SSL والأمان

نعم، شهادة SSL مجانية من Let's Encrypt مشمولة مع استضافة الويب وتُجدَّد تلقائيًا. ويُفعَّل HTTPS بمجرد نشر الموقع.

نعم. إذا كنت بحاجة إلى شهادة ذات تحقّق موسَّع (EV) أو تحقّق من المؤسسة (OV)، فيمكنك تثبيتها على استضافتك. وفريق الدعم لدينا يساعدك في ذلك.

يمكن تفعيل إعادة التوجيه التلقائي من HTTP إلى HTTPS بنقرة واحدة من cPanel، لتقديم موقعك بالكامل بشكلٍ آمن.

تطبّق بنيتنا التحتية عزل الحسابات وجدارًا ناريًا وتحديثات منتظمة. وعلى خادم VPS، تبقى مسؤولية أمن بيئتك على عاتقك (ويمكننا تقديم المشورة لك).

نعم: كل موقع محميّ بشبكة Cloudflare التي تمتصّ هجمات DDoS على النطاق العالمي — الحماية نفسها التي تتمتّع بها أكبر مواقع الويب، مشمولة ودون تكلفة إضافية.

Cloudflare هي الشبكة التي تُسرّع وتحمي ما يقارب 20% من الويب العالمي. نربط نطاقك بها تلقائيًا ومجانًا: تحصل على شبكة CDN عالمية (موقع أسرع في كل مكان)، وحماية من هجمات DDoS، ونظام DNS من نوع anycast يتّسم بالمرونة، إضافةً إلى HTTPS — دون أي إجراء من جانبك.

حافظ على تحديث WordPress وقوالبه وإضافاته، واستخدم كلمات مرور قوية، وقيّد محاولات تسجيل الدخول، وفعّل SSL، وأجرِ نسخًا احتياطية منتظمة.

تواصل مع فريق الدعم لدينا دون تأخير: نرافقك لاستعادة نسخة احتياطية سليمة وتحديد الثغرة، تفاديًا لتكرار الحادثة.

شهادات Let's Encrypt صالحة لمدة 90 يومًا، مما يستوجب تجديدًا تلقائيًا كل 60 يومًا تقريبًا. على خوادم الاستضافة لدينا يتمّ هذا التجديد تلقائيًا دون أي تدخل منك. أصدر منتدى CA/B Forum خارطة طريق لتقصير المدة تدريجيًا: أولًا إلى 100 يوم، ثم إلى 47 يومًا بحلول 2029. إن كنت تدير شهادة على خادم خارج منصتنا، تأكّد من تحديث أداة الأتمتة (Certbot أو ‎acme‎.sh‎) لتستوعب هذه المدد.

تتيح عملاء ACME مثل `certbot` و`acme‎.sh` وCaddy تجديد شهادات SSL تلقائيًا دون أي تدخل يدوي. تُثبّت معظم العملاء مؤقت systemd أو مهمة cron بشكل أصيل عند التثبيت. هذه الأتمتة باتت ضرورة ملحّة، إذ يعتزم منتدى CA/B تقليص مدة صلاحية الشهادات إلى 47 يومًا بحلول 2029.

يدمج ‎Traefik‎ بشكل أصيل عميل ‎ACME‎ متوافق مع ‎Let's Encrypt‎. كل ما تحتاجه هو الإعلان عن محلّل في قسم `certificatesResolvers` من ملف `traefik.yml`، ثم إضافة الوسم `traefik.http.routers.<service>.tls.certresolver=<name>` لكل حاوية ‎Docker‎ تريد حمايتها. يتولى ‎Traefik‎ بعدها التفاوض على التحدي ‎HTTP-01‎ أو ‎DNS-01‎، وإصدار الشهادة وتجديدها تلقائيًا قبل انتهاء صلاحيتها. تُخزَّن الشهادات في ملف ‎JSON‎ مستمر (`acme.json`) يجب ربطه بحجم تخزين لتجنب فقدانها عند إعادة تشغيل الحاوية.

نعم. تتيح حلول مفتوحة المصدر مثل Authentik وAuthelia، المتوفّرة في متجر ServOrbit، مركزة المصادقة لجميع تطبيقاتك (Gitea وNextcloud وChatwoot…) عبر بوابة SSO/OIDC واحدة. تدير المستخدمين والصلاحيات والمصادقة الثنائية من واجهة موحّدة دون إعادة تكوين كل تطبيق على حدة. يُنصح بخطة VPS Power (4 نواة، 8 GB) لـ‎Authentik، أما Authelia فأخفّ استهلاكًا للموارد.

نعم، تعمل الاستضافة المشتركة في ServOrbit على نظام CloudLinux الذي يضمن عزلاً قوياً بين الحسابات. يعمل كل عميل داخل بيئة معزولة تُسمى LVE (Linux Virtual Environment): ملفاتك وعملياتك وموارد المعالج والذاكرة مفصولة تماماً عن تلك الخاصة بالعملاء الآخرين على نفس الخادم. لذا لا يمكن لموقع مجاور مخترق أو مُعد بشكل خاطئ الوصول إلى بياناتك أو التأثير في أدائك بشكل غير متناسب. يوفر هذا الهيكل طبقة حماية إضافية مقارنةً بالاستضافة المشتركة التقليدية التي لا تعتمد CloudLinux.

انشر Promtail على كل VPS تريد مراقبته: يجمع سجلات النظام (‏auth.log وsyslog وjournald) ويرسلها إلى نسخة Loki مركزية على VPS ثانٍ أو حاوية تخزين متوافقة. تتصل Grafana بـ Loki كمصدر بيانات وتتيح إنشاء تنبيهات عند محاولات تسجيل دخول فاشلة (sudo، SSH) أو أخطاء في التطبيقات. هذه المجموعة خفيفة — تعمل Loki وGrafana معاً على VPS ابتداءً من 99 درهم/شهر — وتحافظ على سريّة سجلاتك بعيداً عن خدمات الطرف الثالث.

نعم. يُنشئ ‎Cloudflare Tunnel (المعروف سابقاً بـ ‎Argo Tunnel) اتصالاً صادراً من ‎VPS الخاص بك إلى شبكة ‎Cloudflare، مما يتيح نشر تطبيق ويب عبر ‎HTTPS دون فتح أي منفذ وارد — مثالي إذا كان ‎VPS خاضعاً لجدار ناري صارم. يُثبَّت وكيل `cloudflared` على خادمك ويُدير الاتصال؛ يجب أن يكون نطاقك مُدار في ‎Cloudflare. يشرح مقال مدونتنا المخصص الإعداد خطوةً بخطوة.

نعم، يمكنك توليد وتثبيت شهادة Let's Encrypt wildcard مجانية عبر Certbot باستخدام تحدي DNS-01، التي تغطي نطاقك الرئيسي وجميع نطاقاته الفرعية (*‎.example‎.com). على خادم مخصص أو VPS بصلاحيات root، العملية حرة تماماً من جانبنا. يمكنك أيضاً تثبيت شهادة wildcard تجارية (OV أو EV) تحصل عليها من جهة إصدار شهادات من اختيارك.

اكتُشفت ثغرتان حرجتان لتجاوز المصادقة الثنائية في ‎Nextcloud‎ في مايو 2026: CVE-2026-45690 (تجاوز عبر ‎HTTP Basic Auth‎، ‎CVSS 5.9‎) وCVE-2026-45691 (تجاوز عبر رمز ‎Bearer DAV‎، ‎CVSS 5.9‎). **الخطوة 1 — التحقق من إصدارك**: سجّل الدخول إلى ‎Nextcloud‎ كمسؤول، اذهب إلى **الإدارة → نظرة عامة** وتحقق من الإصدار المعروض. **الإصدارات المُصلَّحة**: ‎Nextcloud 32.0.9‎ و‎33.0.3‎. ⚠️ ‎Nextcloud 34.0.2‎ يحتوي على انحدار — لا تستخدمه. **الخطوة 2 — التحديث إذا لزم**: من واجهة الإدارة، اذهب إلى **الإدارة → نظرة عامة → التحقق من التحديثات** وطبّق آخر تحديث متاح. لمثيل ‎Docker‎، غيّر وسم الصورة إلى `nextcloud:32.0.9-apache` وأعد تشغيل الحاوية. **الخطوة 3 — التحقق من تطبيق المصادقة الثنائية**: تأكد من تفعيل تطبيق ‎TOTP‎ أو الرسائل القصيرة في **الإدارة → الأمان** وأنه إلزامي لحسابات المسؤولين.

‎Authelia وكيلٌ خفيف للمصادقة (أقل من 30 ‎MB من الذاكرة) يضيف طبقة ‎2FA و‎SSO عبر ‎OIDC أمام تطبيقاتك من خلال وكيل عكسي (‎Traefik أو ‎nginx). لا يدير دليل مستخدمين كاملاً ولا يدعم ‎SAML 2.0. أما ‎Authentik فهو منصة ‎IAM (‎Identity and ‎Access ‎Management) متكاملة: تغطّي ‎OIDC و‎SAML 2.0 و‎LDAP و‎SCIM وتوفير الحسابات تلقائيًا. تتطلّب ‎VPS بذاكرة لا تقل عن 4 ‎GB (4 حاويات: ‎server و‎worker و‎PostgreSQL و‎Redis). عمليًا: استخدم ‎Authelia لحماية 2 إلى 6 تطبيقات داخلية بـ‎2FA، و‎Authentik إن احتجت ‎SAML 2.0 أو ربط أكثر من خمسة تطبيقات أو توفير الحسابات تلقائيًا. كلاهما متاح في Marketplace ‎ServOrbit.

تستغل ثغرات ‎CVE‎ ما بعد المصادقة نقاط ضعف يمكن الوصول إليها بعد تسجيل الدخول: حافظ على تحديث تطبيقاتك فور نشر أي تصحيح، وقيّد الوصول إلى واجهة الإدارة بالعنوان ‎IP‎ أو عبر وكيل عكسي مع مصادقة قوية. يتيح وضع ‎WAF‎ أمام لوحة التحكم حجب أنماط الاستغلال المعروفة.

منذ الإصدار 2026.4.1 من عملاء ‎Bitwarden، لم تعد بعض واجهات التشفير الأقدم مقبولة من التثبيتات الجديدة: يُطبّق العميل الجديد فحوصات أكثر صرامة مقارنةً بالجلسات المفتوحة مسبقًا. تأكد من أن نسخة ‎Vaultwarden لديك محدَّثة (صورة `vaultwarden/server:latest` أو إصدار حديث محدد) وأن الخادم الوكيل العكسي يُمرّر الترويسات بشكل صحيح — ولا سيما `X-Real-IP` و`X-Forwarded-For`. إذا استمرت المشكلة، افتح تذكرة من لوحة العملاء مرفقًا بها إصدار ‎Vaultwarden (`docker inspect vaultwarden | grep -i version`) ورسالة الخطأ التي يعرضها العميل.

ضع وكيلًا عكسيًا (Traefik أو nginx) أمام نسخة Docmost وربط Authelia أو Authentik كـ middleware مصادقة. مع Traefik، أضف `forwardAuth` يشير إلى نقطة قرار Authelia. مع nginx، استخدم `auth_request`. Authentik متاح عبر متجر ServOrbit ويدعم OIDC وSAML 2.0 ورؤوس forward auth المتوافقة مع Traefik.

قبل الهجرة، صدّر قاعدة البيانات SQLite ‏(`kuma.db`) واحفظها في مكان آمن — فهي المصدر الوحيد لمراقباتك وتنبيهاتك. يغيّر الإصدار 2 مخطط قاعدة البيانات: شغّل الحاوية الجديدة بنفس مجلد البيانات وسينفّذ Uptime Kuma الهجرات تلقائياً عند الإطلاق الأول. تحقق بعدها من نشاط كل مراقبة وعمل قنوات الإشعارات قبل حذف النسخة القديمة. يُصلح الإصدار 2 الثغرة ‏CVE-2026-45618‏ (حقن عبر ترويسات HTTP) — التحديث موصى به.

تُنشئ شبكة شبكية (mesh) مبنية على ‏WireGuard‏ — مثل Netbird أو Tailscale — شبكة مشفرة نظير-إلى-نظير بين خوادم ‏VPS‏ الخاصة بك عبر اتصالات صادرة فحسب، دون كشف أي منفذ وارد على العنوان العام. تتولى عقدة التنسيق (‏STUN/TURN‏) اختراق ‏NAT‏، ويسير الاتصال مباشرةً بين الأجهزة بمجرد إقامة النفق. هذا النهج مناسب لمجموعات قواعد البيانات والخدمات الداخلية وخطوط ‏CI/CD‏ التي يجب ألا تكون متاحة من الإنترنت.

‏CVE-2026-45672 ثغرة تنفيذ كود عن بعد في ‏Open WebUI تطال الإصدارات قبل ‏0.6.10: يستطيع مهاجم مصادق عليه تنفيذ كود تعسفي على الخادم عبر آلية معالجة الملفات. تحقّق من إصدارك من واجهة الإدارة (الإعدادات ← حول) أو بالأمر: `docker inspect ghcr.io/open-webui/open-webui:latest | grep 'version'`. إن كنت دون ‏0.6.10، حدِّث فورًا: `docker compose pull && docker compose up -d`. في الأثناء، قيِّد الوصول إلى واجهتك بعنوان ‏IP عبر الوكيل العكسي. تواصل مع [email protected] للحصول على مساعدة في التحديث.

يُعيد الوسم ‎:latest كتابة مفتاح تشفير التضمينات (embeddings) في كل ‎docker pull: فقدان لا رجعة فيه للوثائق المتجهة. احرص دائمًا على تثبيت إصدار ثابت (مثلاً ‎v1.8.x) في ‎docker-compose. المصدر: المشكلة ‎#5256 على ‎github.com/Mintplex-Labs/anything-llm.

يُشفِّر ‎Passbolt كل إدخال بمفتاح ‎GPG العام للمستلم. لا يستطيع الخادم ولا المسؤول قراءة كلمات المرور دون المفتاح الخاص لصاحبها. يُنجَز التشفير في المتصفح عبر امتداد ‎Passbolt.

قبل الترقية، راجع سجل التغييرات الرسمي وقاعدة NVD/CVE بحثًا عن الثغرات المرتبطة بالإصدار المستهدف؛ إذ عالجت الفروع v4 ثغرات في معالجة رموز المصادقة. احرص على نسخ احتياطي كامل لقاعدة PostgreSQL والأحجام قبل أي تحديث، ثم اختبر على نسخة مستنسخة قبل الإنتاج. إن كنت غير متأكد من مستوى تعرُّض مثيلك، افتح تذكرة من فضائك العميل أو تواصل على [email protected].

**Let's Encrypt (مجاني)**: - شهادات **DV (التحقق من النطاق)** فقط: تُثبت أنك تتحكم في النطاق، لا هوية مؤسستك - صالحة 90 يوماً (تجديد تلقائي عبر certbot) - معترف بها من جميع المتصفحات الحديثة - مناسبة لغالبية المواقع - Wildcard متاح (عبر DNS-01): شهادة واحدة تغطي `*.نطاقك.com` **الشهادات المدفوعة**: - **OV (التحقق من المنظمة)**: تتحقق جهة الإصدار من الوجود القانوني لشركتك - **EV (التحقق الموسَّع)**: تحقق مكثف، كان يظهر سابقاً كشريط أخضر في المتصفحات (أُزيل من المتصفحات الحديثة عام 2019) - صالحة 1–2 سنة **لـ 99% من حالات الاستخدام، Let's Encrypt كافٍ.** شهادات EV/OV مفيدة للامتثال الداخلي أو عقود شركاء معينين أو قطاعات منظَّمة (بنوك، تأمين) تشترطها تعاقدياً.

اشترك في إصدارات Gitea على GitHub (‏github.com/go-gitea/gitea/releases‏) وفعّل الإشعارات. تُحدد كل إصدارة ما إذا كانت تصحح CVEs وخطورتها (CVSS). على VPS ServOrbit، التحديثات تتم عبر `docker compose pull && docker compose up -d` — احتفظ بنسخة احتياطية قبل أي تحديث رئيسي.

ابدأ بتصدير خزنة مشفَّرة من مديرك الحالي، تحقَّق من سلامتها قبل حذف الأصل، ثم انشر ‎Vaultwarden‎ أو ‎Passbolt‎ على ‎VPS‎ مخصَّص عبر ‎HTTPS‎ مع شهادة صالحة — يرفض عملاء ‎Bitwarden‎ الاتصالات غير المشفَّرة. فعِّل المصادقة الثنائية على جميع الحسابات منذ أول تسجيل دخول، وجدوِل التبديل خارج أوقات العمل، ولا تلغِ الوصول إلى الحل القديم إلا بعد أن يتحقق كل عضو من الفريق من الجديد. يمكن لفريق الدعم مساعدتك في إعداد ‎TLS‎ عبر ‎[email protected]‎.

راجع ملف `/var/log/auth.log` في أنظمة Debian/Ubuntu لرصد محاولات تسجيل الدخول الفاشلة (`Failed password`، `Invalid user`) والاتصالات الناجحة خارج أوقاتك المعتادة. يُدرج أمر `last` جلسات SSH الأخيرة مع الطابع الزمني وعنوان IP المصدر. للمراقبة المستمرة، يحجب `fail2ban` تلقائياً عناوين IP التي تراكم عليها كثير من الفشل، ويمكنك إعداد تنبيهات بالبريد الإلكتروني. إن تأكدت من وجود اتصال غير معروف، اقطع الجلسة فوراً بالأمر `pkill -u <user>`، ودوّر مفاتيح SSH، وافتح تذكرة دعم من فضائك الخاص.

للاستخدام الداخلي البحت — فريق العمل والمشاريع الداخلية دون تعريض الخدمة لأطراف خارجية — لا تفرض ‎BSL و‎SSPL عموماً أي قيد، إذ لا تستهدف أيٌّ منهما الاستخدام الخاص. يُفعَّل قيد ‎SSPL حين تقدّم البرنامج كخدمة للمستخدمين الخارجيين (‎SaaS)؛ وتحظر ‎BSL تقديم خدمة تجارية تنافس المطوّر الأصلي. إذا كان عملاؤك يستخدمون الأداة، استشر محامياً قبل النشر. اشترك في إشعارات إصدارات ‎GitHub للمشاريع التي تعتمد عليها لرصد أي تغيير في الترخيص مع كل إصدار رئيسي.

يتيح لك تحدي ‎DNS-01‎ الحصول على شهادة عامة (`*.نطاقك.ma`) دون الحاجة إلى فتح منفذ ‎HTTP‎: ينشئ ‎Certbot‎ سجل ‎TXT‎ باسم `_acme-challenge` في منطقة ‎DNS‎ الخاصة بك ليتحقق منه ‎Let's Encrypt‎. إذا كان نطاقك مُدار عبر ‎Cloudflare‎، فإن الإضافة `certbot-dns-cloudflare` تُؤتمِت هذه الخطوة برمز ‎API‎ محدود الصلاحيات (`Zone:DNS:Edit`). أضف مهمة ‎cron‎ أو مؤقت ‎systemd‎ لتشغيل `certbot renew` وإعادة تحميل ‎nginx‎ تلقائياً بعد كل تجديد. اختبر التجديد مسبقاً بخيار `--dry-run` قبل تفعيل المجدوِل.

يستمع ‎PostgreSQL‎ افتراضياً على المنفذ ‎5432‎؛ إذا كان هذا المنفذ متاحاً من الإنترنت، يستطيع أي شخص محاولة الاتصال به. تحقق من حالة الكشف بتشغيل `ss -tlnp | grep 5432` (أو `netstat`): إذا كان عنوان الاستماع `0.0.0.0` أو `::`، فالخدمة قابلة للوصول من الخارج. لتأمينها: اربط ‎PostgreSQL‎ بـ `127.0.0.1` في ملف `postgresql.conf` (السطر `listen_addresses = 'localhost'`)، وأغلق المنفذ بجدار الحماية (`ufw deny 5432`)، ولا تسمح بالوصول عن بُعد إلا عبر نفق ‎SSH‎ أو ‎VPN‎. إذا احتجت مساعدةً لتصليب الإعداد، افتح تذكرة من منطقة العميل.

ابدأ بمراجعة سجلات Certbot باستخدام الأمر journalctl -u certbot أو بقراءة الملف /var/log/letsencrypt/letsencrypt‎.log لتحديد سبب الفشل. إذا كنت تستخدم اختبار HTTP-01، تحقق من أن المنفذ 80 متاح من الخارج وأن إعداد خادم الويب يعرض مجلد ‎.well-known/acme-challenge/ بشكل صحيح. إذا كان المنفذ 80 محجوباً أو كنت بحاجة إلى شهادة wildcard، انتقل إلى اختبار DNS-01 باستخدام ملحق DNS المناسب لمزودك. لإجبار التجديد الفوري واختبار الإعداد، استخدم الأمر certbot renew --force-renewal.

تغطي شهادة SSL من نوع wildcard نطاقاً ما وجميع نطاقاته الفرعية من المستوى الأول، مثل *‎.example‎.com. تُصدر Let's Encrypt شهادات wildcard فقط عبر اختبار DNS-01، الذي يتطلب إنشاء سجل TXT في منطقة DNS الخاصة بك لإثبات ملكية النطاق. لأتمتة هذه العملية، استخدم Certbot مع ملحق DNS المناسب لمزود DNS لديك. ZeroSSL هو بديل لـLet's Encrypt يوفر أيضاً شهادات wildcard مجانية عبر اختبار DNS-01 ويتيح واجهة ويب لتسهيل الإصدار اليدوي.

‎عندما يكون نطاقك مُوكَّلاً عبر ‎‎Cloudflare‎، قد يفشل تحدي ‎‎HTTP-01‎ الخاص بـ‎‎Certbot‎ لأن ‎‎Cloudflare‎ يستجيب بدلاً من خادمك. استخدم بدلاً من ذلك تحدي ‎‎DNS-01‎: ثبّت الإضافة `certbot-dns-cloudflare`‎، وأنشئ رمز ‎‎API‎ لـ‎‎Cloudflare‎ بصلاحية `Zone:DNS:Edit`‎، ثم شغّل `certbot renew --dns-cloudflare --dns-cloudflare-credentials ~/cloudflare.ini`‎. يتم التجديد دون الحاجة إلى كشف أي منفذ ويعمل حتى لو كان خادمك غير قابل للوصول من الإنترنت. تذكر أتمتة التجديد عبر مهمة ‎‎cron‎ بالأمر `certbot renew`‎ لتجنب أي انتهاء صلاحية مستقبلي.

يمكنك التحقق من تثبيت شهادة ‎SSL‎ وتاريخ انتهاء صلاحيتها مباشرةً من متصفحك: انقر على رمز القفل في شريط العنوان، ثم على «الاتصال آمن» لعرض تفاصيل الشهادة (الجهة المُصدِرة، النطاق المُغطَّى، الصلاحية). كما تتيح أدوات عبر الإنترنت مثل ‎SSL Labs‎ (‎ssllabs.com/ssltest‎) أو ‎check-host.net‎ إجراء تحليل معمّق (سلسلة الشهادات، الخوارزميات، التوافق). إذا كانت الشهادة مُدارة تلقائيًا بواسطة ‎ServOrbit‎ (‎Let's Encrypt‎)، فإن التجديد يتم دون الحاجة إلى أي تدخل من جانبك.