تأمين تسجيل الدخول في ووردبريس: 2FA وقفل المحاولات

كلمة مرور قوية لا تحميك إذا سُرّبت من موقع آخر أو كتبها المدير في صفحة تصيّد. ولهذا يقوم تأمين صفحة الدخول على طبقتين معًا: التحقق بخطوتين في ووردبريس حتى لا تكفي كلمة المرور وحدها، وقفل المحاولات حتى يصبح التخمين بطيئًا ومكشوفًا. نشرح كيف تضبط الطبقتين دون أن تقفل نفسك أو فريقك خارج اللوحة، ومع أي إعدادات نبدأ عادة.

لماذا لا تكفي كلمة المرور؟

صفحة wp-login.php وواجهة XML-RPC تستقبلان محاولات آلية على أي موقع ووردبريس منشور، حتى الجديد منها. وكثير من الهجمات لا يخمّن أصلًا، بل يجرّب كلمات مرور مسرّبة من مواقع أخرى (credential stuffing). القفل يبطئ التخمين، أما التحقق بخطوتين فيجعل كلمة المرور المسرّبة غير كافية للدخول.

أي نوع من التحقق بخطوتين تختار؟

للمديرين نوصي بتطبيق المصادقة مع أكواد احتياطية. وإذا اخترت البريد، فتأكد أولًا أن بريد الموقع يصل فعلًا عبر SMTP موثّق، كما سنشرح في مقال إعداد SMTP لاحقًا.

التفعيل دون أن تقفل نفسك

1. 1

   ابدأ بحسابات المدير فقط

   فرض التحقق على كل العملاء من اليوم الأول يملأ الدعم بالشكاوى. فعّله للأدوار الحساسة، واترك للعملاء خيار تفعيله لاحقًا.

2. 2

   اربط التطبيق واحفظ الأكواد الاحتياطية

   امسح رمز QR بتطبيق مثل Google Authenticator أو Microsoft Authenticator، وأدخل الرمز للتأكيد. ثم احفظ الأكواد الاحتياطية في مدير كلمات مرور. إرشادات NIST تشترط أن يُستخدم كل كود من هذا النوع مرة واحدة، وأن يتكون من ست خانات على الأقل.

3. 3

   اضبط القفل بأرقام معقولة

   نقطة بداية عملية: 5 محاولات خلال 15 دقيقة، ثم قفل ساعة، وقفل أطول (24 ساعة) لمن يتكرر قفله ثلاث مرات، مع رسالة خطأ موحدة لا تكشف هل اسم المستخدم صحيح. ويضع NIST حدًا أعلى قدره 100 محاولة فاشلة متتالية للحساب الواحد.

4. 4

   اختبر سيناريو فقد الهاتف

   ادخل من متصفح آخر باستخدام كود احتياطي، وتأكد أن الكود لم يعد صالحًا بعدها. وتأكد أن لدى مدير آخر صلاحية إعادة ضبط التحقق لحسابك.

5. 5

   راجع السجل كل أسبوع

   ابحث عن محاولات لأسماء مستخدمين حقيقية في فريقك، وعن دخول ناجح من بلد أو جهاز غير مألوف.

ثغرات تتجاوز صفحة الدخول

• XML-RPC: يسمح باستدعاء system.multicall الذي يجرب عدة كلمات مرور في طلب واحد. إذا لم يكن لديك تطبيق نشر أو Jetpack يعتمد عليه، فاقفله أو قيّد معدّل طلباته.
• كلمات مرور التطبيقات: منذ ووردبريس 5.6 يمكن لأي مستخدم إنشاء Application Password للدخول عبر REST API. هذه لا تمر عادة بالتحقق بخطوتين، فراجع من يملكها من صفحة الملف الشخصي واحذف ما لا تعرفه.
• تعداد المستخدمين: روابط مثل ?author=1 و/wp-json/wp/v2/users تكشف أسماء المستخدمين. أغلقها للزوار ما لم يحتجها تكامل.

إذا أُقفلت خارج الموقع

الحل الأسرع عبر SSH بتعطيل إضافة الحماية مؤقتًا، ثم الدخول وإعادة ضبط التحقق، ثم تفعيلها من جديد:

cd ~/domains/example.com/public_html
wp plugin deactivate mirror-protection-suite
# بعد الدخول وإعادة ضبط التحقق:
wp plugin activate mirror-protection-suite

وإذا لم يكن لديك SSH، فغيّر اسم مجلد الإضافة من مدير الملفات، فيعطّلها ووردبريس تلقائيًا. طريقة الاتصال مشروحة في دليل SSH وWP-CLI على هوستنجر.

أسئلة عن حماية الدخول

مقالات مرتبطة

• 12 خطوة لتأمين موقع ووردبريس من الاختراق
• 2FA وSSL وفحص الملفات على هوستنجر

من أين أتت الأرقام؟

NIST SP 800-63B-4 (الأقسام 3.1.2 و3.1.3.3 و3.2.2)، ودليل MirrorORG Protection Suite للقيم الافتراضية. اطّلعنا عليهما في 18 أكتوبر 2026.