---
title: ما هو هجوم XSS؟ شرح البرمجة عبر المواقع وطرق الحماية منها
description: "آخر تحديث: 21 أكتوبر 2026 **باختصار**XSS (البرمجة عبر المواقع) هجوم يضع فيه المهاجم كود جافاسكربت داخل صفحة من موقعك، عبر تعليق أو نموذج أو رابط. عندما يفتح الزائر الصفحة يعمل الكود في متصفحه، فقد يسرق جلسة الدخول أو يحوّله إلى…"
url: "https://www.hyyat.com/knowledgebase/%d9%87%d8%ac%d9%88%d9%85-xss/"
updated: "2026-10-21"
category: حماية مواقع الانترنت
---

# ما هو هجوم XSS؟ شرح البرمجة عبر المواقع وطرق الحماية منها

آخر تحديث: 21 أكتوبر 2026

  **باختصار**XSS (البرمجة عبر المواقع) هجوم يضع فيه المهاجم كود جافاسكربت داخل صفحة من موقعك، عبر تعليق أو نموذج أو رابط. عندما يفتح الزائر الصفحة يعمل الكود في متصفحه، فقد يسرق جلسة الدخول أو يحوّله إلى موقع آخر أو يعرض نموذجاً مزيفاً. الحماية: تنظيف كل ما يكتبه الزوار قبل عرضه، وتحديث الإضافات، ورؤوس أمان مثل CSP.

![هجوم XSS: كود سكربت خبيث داخل صفحة موقع وحشرة برمجية ودرع حماية](https://www.hyyat.com/wp-content/uploads/2026/10/hkb-xss.webp)

## كيف يعمل الهجوم؟

في XSS لا يستهدف المهاجم السيرفر مباشرة، بل يستهدف **زوار موقعك**. يستغل مكاناً يعرض فيه الموقع نصاً كتبه شخص آخر دون تنظيف، مثل التعليقات أو نتائج البحث أو الملف الشخصي، فيضع فيه كوداً بدل النص.

## أنواع XSS

| النوع | كيف يحدث | مثال |
| --- | --- | --- |
| المخزّن (Stored) | الكود يُحفظ في قاعدة البيانات ويظهر لكل من يفتح الصفحة. | تعليق أو مراجعة منتج تحتوي سكربت. |
| المنعكس (Reflected) | الكود في الرابط نفسه، ويظهر لمن يضغط الرابط فقط. | رابط بحث مُعدّ يُرسل للضحية بالبريد. |
| DOM | جافاسكربت الصفحة نفسها يضع قيمة من الرابط في الصفحة دون تنظيف. | سكربت يقرأ جزءاً من الرابط ويعرضه. |

## ماذا يستطيع المهاجم أن يفعل؟

  *1***سرقة جلسة الدخول**إذا فتح مدير الموقع الصفحة المصابة، قد يستولي المهاجم على جلسته. *2***تحويل الزوار**إرسالهم إلى مواقع احتيال أو إعلانات. *3***نماذج مزيفة**عرض نموذج دخول أو دفع مزيف داخل صفحتك الحقيقية. *4***إضرار بسمعتك**قد يظهر موقعك في قوائم المواقع الخطرة. اقرأ [حل تحذير جوجل](https://www.hyyat.com/knowledgebase/%d8%ad%d9%84-%d8%aa%d8%ad%d8%b0%d9%8a%d8%b1-%d8%ac%d9%88%d8%ac%d9%84-%d9%85%d9%88%d9%82%d8%b9-%d8%ae%d8%b7%d9%8a%d8%b1/).

## كيف تحمي موقعك؟

1. **حدّث الإضافات والقوالب:** كثير من ثغرات XSS في ووردبريس تكون في إضافات النماذج والسلايدر والتعليقات القديمة.
2. **للمبرمجين: نظّف المخرجات:** اعرض أي نص من الزائر بعد تحويله. في ووردبريس استخدم `esc_html()` و`esc_attr()` و`esc_url()`، وفي PHP استخدم `htmlspecialchars()`.
3. **راجع التعليقات قبل نشرها:** فعّل مراجعة التعليقات، وأوقفها في الصفحات التي لا تحتاجها.
4. **أضف رؤوس الأمان:** سياسة CSP تحدد مصادر السكربتات المسموحة، فتصعّب تشغيل الكود المحقون. اقرأ [رؤوس الأمان](https://www.hyyat.com/knowledgebase/%d8%b1%d8%a4%d9%88%d8%b3-%d8%a7%d9%84%d8%a3%d9%85%d8%a7%d9%86-security-headers/).
5. **احمِ ملفات تعريف الارتباط:** ووردبريس يجعل كوكيز الدخول HttpOnly فلا يقرؤها جافاسكربت. إذا كتبت كوداً خاصاً فاستخدم HttpOnly وSecure أيضاً.
6. **جدار حماية للويب:** قواعد [ModSecurity](https://www.hyyat.com/knowledgebase/%d8%a7%d8%af%d8%a7%d8%b1%d8%a9-modsecurity/) توقف أنماط XSS المعروفة في الطلبات.

```
<?php // خطأ
echo $_GET['name'];

// صحيح
echo esc_html($_GET['name'] ?? '');
```

## كيف نحمي موقعك في حياة هوست؟

- قواعد **ModSecurity** و**Imunify360** تصد طلبات XSS المعروفة قبل وصولها إلى موقعك.
- **ImunifyAV** يفحص الملفات يومياً ويكتشف السكربتات الخبيثة المحقونة في ملفات القالب.
- أداة WP Toolkit في [cPanel](https://www.hyyat.com/%d8%a7%d8%b3%d8%aa%d8%b6%d8%a7%d9%81%d8%a9-cpanel/) تنبهك إلى الإضافات التي فيها ثغرات معروفة.

## أسئلة شائعة

   ما الفرق بين XSS وحقن SQL؟

حقن SQL يستهدف قاعدة بيانات الموقع على السيرفر. أما XSS فيستهدف متصفح الزائر بكود جافاسكربت يعمل داخل صفحتك.

   هل شهادة SSL تحمي من XSS؟

لا. الشهادة تشفر الاتصال فقط، والكود المحقون يصل مشفراً أيضاً. الحماية تكون بتنظيف المخرجات والتحديث ورؤوس الأمان.

   هل إضافات الحماية تكفي؟

تساعد في صد الأنماط المعروفة، لكن الثغرة نفسها تُغلق بتحديث الإضافة المصابة أو إصلاح الكود.

   **شروحات ذات صلة**

- [ما هو هجوم حقن SQL (SQL Injection)؟ وكيف تحمي قاعدة بيانات موقعك منه](https://www.hyyat.com/knowledgebase/%d9%87%d8%ac%d9%88%d9%85-%d8%ad%d9%82%d9%86-sql-injection/)
- [رؤوس الأمان (Security Headers): ما هي وكيف تضيفها إلى موقعك](https://www.hyyat.com/knowledgebase/%d8%b1%d8%a4%d9%88%d8%b3-%d8%a7%d9%84%d8%a3%d9%85%d8%a7%d9%86-security-headers/)
- [كيف تعرف أن موقعك مخترق؟ 10 علامات وخطوات فحص سريعة](https://www.hyyat.com/knowledgebase/%d8%b9%d9%84%d8%a7%d9%85%d8%a7%d8%aa-%d8%a7%d8%ae%d8%aa%d8%b1%d8%a7%d9%82-%d8%a7%d9%84%d9%85%d9%88%d9%82%d8%b9/)
- [كيف تحمي موقعك من الاختراق؟ 10 خطوات عملية لأمان موقعك](https://www.hyyat.com/knowledgebase/%d9%83%d9%8a%d9%81-%d8%a3%d8%ad%d8%a7%d9%81%d8%b8-%d8%b9%d9%84%d9%89-%d8%a2%d9%85%d9%86-%d9%85%d9%88%d9%82%d8%b9%d9%8a-%d8%b9%d9%84%d9%89-%d8%a7%d9%84%d9%88%d9%8a%d8%a8-%d8%9f/)

[كل شروحات حماية المواقع ←](https://www.hyyat.com/kb/%d8%ad%d9%85%d8%a7%d9%8a%d8%a9-%d8%a7%d9%84%d9%85%d9%88%d8%a7%d9%82%d8%b9/)

  **تحتاج هذه الخدمة من حياة هوست؟**فريقنا يتولاها لك، مع دعم يرد على التذاكر خلال 24 ساعة كحد أقصى.[الاستضافة](https://www.hyyat.com/%d8%a7%d9%84%d8%a7%d8%b3%d8%aa%d8%b6%d8%a7%d9%81%d8%a9/)[استضافة سعودية](https://www.hyyat.com/%d8%a7%d8%b3%d8%aa%d8%b6%d8%a7%d9%81%d8%a9-%d8%b3%d8%b9%d9%88%d8%af%d9%8a%d8%a9/)