نماذج الاتصال في WordPress: قائمة تحقق أمنية

تستخدم معظم مواقع WordPress واحدة من إضافات نماذج قليلة: Contact Form 7 وWPForms وGravity Forms وNinja Forms وFluent Forms وبعض غيرها. ويمكن تشغيل أي منها بأمان أو تركها مفتوحة تماما. ونادرا ما يكمن الفرق في الإضافة نفسها، بل في إعداداتها والملحقات المحيطة بها وكيف يغادر البريد الخادم وما يحدث للرسائل عند وصولها.

• حدثوا إضافة النموذج وكل ملحق، واحذفوا ما لم تعودوا تستخدمونه.
• فعلوا مكافحة البريد المزعج في الإضافة، كحقل المصيدة ودمج CAPTCHA وAkismet حيث يلائم، وتأكدوا من عملها فعليا.
• أرسلوا الإشعارات عبر SMTP مع مصادقة من عنوان في نطاقكم.
• قيدوا الرفع بحسب النوع والحجم، وامنعوا سرد الملفات المرفوعة أو تصفحها علنا.
• أبقوا عنوان البريد الإلكتروني للمستلم خارج الصفحة وكود مصدرها.
• لا تخزنوا إلا الإدخالات التي تحتاجونها، وللمدة التي تحتاجونها فقط.
• أجروا فحصا قصيرا بعد كل تحديث لـ WordPress أو القالب أو أي إضافة.

التحديثات: إضافة النموذج وكل ما حولها

إضافات النماذج أهداف شائعة لأنها تقبل إدخالات من أي شخص على الإنترنت. وتأتي إصلاحات الأمان كتحديثات عادية، لذا حدثوا سريعا، وليس الإضافة الرئيسية فقط. فملحقات الدفع والرفع وربط CRM والمنطق الشرطي ومزودي CAPTCHA الإضافيين كود منفصل له ثغراته الخاصة. وكذلك الإضافات التي ثبتموها ذات مرة للتجربة ونسيتموها. ولا يكفي التعطيل: فالإضافات المعطلة تظل على الخادم، ويمكن في بعض الحالات الوصول إلى ملفاتها مباشرة. إذا لم تستخدموها، فاحذفوها.

مكافحة البريد المزعج: فعلوها، ثم أثبتوا عملها

تملك معظم إضافات النماذج خياراتها لمكافحة البريد المزعج أو تتكامل مع خدمات خارجية: حقل مصيدة تملؤه البوتات ولا يراه البشر، وCAPTCHA مثل reCAPTCHA أو hCaptcha أو Cloudflare Turnstile، وAkismet التي تفحص محتوى الرسائل مقابل قاعدة بيانات للبريد المزعج. وتختلف الخيارات بحسب الإضافة والإصدار، لذا افحصوا الإعدادات بدلا من الافتراض. تحمل CAPTCHA الخارجية نصوصا برمجية من طرف ثالث، وترسل Akismet المحتوى المرسل إلى خدمة خارجية؛ ويجب ذكر كليهما في سياسة الخصوصية، وبحسب إعدادكم في إدارة الموافقة أيضا.

المشكلة الأكثر شيوعا حماية مفعلة لكنها لا تعمل. تسمح CAPTCHA التي تعمل بمفاتيح اختبار عامة بمرور كل شيء. ولا يوقف شيئا عنصر واجهة حجب نصه البرمجي إضافة تخزين مؤقت أو تحسين أو خطأ JavaScript. ويقرأ قارئ الشاشة حقل المصيدة الذي تغيب أنماط إخفائه، ويملؤه الزوار الحقيقيون. لذا بعد أي تغيير، افتحوا النموذج في نافذة خاصة، وافحصوا وحدة تحكم المتصفح ومصدر الصفحة، وأرسلوا رسالة اختبار. وإذا أردتم حماية لا تعتمد على Google، تضيف إضافة formexposed المجانية لـ WordPress حقل مصيدة وفحصا زمنيا وإثبات العمل، وتعيد فحص الموقع بعد تحديثات الإضافات؛ وهي خيار من عدة خيارات.

البريد: كيف يرسل وأين يذهب

يمرر WordPress البريد افتراضيا إلى دالة البريد في PHP على الخادم، وتكون مصادقة هذه الرسائل ضعيفة لدى مضيفين كثيرين فتصل إلى البريد المزعج أو تختفي بصمت. بدلا من ذلك، أرسلوا عبر إضافة SMTP أو خدمة بريد مضيفكم، باستخدام صندوق بريد حقيقي باسم مستخدم وكلمة مرور وعنوان مرسل في نطاقكم، مثل عنوان forms@ مخصص. ويجب أن تغطي سجلات SPF وDKIM وDMARC للنطاق هذا المرسل. لا تضعوا عنوان الزائر في حقل From: فهو ليس نطاقكم، ولذلك لا تستطيع الرسالة اجتياز توافق DMARC، فتصل إلى البريد المزعج أو ترفض بحسب سياسة نطاق الزائر. ضعوه في Reply-To، وستظلون قادرين على الرد بنقرة واحدة.

مكان عنوان المستلم في إعدادات الإضافة، لا في الصفحة. افحصوا مصدر صفحة الاتصال: فرابط mailto بجوار النموذج أو حقل مخفي يحوي عنوان المستلم يسلم ذلك العنوان إلى كل بوت لجمع العناوين. وقد يكون الوضع أسوأ في النماذج القديمة أو المخصصة: إذا وثق الخادم بحقل مستلم مخفي، يمكن لأي شخص تغييره واستخدام نموذجكم لإرسال البريد إلى عناوين عشوائية.

الرفع والإدخالات المخزنة

رفع الملفات أخطر ميزات النماذج، لذا اسألوا أولا إن كنتم تحتاجونه أصلا. وإذا احتجتموه، اسمحوا فقط بالأنواع التي تتوقعونها فعلا، مثل PDF وصيغ الصور الشائعة، بدلا من حظر بضعة أنواع خطرة، وحددوا حدا للحجم. افحصوا موضع تخزين الإضافة للملفات المرفوعة: يجب ألا تكون قابلة للسرد في دليل عام، ويفضل ألا يمكن الوصول إليها أصلا عبر عنوان قابل للتخمين. احذفوها بعد التعامل معها، أو أرسلوها كمرفقات بدلا من إبقائها على الخادم.

تحفظ إضافات نماذج كثيرة أو ملحقاتها كل إرسال في قاعدة بيانات WordPress، وغالبا بما يشمل البريد المزعج. وهذه نسخة احتياطية مفيدة عند فشل البريد، لكنها أيضا كومة متنامية من البيانات الشخصية. وبموجب مبدأ تحديد مدة التخزين في اللائحة العامة لحماية البيانات (GDPR) (المادة 5(1)(e))، ينبغي ألا تحفظ هذه البيانات أطول من اللازم. حددوا إن كنتم تحتاجون إلى إدخالات مخزنة، وأي حقول ولأي مدة، ثم استخدموا إعداد المحو التلقائي في الإضافة إن وجد، أو احذفوا الإدخالات القديمة بانتظام. وتحتوي النسخ الاحتياطية لقاعدة البيانات على البيانات نفسها.

بعد كل تحديث

1. 1افتحوا صفحة الاتصال في نافذة خاصة: يظهر النموذج وعنصر مكافحة البريد المزعج فيه بصورة صحيحة، ولا تعرض وحدة تحكم المتصفح أخطاء.
2. 2اعرضوا مصدر الصفحة: حقل المصيدة والنص البرمجي لـ CAPTCHA لا يزالان موجودين، وعنوان المستلم غير موجود.
3. 3أرسلوا رسالة اختبار: تصل إلى صندوق الوارد لا البريد المزعج، وتبين الترويسات اجتياز SPF وDKIM وDMARC.
4. 4افحصوا الإعدادات المهمة: المستلم وعنوان المرسل وأنواع الرفع وأحجامه المسموحة ومدة الاحتفاظ بالإدخالات.
5. 5تحققوا من استمرار ظهور رابط سياسة الخصوصية وأي نص للموافقة عند النموذج.
6. 6دونوا التاريخ وما فحصتموه، لتعرفوا آخر وقت ثبت فيه عمل النموذج.

عندما يصبح ذلك روتينا، يستغرق وقتا قليلا ويلتقط تحديدا الأعطال الصامتة التي تمر دون ملاحظة لأسابيع. وللحصول على نظرة خارجية، يفحص فحص مجاني على formexposed.com صفحات النماذج العامة في الموقع دون إرسال شيء، ويبين ما إذا كانت الحماية المتوقعة موجودة ومعدة بفاعلية، دون الحاجة إلى حساب.