WordSec – Malware Scanner & Removal, Web Application Firewall (WAF), and 2FA

الوصف

WordSec إضافة أمان WordPress متكاملة. تغطي ثماني وحدات جدار الحماية، وفاحص البرمجيات الخبيثة، وأمان تسجيل الدخول، وحركة المرور المباشرة، وحظر عناوين IP والدول، ومعلومات سلسلة التوريد، وسجل التدقيق، والتنبيهات، فتحظر الهجمات وتُحصِّن موقعك من لوحة تحكم واحدة بدلاً من تثبيت ثماني إضافات.

إذا اختُرق موقعك فأنت لا تخسر الموقع وحده. تخسر ثقة العملاء، وترتيبك في محركات البحث، وأياماً من العمل في استعادة النسخ الاحتياطية. بُني WordSec لمنع ذلك قبل حدوثه، ولمساعدتك على التعافي إن كان قد حدث بالفعل: يعثر الفاحص على البرمجيات الخبيثة، ويُبعدها العزل عن طريقك، وتُصلَح ملفات النواة والإضافات والقوالب المعدَّلة من نسخها الأصلية.

مجانية، ولا مفتاح ترخيص لإدخاله. قواعد جدار حماية WAF، وفحص البرمجيات الخبيثة وسلامة الملفات، والحماية من هجمات brute-force، والمصادقة الثنائية، وحظر عناوين IP والدول، وسجل التدقيق، والتحصين بنقرة واحدة، كلها تعمل محلياً على خادمك الخاص.

جدار حماية تطبيقات الويب (WAF)

• مُنشئ قواعد مخصصة مع مطابقة regex وأحرف البدل (wildcard)
• قواعد مدمجة لحقن SQL، و XSS، واجتياز المسارات، وحقن PHP والأوامر
• وضعا التعلّم والتفعيل، وحظر البوتات، وترويسات الأمان، وتحديد المعدل
• أكثر من 25 مفتاح تحصين للوصول إلى wp-config وتعداد المؤلفين و REST API
• حماية موسّعة اختيارية: فحص الطلبات قبل تحميل WordPress (بموافقتك، وقابلة للتراجع بالكامل)

فحص البرمجيات الخبيثة وإزالتها

• قواعد كشف البرمجيات الخبيثة عبر الملفات وقاعدة البيانات والمهام المجدولة
• التحقق من سلامة ملفات النواة والإضافات والقوالب عبر واجهة WordPress.org API
• فحوصات مجدولة، وعزل واستعادة بنقرة واحدة
• إزالة البرمجيات الخبيثة من موقع مخترق: اعزل النتيجة، أو أصلح ملف نواة أو إضافة أو قالب معدَّلاً من نسخته الأصلية

أمان تسجيل الدخول والمصادقة الثنائية (2FA) والحماية من هجمات brute-force

• مصادقة ثنائية قائمة على الأدوار (RFC 6238 TOTP)
• reCAPTCHA و hCaptcha و Cloudflare Turnstile، إضافةً إلى CAPTCHA حسابي مدمج
• الحماية من هجمات brute-force مع حظر تصاعدي ومصيدة (honeypot) وإعادة تسمية رابط تسجيل الدخول
• التحقق من كلمات المرور المسرّبة، وإدارة الجلسات، وصفحة تسجيل دخول مخصصة

حركة المرور المباشرة

• تسجيل الطلبات في الوقت الفعلي مع كشف البوتات وتصدير CSV
• تصفية الاستثناءات حسب الدور أو IP أو الدولة أو URI

حظر عناوين IP والدول

• قوائم سماح أو حظر للدول والقارات
• حجب عناوين IP وCIDR، سواء كان مؤقتًا أو دائمًا، مع دعم قوائم السماح

سلسلة التوريد ومعلومات التهديدات

• تقييم السمعة وكشف الإضافات المهجورة
• تنبيهات الثغرات المعروفة للنواة والإضافات والقوالب و PHP
• التحقق من سلامة التحديثات مع نسخ احتياطية وجرد SBOM

سجل التدقيق

• تتبع الأنشطة عبر 11 نوعًا من الكائنات و14 إجراءً

أجهزة الإنذار

• 36 نوعاً من أحداث التنبيه تُرسَل عبر البريد الإلكتروني أو Telegram أو Slack

تعمل كل الميزات محلياً دون مفتاح ترخيص. واختيارياً، تُزوِّد خدمة WordSec على wordsec.net بيانات معلومات التهديدات التي لا يمكن إنتاجها محلياً: مجموعات قواعد WAF المُدارة، وتغذية توقيعات البرمجيات الخبيثة، وقوائم سمعة عناوين IP، وقاعدة بيانات GeoIP، وسجلات الثغرات. الاتصال اختياري، وكل خدمة خارجية موثَّقة في قسم “الخدمات الخارجية” أدناه.

الخدمات الخارجية

صُمِّم WordSec للعمل محلياً، وبدون مفتاح ترخيص فإنه لا يُجري أي طلبات صادرة إلى خدمة WordSec. تعمل تصفية الطلبات الأساسية وفحص الملفات على خادمك. لا يُتَّصَل بالخدمات المذكورة أدناه إلا للميزات المُحدَّدة الموصوفة، ومعظمها فقط عند تفعيلك تلك الميزة صراحةً (أو، بالنسبة لـ WordSec API، فقط بعد تفعيلك مفتاح ترخيص). يوثِّق هذا القسم كل خدمة طرف ثالث يمكن للإضافة الاتصال بها والبيانات التي تتلقاها كل منها.

WordSec API (api.wordsec.net)

يعمل WordSec مجاناً بدون ترخيص، وفي هذه الحالة لا يتصل بهذه الخدمة على الإطلاق. يتوفر ترخيص مجاني للجميع؛ وبمجرد تفعيلك مفتاحاً تتواصل الإضافة مع خدمة WordSec لغرضين متمايزين:

1. استدعاءات الخدمة المطلوبة (فقط أثناء نشاط مفتاح ترخيص): تفعيل الترخيص والتحقق منه، وتحديثات بيانات التهديدات (قواعد جدار الحماية، توقيعات البرمجيات الخبيثة، قوائم سمعة IP، بيانات GeoIP، قائمة نطاقات البريد الإلكتروني المؤقت وبيانات الثغرات الأمنية المعروفة). تُفعِّل هذه الميزات المدعومة سحابياً ولا يمكن تنفيذها محلياً؛ وبدون مفتاح، لا يُجرى أي من هذه الاستدعاءات. أما كود الإنفاذ المحلي لهذه الميزات (محرّك WAF، وفاحص البرمجيات الخبيثة، ومرشِّحات حظر IP، ومرشِّح تقييد التسجيل) فهو حاضر ونشط دائماً؛ لكن دون موجز مُحدَّث لا يملك ببساطة أي بيانات استخبارات تهديدات ليفحص الطلبات مقابلها.

* متى: عند التفعيل/التحقق وعند فحوصات تحديث بيانات التهديدات المجدولة.
* البيانات المُرسَلة: عنوان URL لموقعك ومفتاح الترخيص (يُستخدمان لمصادقتك وربط الترخيص بهذا الموقع)، وبالنسبة لفحوصات التحديث، الإصدارات الحالية لموجزات بيانات التهديدات المُثبَّتة لديك.

1. قياس اختياري لبيانات الاستخدام/البيئة (اشتراك اختياري، مُعطَّل افتراضياً): لقطة مجهولة المصدر مرة واحدة يومياً تُستخدَم لتحسين WordSec. لا تُرسَل إلا بعد تفعيلك صراحةً “مشاركة بيانات الاستخدام والبيئة” (عند تفعيل الترخيص أو في الإعدادات ← متقدم ← بيانات الاستخدام) ويمكن إيقافها مرة أخرى في أي وقت.

* متى: مرة واحدة يومياً، فقط أثناء تفعيل الاشتراك.
* البيانات المُرسَلة: لقطة غير شخصية عن بيئة الموقع (إصدارات الخادم وWordPress وPHP وقاعدة البيانات، وقائمة الإضافات والقوالب النشطة) وإحصاءات مُجمَّعة عن استخدام ميزات WordSec والأمان. لا تُرسَل أبداً أي كلمات مرور أو بيانات اعتماد قاعدة البيانات أو مفاتيح سرية أو عناوين بريد إلكتروني.

• شروط الخدمة: https://wordsec.net/terms
• سياسة الخصوصية: https://wordsec.net/privacy

Have I Been Pwned (api.pwnedpasswords.com)

يُستخدَم من قِبل فحص كلمات المرور المُسرَّبة الاختياري لاكتشاف ما إذا كانت كلمة مرور تظهر في اختراقات بيانات معروفة، باستخدام k-anonymity.
* متى: عند تعيين مستخدم لكلمة مرور أو إرسالها وكون فحص كلمات المرور المُسرَّبة مُفعَّلاً.
* البيانات المُرسَلة: فقط أول 5 أحرف من تجزئة SHA-1 لكلمة المرور. أما كلمة المرور نفسها وتجزئتها الكاملة فلا تغادران موقعك أبداً.
* الشروط والخصوصية: https://haveibeenpwned.com/Privacy

WordPress.org API (api.wordpress.org, downloads.wordpress.org, wordpress.org, core.svn.wordpress.org, plugins.svn.wordpress.org, themes.svn.wordpress.org)

يُستخدم للتحقق من سلامة ملفات نواة WordPress والإضافات والقوالب، وللاستعلام عن المعلومات العامة للإضافات/القوالب (plugins_api/themes_api) من أجل درجات سمعة سلسلة التوريد وفحوصات سلامة التحديثات، ولتنزيل حزمة لغة ترجمة WordSec نفسها من translate.wordpress.org عندما تختار لغة عرض غير مثبتة بعد (الآلية نفسها التي يستخدمها WordPress عند تغيير لغة الموقع)، وكذلك (فقط عند نقرك على “إصلاح” في إحدى نتائج الفاحص) لتنزيل النسخة الأصلية من ملف نواة/إضافة/قالب معدَّل حتى يمكن استعادته. تجلب تنزيلات الإصلاح ملفات أصلية مفردة من plugins.svn.wordpress.org / themes.svn.wordpress.org / core.svn.wordpress.org، مع الرجوع عند الحاجة إلى الحزم الكاملة من downloads.wordpress.org (ملفات zip للإضافات/القوالب) و wordpress.org (ملفات zip لإصدارات النواة).
* متى: أثناء فحوصات البرمجيات الخبيثة/السلامة وفحوصات سمعة سلسلة التوريد، وعند تنفيذ إجراء إصلاح صريح، وعند حفظ لغة عرض لم تُثبَّت ترجمتها بعد.
* البيانات المُرسَلة: إصدار نواة WordPress، ولغة الموقع، ومعرّفات/إصدارات الإضافات والقوالب التي يجري فحصها؛ وعند تنزيل لغة، معرّف/إصدار الإضافة واللغة المختارة.
* الشروط والخصوصية: https://wordpress.org/about/privacy/

RDAP (rdap.org)

يُستخدَم من قِبل أداة بحث WHOIS/RDAP في صفحة الأدوات لعرض معلومات الملكية لعنوان IP أو نطاق تفحصه.
* متى: فقط عند تشغيلك أداة بحث WHOIS/RDAP.
* البيانات المُرسَلة: عنوان IP أو النطاق الذي اخترت البحث عنه.
* الشروط والخصوصية: https://about.rdap.org/

ipify (api.ipify.org)

يُستخدَم من قِبل مُدقِّق القائمة السوداء في صفحة الأدوات وأداة معلومات الخادم لتحديد عنوان IP العام الخاص بخادمك.
* متى: فقط عند تشغيلك أداة “فحص القائمة السوداء” أو “عناوين IP للخادم”.
* البيانات المُرسَلة: طلب بسيط من خادمك؛ لا تُضمَّن أي بيانات للموقع (تكتفي الخدمة بإرجاع عنوان IP الطالِب).
* الشروط والخصوصية: https://www.ipify.org/

مزوّدو قوائم حظر DNS (أداة فحص القائمة السوداء)

يستعلم اختبار “فحص القائمة السوداء” في صفحة الأدوات من قوائم الحظر المعتمدة على DNS (DNSBLs) ليخبرك بما إذا كان عنوان IPv4 العام لخادمك مُدرَجاً. يتلقى كل مزوّد استعلام DNS قياسياً يحتوي على عنوان IP الخاص بخادمك بصيغة معكوسة. يُستعلَم من خمسة مزوّدين:
* Spamhaus ZEN (zen.spamhaus.org) – https://www.spamhaus.org/privacy-notice/
* SpamCop (bl.spamcop.net)، تُشغّلها Cisco – https://www.cisco.com/c/en/us/about/legal/privacy-full.html
* Barracuda Reputation Block List (b.barracudacentral.org) – https://www.barracuda.com/company/legal/privacy-policy
* UCEPROTECT Level 1 (dnsbl-1.uceprotect.net) – https://www.uceprotect.net/en/index.php
* PSBL (psbl.surriel.com) – https://psbl.org/
التفاصيل:
* متى: فقط عند نقرك على “فحص القائمة السوداء” في صفحة الأدوات.
* البيانات المُرسَلة: عنوان IPv4 العام لخادمك، مُضمَّناً في كل استعلام لقائمة حظر DNS.

Telegram Bot API (api.telegram.org)

قناة تسليم تنبيهات اختيارية. تعمل فقط عند إعدادك رمز bot الخاص بـ Telegram ومُعرِّف الدردشة (chat ID) الخاصين بك.
* متى: عند إطلاق تنبيه أمني فعّلته وكون تسليم Telegram مُعدّاً.
* البيانات المُرسَلة: نص رسالة التنبيه (نوع الحدث، اسم الموقع، سياق IP/المستخدم ذي الصلة) إلى الـ bot/الدردشة التي أعددتها.
* شروط الخدمة: https://telegram.org/tos
* سياسة الخصوصية: https://telegram.org/privacy

Slack Incoming Webhooks (hooks.slack.com)

قناة تسليم تنبيهات اختيارية. تعمل فقط عند إعدادك عنوان URL لـ incoming-webhook الخاص بـ Slack.
* متى: عند إطلاق تنبيه أمني فعّلته وكون تسليم Slack مُعدّاً.
* البيانات المُرسَلة: نص رسالة التنبيه (نوع الحدث، اسم الموقع، سياق IP/المستخدم ذي الصلة) إلى الـ webhook الذي أعددته.
* شروط الخدمة: https://slack.com/terms-of-service
* سياسة الخصوصية: https://slack.com/privacy-policy

Google reCAPTCHA (www.google.com, www.gstatic.com)

CAPTCHA اختياري لتسجيل الدخول/التسجيل. يعمل فقط عند اختيارك reCAPTCHA وتوفيرك مفاتيحك الخاصة.
* متى: على نماذج تسجيل الدخول والتسجيل أثناء التفعيل.
* يُحمَّل عن بُعد: يتطلب reCAPTCHA تحميل سكربت الأداة الخاص به (www.google.com/recaptcha/api.js، المُقدَّم مع الأصول من www.gstatic.com) من Google في متصفح الزائر؛ يُدرَج فقط على تلك النماذج وفقط أثناء كون reCAPTCHA هو المزوّد المُختار. التحقق من الرمز المميز هو استدعاء من جانب الخادم من موقعك إلى www.google.com.
* البيانات المُرسَلة: رمز استجابة CAPTCHA، ومفتاح موقعك العام، وعنوان IP الزائر.
* شروط الخدمة: https://policies.google.com/terms
* سياسة الخصوصية: https://policies.google.com/privacy

hCaptcha (hcaptcha.com, js.hcaptcha.com)

CAPTCHA اختياري لتسجيل الدخول/التسجيل. يعمل فقط عند اختيارك hCaptcha وتوفيرك مفاتيحك الخاصة.
* متى: على نماذج تسجيل الدخول والتسجيل أثناء التفعيل.
* يُحمَّل عن بُعد: يتطلب hCaptcha تحميل سكربت الأداة الخاص به (js.hcaptcha.com/1/api.js) من hCaptcha في متصفح الزائر؛ يُدرَج فقط على تلك النماذج وفقط أثناء كون hCaptcha هو المزوّد المُختار. التحقق من الرمز المميز هو استدعاء من جانب الخادم من موقعك إلى hcaptcha.com.
* البيانات المُرسَلة: رمز استجابة CAPTCHA، ومفتاح موقعك العام، وعنوان IP الزائر.
* شروط الخدمة: https://www.hcaptcha.com/terms
* سياسة الخصوصية: https://www.hcaptcha.com/privacy

Cloudflare Turnstile (challenges.cloudflare.com)

CAPTCHA اختياري لتسجيل الدخول/التسجيل. يعمل فقط عند اختيارك Turnstile وتوفيرك مفاتيحك الخاصة.
* متى: على نماذج تسجيل الدخول والتسجيل أثناء التفعيل.
* يُحمَّل عن بُعد: يتطلب Turnstile تحميل سكربت الأداة الخاص به (challenges.cloudflare.com/turnstile/v0/api.js) من Cloudflare في متصفح الزائر؛ يُدرَج فقط على تلك النماذج وفقط أثناء كون Turnstile هو المزوّد المُختار. التحقق من الرمز المميز هو استدعاء من جانب الخادم من موقعك إلى challenges.cloudflare.com.
* البيانات المُرسَلة: رمز استجابة CAPTCHA، ومفتاح موقعك العام، وعنوان IP الزائر.
* شروط الخدمة: https://www.cloudflare.com/website-terms/
* سياسة الخصوصية: https://www.cloudflare.com/privacypolicy/

ipwhois.io (ipwho.is)

خدمة تفاصيل IP اختيارية، مُعطَّلة افتراضياً. تمر جميع الطلبات عبر HTTPS مع التحقق من الشهادة، ولا يُجرى أي منها حتى تُفعِّل “خدمة البحث الخارجي عن IP” في إعدادات WordSec (قسم معالجة IP الزائر). تُستخدَم لأمر واحد فقط: بحث “تفاصيل IP” في حركة المرور المباشرة (الدولة، المنطقة، المدينة، مزوّد الخدمة، المؤسسة، ASN). لا يتصل تسجيل حركة المرور بهذه الخدمة أبداً؛ ويعتمد تحديد الدولة أثناء التسجيل على قاعدة بيانات GeoIP المحلية فقط.
* متى: فقط أثناء تفعيل خيار خدمة البحث الخارجي عن IP، وفقط عند نقرك على بحث تفاصيل IP.
* البيانات المُرسَلة: عنوان IP الذي اخترت فحصه.
* شروط الخدمة: https://ipwhois.io/terms
* سياسة الخصوصية: https://ipwhois.io/privacy

VirusTotal (virustotal.com)

لا يُتَّصَل بها تلقائياً. يعرض الفاحص رابط “التحقق على VirusTotal” يمكنك النقر عليه لفتح VirusTotal في متصفحك لملف مُعيَّن.
* متى: فقط عند نقرك على الرابط.
* البيانات المُرسَلة: تجزئة (hash) الملف المُتضمَّنة في عنوان URL للرابط.
* الشروط والخصوصية: https://docs.virustotal.com/docs/privacy-policy

Qualys SSL Labs (ssllabs.com)

لا يُتَّصَل بها تلقائياً. يعمل اختبار “فحص صحة SSL” في صفحة الأدوات بالكامل على خادمك الخاص (يفتح اتصال TLS بنطاقك الخاص ويقرأ الشهادة). وبجانبه، يفتح رابط “فحص عميق (SSL Labs)” اختبار Qualys SSL Labs في علامة تبويب جديدة في المتصفح؛ يتصل SSL Labs عندئذٍ بموقعك من الخارج ويُقيّم إعداد TLS الخاص به. يحمل الرابط علامة “إخفاء النتائج”، لذا لا يُنشَر التقرير على اللوحة العامة لـ SSL Labs.
* متى: فقط عند نقرك على رابط “فحص عميق (SSL Labs)”.
* البيانات المُرسَلة: اسم نطاق موقعك، المُتضمَّن في عنوان URL للرابط.
* الشروط: https://www.ssllabs.com/about/terms.html
* الخصوصية: https://www.qualys.com/company/privacy/

الشكر والتقدير

يُضمِّن WordSec مكتبات الأطراف الثالثة المذكورة أدناه. تُوزَّع كل مكتبة بموجب ترخيص متوافق مع ترخيص WordSec نفسه “GPLv2 or later”. تحتفظ كل مكتبة مُضمَّنة بلافتة الترخيص داخل ملفاتها و/أو بملف الترخيص الأصلي الخاص بها، والمصدر الأصلي الكامل (غير المُصغَّر) لكل منها متاح في المشروع والإصدار المرتبطين.

مكتبات PHP (`vendor/`)

TCPDF 6.11.3
* الترخيص: LGPL-3.0-or-later
* حقوق النشر: Nicola Asuni, Tecnick.com LTD
* المصدر: https://github.com/tecnickcom/TCPDF
* ملف الترخيص: vendor/tecnickcom/tcpdf/LICENSE.TXT
* يُستخدَم لـ: توليد تقارير/تصدير PDF

SimpleXLSXGen 1.5.x
* الترخيص: MIT
* حقوق النشر: (c) 2020-2022 Sergey Shuchkin
* المصدر: https://github.com/shuchkin/simplexlsxgen
* ملف الترخيص: vendor/shuchkin/simplexlsxgen/LICENSE
* يُستخدَم لـ: تصدير XLSX (Excel)

مكتبات JavaScript / CSS (`assets/*/vendor/`)

Select2 4.1.0-rc.0
* الترخيص: MIT
* حقوق النشر: Kevin Brown, Igor Vaynberg, and the Select2 contributors
* المصدر: https://github.com/select2/select2
* نص الترخيص: https://github.com/select2/select2/blob/master/LICENSE.md
* الملفات المُضمَّنة: assets/js/vendor/select2.min.js، assets/css/vendor/select2.min.css

ApexCharts 5.16.0
* الترخيص: MIT
* حقوق النشر: (c) 2018-2026 ApexCharts
* المصدر: https://github.com/apexcharts/apexcharts.js
* نص الترخيص: https://github.com/apexcharts/apexcharts.js/blob/main/LICENSE
* الملفات المُضمَّنة: assets/js/vendor/apexcharts.min.js

jsVectorMap 1.7.0
* الترخيص: MIT
* حقوق النشر: (c) Mustafa Omar and the jsVectorMap contributors
* المصدر: https://github.com/themustafaomar/jsvectormap
* نص الترخيص: https://github.com/themustafaomar/jsvectormap/blob/master/LICENSE
* الملفات المُضمَّنة: assets/js/vendor/jsvectormap.min.js، assets/css/vendor/jsvectormap.min.css
* يُستخدَم لـ: تصورات خريطة العالم (حركة المرور المباشرة / الحظر / جدار الحماية)

بيانات خريطة العالم (world_mill)، المُسجَّلة كخريطة “world” في jsVectorMap
* الترخيص: MIT
* حقوق النشر: مساهمو jvectormap-content؛ هندسة الخريطة مُشتقّة من Natural Earth (public domain)
* المصدر: https://www.npmjs.com/package/jvectormap-content
* الملفات المُضمَّنة: assets/js/vendor/world.js
* يُستخدَم لـ: هندسة الدول المعروضة في تصورات خريطة العالم أعلاه

qrcode-generator 1.4.4
* الترخيص: MIT
* حقوق النشر: Kazuhiko Arase
* المصدر: https://github.com/kazuhikoarase/qrcode-generator
* نص الترخيص: https://github.com/kazuhikoarase/qrcode-generator/blob/master/LICENSE
* الملفات المُضمَّنة: assets/js/vendor/qrcode.min.js

الأيقونات / الأصول

flag-icons (ملفات SVG لأعلام الدول)
* الترخيص: MIT (ترميز SVG)؛ أما تصاميم الأعلام نفسها فهي في public domain
* حقوق النشر: (c) 2013 Panayiotis Lipiridis
* المصدر: https://github.com/lipis/flag-icons
* نص الترخيص: https://github.com/lipis/flag-icons/blob/main/LICENSE
* الملفات المُضمَّنة: assets/images/flags/*.svg (أعلام الدول، 4×3 viewBox="0 0 640 480")