ما ينبغي أن يعرفه الجانب الطالب أيضاً عند طلب موقع ويب ── استخدام «كيفية إنشاء موقع ويب آمن» الصادر عن IPA كقائمة تحقق

عند سؤال «هل أمان موقعنا الإلكتروني على ما يرام؟»، قلة من الشركات تستطيع الإجابة بـ«نعم» مستندة إلى أساس واضح.

يُظَن غالباً أنّ الأمر بخير لأنّه مُسنَد إلى شركة إنشاء مواقع، أو أنّ الموقع لن يُستهدَف لأنّه مجرد موقع تعريفي بالشركة، لكن مجرد وجود نموذج اتصال واحد يعني أنّ برنامجاً يعالج القيم المُدخَلة يعمل بالفعل، وإذا استُخدِم نظام إدارة محتوى مثل WordPress، فلوحة الإدارة والإضافات كلاهما هدف للهجوم. وعلاوة على ذلك، فإنّ معظم الهجمات لا تستهدف شركة بعينها، بل تُنفَّذ عبر البحث الآلي عن المواقع الضعيفة.

فعلى أيّ أساس إذاً يمكن التحقق من أنّ «الأمر بخير»؟ المرجع الرسمي الذي استُخدِم طويلاً كمعيار لذلك هو كيفية إنشاء موقع ويب آمن الصادر عن IPA (الهيئة المستقلة لترويج تقنية المعلومات).

في هذا المقال، ننظّم ما يعلّمنا إياه هذا المرجع، بلغة يفهمها من يطلب موقع ويب أو يُشغِّله أيضاً.

1. الخلاصة أوّلاً

• «كيفية إنشاء موقع ويب آمن» مرجع يجمع 11 نوعاً من نقاط ضعف مواقع الويب وتدابيرها، بناءً على ثغرات أمنية أُبلِغ عنها فعلياً لدى IPA. يمكن استخدامه ليس فقط من قبل المطوّرين، بل أيضاً كمعيار للطلب والقبول
• تنقسم التدابير إلى «حل جذري» (يزيل السبب) و«تدبير وقائي» (يخفف الضرر). الأساس هو الحل الجذري، ويُضاف التدبير الوقائي فوقه
• «قائمة التحقق من التنفيذ الأمني» المرفقة يمكن استخدامها كما هي كبنود تحقق عند الطلب من شركة الإنشاء وعند القبول
• الكتيب الملحق «مواصفات الفحص الصحي للموقع» يشكّل معياراً لعناصر الفحص عند إجراء فحص دوري للموقع أثناء تشغيله
• في العمل الفعلي لموقع الشركة، يتمثل أكبر مصدرين للمخاطر في الأجزاء التي تستقبل الإدخال مثل النماذج، وتشغيل نظام إدارة المحتوى (مثل WordPress). ينبغي تحديد نظام تشغيل لا يقتصر على «الإنشاء ثم الانتهاء» عند الطلب

في المخطّط، يشير الخطّ المتّصل إلى علاقة قائمة دائماً، ويشير الخطّ المتقطّع إلى علاقة مشروطة (شروط قيامها مذكورة في شرح كلّ علاقة في الصفحة التفصيليّة). القائمة الكاملة للعلاقات (المجموع 23، مع الأدلّة ودرجة اليقين) وتعريفات المفاهيم الرئيسة مجمّعة في صفحة تفاصيل خريطة المعرفة (باليابانية). البيانات: JSON-LD / Turtle

2. ما هو دليل «كيفية إنشاء موقع ويب آمن»

«كيفية إنشاء موقع ويب آمن» مرجع يتناول من بين معلومات الثغرات الأمنية التي تلقتها IPA، الثغرات التي كثرت الإبلاغات عنها أو التي يكون أثرها كبيراً عند التعرض للهجوم، ويجمع تدابيرها الموجَّهة لمطوّري مواقع الويب ومُشغِّليها. أحدث إصدار هو الإصدار المنقَّح السابع، ويقع في 115 صفحة إجمالاً. وملف PDF الموزَّع هو الطبعة الرابعة من الإصدار السابع، المحدَّثة في 31 مارس 2021. إلى جانب ملف PDF، تُنشَر أيضاً صفحات HTML لكل ثغرة أمنية على حدة.

يتكون الدليل من ثلاثة فصول.

علاوة على ذلك، تُنشَر المواد التالية إلى جانب النص الأساسي.

• قائمة التحقق من التنفيذ الأمني (بصيغة Excel): جدول للتحقق من تنفيذ تدابير النص الأساسي
• الكتيب الملحق «كيفية استدعاء SQL بأمان»: مرجع يتعمق في تدابير الثغرات الأمنية المتعلقة بقواعد البيانات
• الكتيب الملحق «مواصفات الفحص الصحي للموقع»: مواصفات تجمع 13 عنصر فحص لتشخيص المواقع أثناء تشغيلها

يمكن تنزيل جميعها مجاناً من صفحة IPA.

2.1. كيف نتعامل مع حداثة المرجع

قبل استخدام هذا المرجع كمعيار، هناك مقدّمة ينبغي تثبيتها. صدر الإصدار المنقَّح السابع في مارس 2015، ثم دخلت تصحيحات مع كلّ إعادة طبع، وملف PDF الموزَّع حالياً هو الطبعة الرابعة من الإصدار السابع، المحدَّثة في 31 مارس 2021. وحتّى وقت كتابة هذا المقال (يوليو 2026) لم يُنشَر إصدار ثامن.

ومع ذلك يصلح كمعيار لأنّ ما يتناوله هو نقاط ضعف نابعة من طريقة بناء تطبيق الويب نفسه. آليات مثل تضمين قيمة الإدخال في جملة SQL أو في HTML، والتعرّف على الشخص عبر الجلسة، وإرسال بريد من إدخال النموذج، لم تتغيّر إلى اليوم. وأنواع الثغرات الإحدى عشرة وفكرة «الحل الجذري / التدبير الوقائي» لا تزال تصلح كمعيار للتحقّق من التنفيذ.

وبالمقابل، اتّجاه التهديدات في السنوات الأخيرة لا يغطّيه هذا المرجع. مواضيع مثل هجمات الفدية، والاختراق عبر العملاء أو الجهات المتعاقَد معها، والمخاطر المصاحبة لاستخدام الذكاء الاصطناعي التوليدي، أصلاً خارج نطاق هذا المرجع. وهناك تُكمَّل بمواد تُحدَّث سنويّاً.

لا حاجة لقراءة الثلاثة منفصلة. يكفي تقسيم الأدوار: «معيار التنفيذ هذا المرجع، وأحدث اتّجاه التهديدات التهديدات العشرة الكبرى، ونظام الشركة الدليل الإرشادي»، والرجوع إلى ما تحتاجه حين تحتاجه. محتوى إصدار 2026 من التهديدات العشرة الكبرى في مقال شرح التهديدات العشرة الكبرى لأمن المعلومات لعام 2026، والإصدار 4.0 من الدليل الإرشادي في مقال شرح الإصدار 4.0 من الدليل الإرشادي.

3. قراءة الثغرات الأمنية الإحدى عشرة من زاوية «ماذا يحدث»

الثغرات الأمنية الإحدى عشرة التي يتناولها الفصل الأوّل مصفوفة بمصطلحات موجَّهة للمطوّرين، لكن إذا استُبدِلت بـ«ماذا يحدث في موقع شركتك إذا تُرِكت دون معالجة»، يتضح أنّها ليست بعيدة عن اهتمام الجانب الطالب أيضاً.

العمود الأيمن أمثلة على المواضع في موقع الشركة التي يسهل أن تصبح فيها هذه الثغرة مشكلة. بوجود الوظيفة نفسها في موقعك أو عدمه تميّز أيّ صف يخصّك.

على سبيل المثال، «حقن ترويسات البريد الإلكتروني» ينطبق مباشرة على نموذج الاتصال في موقع تعريفي بشركة. فالنموذج ذو التدابير المتساهلة يُستغَل كمصدر لإرسال رسائل مزعجة، بل ويضر بمصداقية نطاق (domain) الشركة (أي هل تصل رسائل البريد الإلكتروني إلى الطرف الآخر أم لا). ومشكلة عدم وصول رسائل البريد الإلكتروني المُرسَلة من النموذج، كما تناولناها في أسباب عدم وصول رسائل نموذج الاتصال، ترتبط مباشرة بضياع فرص العمل.

4. «الحل الجذري» و«التدبير الوقائي» ── فكرة التدابير

الميزة المتفوقة في هذا المرجع هي عرضه للتدابير مقسَّمة إلى نوعين.

• الحل الجذري: تنفيذ يزيل سبب الثغرة الأمنية نفسه. فمثلاً في حالة حقن SQL، يكون بناء جملة SQL باستخدام العناصر النائبة (placeholder) بدل ربط السلاسل النصية
• التدبير الوقائي: تدبير يقلّل من نسبة نجاح الهجوم أو حجم الضرر في حال بقاء الثغرة الأمنية قائمة. فمثلاً عدم عرض رسالة الخطأ كما هي في المتصفح

يشكّل هذا التصنيف مقياساً للجانب الطالب عند تلقّي شرح حول الأمان. فتفسير من نوع «سنُدخِل WAF (آلية لكشف الهجمات وحجبها) فلا داعي للقلق» هو حديث عن تدبير وقائي، ولا يحل محل الحل الجذري للتطبيق نفسه. وعلى العكس، فإنّ إضافة WAF فوق تنفيذ الحل الجذري بنية منطقية سليمة. ومجرد تمييز أيّ طبقة يتحدث عنها المحاور يجعل مدى معقولية الاقتراح المطروح أكثر وضوحاً بكثير.

5. كيفية استخدامه عند الطلب والقبول

«كيفية إنشاء موقع ويب آمن» مرجع موجَّه للمطوّرين، لكن فائدته العملية للجانب الطالب تكمن في إمكانية استخدامه كمعيار للطلب والتحقق.

• مرحلة عرض السعر والمتطلبات: إدراج جملة في المواصفات أو طلب تقديم العروض (RFP) تنص على «تنفيذ تدابير مضادة للثغرات الأمنية التي يوردها دليل ‘كيفية إنشاء موقع ويب آمن’ الصادر عن IPA». فتسمية المعيار بشكل صريح يجعل المتطلب أوضح من عبارة غامضة مثل «مراعاة الأمان»
• مرحلة القبول: طلب تقديم نتيجة التحقق بشأن البنود المعنية في قائمة التحقق من التنفيذ الأمني
• مرحلة التعاقد: تحديد كتابياً من الذي سيتولى تحديث نظام إدارة المحتوى والإضافات والخادم بعد النشر، وما إذا كان التعامل مع أيّ ثغرة أمنية تُكتشف يندرج ضمن نطاق عقد الصيانة أم يحتاج تقديراً منفصلاً

النقطة الثالثة مهمة على نحو خاص. فأمان موقع الويب لا يكتمل عند إنشائه، بل يُحافَظ عليه بمتابعة الثغرات الأمنية الجديدة التي تُكتشف بعد النشر. وسؤال «من الذي سيستمر في العناية به» له البنية نفسها التي تناولناها بشأن نطاق الصيانة في مقال عقود التطوير الخارجي والتشغيل والصيانة.

5.1. مثال صياغة في المواصفات وطلب تقديم العروض

عبارة «مراعاة الأمان» لا تحدّد بماذا يُعدّ الشرط مستوفى. تحديد اسم المرجع والمُسلَّم يجعل المتطلب قابلاً للتحقق. اكتبه مثلاً كالتالي.

متطلبات الأمان

1. ينفّذ تطبيق الويب في هذا المشروع، بخصوص كل ثغرة يوردها الفصل الأوّل من «كيفية إنشاء موقع ويب آمن، الإصدار المنقَّح السابع» الصادر عن IPA، التدابير المصنَّفة في المرجع نفسه تحت «حل جذري».
2. عند التسليم، تُقدَّم نتيجة التحقق الذاتي لكل بنود «قائمة التحقق من التنفيذ الأمني» المرفقة بالمرجع. والبنود التي حُكم بأنها «لا يلزم التعامل معها» تُذكر معها أسبابها (عدم وجود الوظيفة المعنية مثلاً).
3. بخصوص الشاشات ذات المعالجة الديناميكية (نموذج الاتصال، البحث، تسجيل الدخول، تنزيل الملفات وغيرها)، يُذكر في وثيقة التصميم أسلوب التعامل مع قيم الإدخال ومعالجة الهروب عند الإخراج.
4. يُذكر في عقد الصيانة الجهة التي تتولى بعد النشر تحديث نواة نظام إدارة المحتوى والقالب والإضافات وبيئة التشغيل، وتواتر ذلك، وتعامل الزمن والتكلفة عند الإعلان عن ثغرة عاجلة.

لا يلزم إدراج البنود الأربعة كلها من البداية. حتّى البندان 1 و2 وحدهما في موقع يركّز على التعريف بالشركة يجعلان حديث القبول مختلفاً تماماً عن الطلب بعبارة «نترك الأمان لكم».

5.2. محتوى قائمة التحقق

قائمة التحقق ملف Excel واحد، وفيه 47 بند تنفيذ مقابل الفصل الأوّل من «كيفية إنشاء موقع ويب آمن، الإصدار المنقَّح السابع»، مصفوفة حسب أنواع الثغرات الإحدى عشرة. كل صف يتكوّن من نوع الثغرة، وطبيعة التدبير (حل جذري / تدبير وقائي)، وخانة التحقق (تم التعامل / لم يُتعامل / لا يلزم)، ونص بند التنفيذ، ورقم الشرح في النص الأساسي.

البنود الفعليّة مكتوبة مثلاً بالجمل التالية.

(نصوص بنود التنفيذ مقتبسة من قائمة التحقق من التنفيذ الأمني المرفقة بـ«كيفية إنشاء موقع ويب آمن، الإصدار المنقَّح السابع» الصادر عن IPA)

ما يسهل استخدامه على الجانب الطالب هو وجود «لا يلزم التعامل» في خانة التحقق. أن تكون بنود إدارة الجلسات فارغة في موقع بلا تسجيل دخول أمر طبيعي، لكن لا يمكن التمييز إن لم تُملأ ما إذا كان ذلك «لا ينطبق فلا يلزم» أم «أُغفل». مجرّد كتابة «لا يلزم» مع السبب يجعل حديث القبول ملموساً.

6. إجراء «فحص صحي» للموقع أثناء التشغيل

بالنسبة للمواقع المنشورة بالفعل، يفيد الكتيب الملحق «مواصفات الفحص الصحي للموقع». وهو مواصفات تجمع عناصر فحص (13 عنصراً) للتحقق من أمان مواقع الويب أثناء تشغيلها، ويصلح أيضاً كمعيار تقريبي لمحتوى الخدمة عند الاستعانة بخدمة تشخيص الثغرات الأمنية.

في مواقع الشركات الصغيرة والمتوسطة، هناك موضعان يتركز فيهما المخاطر عملياً بشكل خاص.

• الأجزاء التي تستقبل الإدخال: مثل نموذج الاتصال وحقل البحث وتسجيل دخول الأعضاء. تتعلق معظم ثغرات الفصل الأوّل بهذا الموضع
• تشغيل نظام إدارة المحتوى: المواقع التي توقفت فيها تحديثات النواة الأساسية والقالب والإضافات لأنظمة مثل WordPress هي النمط النموذجي للتعرض للاستغلال عبر نقاط ضعف معروفة وحصول تلاعب بالمحتوى. وحالات ترك مسألة «من مسؤول عن التحديث» دون تحديد كثيرة جداً

إذا رغبتم في إعادة النظر في عبء تحديث نظام إدارة المحتوى مع نظام التشغيل بأكمله، فقد يفيدكم أيضاً المقال الذي تناول الانتقال من WordPress. كما أنّ هناك قراراً تصميمياً آخر يتمثل في تقليص سطح الهجوم نفسه من خلال اعتماد بنية موقع ثابتة (static) تقلل من المعالجة الديناميكية أصلاً. واعتماد شركتنا في إنشاء المواقع على بنية ثابتة قائمة على نظام تصميم الوكالة الرقمية هو أيضاً امتداد لهذه الفكرة.

علماً بأنّ التشغيل الآمن لموقع الويب مُدرَج أيضاً كبند تحقق في التشخيص الذاتي للإصدار 4.0 من «الدليل الإرشادي لتدابير أمن المعلومات للشركات الصغيرة والمتوسطة» الصادرة عن IPA. للاطلاع على موقعه ضمن تدابير الأمان الشاملة للشركة، راجع مقال شرح الإصدار 4.0 من الدليل الإرشادي.

7. معجم مصطلحات مختصر

نلخّص الكلمات التي تظهر في اجتماعات شركة الإنشاء واستُخدمت في هذا المقال. إن استطعت قول المعنى في سطر واحد، تستطيع عند تلقّي الشرح أن تحكم بنفسك: «هل هذا حديث حل جذري أم تدبير وقائي».

الخلاصة

نلخّص أهم نقاط دليل «كيفية إنشاء موقع ويب آمن» الصادر عن IPA.

• مرجع أساسي يجمع 11 نوعاً من نقاط ضعف مواقع الويب وتدابيرها، بناءً على ثغرات أمنية أُبلِغ عنها فعلياً لدى IPA (الإصدار المنقَّح السابع، 115 صفحة إجمالاً)
• تتألف التدابير من طبقتين: الحل الجذري والتدبير الوقائي. التدابير الوقائية مثل WAF لا تحل محل الحل الجذري
• يستطيع الجانب الطالب أن يذكر اسم المرجع صراحة في المتطلبات، ويقبل العمل عبر قائمة التحقق، ويحدد في العقد نظام التحديث بعد النشر
• يُجرى فحص دوري للمواقع أثناء التشغيل بالاستناد إلى «مواصفات الفحص الصحي للموقع»
• تتركز المخاطر الواقعية لموقع الشركة غالباً في معالجة الإدخال مثل النماذج، وإهمال تحديث نظام إدارة المحتوى

يميل الأمان إلى أن يصبح خياراً بين طرفين: «إنفاق المال وفق ما يقوله الخبير» أو «عدم فعل أيّ شيء»، لكن مجرد معرفة معيار رسمي يجعل بإمكانك صياغة المتطلبات والتحقق منها بكلماتك أنت.

لمن يفكر في إنشاء موقع ويب أو إعادة تصميمه

في شركة كومورا سوفت ذ.م.م.، عند إنشاء موقع ويب أو إعادة تصميمه، نقترح وفق الفكرة المعروضة في هذا المقال ما يشمل تنفيذ ما يتعلق بالنماذج، وبنية ثابتة لا تعتمد على نظام إدارة المحتوى بشكل مفرط، ونظام التحديث بعد النشر. ويمكنكم التواصل معنا حتى من مرحلة التحقق من الوضع الحالي، مثل «لا نعرف كيف هو حال موقعنا الحالي».

مقالات ذات صلة

أحدث المقالات التي تشترك في نفس الوسوم. عمّق فهمك بمواضيع مرتبطة.

أين يتصل هذا الموضوع

ترتبط هذه المقالة بشكل طبيعي بصفحات الخدمات التالية.

الأسئلة الشائعة

أسئلة شائعة حول موضوع هذه المقالة.

ما هو دليل «كيفية إنشاء موقع ويب آمن»؟

هو مرجع أمني موجَّه لمطوّري مواقع الويب ومُشغِّليها، تنشره IPA (الهيئة المستقلة لترويج تقنية المعلومات). يتناول من بين معلومات الثغرات الأمنية المُبلَّغ عنها لدى IPA ما كثرت الإبلاغات عنه أو كان أثره كبيراً، ويشرح التهديدات والتدابير المضادة لها. أحدث إصدار منقَّح هو الإصدار السابع، الصادر في مارس 2021، ويقع في 115 صفحة إجمالاً. إلى جانب النص الأساسي، تُنشَر مجاناً قائمة التحقق من التنفيذ الأمني، والكتيب الملحق «كيفية استدعاء SQL بأمان»، و«مواصفات الفحص الصحي للموقع».

هل تحتاج حتى مواقع الويب البسيطة بحجم دليل تعريف بالشركة إلى تدابير أمنية؟

نعم، تحتاج. فإذا وُجد نموذج للاتصال، فهذا يعني أنّ برنامجاً يعالج القيم المُدخَلة يعمل بالفعل، وإذا استُخدِم نظام إدارة محتوى مثل WordPress، تصبح لوحة الإدارة والإضافات أهدافاً للهجوم. لا يقتصر المهاجمون بالضرورة على استهداف الشركات حسب حجمها، بل يبحثون آلياً عن المواقع الضعيفة ويستغلونها للتلاعب بالمحتوى، أو كنقطة انطلاق لتوزيع الفيروسات، أو كمصدر لإرسال الرسائل المزعجة. وما يجعل موقع الويب مخيفاً هو أنّه يجعلك ضحية ومصدر ضرر لعملائك وزوارك في الوقت نفسه.

ما الفرق بين الحل الجذري والتدبير الوقائي؟

يُقسِّم دليل «كيفية إنشاء موقع ويب آمن» التدابير إلى نوعين. الحل الجذري هو طريقة تنفيذ تُزيل سبب الثغرة الأمنية نفسه (مثال: استخدام العناصر النائبة (placeholder) في بناء جُمَل SQL). أمّا التدبير الوقائي فهو تدبير يقلّل من نسبة نجاح الهجوم أو حجم الضرر في حال بقاء الثغرة الأمنية قائمة (مثال: عدم عرض رسالة الخطأ كما هي). ولأنّ الاكتفاء بالتدبير الوقائي وحده يُبقي السبب قائماً، فإنّ الترتيب الصحيح هو اعتماد الحل الجذري أساساً، وإضافة التدبير الوقائي فوقه.

عند الطلب من شركة إنشاء المواقع، ما الذي ينبغي التحقق منه بخصوص الأمان؟

يُنصَح بالتحقق في مرحلة عرض السعر، على الأقل، من النقاط الثلاث التالية: ① هل نُفِّذت تدابير مضادة للثغرات الأمنية التي يوردها دليل «كيفية إنشاء موقع ويب آمن»؟ ② هل يمكن عرض نتيجة التحقق عبر قائمة التحقق من التنفيذ الأمني المرفقة ونحوها؟ ③ من الذي سيتولى تحديث نظام إدارة المحتوى والإضافات بعد النشر (أي ما نطاق ذلك ضمن عقد التشغيل والصيانة)؟ ولأنّ إضافة متطلبات الأمان لاحقاً يترتب عليها إعادة عمل كبيرة، فمن المهم التحقق منها كتابياً قبل التعاقد.

الملف الشخصي للمؤلف

صفحة الملف الشخصي لمؤلف المقالة.

غو كومورا

مؤسّس شركة كومورا سوفت ذ.م.م.

يركّز على تطوير برامج ويندوز، والاستشارات التقنية، والتحقيق في الأخطاء، ويتميّز في المشاريع التي تبقى فيها الأصول القديمة ناشطة، وفي تشخيص الأعطال التي يصعب تحديد سببها.