# فحص أمان الموقع في أقل من دقيقة.

فحص أمان الموقع مصمم لمواقع الشركات الصغيرة. تحقّق من HTTPS وترويسات الأمان وسجلات البريد وأدوات التتبع، ثم نزّل ملف PDF فيه طرق الإصلاح.

## ماذا يفحص فحص أمان الموقع؟

يجري الفحص 28 اختبارًا على صفحتك الرئيسية. يشمل HTTPS وإعادة التوجيه وترويسات أمان المتصفح وملفات تعريف الارتباط وسجلات البريد وDNS والسكربتات الخارجية وأدوات التتبع والمكتبات القديمة. تذكر كل نتيجة ما يجب إصلاحه وما يستحق النظر وما لم نتمكن من فحصه.

### اتصال HTTPS

هل يستجيب الموقع باتصال مشفر ويطلب من المتصفحات الاستمرار في استخدام HTTPS؟

### حماية المتصفح

هل يستطيع الموقع منع السكربتات غير المرغوبة، ومنع المواقع الأخرى من تضمينه في صفحاتها، ومنع المتصفحات من تخمين نوع الملفات؟

### ملفات تعريف الارتباط والتتبع والبرمجيات

نفحص إعدادات ملفات تعريف الارتباط، وأدوات التتبع التي تُحمَّل قبل موافقة الزوار، ومكتبات JavaScript القديمة، وإصدارات البرمجيات التي يكشفها الموقع.

## استفد أكثر من فحص أمان الموقع

### ما الذي يوضحه فحص أمان الموقع؟

فحص أمان الموقع يعرض الإعدادات التي ترسلها صفحتك الرئيسية إلى كل زائر. نفحص HTTPS وترويسات أمان المتصفح وملفات تعريف الارتباط وسجلات البريد وأدوات التتبع والبرمجيات التي يكشفها الموقع. استخدم نتيجة فحص أمان الموقع لتحضير أسئلتك للمطوّر ولحفظ سجل مؤرخ قبل أن تغيّر أي شيء.

### فهم نتائج فحص أمان الموقع

يصنّف فحص أمان الموقع النتائج إلى فحوصات عاجلة لدى مزوّد الاستضافة، وإعدادات تحتاج إلى إصلاح، وخيارات تعتمد على طريقة عمل موقعك. غياب ترويسة اختيارية ليس دليلًا على هجوم. تتراوح درجة الموقع في فحص أمان الموقع من 0 إلى 100 وتحسب الفحوصات المجتازة. تخبرك الألوان بما تنظر فيه أولًا.

### قبل فحص أمان الموقع وبعده

أجرِ فحص أمان الموقع قبل أن تغيّر الاستضافة أو إعدادات الأمان، لتكون لديك نتيجة تقارن بها. افحص صفحات الدفع وتسجيل الدخول والخدمات المضمّنة قبل تشديد أي قواعد. بعد ذلك أجرِ فحص أمان الموقع من جديد، وقارنه بالتقرير القديم، واختبر الموقع في متصفح حقيقي. أبقِ تحديثات البرمجيات وأمان الحسابات ضمن صيانتك المعتادة.

### شارك فحص أمان الموقع مع مطورك

يسهل العمل بنتيجة فحص أمان الموقع حين يستطيع من ينفّذ العمل أن يراها. نزّل ملف PDF أو أرسل رابط التقرير إلى مطوّرك. يعرض كل فحص لأمان الموقع وقت إجرائه. ويستطيع مالك الموقع أيضًا نشر التقرير بعد أن يثبت أنه يتحكم في الموقع.

## أسئلة حول أمان موقعك

### هل يثبت فحص أمان الموقع أن موقعي آمن؟

لا. هو يفحص مجموعة من الإعدادات العامة. ولا يستطيع اكتشاف كل الثغرات أو البرمجيات الخبيثة أو أخطاء الكود أو الحسابات المخترقة. التدقيق الأمني الكامل أوسع بكثير.

### هل يؤثر فحص أمان الموقع في موقعي؟

تأثيره يكاد لا يُذكر. يبحث الفحص عن سجلات DNS، ويطلب الصفحة الرئيسية عبر HTTPS وHTTP العادي، ويتبع حتى خمس عمليات إعادة توجيه، ويقرأ security.txt، ويحمّل الصفحة الرئيسية مرة واحدة في متصفح سحابي. لا يزور صفحات أخرى ولا يرسل نماذج ولا يسجّل الدخول ولا يحاول أي هجوم. إذا حجب موقعك الفحص تكون النتيجة ناقصة.

### لماذا يقتصر فحص أمان الموقع على مرتين يوميًا؟

يُبقي هذا الحد الأداة مجانية ويتجنب إرسال حركة مرور لا داعي لها إلى المواقع.

### ماذا تعني ألوان فحص أمان الموقع؟

الأحمر يعني أن عليك أن تطلب من مزوّد الاستضافة فحص أمر ما بصورة عاجلة، مثل إصدار PHP قديم فيه ثغرة حرجة معروفة. البرتقالي يعني أن إعدادًا يحتاج إلى إصلاح. الأزرق يعني أن الأمر يستحق نظرة أدق. الأخضر يعني أن الفحص اجتيز. الرمادي يعني أننا لم نتمكن من فحصه. لا يعني أي من هذه الألوان أن موقعك اختُرق.

### هل يكشف فحص أمان الموقع PHP2Shell؟

يمكنه التنبيه إلى إصدار PHP أقدم من الإصدارات المصححة. قد تكون ترويسات الإصدار خاطئة أو مخفية أو معدّلة، وبعض مزوّدي الاستضافة يصححون الإصدارات القديمة. اطلب من مزوّد الاستضافة تأكيد إصدار PHP المثبّت والتصحيحات. نحن لا نرسل أي طلبات هجوم. غياب ترويسة PHP لا يعني أن PHP غير موجود أو أنه مصحَّح.

### لماذا يرصد فحص أمان الموقع ترويسات البرامج؟

تفاصيل الإصدار تسهّل العثور على المواقع التي تشغّل برمجيات مصابة بثغرات. أزلها حيثما أمكن. إخفاؤها لا يصلح شيئًا، لذا أبقِ البرمجيات نفسها محدّثة.

### ماذا أفعل بعد فحص أمان الموقع؟

ابدأ بالعناصر الحمراء، ثم راجع البرتقالية مع مطوّرك أو مزوّد الاستضافة. اختبر تغييرات الترويسات قبل النشر، لأن القواعد الصارمة قد تعطّل المدفوعات والنماذج والمحتوى المضمّن. نزّل ملف PDF لمشاركة النتائج. تستطيع Mecanik Dev مساعدتك في اختيار الإصلاحات المناسبة وتنفيذها.

### هل نتائج فحص أمان الموقع عامة؟

لا. عمليات الفحص خاصة. لا يستطيع نشر تقرير الموقع إلا مالكه، بعد أن يثبت أنه يتحكم في الموقع بسجل DNS أو بملف. ما زال بإمكانك مشاركة رابط خاص أو ملف PDF. لا حاجة إلى حساب أو بريد إلكتروني.

## الاختبارات الواردة في تقريرك

### اتصال مشفر

يشفّر HTTPS البيانات بين الموقع وزواره. هذا يدل على أن الفاحص اتصل اتصالًا آمنًا. ولا يختبر بقية الموقع.

### إعادة توجيه HTTP العادي إلى HTTPS

يجب أن ينتقل الزوار الذين يكتبون العنوان بدون https:// مباشرة إلى الموقع الآمن. بعد ذلك يُبقي HSTS متصفحهم على HTTPS.

### إبقاء الزوار على HTTPS

اضبط Strict-Transport-Security بقيمة max-age لا تقل عن ستة أشهر. افحص نطاقاتك الفرعية قبل إضافة includeSubDomains أو preload.

### التحكم في المحتوى القابل للتشغيل

تتحكم Content-Security-Policy في السكربتات والمحتوى الذي يجوز للصفحة تحميله. تعتمد القواعد المناسبة على الموقع، وغياب السياسة ليس ثغرة في حد ذاته. إذا ضبطت الصفحة السياسة داخل HTML فإن فحص المتصفح يقرؤها. سياسات report-only لا تحجب أي شيء.

### منع التضمين المضلل

استخدم CSP frame-ancestors أو X-Frame-Options، واسمح فقط للمواقع التي تحتاج فعلًا إلى تضمين موقعك.

### منع تخمين أنواع الملفات

اضبط X-Content-Type-Options على nosniff ليتعامل المتصفح مع كل ملف بالنوع الذي يعلنه الخادم.

### تقليل المعلومات المرسلة لمواقع أخرى

يوضح ضبط Referrer-Policy صراحةً سلوك المتصفح. المتصفحات الحديثة تقيّد ذلك افتراضيًا، لذا فغياب الترويسة لا يعني أن البيانات تتسرب.

### تقييد ميزات المتصفح الحساسة

يمكن لـ Permissions-Policy إيقاف الكاميرا والميكروفون والموقع الجغرافي لموقعك. تعتمد الإعدادات المناسبة على ما يفعله الموقع.

### معلومات X-Powered-By

أزل تفاصيل بيئة التشغيل حيثما أمكن. هذا يصعّب التعرف على الموقع، لكن عليك مع ذلك إبقاء البرمجيات محدّثة.

### كشف إصدار الخادم

اطلب من مزوّد الاستضافة إخفاء أرقام الإصدارات وإبقاء الخادم محدّثًا. لا مشكلة في اسم الخادم بدون إصدار.

### مراجعة تحديثات PHP

PHP2Shell هو اسم لثغرتين حرجتين في PHP نفسه. تذكر الترويسة رقم إصدار فقط، وقد يكون خاطئًا أو لا يعكس إصلاحات طبّقها مزوّد الاستضافة. اطلب من مزوّد الاستضافة تأكيد الإصدار المثبّت بمقارنته بنشرات PHP الأمنية الحالية. إخفاء الترويسة لا يصلح شيئًا.

### ملفات ارتباط عبر HTTPS فقط

تعني Secure أن ملف تعريف الارتباط لا يُرسل إلا عبر HTTPS. نرى فقط ملفات تعريف الارتباط التي تضبطها استجابة الصفحة الرئيسية. أما التي تُضبط بعد تسجيل الدخول أو بواسطة السكربتات فهي خارج النطاق، ولا تظهر قيم ملفات تعريف الارتباط في تقريرك أبدًا.

### حماية ملفات ارتباط الجلسة

يمنع HttpOnly السكربتات الموجودة في الصفحة من قراءة ملف تعريف الارتباط. نخمّن ملفات الجلسة من أسمائها، لذا اطلب من مطوّرك التأكد.

### قواعد ملفات الارتباط بين المواقع

يتحكم SameSite في وقت إرسال ملفات تعريف الارتباط مع الطلبات القادمة من مواقع أخرى. قد تكون القيمة None صحيحة لبعض التكاملات، ويطبّق المتصفح قيمة افتراضية عند غيابه.

### الوصول عبر الأصول

كثيرًا ما تحتاج واجهات API والملفات المشتركة إلى CORS. وجود علامة النجمة وحدها لا يكشف بيانات خاصة. لا يستطيع فحص الصفحة الرئيسية هذا معرفة ما إذا كانت واجهة API تثق بأي مصدر.

### عزل نوافذ المتصفح

يفصل COOP الصفحة عن النوافذ التي تفتحها مواقع أخرى. قد تحتاج نوافذ الدفع وتسجيل الدخول المنبثقة إلى إعداد أقل صرامة. غياب COOP لا يجعل الموقع قابلًا للاستغلال بمفرده.

### قواعد تضمين الموارد

تتحكم Cross-Origin-Resource-Policy في المواقع التي يجوز لها تضمين ملفاتك. قد تحتاج الصور العامة والملفات المشتركة إلى البقاء مفتوحة. لا تحتاج معظم الصفحات إليها.

### سياسة مرسلي البريد (SPF)

يساعد SPF خوادم البريد على رفض الرسائل المزيفة المرسلة باسم نطاقك. إذا كان النطاق لا يرسل بريدًا أبدًا فانشر v=spf1 -all. نفحص النطاق الرئيسي.

### سياسة مكافحة انتحال البريد (DMARC)

يخبر DMARC خوادم البريد بما تفعله بالرسائل التي تفشل في SPF وDKIM. ابدأ بوضع المراقبة، واقرأ التقارير، ثم انتقل إلى quarantine أو reject.

### قواعد جهات إصدار الشهادات (CAA)

تسرد سجلات CAA جهات إصدار الشهادات المسموح لها بإصدار شهادات للنطاق. وهي تقلل خطر إصدار شهادة عن طريق الخطأ. أدرج كل مزوّد تستخدمه.

### DNS موقّع (DNSSEC)

يتيح DNSSEC للمحللات اكتشاف ردود DNS المزيفة. فعّله لدى مزوّد DNS والمسجّل معًا، لأن الإعداد الخاطئ قد يُخرج النطاق عن الخدمة.

### جهة اتصال أمنية (security.txt)

انشر /.well-known/security.txt متضمنًا Contact وتاريخ Expires، ليعرف من يجد مشكلة كيف يتواصل معك.

### موارد صفحة غير آمنة

يمكن تغيير الملفات غير الآمنة أثناء وصولها إلى الزائر، وقد تحجبها المتصفحات فتتعطل الصفحة. حوّل هذه العناوين إلى HTTPS. فحصنا الصفحة الرئيسية فقط.

### خدمات الجهات الخارجية

يستطيع كل سكربت أو خدمة خارجية رؤية زوارك وتغيير الصفحة. أبقِ القائمة قصيرة، وأزل ما لم تعد تستخدمه، وافحص ما يتلقاه كل مزوّد. استخدام الخدمات الخارجية ليس ثغرة في حد ذاته.

### التتبع قبل الموافقة

تشترط قوانين الخصوصية مثل GDPR وPECR عادةً الحصول على الموافقة قبل أي تتبع غير ضروري. يحمّل الفاحص الصفحة مرة واحدة من خوادمنا ولا يقبل أي خيار. قد تعمل أدوات الموافقة بطريقة مختلفة بحسب البلد، لذا افحص إعدادك الخاص أيضًا.

### مكتبات JavaScript قديمة

نتعرّف على jQuery وjQuery UI وBootstrap وAngularJS وLodash وMoment.js حين تُظهر رقم إصدارها. حدّث المكتبة المعنية، أو القالب أو الإضافة التي تتضمنها، ثم اختبر الموقع.

### فحوص سلامة النصوص البرمجية

تتيح Subresource Integrity للمتصفحات رفض نسخة معدّلة من ملف سكربت. تناسب الملفات ذات الإصدارات من CDN. ولا تناسب السكربتات التي تتغير عمدًا مثل أدوات إدارة الوسوم.

### إصدار منصة الموقع

وسم generator الذي يحمل رقم إصدار يجعل الموقع أسهل استهدافًا بالهجمات الآلية. أزله حيثما أمكن وأبقِ المنصة والقوالب والإضافات محدّثة. إخفاء الإصدار لا يصلح شيئًا.

## إشعار الخصوصية

لمنع إساءة الاستخدام وللرد على الشكاوى والطلبات القانونية، تحتفظ Mecanik Dev Ltd بسجل لكل فحص. يتضمن السجل الموقع الإلكتروني ووقت الفحص ورقم إصدار الإشعار وعنوان IP الخاص بك وتفاصيل متصفحك وجهازك وموقعك التقريبي بحسب عنوان IP. نحتفظ بهذه السجلات 30 يوما ثم نحذفها. لا نستخدمها في التسويق ولا نشاركها إلا عندما يوجب القانون ذلك.

يعالج مزوّد الاستضافة والأمان لدينا عنوان IP الخاص بك لتشغيل الخدمة وفحص مكافحة الروبوتات، ويحتفظ بسجلاته الخاصة. الموافقة على الفحص ليست موافقة على الرسائل التسويقية. متصفحك هو الذي ينشئ ملف PDF بنفسه.

راجع سياسة الخصوصية الرئيسية لبيانات الاتصال بالمتحكم وحقوق البيانات ومعلومات مقدمي الخدمة.

إذا نشرت تقريرًا، نحتفظ بالنطاق ووقت الفحص والنتائج لمدة تصل إلى 90 يومًا. يعرض الدليل العام أحدث تقرير لكل موقع. لا تُحفظ الفحوصات الخاصة فيه أبدًا. تبقى التقارير العامة السابقة منشورة حتى تنتهي مدتها أو تُزال. لا تتضمن التقارير العامة أبدًا عناوين IP للزوار أو تفاصيل المتصفح أو سجلات التفويض أو قيم ملفات تعريف الارتباط.

يُحفظ تفضيل المظهر في هذا المتصفح. يبقى التقرير الحالي في تخزين جلسة علامة التبويب كي لا يتطلب تغيير اللغة فحصًا جديدًا. امسح تخزين المتصفح لإزالة التفضيلات والنتائج المحفوظة.