آخر تحديث:
باختصاررؤوس الأمان سطور يرسلها السيرفر مع كل صفحة، وتطلب من المتصفح سلوكاً أكثر أماناً: فتح الموقع على https دائماً، ومنع عرض موقعك داخل مواقع أخرى، وعدم تخمين نوع الملفات، وتحديد مصادر السكربتات. تضيفها ببضعة أسطر في ملف .htaccess، وتختبرها بأداة مجانية.
أهم رؤوس الأمان #
| الرأس | ماذا يفعل | قيمة مقترحة |
|---|---|---|
| Strict-Transport-Security (HSTS) | يجبر المتصفح على فتح موقعك بـ https دائماً. | max-age=31536000 |
| X-Content-Type-Options | يمنع المتصفح من تخمين نوع الملف وتشغيل ملف مرفوع كسكربت. | nosniff |
| X-Frame-Options | يمنع عرض صفحاتك داخل إطار في موقع آخر لخداع الزوار بالنقر. | SAMEORIGIN |
| Referrer-Policy | يحدد ما يُرسل من رابط صفحتك عند الانتقال لموقع آخر. | strict-origin-when-cross-origin |
| Permissions-Policy | يوقف صلاحيات المتصفح التي لا تحتاجها، مثل الكاميرا والموقع الجغرافي. | camera=(), microphone=(), geolocation=() |
| Content-Security-Policy (CSP) | يحدد المصادر المسموح تحميل السكربتات والصور منها، فيصعّب هجمات XSS. | تحتاج ضبطاً خاصاً لكل موقع |
كيف تضيفها؟ #
- خذ نسخة من ملف .htaccess: من مدير الملفات في cPanel داخل مجلد الموقع، حتى تعيده إذا ظهرت مشكلة.
- تأكد أن موقعك يعمل بالكامل على https: قبل إضافة HSTS، لأن المتصفح سيرفض فتح النسخة غير المشفرة لمدة طويلة. اقرأ تفعيل HTTPS في موقعك.
- أضف الأسطر في أول الملف: انسخ الأسطر التالية واحفظ.
- افتح موقعك وجرّب أهم الصفحات: الصفحة الرئيسية ولوحة التحكم ونموذج التواصل والدفع.
- اختبر النتيجة: أداة مجانية مثل
securityheaders.comتعرض الرؤوس الموجودة والناقصة.
<IfModule mod_headers.c> Header always set Strict-Transport-Security "max-age=31536000" Header always set X-Content-Type-Options "nosniff" Header always set X-Frame-Options "SAMEORIGIN" Header always set Referrer-Policy "strict-origin-when-cross-origin" Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()" </IfModule>
انتبه مع CSP: سياسة CSP صارمة قد توقف سكربتات الإحصاءات والدفع والدردشة. ابدأ بها في وضع التقرير فقط
Content-Security-Policy-Report-Only، ثم فعّلها بعد التأكد.إذا كان موقعك على Cloudflare: يمكنك تفعيل HSTS من إعدادات SSL/TLS في لوحة Cloudflare بدل الملف. لا تضفه في المكانين بقيم مختلفة.
كيف نحمي موقعك في حياة هوست؟ #
- سيرفرات LiteSpeed وApache عندنا تقرأ أوامر Header في ملف .htaccess مباشرة.
- شهادة SSL مجانية تُفعّل تلقائياً في أغلب الباقات، وهي شرط قبل HSTS.
- قواعد ModSecurity وImunify360 تكمّل رؤوس الأمان بصد الهجمات على مستوى السيرفر.
أسئلة شائعة #
هل تحسّن رؤوس الأمان ترتيبي في جوجل؟
ليست عاملاً مباشراً في الترتيب، لكنها تحمي زوارك وتقلل فرص الاختراق الذي يضر بظهور موقعك.
هل HSTS خطر على موقعي؟
فقط إذا أضفته قبل أن يعمل موقعك بالكامل على https. بعد ذلك هو من أهم رؤوس الأمان.
هل توجد إضافة ووردبريس لرؤوس الأمان؟
نعم، بعض إضافات الحماية تضيفها. لكن الإضافة عبر .htaccess أخف وتعمل حتى للملفات الثابتة.
