موقعي تعرّض للاختراق، ماذا أفعل؟ دليل خطوة بخطوة للتنظيف والاستعادة

يراسلك أحد العملاء ليخبرك بأن موقعك نقله إلى موقع مراهنات. أو يعرض متصفح كروم صفحة تحذير حمراء، أو تبلغك شركة الاستضافة بأن حسابك عُلّق بسبب إرسال رسائل مزعجة. ردة الفعل الطبيعية هي الخوف، ثم تأتي الخطوات المتسرعة: حذف المجلدات، أو إعادة تثبيت القالب، أو تسليم الموقع لأي شخص يعرض أن «يلقي نظرة».

هذا الدليل مكتوب لهذه اللحظة تحديداً. تقدّم في الخطوات بهذا الترتيب: تأكد أن الموقع مخترق فعلاً، وأوقف انتشار الضرر، وابحث عن جذر المشكلة ونظّف الموقع، ثم استعد ثقة جوجل في النهاية. معظم الأمثلة تخص موقع ووردبريس (WordPress) المخترق لأنه الحالة الأكثر شيوعاً، لكن منطق العمل واحد لأي موقع.

كيف أعرف أن موقعي تعرّض للاختراق فعلاً؟

معظم عمليات الاختراق صامتة. فموقعك بالنسبة إلى المخترق مصدر دخل: يحوّل زياراتك إلى مكان آخر، أو ينشئ صفحات مزعجة في جوجل، أو يرسل بريداً جماعياً من خادمك. ولهذا يكون صاحب الموقع أحياناً آخر من يعلم.

إعادة توجيه الموقع إلى موقع آخر، لبعض الزوار فقط

العلامة الأكثر شيوعاً هي تحويل الزائر إلى موقع مراهنات أو كازينو أو إعلانات مشبوهة. والمربك أن الشيفرة الخبيثة كثيراً ما تعمل لفئة محددة فقط: مستخدمي الجوال، أو القادمين من نتائج جوجل، أو الزيارة الأولى لكل مستخدم. أما أنت، وقد سجّلت الدخول كمدير وتكتب العنوان مباشرة، فلا ترى شيئاً. للاختبار، استخدم هاتفك مع بيانات الجوال، وافتح نافذة تصفح خاصة، وابحث عن اسم موقعك في جوجل وادخل من النتيجة.

صفحات مزعجة يابانية أو دوائية في جوجل

ابحث في جوجل عن site:yourdomain.com (مع نطاقك أنت). إذا رأيت صفحات بعناوين يابانية أو صينية، أو صفحات لبيع أدوية أو بضائع مقلدة لم تنشئها، فموقعك مصاب بـ«الكلمات المفتاحية المزعجة» (Keyword Spam). وأحياناً لا تُنشأ هذه الصفحات إلا عندما يزور روبوت جوجل الموقع.

علامات أخرى

مستخدم مدير مجهول في لوحة التحكم، وتحذير «Deceptive site ahead» في المتصفح، ورسالة في قسم «Security issues» في Google Search Console، وتعليق الحساب من قبل الاستضافة، وارتداد رسائل بريدك، ووجود ملفات .php في مجلد الرفع؛ كلها من العلامات الشائعة.

جدول العلامات والإجراء الأول

هذا الجدول للتشخيص السريع، لا للحكم القاطع؛ لكن أخذ أي علامة على محمل الجد لا يضر.

العلامة	المعنى المحتمل	الإجراء الأول
إعادة توجيه إلى موقع مراهنات على الجوال فقط أو من جوجل	شيفرة خبيثة في القالب أو .htaccess أو قاعدة البيانات	خذ نسخة كاملة من الوضع الحالي، ثم فعّل وضع الصيانة
صفحات يابانية أو دوائية في نتائج site:	كلمات مفتاحية مزعجة؛ صفحات مزيفة أو مولّدة ديناميكياً	احفظ قائمة الروابط المزعجة وراجع Search Console
مستخدم مدير مجهول	وصول كامل للمخترق إلى لوحة التحكم	دوّن تاريخ إنشائه وبريده، ثم عطّله
تحذير أحمر في المتصفح أو Security issues	رصدت جوجل برمجيات خبيثة أو تصيّداً	راجع نماذج الروابط في تقرير Search Console
تعليق الحساب من قبل الاستضافة	ملفات خبيثة أو إرسال رسائل مزعجة من حسابك	اطلب من الاستضافة تقريراً دقيقاً بالملفات والسجلات
إرسال مفاجئ لرسائل بريد مزعجة	سكربت لإرسال البريد أو كلمة مرور بريد مسرّبة	غيّر كلمات مرور جميع صناديق البريد
ملف .php في مجلد الرفع	باب خلفي (Backdoor) في الغالب الأعم	احتفظ به للفحص واحذفه أثناء التنظيف

الساعة الأولى: ما يجب فعله وما يجب تجنّبه

في الساعة الأولى ليس الهدف التنظيف؛ الهدف ألا يزداد الضرر وألا تضيع الأدلة.

1. لا تحذف شيئاً على عجل. حذف الملفات المشبوهة أو إعادة تثبيت ووردبريس قد يُخفي العلامة لبضع ساعات، لكنه لا يغلق طريق الاختراق، ويمحو أيضاً آثار المخترق. وفي الغالب توجد عدة أبواب خلفية أخرى.
2. خذ نسخة كاملة من الوضع الحالي. انسخ جميع الملفات وقاعدة البيانات وهي على حالها المصابة، واحتفظ بها خارج الخادم. هذه النسخة دليل، لا نسخة احتياطية للاستعادة؛ وبها يمكن العثور على الملفات التي تغيّرت وإنقاذ الطلبات أو المقالات الأخيرة. نزّل أيضاً سجلات الوصول للخادم، لأن بعض الاستضافات لا تحتفظ بها إلا لبضعة أيام.
3. غيّر جميع كلمات المرور: حساب الاستضافة ولوحة التحكم (cPanel أو أي لوحة أخرى)، وجميع حسابات FTP، ومستخدم قاعدة البيانات (مع تحديثه في wp-config.php)، وجميع مديري الموقع، وصناديق البريد على النطاق، وحساب تسجيل النطاق. افعل ذلك من جهاز لا تشك في إصابته. وفي ووردبريس غيّر أيضاً مفاتيح الأمان (Salts) حتى تُغلق الجلسات المفتوحة، ومنها جلسة المخترق.
4. ضع الموقع في وضع الصيانة. إضافة وضع الصيانة داخل ووردبريس المصاب نفسه لا تكفي دائماً، لأن الشيفرة الخبيثة قد تعمل قبلها. الأضمن أن توجّه الطلبات، عبر الاستضافة أو .htaccess، إلى صفحة ثابتة تعيد الاستجابة 503 حتى يفهم جوجل أن التوقف مؤقت.
5. أبلغ شركة الاستضافة. اسأل عن الملفات التي صنّفتها خبيثة، ومنذ أي تاريخ تتوفر لديها نسخ احتياطية، وهل المواقع الأخرى على الحساب نفسه مصابة أيضاً. وإذا عُلّق حسابك، فهذا هو الطريق الوحيد للعودة.

العثور على طريق الاختراق: أهم خطوة

التنظيف دون العثور على طريق الدخول يشبه تنظيف بيت بابه مفتوح. هذه أكثر الطرق شيوعاً:

• إضافات وقوالب قديمة. تبدأ معظم اختراقات ووردبريس بإضافة أو قالب فيه ثغرة معروفة، وتبحث الروبوتات تلقائياً في آلاف المواقع عن ذلك الإصدار بعينه.
• قوالب وإضافات مقرصنة (Nulled). هذا شائع جداً. النسخة المأخوذة من موقع «تحميل مجاني» أو بـ«ترخيص مفعّل مسبقاً» قد تحتوي على باب خلفي منذ اليوم الأول، ولا تتلقى التحديثات الرسمية. وطالما بقيت هذه النسخة على الموقع، فالتنظيف بلا فائدة عملياً.
• كلمة مرور ضعيفة أو مكررة. تجرّب الروبوتات صفحة دخول ووردبريس دون توقف بكلمات مرور شائعة وكلمات مرور مسرّبة من مواقع أخرى.
• مواقع أخرى على حساب الاستضافة نفسه. نسخة تجريبية قديمة أو موقع منسي على الاستضافة المشتركة نفسها يعيد الإصابة إلى الموقع الرئيسي؛ وهذا سبب شائع لتكرار الاختراق.
• صلاحيات قديمة. حساب المدير الخاص بالمصمم السابق، أو حساب FTP لمستقل لم يُغلق قط.

لتقدير وقت الاختراق ومساره، ضع تواريخ تعديل الملفات وتواريخ إنشاء المستخدمين المجهولين وسجلات الوصول جنباً إلى جنب. فالطلبات المتكررة إلى إضافة معينة قبيل ظهور أول ملف خبيث مباشرة خيط جيد.

إزالة البرمجيات الخبيثة من الموقع خطوة بخطوة

الاستعادة من نسخة احتياطية نظيفة، إن وُجدت

أفضل حالة هي نسخة أنت متأكد أنها أُخذت قبل الاختراق. فنسخة الأمس تحمل على الأرجح الإصابة نفسها، لأن كثيراً من الاختراقات تحدث قبل ظهور العلامات بأسابيع. وبعد الاستعادة لا بد أيضاً من إغلاق طريق الاختراق وتحديث كل شيء. أما الطلبات أو المحتوى المسجّل بعد تاريخ النسخة الاحتياطية، فانقلها يدوياً وبحذر من نسخة الدليل.

المقارنة مع الملفات الأصلية

إذا لم تكن لديك نسخة احتياطية نظيفة:

1. استبدل مجلدَي wp-admin وwp-includes والملفات الجذرية بالنسخة الرسمية من ووردبريس، بالإصدار نفسه المستخدم في موقعك.
2. أعد تثبيت كل إضافة وقالب من المصدر الرسمي، لا من النسخة الموجودة على الخادم. احذف النسخة المقرصنة أو استبدلها بنسخة مرخّصة.
3. يجب ألا يوجد أي ملف .php في wp-content/uploads.
4. اقرأ wp-config.php وجميع ملفات .htaccess سطراً سطراً؛ فشيفرة إعادة التوجيه الخبيثة كثيراً ما تكون هنا.

الأبواب الخلفية وقاعدة البيانات

الباب الخلفي ملف أو مقطع شيفرة يُبقي طريق الدخول مفتوحاً حتى بعد تغيير كلمات المرور. ومن علاماته الشيفرات المشفّرة، والسلاسل الطويلة عديمة المعنى، ودوال مثل eval وbase64_decode في أماكن غير متوقعة؛ مع أن الإضافات السليمة تستخدم هذه الدوال أحياناً، ولهذا يحتاج التنظيف اليدوي إلى خبرة. وفي قاعدة البيانات ابحث عن سكربتات محقونة في المقالات والإعدادات، وعن مستخدمين مجهولين، ومهام مجدولة (Cron) تعيد تثبيت البرمجية الخبيثة.

التحديث والاختبار من جديد

حدّث النواة والإضافات والقالب وإصدار PHP إلى أحدث إصدار مستقر، واحذف الإضافات غير المستخدمة بدلاً من تعطيلها فقط. ثم كرّر الاختبار الأول: من الهاتف، ومن نتائج جوجل، وفي نافذة تصفح خاصة.

إذا لم تكن لديك نسخة احتياطية نظيفة: لنكن صريحين

إذا لم توجد أي نسخة احتياطية نظيفة، فلا أحد يستطيع أن يقول بيقين تام إن الموقع نظيف بالكامل. التنظيف اليدوي يزيل العلامات المعروفة، لكن يبقى دائماً احتمال أن يُترك باب خلفي مخفي بإحكام ثم ينشط بعد أسابيع. ومن يعد بـ«تنظيف مضمون» دون نسخة احتياطية نظيفة، فقد وعد بأكثر مما يعرف.

أحياناً تكون إعادة البناء أكثر منطقية من التنظيف: عندما يكون الموقع مبنياً على قالب مقرصن مع كثير من الشيفرة المخصصة، أو اختُرق عدة مرات متتالية، أو تكون برمجياته قديمة إلى حد أن تحديثها يعني عملياً إعادة كتابتها، أو كان تصميمه يحتاج إلى مراجعة في كل الأحوال. في هذه الحالة يُنقل المحتوى والصور وبيانات المنتجات بعد مراجعتها إلى موقع جديد، وتُستبعد الشيفرة القديمة. يساعدك في هذا القرار دليل إعادة تصميم الموقع ومقارنة ووردبريس أم البرمجة المخصصة. تكلفة إعادة البناء تعتمد على نطاق العمل؛ وللحصول على تقدير أولي استخدم حاسبة التكلفة.

استعادة ثقة جوجل

طلب المراجعة في Search Console

إذا سُجّل تحذير في تقرير Security issues في Search Console، فاضغط Request Review بعد إصلاح جميع المشكلات في جميع الصفحات. اكتب باختصار ما كانت المشكلة، وما الذي فعلته (طريق الاختراق، والملفات المحذوفة، والتحديثات)، وما النتيجة. ووفقاً لإرشادات جوجل، قد تستغرق المراجعة من عدة أيام إلى عدة أسابيع. أما الطلب المبكر والموقع ما زال مصاباً، فلا يفعل سوى تأخير الأمر.

التعامل مع الروابط المزعجة في النتائج

• تأكد من أن الروابط المزعجة تعيد الآن الرمز 404، أو الأفضل منه 410. فالرمز 410 يقول بوضوح أكبر إن الصفحة حُذفت نهائياً.
• لا تعِد توجيهها إلى الصفحة الرئيسية؛ فهذا يربط المحتوى المزعج بصفحاتك السليمة.
• للصفحة التي يجب أن تختفي من النتائج فوراً، تُخفيها أداة Removals في Search Console مؤقتاً؛ لكنها لا تحل محل 404 أو 410.
• احذف خرائط الموقع المزيفة والمالكين المجهولين من Search Console.

بعد بضعة أيام، افحص مجدداً

لعدة أسابيع، ابحث بـsite: كل بضعة أيام، وادخل الموقع من الجوال ومن نتائج جوجل، وراجع قائمة المستخدمين المديرين والملفات الجديدة. عودة العلامات تعني أن شيئاً ما بقي. تجد مزيداً من التفاصيل الفنية في دليل جوجل عن المواقع المخترقة، ولمراجعة SEO الموقع بعد الأزمة، تُعد قائمة تحقق SEO نقطة بداية جيدة.

الوقاية: احرص على ألا يتكرر الأمر

الموقع الذي لا يُعالَج سبب اختراقه يُخترق عادةً مرة أخرى. هذه العادات تقلل احتمال الاختراق بشكل جدي، وإن كان أيٌّ منها لا يحقق أماناً مطلقاً:

• التحديث المنتظم للنواة والإضافات والقالب وPHP.
• حذف الإضافات والقوالب غير المستخدمة؛ فالإضافة المعطلة ما زالت على الخادم.
• لا قوالب ولا إضافات مقرصنة أبداً؛ فالترخيص النظامي أرخص في الغالب من عملية تنظيف واحدة.
• التحقق بخطوتين (2FA) لمديري الموقع ولوحة الاستضافة والبريد.
• أقل قدر من الصلاحيات: لكل شخص الدور الذي يحتاجه فقط؛ وأغلق صلاحيات الزملاء السابقين فوراً.
• نسخ احتياطي خارج الخادم مع عدة نسخ أقدم، واختبار الاستعادة من حين لآخر. فالنسخة الاحتياطية التي لم تُستعد قط مجرد أمل.
• جدار حماية تطبيقات الويب (WAF) على مستوى الاستضافة أو CDN أو عبر إضافة أمان موثوقة.
• المراقبة: فحص دوري للملفات، وتنبيهات Search Console عبر البريد، ونظرة منتظمة على قائمة المستخدمين.
• فصل المواقع: لا تحتفظ بالنسخ التجريبية والمشاريع القديمة بجانب الموقع الرئيسي.

تناولنا المهام الدورية بالتفصيل في قائمة صيانة ووردبريس، واختيار الاستضافة المناسبة في دليل النطاق والاستضافة.

متى تُسند المهمة إلى متخصص؟

إذا كان موقعك بسيطاً، ولديك نسخة احتياطية نظيفة، وتتعامل بسهولة مع الملفات وقواعد البيانات، فيمكنك تنفيذ معظم هذه الخطوات بنفسك. أما عندما يكون الموقع متجراً إلكترونياً وبيانات العملاء في خطر، أو لا تملك نسخة احتياطية نظيفة، أو أُصيب الموقع مجدداً بعد التنظيف، أو سجّلت جوجل تحذيراً وتراجعت الزيارات، فطلب المساعدة أكثر منطقية.

عند الاختيار، اسأل كيف سيعثر على طريق الاختراق، وهل سيحتفظ بنسخة دليل من الوضع الحالي، وما التقرير الذي سيقدمه بعد العمل. وتعامل بحذر مع من يقدّم «ضماناً» قبل أن يرى الموقع.

الخلاصة

في الموقع المخترق، ترتيب العمل أهم من السرعة: تأكد من العلامة، وخذ نسخة دليل، وغيّر جميع كلمات المرور، وضع الموقع في وضع الصيانة. ثم ابحث عن طريق الاختراق، ونظّف الموقع بنسخة احتياطية نظيفة أو بالمقارنة مع الملفات الأصلية، وحدّث كل شيء. وفي النهاية اطلب المراجعة من جوجل وابقَ متيقظاً لعدة أسابيع.

الخطوة العملية التالية: تحقّق اليوم من تاريخ آخر نسخة احتياطية خارج الخادم، وهل اختبرت استعادتها. وإذا أردت أن يتولى أحد تنظيف موقعك وتحديثه ومراقبته بانتظام وفق نطاق عمل مكتوب، فاطّلع على خدمات صيانة المواقع ورعايتها. في MyTarh يبدأ الدعم بمراجعة فنية وأمنية أولية، واستعادة الموقع المخترق مجانية للمشتركين في الباقتين الاحترافية والشاملة.

الأسئلة الشائعة

موقعي تعرّض للاختراق؛ ما أول ما يجب أن أفعله؟

قبل أي تنظيف، خذ نسخة كاملة من جميع الملفات وقاعدة البيانات وهي على حالها المصابة، واحتفظ بها بشكل منفصل. ثم غيّر من جهاز سليم كلمات مرور الاستضافة ولوحة التحكم وFTP وقاعدة البيانات ومديري الموقع والبريد، وضع الموقع في وضع الصيانة، وأبلغ الاستضافة. فحذف الملفات على عجل يمحو الأدلة ولا يغلق طريق الاختراق.

لماذا يعاد توجيه موقعي إلى موقع مراهنات على الجوال فقط؟

كثير من الشيفرات الخبيثة لا تعمل عمداً إلا لفئة محددة: مستخدمي الجوال، أو القادمين من نتائج جوجل، أو الزيارة الأولى لكل مستخدم. أما المدير الذي سجّل دخوله إلى لوحة التحكم أو يكتب العنوان مباشرة، فلا يرى شيئاً. هذه علامة إصابة حقيقية، لا خلل في الهاتف؛ وعادةً ما تكون الشيفرة مخفية في .htaccess أو ملفات القالب أو قاعدة البيانات.

كم يستغرق رفع تحذير Deceptive site من جوجل؟

بعد التنظيف الكامل، عليك إرسال طلب مراجعة من تقرير Security issues في Google Search Console. وبحسب جوجل نفسها، قد تستغرق المراجعة من عدة أيام إلى عدة أسابيع. وإذا كان الموقع ما زال مصاباً، يُرفض الطلب ويضيع مزيد من الوقت؛ لذلك اختبر الصفحات مجدداً من الجوال ومن نتائج جوجل قبل تقديم الطلب.

هل تنظّف إضافة الأمان الموقع وحدها؟

إضافات الفحص مفيدة لاكتشاف البرمجيات الخبيثة المعروفة، لكنها لا تغني عن الفحص اليدوي. فهي لا تتعرف دائماً على البرمجيات الخبيثة الجديدة أو المخفية بإحكام، ولا تغلق طريق الاختراق بنفسها. وعلى الموقع المصاب قد تعمل الشيفرة الخبيثة قبل الإضافة نفسها. الأفضل استخدامها أداةً مساعدة وللمراقبة بعد التنظيف.

ماذا أفعل بالصفحات اليابانية المزعجة المؤرشفة في جوجل؟

تأكد أولاً من أن تلك الصفحات حُذفت من الخادم وتعيد الرمز 404 أو 410، لا إعادة توجيه إلى الصفحة الرئيسية. واحذف أيضاً خرائط الموقع المزيفة والمالكين المجهولين من Search Console. ومع إعادة الزحف، تستبعد جوجل هذه الروابط من النتائج تدريجياً. وللحالات العاجلة، تُخفيها أداة Removals في Search Console مؤقتاً.

هل الأفضل تنظيف الموقع أم إعادة بنائه؟

إذا كانت لديك نسخة احتياطية نظيفة وطريق الاختراق معروف، فالتنظيف يكفي عادةً. أما إذا كان الموقع مبنياً على قالب مقرصن، أو اختُرق عدة مرات متتالية، أو كانت برمجياته قديمة جداً، فإن إعادة البناء ونقل المحتوى بعد مراجعته قد تكون أحياناً أكثر أماناً وأقل تكلفة على المدى الطويل. ودون نسخة احتياطية نظيفة، لا يمكن ضمان أي تنظيف ضماناً كاملاً.