تعد حماية لوحة تحكم الووردبريس من أهم الخطوات التي ينبغي الاهتمام بها عند إنشاء موقع إلكتروني أو إدارته ، فعلى الرغم من أهمية استخدام كلمة مرور قوية فربما لا تكون كافية وحدها لمنع الوصول غير المصرح به إلى الموقع خاصة عند إعادة استخدام كلمات المرور أو وقوعها في أيدي الآخرين.
هنا تأتي أهمية المصادقة الثنائية في ووردبريس (Two-Factor Authentication أو 2FA) وهي وسيلة حماية تضيف خطوة تحقق إضافية إلى عملية تسجيل الدخول بحيث لا يكفي إدخال اسم المستخدم وكلمة المرور فقط بل يجب تقديم رمز تحقق أو وسيلة إثبات إضافية
اقرأ ايضاً : تحسين أمان موقع الووردبريس
ما هي المصادقة الثنائية في ووردبريس ؟
المصادقة الثنائية 2FA هي آلية أمنية تعتمد على استخدام عاملين مختلفين للتحقق من هوية المستخدم قبل السماح له بالدخول إلى حسابه
على سبيل المثال عند تسجيل الدخول إلى لوحة تحكم ووردبريس ستحتاج إلى:
- إدخال اسم المستخدم أو البريد الإلكتروني وكلمة المرور
- إدخال رمز تحقق مؤقت من تطبيق المصادقة على هاتفك
بهذه الطريقة حتى لو تمكن شخص آخر من معرفة كلمة المرور فلن يتمكن عادة من تسجيل الدخول دون امتلاك وسيلة التحقق الثانية
لماذا تحتاج إلى تفعيل المصادقة الثنائية في ووردبريس ؟
قد يحتوي موقع ووردبريس على مقالات وصفحات وبيانات مستخدمين وطلبات شراء ومعلومات تجارية مهمة وإذا تمكن شخص غير مصرح له من الوصول إلى حساب المدير فقد يستطيع تغيير محتوى الموقع أو إنشاء حسابات جديدة أو تثبيت إضافات ضارة وفقًا للصلاحيات المتاحة له
تساعد المصادقة الثنائية على تقليل هذه المخاطر من خلال إضافة حاجز أمني آخر إلى عملية تسجيل الدخول
1-الحد من مخاطر سرقة كلمات المرور
قد تتعرض كلمات المرور للتسريب نتيجة استخدام كلمة المرور نفسها في مواقع متعددة أو الوقوع ضحية رسائل التصيد الاحتيالي أو اختراق خدمة أخرى تستخدمها
تضيف المصادقة الثنائية خطوة تحقق إضافية تجعل كلمة المرور المسروقة أقل فائدة للمهاجم في كثير من الحالات
2-تقليل مخاطر هجمات تخمين كلمات المرور
تتعرض صفحات تسجيل الدخول في بعض المواقع لمحاولات آلية متكررة لتخمين كلمات المرور وعند تفعيل المصادقة الثنائية تصبح معرفة كلمة المرور وحدها غير كافية عادة لإتمام تسجيل الدخول , ومع ذلك ينبغي الجمع بين هذه التقنية وتحديد محاولات الدخول وتحديث ووردبريس والإضافات باستمرار
3-حماية حسابات المديرين والمحررين
إذا كان موقعك يضم أكثر من مستخدم فمن الأفضل إعطاء الأولوية للحسابات التي تمتلك صلاحيات مرتفعة خصوصاً حسابات المديرين ، ويمكن بحسب الإضافة المستخدمة فرض المصادقة الثنائية على أدوار معينة أو إتاحتها بشكل اختياري للمستخدمين الآخرين
4-تعزيز أمان المتاجر الإلكترونية
تحتاج المتاجر الإلكترونية إلى عناية إضافية بأمان الحسابات الإدارية لأن الوصول غير المصرح به قد يؤثر في المنتجات والطلبات والإعدادات والبيانات المتاحة للمهاجم
يمكن أن تساعد المصادقة الثنائية في حماية حسابات الإدارة لكنها لا تحل محل تأمين بوابة الدفع أو حماية بيانات العملاء أو تحديث النظام باستمرار
أفضل إضافات المصادقة الثنائية لووردبريس
يمكن تفعيل المصادقة الثنائية باستخدام إضافات مخصصة بدلاً من تعديل ملفات ووردبريس يدوياً ويعتمد اختيار الإضافة المناسبة على احتياجات الموقع وعدد المستخدمين وطريقة تسجيل الدخول المستخدمة
إضافة Wordfence Security
تقدم إضافة Wordfence Security مجموعة من أدوات حماية ووردبريس بما في ذلك جدار الحماية وفحص الملفات وميزات تأمين تسجيل الدخول والمصادقة الثنائية
أهم المميزات:
- توفير المصادقة الثنائية لحسابات المستخدمين المدعومة
- تقديم أدوات إضافية لحماية تسجيل الدخول
- توفير ميزات لفحص الموقع ومراقبة التهديدات الأمنية
- إمكانية ضبط متطلبات المصادقة الثنائية بحسب أدوار المستخدمين وفقاً للمميزات المتاحة في الإصدار المستخدم
لمن تناسب
تناسب أصحاب المواقع الذين يرغبون في الجمع بين المصادقة الثنائية وأدوات أمنية أخرى ضمن إضافة واحدة
الموقع الرسمي: https://www.wordfence.com
إضافة WP 2FA
تعتبر WP 2FA خيار جيد لمن يريد التركيز على المصادقة الثنائية وإدارة إعداداتها للمستخدمين
أهم المميزات:
- دعم طرق المصادقة الثنائية المتاحة في الإصدار المستخدم
- إمكانية تطبيق السياسات على أدوار المستخدمين
- توفير إعدادات لإدارة تفعيل المصادقة الثنائية
- تقديم خيارات إضافية في بعض الخطط المدفوعة
لمن تناسب
تناسب أصحاب المدونات والمواقع متعددة المستخدمين الذين يريدون إدارة المصادقة الثنائية دون الاعتماد على حزمة أمنية شاملة بالضرورة
صفحة الإضافة الرسمية: https://wordpress.org/plugins/wp-2fa
إضافة Two-Factor
توجد إضافة Two-Factor في مستودع إضافات ووردبريس الرسمي وهي خيار يمكن دراسته للمواقع التي تحتاج إلى وظائف المصادقة الثنائية الأساسية , قبل اعتمادها تحقق من طرق المصادقة التي يدعمها الإصدار الحالي ومدى توافقها مع إصدار ووردبريس لديك وحالة الصيانة والتحديثات
صفحة الإضافة: https://wordpress.org/plugins/two-factor
قبل البدء ما الذي تحتاج إليه
قبل تفعيل المصادقة الثنائية جهز المتطلبات التالية:
- حساب المدير على الووردبريس والدخول إلى لوحة التحكم
- اتصال آمن بالموقع باستخدام HTTPS
- هاتف ذكي أو جهاز آخر لتشغيل تطبيق المصادقة
- وسيلة آمنة لحفظ رموز الاسترداد إن كانت الإضافة توفرها
- عليك القيام بأخذ نسخة احتياطية من الموقع قبل إجراء تغييرات أمنية واسعة
تطبيقات المصادقة الثنائية
يمكنك استخدام تطبيق مصادقة يدعم الرموز المؤقتة المعتمدة على الوقت والمعروفة باسم TOTP ومن الأمثلة على التطبيقات التي تدعم هذه الآلية :
والافضل الاعتماد على تطبيق مصادقة بدلاً من الرسائل النصية عندما يكون ذلك متاح ومناسب لأن الرسائل النصية قد تتعرض لمخاطر مثل تبديل شريحة الاتصال
شرح تفعيل المصادقة الثنائية في ووردبريس باستخدام Wordfence
سنستخدم Wordfence Security في هذا الشرح لأنها تجمع بين ميزات أمنية متعددة وتوفر توثيقاً رسمياً لخطوات إعداد المصادقة الثنائية
قد تختلف أسماء القوائم أو أماكنها قليلاً بحسب إصدار الإضافة ولغة لوحة التحكم
الخطوة الأولى: تثبيت إضافة Wordfence
- تسجيل الدخول إلى لوحة تحكم الووردبريس
- في القائمة الجانبية انتقل إلى إضافات ثم أضف إضافة جديدة
- ابحث عن Wordfence Security
- تحقق من اسم الإضافة ثم اضغط على (التنصيب الآن) ثم بعد ذلك (تفعيل)
بعد التفعيل قد تظهر لك صفحة إعداد الإضافة أو خياراتها في القائمة الجانبية للوحة التحكم
الخطوة الثانية: الانتقال إلى إعدادات أمان تسجيل الدخول
بعد تثبيت الإضافة وتفعيلها:
- افتح قائمة Wordfence في لوحة التحكم
- انتقل إلى صفحة Login Security أو أمان تسجيل الدخول
- افتح قسم إعداد المصادقة الثنائية
- تحقق من الخيارات المتاحة لحسابك
إذا لم تظهر لك القائمة نفسها فتأكد من تحديث الإضافة ومراجعة وثائق الإصدار المثبت لديك
الخطوة الثالثة: تثبيت تطبيق المصادقة على الهاتف
قم بتثبيت تطبيق المصادقة الثنائية المناسب لك ، بعد تثبيت التطبيق افتحه وابحث عن خيار إضافة حساب جديد قد يظهر هذا الخيار على شكل علامة زائد (+) أو رمز لمسح رمز QR
الخطوة الرابعة: ربط حساب ووردبريس بتطبيق المصادقة
في صفحة المصادقة الثنائية داخل ووردبريس :
- ابحث عن خيار تفعيل المصادقة الثنائية لحسابك
- سيظهر رمز QR أو مفتاح إعداد يدوي بحسب الواجهة
- افتح تطبيق المصادقة على هاتفك
- امسح رمز QR أو أدخل مفتاح الإعداد يدوياً إذا لزم الأمر
- سيضيف التطبيق حساب الموقع إلى قائمة الحسابات ويبدأ في عرض رمز تحقق مؤقت
الخطوة الخامسة: تأكيد التفعيل
بعد ربط الحساب يعرض تطبيق المصادقة رمزاً مؤقتاً غالباً ما يتكون من ستة أرقام
- ارجع إلى صفحة إعداد المصادقة الثنائية في الووردبريس
- أدخل الرمز الحالي في حقل التحقق
- أكد التفعيل
- احفظ رموز الاسترداد إن كانت متاحة
إذا رفض النظام الرمز فتحقق من أن الوقت والتاريخ مضبوطان تلقائياً على جوالك وأنك تستخدم الرمز الخاص بالموقع والحساب الصحيحين
الخطوة السادسة: اختبار تسجيل الدخول
بعد إكمال الإعداد اختبر العملية قبل فرض المصادقة الثنائية على بقية المستخدمين
- افتح نافذة خاصة في المتصفح أو استخدم متصفحاً آخر
- انتقل إلى صفحة تسجيل الدخول الخاصة بموقعك
- أدخل اسم المستخدم وكلمة المرور
- عندما يطلب النظام رمز المصادقة الثنائية افتح تطبيق المصادقة
- أدخل الرمز الحالي وأكمل تسجيل الدخول
إذا نجحت العملية فهذا يعني أن حسابك أصبح يستخدم خطوة التحقق الإضافية
ماذا تفعل إذا فقدت هاتفك أو تعذّر عليك الحصول على رمز التحقق ؟
من أهم الأمور التي ينبغي التخطيط لها قبل تفعيل المصادقة الثنائية إعداد وسيلة لاستعادة الحساب
قد تفقد هاتفك أو يتعطل تطبيق المصادقة أو تنتقل إلى جهاز جديد دون نقل الحسابات إليه
لذلك اتبع الإرشادات التالية:
استخدم رموز الاسترداد
إذا كانت الإضافة توفر رموز استرداد فاحفظها في مكان آمن ومنفصل عن الهاتف
قد تسمح لك هذه الرموز بالدخول إلى حسابك عند فقدان وسيلة المصادقة الأساسية وقد يكون كل رمز صالح للاستخدام مرة واحدة فقط لذا راجع تعليمات الإضافة
لا تحفظ رموز الاسترداد في ملف مكشوف على الموقع نفسه ولا تشاركها مع الآخرين
احتفظ بجلسة إدارية احتياطية
بعد تفعيل المصادقة الثنائية اختبر تسجيل الدخول في نافذة خاصة قبل إنهاء جلستك الأساسية
لكن لا تعتمد على بقاء جلسة مفتوحة باعتبارها وسيلة استرداد دائمة فقد تنتهي صلاحيتها أو يتم إبطالها
استخدم حساب مدير آخر عند الحاجة
إذا كان الموقع يضم حساب مدير آخر موثوق ومؤمن فقد يستطيع مساعدتك في استعادة الوصول وفقاً لإمكانات الإضافة والصلاحيات المتاحة
ينبغي تنفيذ ذلك فقط من خلال مستخدم مخول مع تجنب مشاركة كلمات المرور بين المديرين
تواصل مع شركة الاستضافة أو مطور الموقع
إذا فقدت جميع وسائل الدخول فقد تحتاج إلى مساعدة فنية لاستعادة الوصول بطريقة آمنة
تختلف الإجراءات بحسب الإضافة وإعدادات الموقع لذلك ينبغي أخذ نسخة احتياطية قبل تعديل الملفات أو قاعدة البيانات وعدم حذف ملفات الإضافة أو تغيير بيانات المستخدمين بشكل عشوائي
أعد إعداد المصادقة الثنائية بعد استعادة الوصول
بعد الدخول إلى الموقع ألغِ ربط الجهاز المفقود إن كان ذلك متاحاً وقم بتغيير كلمة المرور إذا كنت تشك في تعرضها للاختراق ثم اربط جهازاً جديداً واحفظ رموز الاسترداد المحدثة
أبرز المشكلات الشائعة عند تفعيل المصادقة الثنائية وحلولها
رمز التحقق غير صحيح
قد يحدث ذلك نتيجة انتهاء صلاحية الرمز أو ضبط الوقت بشكل غير دقيق على الهاتف
الحل:
- تأكد من ضبط التاريخ والوقت تلقائياً
- انتظر ظهور رمز جديد ثم أدخله سريعاً
- تحقق من اختيار الحساب الصحيح داخل التطبيق
- راجع تعليمات الإضافة إذا استمرت المشكلة
لا تظهر خانة رمز التحقق في صفحة تسجيل الدخول
قد يحدث ذلك بسبب تعارض مع إضافة أخرى أو قالب مخصص لصفحة الدخول
الحل:
- اختبر صفحة تسجيل الدخول الافتراضية للووردبريس
- راجع إعدادات التكامل مع الإضافة المستخدمة
- تحقق من توافق إضافات تسجيل الدخول والقوالب
- اختبر التغييرات على نسخة تجريبية قبل تطبيقها على الموقع الأساسي
تجدر الإشارة إلى أن بعض طرق المصادقة قد لا تعمل تلقائيًا مع نماذج تسجيل الدخول المخصصة ولذلك يجب التأكد من التوافق بدلًا من افتراض أن جميع النماذج مدعومة
تعذر تسجيل الدخول إلى الموقع
إذا رفض الموقع تسجيل الدخول بعد التفعيل فلا تبدأ بحذف الملفات أو تعديل قاعدة البيانات مباشرة
ابدأ باستخدام رمز الاسترداد إن كان متاح ثم راجع سجل الأخطاء وتعليمات الإضافة وإذا احتجت إلى تعطيل ميزة المصادقة الثنائية بشكل مؤقت واستعن بمطور موثوق أو بدعم الاستضافة لتنفيذ الإجراء المناسب مع الحفاظ على سلامة الموقع
تعارض المصادقة الثنائية مع تطبيق ووردبريس للهاتف
قد تعتمد بعض التطبيقات أو الخدمات على واجهات مصادقة مختلفة عن صفحة الدخول التقليدية مثل XML-RPC أو واجهات برمجة التطبيقات
قبل تغيير إعدادات XML-RPC أو تعطيل المصادقة عليه تحقق من الخدمات التي يستخدمها موقعك مثل تطبيق ووردبريس أو Jetpack أو أي تكامل خارجي فقد يؤدي تغيير هذه الإعدادات إلى تعطيل بعض الوظائف
فقدان رموز الاسترداد
إذا فقدت رموز الاسترداد قبل فقدان الهاتف فقد تصبح عملية استعادة الوصول أكثر تعقيدًا
لذلك من الأفضل إعداد وسيلة استرداد بديلة منذ البداية وحفظها في مدير كلمات مرور موثوق أو مكان آمن غير متصل بالموقع نفسه
