آخر تحديث:
باختصاركل ملف داخل مجلد موقعك public_html يمكن أن يُطلب من المتصفح. فإذا تركت فيه ملف .env فيه كلمات المرور، أو مجلد .git فيه كود موقعك كاملاً، أو نسخة احتياطية مضغوطة، فأي شخص يعرف اسمها يستطيع تنزيلها. والمهاجمون يجربون هذه الأسماء آلياً على كل المواقع. القاعدة: لا تضع في public_html إلا ما يجب أن يراه الزائر، وامنع الوصول لما لا يمكن نقله.
عندما يُخترق موقع، نتخيل غالباً هجوماً ذكياً. لكن أحياناً لا يحتاج المهاجم أكثر من كتابة yoursite.com/.env في المتصفح، فيجد كلمة مرور قاعدة البيانات ومفاتيح بوابة الدفع مكتوبة أمامه. برامج الفحص الآلي تجرب عشرات الأسماء المعروفة على كل موقع تجده.
أخطر الملفات المكشوفة #
| الملف | ماذا فيه؟ | من أين يأتي؟ |
|---|---|---|
| .env | كلمات مرور قاعدة البيانات، ومفاتيح API، ومفاتيح الدفع. | مشاريع Laravel وNode.js وغيرها. |
| مجلد .git | كود موقعك كاملاً بكل تاريخه، وقد يحتوي كلمات مرور قديمة. | رفع المشروع بأداة Git مباشرة إلى public_html. |
| backup.zip وsite.tar.gz | نسخة كاملة من الموقع. | نسخة احتياطية يدوية تُركت في المجلد. |
| *.sql | قاعدة البيانات كاملة. | تصدير من phpMyAdmin لم يُحذف. |
| wp-config.php.bak | إعدادات ووردبريس وكلمة مرور قاعدة البيانات كنص. | نسخة قبل التعديل. اقرأ حماية wp-config.php. |
| phpinfo.php وerror_log | مسارات السيرفر وإصدارات البرامج والأخطاء. | ملفات تجربة أو سجلات أخطاء. |
كيف تفحص موقعك؟ #
- افتح مدير الملفات في cPanel: ادخل مجلد public_html، وفعّل إظهار الملفات المخفية من الإعدادات، لأن الملفات التي تبدأ بنقطة مخفية افتراضياً.
- ابحث عن الامتدادات الخطيرة: .zip و.tar.gz و.sql و.bak و.old و.env، ومجلد .git.
- جرّب من المتصفح: افتح yoursite.com/.env وyoursite.com/.git/config. إذا ظهر محتوى بدل رسالة خطأ، فالملف مكشوف.
- انقل أو احذف: النسخ الاحتياطية وملفات SQL تُنزّل لجهازك ثم تُحذف. ملف .env يُنقل خارج public_html إن كان مشروعك يسمح بذلك.
امنع الوصول لما يجب أن يبقى #
إذا كان ملف .env أو مجلد .git يجب أن يبقى في مكانه، فأضف هذه القواعد إلى ملف .htaccess الرئيسي:
<FilesMatch "^\.(env|git|htpasswd)|\.(sql|bak|old|zip|tar|gz|log)$"> Require all denied </FilesMatch> RedirectMatch 404 /\.git
إذا كانت الملفات مكشوفة سابقاً: منع الوصول الآن لا يكفي. افترض أن ما فيها قد قُرئ، وغيّر كل كلمات المرور والمفاتيح الموجودة فيها: قاعدة البيانات، ومفاتيح API، ومفاتيح الدفع.
عادات تمنع المشكلة من الأساس #
- اجعل النسخ الاحتياطية في مجلد خارج public_html، أو نزّلها مباشرة لجهازك.
- عند نشر مشروع من Git، انقل الملفات فقط ولا تنقل مجلد .git.
- احذف ملفات التجربة مثل phpinfo.php بعد استخدامها.
- اترك وضع التصحيح مطفأً في الموقع المنشور.
كيف نحمي موقعك في حياة هوست؟ #
- قواعد ModSecurity وImunify360 تصد كثيراً من طلبات الفحص الآلي للملفات الحساسة المعروفة.
- ImunifyAV يفحص الملفات يومياً ويكشف الملفات الخبيثة الجديدة.
- إذا وجدت ملفاً حساساً كان مكشوفاً، افتح تذكرة ونساعدك في مراجعة السجلات لمعرفة إن كان أحد نزّله.
اقرأ أيضاً صلاحيات الملفات الآمنة.
أسئلة شائعة #
كيف أعرف إن كان أحد نزّل الملف المكشوف؟
من سجلات الزوار في cPanel، ابحث عن اسم الملف. إذا ظهرت طلبات ناجحة له، فافترض أنه نُزّل وغيّر كلمات المرور.
هل حذف مجلد .git يعطل موقعي؟
لا، الموقع لا يحتاجه ليعمل. هو مجلد لأداة إدارة الكود فقط.
أين أضع النسخة الاحتياطية إذا لم يكن في public_html؟
في مجلد داخل حسابك خارج public_html، أو نزّلها لجهازك أو لتخزين خارجي.
