خطط العناية بمواقع WordPress: ما الذي يجب أن تشمله الصيانة بعد التحديثات

اسأل معظم مزوّدي المواقع عمّا تشمله خطة صيانة موقع WordPress لديهم، وسيكون الجواب الأول واحدًا غالبًا: «نبقي WordPress والإضافات محدّثة». التحديثات مهمة. لكن موقع الشركة أداة مبيعات يجب أن تبقى متاحة ونظيفة، وأن تُوصل كل استفسار وتُبلغ بما تنتجه. وتحديث الإضافات يغطي جزءًا صغيرًا من ذلك فقط، وتُظهر بيانات الثغرات المنشورة أنه لا يكفي حتى لإبقاء الموقع آمنًا.

يوضح هذا الدليل ما الذي ينبغي أن تشمله خطة صيانة WordPress إلى جانب التحديثات، وكيف تميّز خطة العناية الحقيقية من روتين شهري «نحدّث ثم نُصدر فاتورة»، والأسئلة التي يجب حسمها قبل التوقيع على أي خطة.

لماذا لا يُعدّ «نحدّث الإضافات» خطة عناية

تنشر Patchstack، وهي جهة متخصصة في أمان WordPress، تقريرًا سنويًا عن الثغرات في منظومة WordPress. وهذه أرقام الجهة المزوِّدة المستمدة من قاعدة بياناتها وبرنامجها البحثي، فاقرأها بوصفها مصدرًا موثّقًا جيدًا لا إحصاءً شاملًا للقطاع. ومع ذلك فالاتجاه واضح.

• في تقريرها State of WordPress Security in 2025 (حُدّث في مارس 2025) أحصت Patchstack 7,966 ثغرة جديدة اكتُشفت في 2024. وقالت إن 96% منها في الإضافات و4% في القوالب، وإن سبعًا فقط كانت في نواة WordPress، وإن 33% منها لم تُصلَح في الوقت المناسب قبل الإفصاح العام.
• أما تقريرها الأحدث State of WordPress Security in 2026 (حُدّث في فبراير 2026) فيذكر 11,334 ثغرة جديدة في 2025، بزيادة 42% عن 2024. وبحسب إحصاء Patchstack شكّلت الإضافات 91% والقوالب 9%، وكان في النواة ست ثغرات، كلها منخفضة الأولوية. ويقول التقرير أيضًا إن 46% من الثغرات لم تحصل على إصلاح من المطوّر في الوقت المناسب قبل الإفصاح العام.
• ويحدد تقرير 2026 نفسه الوقت الوسيط للاستغلال الجماعي للثغرات المستغلَّة بكثافة بخمس ساعات، ويقدّر أن نحو نصف الثغرات عالية التأثير تُستغل خلال 24 ساعة.

إذا جمعت هذه الأرقام فسيتضح ضعف الخطة القائمة على التحديث فقط بجلاء. فإذا كان قرابة نصف الثغرات الجديدة بلا تصحيح عند الإعلان عنها، فلا يوجد ما يمكن التحديث إليه. وإذا بدأت الهجمات خلال ساعات، فمزوّد يدخل مرة في الشهر ليضغط «تحديث الكل» متأخر أسابيع. وخلاصة Patchstack نفسها في تقرير 2026 أن أصحاب المواقع لا يستطيعون الاعتماد على تحديثات الإضافات كإجراء أمني. وضع في اعتبارك أن Patchstack تبيع حلول معالجة الثغرات، فلها مصلحة في هذه الخلاصة؛ لكن الفكرة الأساسية عن الثغرات غير المصحَّحة تبقى قائمة.

وهناك نقطتان أخريان في البيانات تهمّان مواقع الشركات. الأولى أن تقرير 2026 يذكر أن المكوّنات المدفوعة أو المجانية ذات الخدمات المدفوعة شكّلت 29% من تقارير الثغرات الصحيحة التي تلقتها Patchstack، فدفع ثمن إضافة لا يضمن أنها أكثر أمانًا. والثانية أنه في اختبارات الاختراق التي أجرتها Patchstack بنفسها في 2025 على دفاعات مستوى الاستضافة الشائعة، لم تحجب تلك الدفاعات سوى 12% من الهجمات التي استهدفت الثغرات الخاصة بـ WordPress . وعبارة «الاستضافة لدينا تتولى الأمان» ليست خطة أيضًا.

ما الذي يجب أن تشمله خطة صيانة WordPress فعلًا

من الطرق المفيدة للحكم على أي خدمة صيانة مواقع أن تسأل عمّا تحميه: أمان الموقع، وتوافره، والاستفسارات التي يولّدها، وقدرتك على التعافي حين يتعطل شيء. والجدول أدناه هو الحد الأدنى الذي نقترحه لموقع WordPress لشركة أو منشأة B2B. وهو نصيحة تحريرية لا معيار رسمي، فعدّله بحسب حجم موقعك ومستوى المخاطر فيه.

كل بند من هذه البنود يستحق نظرة أقرب.

الأمان: من التحديث إلى إدارة الثغرات

أبقِ الأساس المملّ في مكانه

يؤدي WordPress جزءًا من العمل بنفسه. فـ وثائق الترقية تذكر أن التثبيتات القائمة تتلقى افتراضيًا تحديثات النواة الثانوية، مثل إصدارات الصيانة والأمان، وأن ملفات الترجمة تُحدَّث تلقائيًا أيضًا؛ وهي تنصح بشدة بعدم إيقاف ذلك. ومنذ WordPress 5.5 يمكن للمسؤولين تفعيل التحديث التلقائي لكل إضافة وكل قالب على حدة، ويشغّل WordPress هذه التحديثات التلقائية مرتين يوميًا افتراضيًا. ويجب أن تحدد خطة العناية أي المكوّنات تُحدَّث تلقائيًا وأيها يُؤجَّل للاختبار، ولماذا.

ويكمل دليل التحصين في WordPress بقية الأساس: احذف الإضافات التي لا تستخدمها، واستخدم كلمات مرور قوية، وفعّل المصادقة بخطوتين ، وأحكم أذونات الملفات قدر الإمكان، واعتبر كشف الاختراق والمراقبة في غاية الأهمية. لا شيء من هذا متقدم؛ لكنه يُتجاوز في الغالب.

خطّط للثغرة التي لا يوجد لها تصحيح

هنا تختلف الخطة الحقيقية عن الروتين. يجب أن يحتفظ المزوّد بجرد لكل إضافة وقالب في موقعك وأن يتابع الإفصاحات عن هذه المكوّنات تحديدًا. وحين تُنشر ثغرة خطيرة دون إصلاح، يجب أن تحدد الخطة ما سيحدث: تعطيل الإضافة أو استبدالها، أو تطبيق تصحيح افتراضي أو قاعدة جدار حماية إن كان إعدادك يدعم ذلك، أو تقييد الميزة المتأثرة حتى يصدر الإصلاح. ويوصي تقرير Patchstack لعام 2026 بإجراءات آلية تستطيع معالجة الثغرات الجديدة في أقل من خمس ساعات، ويقول إن أول 24 ساعة بعد نشر ثغرة قابلة للاستغلال حاسمة.

وقائمة إضافات قصيرة تجعل هذا كله أسهل. فكل إضافة تحذفها هي شيء أقل تراقبه وتحدّثه وتختبره.

نسخ احتياطية جرّبتَ استعادتها فعلًا

تعد كل الخطط تقريبًا بنسخ احتياطية. لكن قلة منها فقط تستطيع إثبات أن نسخة احتياطية استُعيدت بنجاح. و إرشادات النسخ الاحتياطي في WordPress نفسها تضع الحد الأدنى: النسخة الكاملة تحتاج إلى الملفات وقاعدة البيانات معًا، لأنك تحتاج إليهما لاستعادة موقع WordPress نموذجي. وتقترح النسخ تقريبًا أسبوعيًا للمواقع قليلة النشاط ويوميًا للمواقع المزدحمة، ودائمًا قبل أي ترقية، مع الاحتفاظ بثلاث إلى خمس نسخ حديثة على الأقل، وتخزين النسخ في أماكن مختلفة لا على خادم الاستضافة وحده.

لا تحدد إرشادات WordPress جدولًا لاختبارات الاستعادة، لكننا نوصي بأن تخطو خطة العناية خطوة أبعد وتختبرها. فاستعادة نسخة حديثة إلى بيئة تجريبية مرة كل ربع سنة على الأقل، وتسجيل النتيجة، تجيب عن السؤال الوحيد المهم عند الحادث: كم يستغرق عودة الموقع، ومن أي تاريخ؟ وإذا لم يستطع المزوّد أن يخبرك متى استعاد موقعك آخر مرة من نسخة احتياطية، فافترض أن لا أحد يعرف هل تعمل النسخ.

المراقبة والاستضافة والفحوصات التي تحمي الإيرادات

راقب الأشياء التي تفشل بصمت

كثير من مشكلات المواقع لا يراها أصحاب الموقع. وتذكر Google في إرشادات المواقع المخترقة أن الاختراقات غالبًا ما تكون غير مرئية للمستخدمين لكنها تبقى ضارة لكل من يعرض الصفحة. ولذلك يجب أن تتضمن الخطة مراقبة التوافر مع تنبيهات إلى شخص، وتذكيرات بانتهاء شهادة SSL والنطاق، وفحص البرمجيات الخبيثة و تغيّر الملفات ، وربطًا بـ تقرير مشكلات الأمان في Search Consoleالذي يسرد المحتوى المخترق والبرمجيات الخبيثة والهندسة الاجتماعية التي رصدتها Google في الموقع. ويغطي قائمة تدقيق السيو التقني بقية ما يستحق المراقبة في Search Console.

أبقِ برمجيات الخادم حديثة

الصيانة ليست داخل WordPress وحده. فـ صفحة المتطلبات الخاصة بـ WordPress توصي بتشغيل PHP 8.3 أو أحدث، وMySQL 8.0 أو MariaDB 10.11 أو أحدث، وتحذّر من أن الإصدارات الأقدم بلغت نهاية عمرها وقد تعرّض الموقع لثغرات أمنية. ووفقًا لـ php.net، لا يتلقى PHP 8.2 إصلاحات أمنية إلا حتى 31 ديسمبر 2026. وإذا كان موقعك يعمل على 8.2 أو أقدم، فيجب أن تتضمن الخطة ترقية مختبرة إلى إصدار مدعوم، لا مجرد ملاحظة في تقرير.

اختبر مسار الاستفسارات كل شهر

بالنسبة إلى شركة B2B، فأغلى أعطال الموقع غالبًا ليس الاختراق. بل نموذج عروض أسعار توقف عن إرسال البريد بعد تحديث، أو زر واتساب يشير إلى رقم قديم، أو وسم تتبع اختفى فتتوقف منصات الإعلان عن استقبال التحويلات وتحسّن الحملات على لا شيء. ويجب أن تتضمن خطة العناية اختبارًا شهريًا (وتظهر الفحوصات نفسها في قائمة فحص موقع الشركات B2B): أرسل كل نموذج، وتأكد من وصول البريد إلى الصندوق الصحيح، واضغط كل رابط اتصال وواتساب، وتأكد من أن الأحداث الرئيسية ما زالت تُسجَّل في التحليلات. ويشرح دليلنا لتتبع العملاء المحتملين بأحداث GA4 الرئيسية ما الذي ينبغي أن تكون عليه تلك الأحداث.

زمن الاستجابة وتعديلات المحتوى ومن يملك ماذا

الأجزاء الأهم في الخطة في الأسبوع السيئ هي الأقل وضوحًا في كتابتها. قبل التوقيع، احصل على هذه البنود مكتوبة:

1. زمن استجابة محدد. ما مدى سرعة أن يبدأ أحد العمل إذا تعطل الموقع أو اخترق، وهل ينطبق ذلك في عطلات نهاية الأسبوع وخلال رمضان والعيد؟ «في أقرب وقت ممكن» ليس زمن استجابة.
2. ما الذي يشمله الحادث. هل البرمجيات الخبيثة التنظيف مشمولة أم تُحاسَب بشكل منفصل؟ وهل تتضمن الخطة معرفة كيف دخل المهاجم، لا إزالة الضرر الظاهر فقط؟ تعدّ إرشادات المواقع المخترقة الصادرة عن Google تحديد الثغرة خطوة قائمة بذاتها، وتذكر صفحة مساعدة Search Console أن إصلاح المشكلة في بعض الصفحات فقط لن يمنح الموقع عودة جزئية إلى نتائج البحث.
3. حصة المحتوى. حدّد ما يُعدّ تحديثًا للمحتوى، مثل تعديل النصوص والصور أو صفحة خدمة جديدة أو إضافة منتج إلى كتالوج، وكيف تُرسل الطلبات وتُؤكَّد.
4. الملكية والوصول. يجب أن يكون النطاق وحساب الاستضافة وصلاحية مسؤول WordPress ومفاتيح تراخيص الإضافات المدفوعة والنسخ الاحتياطية باسم الشركة أو متاحة لها. وإذا انتهت العلاقة، فيجب أن تستطيع تسليم كل شيء إلى مزوّد جديد في يوم؛ ويسرد دليلنا لاختيار شركة تصميم مواقع شروط الملكية التي يجب الاتفاق عليها من البداية.
5. التقارير. يجب أن يسرد تقرير شهري موجز التحديثات المنفَّذة والثغرات المكتشفة وكيف عولجت، وحالة النسخ الاحتياطي والاستعادة، والتوافر، ونتائج اختبار النماذج، والتغييرات المنفَّذة. وإذا كان التقرير لا يقول سوى «حُدّثت كل الإضافات» فأنت تدفع مقابل سطر واحد من الجدول أعلاه.

إذا كان الموقع مخترقًا بالفعل

استعادة موقع WordPress المخترق أسهل مع وجود خطة. وتجمع إرشادات Google إرشادات المواقع المخترقة العمل في أربع مراحل: عزل الموقع، وتحديد الثغرة، وتنظيف الموقع وصيانته، وطلب المراجعة. وفي الممارسة، فالترتيب أدناه هو ما تتبعه معظم الفرق الخبيرة، وإن كانت التفاصيل تتوقف على الموقع والهجوم. ضع صفحة صيانة أو أخرج الموقع عن الخدمة حتى لا يتعرض الزوار للخطر. غيّر كل كلمات المرور: مستخدمو WordPress والاستضافة وقاعدة البيانات وFTP أو SFTP وحسابات البريد المرتبطة بالموقع. افحص تقرير مشكلات الأمان في Search Console لترى ما رصدته Google. استعد من نسخة احتياطية أُخذت قبل الاختراق إن كانت لديك نسخة موثوقة، ثم حدّث كل شيء واحذف كل ما لا يُستخدم. اعثر على المنفذ وأغلقه، وإلا عاد المهاجم. ولا تطلب المراجعة في Search Console إلا حين يكون الموقع كله نظيفًا؛ وتطلب Google أن يشرح الطلب المشكلة والخطوات المتخذة لإصلاحها والنتيجة.

بعد التعافي هو الوقت المناسب لوضع خطة عناية حقيقية، بينما كلفة غيابها ما زالت حاضرة.

في RX Designer، تُعدّ العناية والصيانة جزءًا من خدمة تصميم المواقعلدينا، وتجد أمثلة على أعمالنا في صفحة المواقع. ومن يدير موقعك، احكم على الخطة بالجدول أعلاه لا بعدد مرات الضغط على «تحديث».