أهم إعدادات الأمان في Plesk

تأمين لوحة تحكم Plesk هو خطوة أساسية لأي شخص يدير خادمًا، سواء كنت تديره بنفسك أو لديك عملاء تعتمد على استقرار وأمان مواقعهم. الهدف هو جعل الأمور صعبة على المخترقين قدر الإمكان، وفي نفس الوقت، تسهيل الأمور عليك وعلى المستخدمين الشرعيين. فلنتعرف على بعض الإعدادات المهمة التي تساعد في تحقيق ذلك، مع التركيز على ما هو حديث وفعال لعام 2025-2026.

تحديث كل شيء أمر لا بد منه

أول قاعدة ذهبية في مجال الأمان الرقمي هي: حدث كل شيء بانتظام. هذا ينطبق بشكل مباشر على Plesk.

لماذا التحديثات مهمة جدًا؟

تخيل أنك بنيت جدارًا قويًا لمنزلك، ولكن تركته مفتوحًا من جهة ما. هذا هو ما يحدث عندما لا تقوم بتحديث برامجك. المخترقون يبحثون دائمًا عن “الأبواب الخلفية” أو الثغرات الأمنية في البرمجيات القديمة.

تحديث Plesk نفسه

• تحديثات Plesk الأساسية: عندما تصدر Plesk تحديثًا، سواء كان تحديثًا أمنيًا صغيرًا أو ترقية رئيسية، فكر في تثبيته في أقرب وقت ممكن. هذه التحديثات غالبًا ما تحتوي على تصحيحات للثغرات التي تم اكتشافها حديثًا.
• إصدارات التطبيقات (APS): Plesk تدعم مجموعة من التطبيقات التي يمكن تثبيتها بسهولة، مثل WordPress، Joomla، Drupal، وغيرها. هذه التطبيقات، بحد ذاتها، تحتاج إلى تحديثات. تأكد من أنك إما تقوم بتحديثها يدويًا، أو لديك إعدادات تسمح لـ Plesk بإجراء التحديثات التلقائية (بحذر).

تحديث تطبيقات المواقع (خاصة WordPress)

• WordPress والإضافات والقوالب: إذا كنت تستخدم WordPress، فهو يتطلب اهتمامًا مضاعفًا. تشتهر WordPress بكونها هدفًا للمخترقين، لكن معظم الهجمات تستغل ثغرات في الإضافات (Plugins) أو القوالب (Themes) القديمة أو التي لم يتم صيانتها بشكل جيد.
• استراتيجية التحديث: لا تؤجل تحديث WordPress، بالإضافة إلى الإضافات والقوالب. إذا كان لديك موقع مهم، يمكنك إجراء نسخة احتياطية قبل التحديث، ثم تجربة التحديث على بيئة اختبار (Staging environment) إذا كانت متاحة، قبل تطبيقه على الموقع الحي.

إعدادات الوصول والصيغة: حراسة بوابة المسؤول

الوصول إلى لوحة تحكم Plesk هو كنز حقيقي للمخترق. لذلك، يجب أن نضع ضوابط صارمة على من يمكنه الدخول وكيف يدخل.

مفاتيح SSH بدلًا من كلمات المرور فقط

كلمات المرور، مهما كانت قوية، يمكن تخمينها أو سرقتها. SSH Keys هي طريقة أكثر أمانًا للوصول إلى الخادم.

• كيف تعمل؟ المفتاح يتكون من جزأين: مفتاح عام (Public Key) ومفتاح خاص (Private Key). تقوم بوضع المفتاح العام على الخادم، وتحتفظ بالمفتاح الخاص معك. عندما تحاول الاتصال، يقوم الخادم بالتحقق من أن مفتاحك الخاص يتطابق مع المفتاح العام المخزن لديه، دون الحاجة لإدخال كلمة مرور.
• التفعيل في Plesk: يمكن تهيئة Plesk للسماح بالوصول عبر SSH باستخدام المفاتيح، مع إمكانية تعطيل تسجيل الدخول بكلمة مرور SSH تمامًا. هذا يقلل بشكل كبير من مخاطر هجمات القوة الغاشمة (Brute-force attacks) على حسابات SSH.

المصادقة متعددة العوامل (2FA/MFA)

هذه ميزة أمان حديثة يجب أن تكون قياسية الآن.

• ما هي؟ يعني أنك بحاجة إلى شيء تعرفه (كلمة المرور) وشيء تملكه (مثل هاتف أو مفتاح أمان) لتسجيل الدخول.
• التفعيل للمسؤولين: احرص على تفعيل المصادقة متعددة العوامل (2FA أو MFA) لجميع حسابات المسؤولين في Plesk (root أو administrator). هذا يعني أنه حتى لو تسربت كلمة مرور المسؤول، فلن يتمكن المخترق من الدخول بدون العامل الثاني (مثل رمز يتم إنشاؤه عبر تطبيق Authenticator أو يتم إرساله إلى هاتفك).
• التفعيل للعملاء: إذا كان عملاؤك لديهم وصول جزئي أو كانوا يديرون مواقعهم بأنفسهم عبر Plesk، شجعهم بقوة على تفعيل 2FA لحساباتهم أيضًا.

قوة كلمة المرور الدنيا “Strong”

لسوء الحظ، لا يزال بعض المستخدمين يستخدمون كلمات مرور ضعيفة مثل “123456” أو “password”.

• تطبيق إعدادات القوة: في Plesk، يمكنك فرض سياسات كلمات مرور قوية. هذا يعني أنك تحدد الحد الأدنى للطول، وتشترط وجود أحرف كبيرة وصغيرة، وأرقام، ورموز خاصة.
• توجيه المستخدمين: قم بتثقيف المستخدمين لديك حول أهمية كلمات المرور القوية، وقدم لهم أدوات لتوليد كلمات مرور آمنة إذا لزم الأمر.

تفعيل جدران الحماية والمنع: خطوط الدفاع الأولى

جدار الحماية هو أول حاجز يواجه أي محاولة وصول غير مصرح بها إلى خادمك.

جدار حماية Plesk (Firewall)

Plesk يأتي مع جدار حماية مدمج يمكنك إدارته بسهولة.

• التشغيل دومًا: تأكد من أن جدار حماية Plesk مفعل دائمًا.
• إغلاق المنافذ غير الضرورية: أخطر ما في جدار الحماية هو إغلاق المنافذ التي لا تحتاجها. كل منفذ مفتوح هو نقطة اختراق محتملة. إذا كنت لا تستخدم FTP، أغلق منفذه (21). إذا كنت تستخدم بروتوكولًا معينًا للخادم (مثل IMAP أو POP3) ولا يحتاجه جميع المستخدمين، فكر في تقييده.
• المنافذ الشائعة: منافذ SSH (22)، HTTP (80)، HTTPS (443) هي الأساسية. MySQL (3306) إذا كانت القاعدة بيانات تتصل من الخارج، وغيرها.
• الوصول الإداري: فكر في منع الوصول المباشر إلى منافذ Plesk (مثل 8443) من أي مكان، والسماح به فقط من عناوين IP محددة (القائمة البيضاء) إذا كان ذلك ممكنًا.

تمكين Fail2Ban

Fail2Ban أداة قوية جدًا لمواجهة محاولات الاختراق المتكررة.

• كيف تعمل؟ تقوم Fail2Ban بمراقبة سجلات (Logs) الخدمة، مثل سجلات SSH أو Apache. إذا اكتشفت أن عنوان IP معين يحاول تخمين كلمات المرور أو يقوم بنشاط مشبوه متكرر، فإنها تقوم تلقائيًا بحظر هذا العنوان IP على مستوى جدار الحماية لمدة محددة.
• إعدادات مقترحة:
• فترة الحظر: 600 ثانية (10 دقائق) بعد 5 محاولات فاشلة للتسجيل (SSH، Plesk Panel).
• فترات أطول: يمكنك زيادة فترة الحظر كلما زادت عدد محاولات الفشل.
• تطبيقات أخرى: تدعم Fail2Ban مراقبة العديد من الخدمات، ليس فقط SSH.

حماية التطبيقات والبروتوكولات: تأمين البيانات أثناء النقل والتخزين

لا يكفي تأمين الوصول إلى الخادم، بل يجب تأمين البيانات نفسها وطريقة تبادلها.

Web Application Firewall (ModSecurity)

ModSecurity هو جدار حماية لتطبيقات الويب يمكن تثبيته على Apache أو Nginx.

• مواجهة الهجمات المعروفة: ModSecurity، عند تهيئته بشكل صحيح باستخدام قواعد مثل OWASP (Open Web Application Security Project) ModSecurity Core Rule Set، يمكنه حماية مواقعك من هجمات شائعة مثل SQL Injection، Cross-Site Scripting (XSS)، وغيرها.
• تفعيل القواعد: قم بتثبيت ModSecurity وتفعيل قواعد OWASP. يمكنك بعد ذلك تخصيص هذه القواعد لمنع الإيجابيات الخاطئة (False Positives) التي قد تحظر المستخدمين الشرعيين.
• المراقبة: راقب سجلات ModSecurity بانتظام للكشف عن أي محاولات هجوم.

تشفير SSL/TLS

هذا ضروري لجميع مواقع الويب اليوم.

• ما هو؟ SSL/TLS هو البروتوكول الذي يسمح بتشفير الاتصال بين المتصفح والخادم. هذا يعني أن أي بيانات يتم إرسالها (مثل معلومات تسجيل الدخول، تفاصيل بطاقات الائتمان) تكون غير قابلة للقراءة للمتنصتين.
• تجنب الإصدارات القديمة: تأكد من إيقاف تشغيل بروتوكولي SSL 2.0 و SSL 3.0 تمامًا. هاتان الإصدارات قديمتان وبهما ثغرات أمنية معروفة. ركز على TLS 1.2 و TLS 1.3.
• شهادات Let’s Encrypt: Plesk يوفر تكاملاً ممتازًا مع Let’s Encrypt، وهي خدمة توفر شهادات SSL مجانية. تأكد من تجديد هذه الشهادات تلقائيًا.

تمكين FTP آمن (sFTP)

إذا كان لا يزال لديك استخدام لـ FTP، يجب الانتقال إلى sFTP.

• FTP العادي غير آمن: بروتوكول FTP القياسي ينقل البيانات، بما في ذلك أسماء المستخدمين وكلمات المرور، كنص عادي. هذا يعرضها لخطر الاعتراض.
• sFTP هو الحل: sFTP (SSH File Transfer Protocol) يستخدم اتصال SSH المشفر لنقل الملفات. إنه بنفس أمان SSH، ولكنه مصمم لنقل الملفات.
• تقييد الوصول الإداري: إذا كنت تستخدم FTP/sFTP لإدارة الموقع، تأكد من أن حسابات FTP لها صلاحيات محدودة على الخادم، ولا تمتلك وصولًا إداريًا كاملاً.

إجراءات أمنية إضافية: تعزيز الحماية

بالإضافة إلى الإعدادات الأساسية، هناك مجموعة من الإجراءات الإضافية التي تزيد من أمان Plesk الخاص بك.

تقييد الوصول إلى لوحة التحكم

هل يحتاج كل مستخدم على الخادم إلى الوصول إلى لوحة تحكم Plesk؟ غالبًا لا.

• القائمة البيضاء (Whitelist): يمكنك تكوين جدار الحماية للسماح بالوصول إلى منفذ لوحة تحكم Plesk (مثل 8443) فقط من عناوين IP محددة. هذا يعني أنه لا يمكن لأي شخص من أي مكان في العالم محاولة تسجيل الدخول إلى لوحة التحكم.
• الوصول للمطورين: إذا كان لديك مطورون يحتاجون إلى الوصول، يمكنك إضافتهم إلى القائمة البيضاء. لكن كن حذرًا، حيث أن عناوين IP العامة قد تتغير.

تفعيل حماية DDoS

الهجمات الموزعة لحجب الخدمة (DDoS) يمكن أن تجعل موقعك أو خادمك غير متاح.

• إعدادات Plesk: توفر Plesk بعض الإعدادات الأساسية لمواجهة هجمات DDoS، مثل تحديد معدل الطلبات أو حظر عناوين IP التي ترسل عددًا هائلاً من الطلبات.
• خدمات خارجية: للحماية الكاملة من هجمات DDoS الكبيرة، غالبًا ما تحتاج إلى خدمات خارجية متخصصة في هذا المجال (مثل Cloudflare أو Akamai).

مراجعة يومية للنسخ الاحتياطية واستعادة سريعة

النسخ الاحتياطي ليس فقط للحماية من هجمات الاختراق، بل هو خطة إنقاذ شاملة.

• أهمية النسخ الاحتياطي: إذا حدث الأسوأ (اختراق، خطأ بشري، فشل في العتاد)، فإن النسخ الاحتياطية هي طريقك الوحيد لاستعادة بياناتك وتشغيل موقعك مرة أخرى.
• المراجعة الدورية: لا يكفي عمل نسخة احتياطية؛ يجب أن تتأكد من أن النسخ الاحتياطية تعمل بشكل صحيح. قم بمراجعة الجدول الزمني للنسخ الاحتياطي، وتأكد من أن المساحة المخصصة كافية.
• اختبار الاستعادة: قم بإجراء اختبار استعادة بشكل دوري (على بيئة اختبار إن أمكن). هذا سيضمن أنك تعرف كيفية الاستعادة وأن العملية ستنجح عندما تحتاج إليها حقًا.
• التخزين الخارجي: قم بتخزين النسخ الاحتياطية على خادم أو موقع تخزين مختلف عن خادم Plesk الرئيسي.

أدوات مراقبة الفيروسات والملفات الضارة

تأمين خادمك لا يتوقف عند منع الدخول، بل يتعداه إلى فحص ما بداخله.

• Imunify360 / ImunifyAV: هذه من الأدوات الشائعة التي تتكامل مع Plesk وتوفر حماية شاملة ضد البرامج الضارة والفيروسات. تقوم بفحص الملفات، واكتشاف الهجمات، وحتى توفير إصلاحات تلقائية.
• VirusTotal: يمكن استخدام VirusTotal لفحص الملفات المشبوهة التي تجدها على خادمك. تقوم هذه الخدمة بتحليل الملفات باستخدام عشرات محركات مكافحة الفيروسات المختلفة.

تعطيل لغات البرمجة والوظائف غير المستخدمة

كل مكون إضافي أو لغة برمجة قيد التشغيل على خادمك هي سطح هجوم محتمل.

• Perl/Python: إذا لم تكن تستخدم Perl أو Python لإدارة مواقعك أو تشغيل تطبيقات معينة، ففكر في تعطيل دعمها في Apache أو Nginx. هذا يقلل من سطح الهجوم.
• خدمات غير ضرورية: قم بمراجعة الخدمات التي تعمل على خادمك وتعطيل أي شيء لا تحتاجه.

تفعيل حماية Galley وتقييد Remote Access عبر XML API

هذه من الإعدادات الأكثر تخصصًا، لكنها مهمة.

• حماية Galley: قد تشير “Galley” إلى بعض ميزات Archiving أو إدارة الأصول ضمن Plesk. تأكد من أن هذه الميزات مؤمنة بشكل مناسب.
• تقييد Remote Access عبر XML API: يتيح Plesk إمكانية إدارته عبر واجهة برمجة التطبيقات XML (XML API). هذه أداة قوية جدًا للمطورين، لكنها قد تكون خطرًا أمنيًا إذا لم يتم تقييد الوصول إليها. تأكد من أن من يمكنه الوصول إلى XML API هو فقط الأشخاص أو الأنظمة الموثوقة، وأنهم يستخدمون اتصالات مشفرة (HTTPS).

في الختام، لا يوجد شيء اسمه “أمان مثالي”، ولكن باتباع هذه الممارسات، يمكنك بناء دفاع قوي حول خادم Plesk الخاص بك. الأمر يتطلب يقظة مستمرة وتحديثات منتظمة، ولكنه استثمار ضروري لحماية بياناتك ومصداقيتك.