات تعني أن Google رصد مشكلة فعلية، وتؤثر مباشرة في الزيارات والثقة.

3. إعلانات أو نوافذ منبثقة أو روابط لم تضفها

ظهور إعلانات لم تضعها، أو روابط مخفية في تذييل الصفحة، أو نوافذ تطلب من الزائر تحديث المتصفح أو تنزيل ملف، علامة قوية على حقن شيفرة في القالب أو في إحدى الإضافات.

4. صفحة الدفع أو النماذج تتصرف بشكل غير طبيعي

في متاجر WooCommerce تحديدًا، انتبه إذا ظهرت حقول دفع إضافية، أو تغير شكل نموذج بطاقة الدفع، أو اشتكى العملاء من عمليات غير معروفة على بطاقاتهم بعد الشراء من متجرك. هذا قد يشير إلى شيفرة تسرق بيانات الدفع، وهو من أخطر أنواع الاختراق.

علامات تظهر في نتائج البحث

5. صفحات مزعجة باسم موقعك في Google

ابحث في Google عن site:example.com مع استبدال اسم النطاق بنطاقك. إذا ظهرت صفحات لم تنشئها، خاصة بعناوين يابانية أو صينية، أو عن أدوية أو كازينوهات أو منتجات مقلدة، فهذه علامة على اختراق يُعرف باسم «اختراق الكلمات المفتاحية». هذا النوع ينشئ صفحات لمحركات البحث دون أن تراها في لوحة التحكم غالبًا.

6. تغير عنوان موقعك أو وصفه في نتائج البحث

إذا ظهر موقعك في النتائج بعنوان أو وصف لم تكتبه، وبلغة لا تستخدمها، فقد تكون الشيفرة الخبيثة تعرض محتوى مختلفًا لزاحف Google.

7. ارتفاع غير مفسر في الصفحات المفهرسة

في Google Search Console، راجع تقرير الصفحات وتقرير خرائط الموقع. القفزة المفاجئة في عدد الصفحات المفهرسة أو المكتشفة، أو وجود خريطة موقع لم ترسلها أنت، علامات تستحق الفحص الفوري.

علامات داخل ووردبريس والاستضافة

8. مستخدمون مديرون لا تعرفهم

افتح المستخدمين في لوحة التحكم وصفِّ القائمة حسب دور «مدير». أي حساب مدير لا تعرف صاحبه، أو أُنشئ في تاريخ لا تتذكره، يجب التحقق منه فورًا. لاحظ أن بعض الشيفرات الخبيثة تخفي الحساب من قائمة المستخدمين في لوحة التحكم، لذلك من الأفضل مراجعة جدول المستخدمين في قاعدة البيانات أيضًا كما سيأتي.

9. إضافات أو ملفات لم تثبتها

انتبه للإضافات ذات الأسماء العشوائية أو الشبيهة بأسماء إضافات معروفة، وللملفات داخل مجلد wp-content/mu-plugins. هذا المجلد يُحمَّل تلقائيًا ولا تظهر ملفاته في قائمة الإضافات العادية، لذلك يستخدمه المهاجمون أحيانًا لإخفاء الأبواب الخلفية.

10. ملفات PHP داخل مجلد الرفع

مجلد wp-content/uploads مخصص للصور والملفات المرفوعة، ولا يُفترض في الغالب أن يحتوي على ملفات PHP قابلة للتنفيذ. وجود ملف PHP بين الصور من أوضح علامات الباب الخلفي، مع استثناءات قليلة لبعض الإضافات التي تضع ملف index.php فارغًا لمنع عرض محتوى المجلد.

11. تعديلات على ملفات حساسة

راجع ملفات .htaccess وwp-config.php وindex.php في جذر الموقع. قواعد تحويل لم تضعها، أو أسطر طويلة مشفرة في أول الملف أو آخره، أو ملفات PHP غريبة الأسماء في جذر الموقع، كلها مؤشرات تستحق التحقق.

12. بريد مزعج أو ضغط مفاجئ أو تحذير من الاستضافة

إذا أرسلت شركة الاستضافة تنبيهًا بإرسال رسائل مزعجة من حسابك، أو ارتفع استهلاك المعالج أو الذاكرة دون زيادة في الزيارات، أو أوقفت الاستضافة الموقع لأسباب أمنية، فغالبًا هناك شيفرة تعمل في الخلفية.

كيف تتأكد أن موقع ووردبريس مخترق؟ 8 خطوات للفحص

العلامات السابقة تعطيك الشك، أما هذه الخطوات فتعطيك الدليل. اتبعها بالترتيب، وسجّل ما تجده في كل خطوة.

الخطوة 1: راجع تقرير مشكلات الأمان في Google Search Console

من القائمة الجانبية في Search Console افتح «الأمان والإجراءات اليدوية» ثم «مشكلات الأمان». إذا رصد Google اختراقًا أو برامج ضارة أو هندسة اجتماعية، ستجد هنا نوع المشكلة وأمثلة لروابط متأثرة. إذا لم تكن قد ربطت موقعك بالأداة بعد، راجع شرح Google Search Console.

الخطوة 2: افحص حالة الموقع في Google Safe Browsing

أداة حالة الموقع في Google Safe Browsing تخبرك إذا كان Google يصنف موقعك حاليًا على أنه غير آمن. هذا هو التصنيف الذي تعتمد عليه متصفحات كثيرة لإظهار التحذير الأحمر.

الخطوة 3: افحص الموقع من الخارج

أدوات الفحص الخارجي مثل Sucuri SiteCheck تفحص الصفحات العامة بحثًا عن شيفرات معروفة وتحويلات وقوائم حظر. ميزتها أنها لا تحتاج إلى أي صلاحية، لكنها ترى ما يراه الزائر فقط، ولا تستطيع اكتشاف الأبواب الخلفية المخفية داخل الخادم. النتيجة النظيفة هنا لا تعني أن الموقع سليم.

الخطوة 4: افحص من داخل الموقع بإضافة أمان

إضافات الفحص مثل Wordfence تقارن ملفات ووردبريس والإضافات بالنسخ الأصلية وتبحث عن أنماط خبيثة معروفة. طريقة إعدادها موضحة في شرح Wordfence. تذكّر أن المهاجم الذي يملك صلاحية مدير يستطيع التلاعب بالإضافات نفسها، لذلك يُكمَّل هذا الفحص بالتحقق من الخادم.

الخطوة 5: تحقق من سلامة ملفات ووردبريس عبر WP-CLI

إذا كانت استضافتك توفر SSH وأداة WP-CLI، فهذه الأوامر من أدق طرق الفحص لأنها تقارن ملفاتك ببصمات الملفات الأصلية الرسمية:

wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp option get siteurl
wp option get home

الأمر الأول يكشف أي ملف معدل أو مضاف داخل نواة ووردبريس. الثاني يفعل الشيء نفسه للإضافات المنشورة في دليل WordPress.org فقط، أما الإضافات المدفوعة فستظهر لها تحذيرات لأن بصماتها غير متاحة. الثالث يعرض كل المديرين وتاريخ إنشاء حساباتهم. والأخيران يتأكدان من أن عنوان الموقع لم يُغيَّر إلى نطاق آخر.

الخطوة 6: ابحث عن الملفات المعدلة حديثًا والمشبوهة

find wp-content/uploads -type f -name "*.php"
find . -type f -name "*.php" -mtime -7
grep -rl --include=*.php -e "eval(base64_decode" -e "gzinflate(" .

الأمر الأول يبحث عن ملفات PHP داخل مجلد الرفع. الثاني يعرض ملفات PHP التي تغيرت خلال آخر سبعة أيام، ويمكنك تغيير الرقم حسب تاريخ ظهور المشكلة. الثالث يبحث عن دوال تُستخدم كثيرًا لإخفاء الشيفرات الخبيثة. انتبه: بعض الإضافات السليمة تستخدم هذه الدوال، فالنتيجة هنا مؤشر يحتاج إلى مراجعة، وليست دليلًا قاطعًا.

الخطوة 7: افحص قاعدة البيانات

من phpMyAdmin أو أي أداة لإدارة قاعدة البيانات، راجع آخر المستخدمين المسجلين، وابحث عن شيفرات محقونة داخل المحتوى:

SELECT ID, user_login, user_email, user_registered FROM wp_users ORDER BY user_registered DESC LIMIT 10;
SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%<script%' OR post_content LIKE '%<iframe%';

استبدل البادئة wp_ ببادئة جداول موقعك إذا كانت مختلفة، وتجدها في ملف wp-config.php. وجود سكربت داخل مقال لا يعني اختراقًا دائمًا، فبعض أدوات التضمين تضيف سكربتات مشروعة، لكن السكربتات التي تحمّل ملفات من نطاقات لا تعرفها تستحق التحقق. هذه الاستعلامات للقراءة فقط ولا تغيّر شيئًا.

الخطوة 8: راجع سجلات الخادم

سجل الوصول في لوحة الاستضافة يكشف أحيانًا ما لا تكشفه الملفات: طلبات POST متكررة إلى ملفات PHP غير معروفة، أو آلاف محاولات الدخول إلى wp-login.php أو xmlrpc.php، أو طلبات من عناوين IP محددة إلى ملفات داخل مجلد الرفع. حدد تاريخ أول طلب مشبوه، فهو غالبًا قريب من تاريخ بداية الاختراق.

أعراض تشبه الاختراق لكنها قد لا تكون اختراقًا

ليس كل عطل اختراقًا. قبل أن تبدأ استجابة أمنية، استبعد هذه الأسباب الشائعة:

إذا كانت المشكلة عطلًا تقنيًا وليس اختراقًا، فابدأ من دليل تشخيص مشاكل WordPress.

ظهرت علامة أو أكثر؟ هذه هي خطوتك التالية

1. لا تحذف الملفات عشوائيًا، فقد تحذف الملف الظاهر وتترك الباب الخلفي الذي سيعيد الاختراق.
2. لا تستعد نسخة احتياطية قبل أن تعرف تاريخ بداية الاختراق، فقد تكون النسخة نفسها مصابة.
3. خذ نسخة كاملة من الحالة الحالية للملفات وقاعدة البيانات واحفظها منفصلة، لأنها ضرورية لتحليل ما حدث.
4. اتبع خطوات الاستجابة بالترتيب في دليل تنظيف موقع ووردبريس مخترق.

وإذا كان الموقع متجرًا يستقبل مدفوعات، أو تكرر الاختراق بعد تنظيفه، أو لا تملك وصولًا كافيًا إلى الخادم، فمن الأفضل أن يتولى الحالة متخصص. يمكنك طلب فحص أمني لموقع ووردبريس لنحدد مدى الاختراق قبل أي تعديل.

أسئلة شائعة عن اكتشاف اختراق ووردبريس

هل يمكن أن يكون موقعي مخترقًا وهو يعمل بشكل طبيعي؟

نعم، وهذا هو الشائع. الأبواب الخلفية وصفحات السبام والتحويلات المشروطة مصممة لتبقى غير مرئية لصاحب الموقع لأطول فترة ممكنة.

لماذا لا أرى التحويل عندما أفتح موقعي؟

لأن الشيفرة قد تستهدف زوار الجوال فقط، أو القادمين من محركات البحث، أو تتجاهل المستخدمين المسجلين في لوحة التحكم، أو تعمل مرة واحدة لكل زائر. اختبر من نافذة خاصة وجهاز آخر ومن نتائج Google.

هل نتيجة فحص نظيفة تعني أن موقعي سليم؟

ليس بالضرورة. كل أداة ترى جزءًا من الصورة: الفحص الخارجي يرى الصفحات العامة فقط، وإضافة الأمان قد تُخدع إذا كان المهاجم يملك صلاحية مدير. الثقة تأتي من اتفاق أكثر من مصدر: Google، والفحص الخارجي، وفحص الملفات، وقاعدة البيانات.

هل يحذف Google موقعي من النتائج إذا كان مخترقًا؟

قد يعرض Google تحذيرًا بجوار نتائج موقعك، أو يظهر المتصفح صفحة تحذير قبل الدخول، وقد يتراجع ظهور الصفحات المتأثرة. بعد تنظيف الموقع يمكنك طلب مراجعة من تقرير مشكلات الأمان لإزالة التحذير.

وبعد التأكد من سلامة موقعك، اجعل الوقاية عادة دائمة باتباع دليل حماية ووردبريس العملي.