إعدادات كلاودفلير: تأمين موقع الويب وحمايته من هجمات DDoS

إعدادات كلاودفلير هي الطريقة المثلى لجعل موقعك أسرع وأكثر أمانًا ومقاومة لهجمات DDoS من خلال ضبط DNS وSSL/TLS وWAF وقواعد الحماية وتصفية البوتات وخيارات التخزين المؤقت بشكل صحيح. للحصول على أفضل حماية أساسية أضف نطاقك إلى كلاودفلير، انقل سجلات DNS بدقة، اختر وضع SSL/TLS Full (Strict) كلما أمكن، فعّل قواعد WAF المُدارة، وطبّق تحدي أو تقييد معدل الطلبات على الطلبات المشبوهة، واستخدم وضع "Under Attack Mode" بحذر أثناء الهجمات.

يعمل كلاودفلير كطبقة CDN وأمان بين موقعك وزوارك. عندما يزور أحد موقعك يصل الطلب أولاً إلى شبكة كلاودفلير حيث يتم تصفية الحركة الضارة، ويمكن تقديم الملفات الثابتة من ذاكرة التخزين المؤقت، ويتم توجيه الطلبات السليمة إلى خادمك الأصلي. هذا الهيكل يوفر مزايا كبيرة لمواقع ووردبريس وووكومرس والمواقع المؤسسية ولوحات SaaS والمواقع ذات الحركة العالية. لكن إعدادات كلاودفلير غير الصحيحة قد تسبب أخطاء SSL أو حلقات إعادة توجيه لا نهائية أو مشاكل في الوصول إلى لوحة الإدارة أو صفحات قديمة بسبب التخزين المؤقت أو ثغرات أمنية.

في هذا الدليل نشرح كيفية إعداد كلاودفلير من الصفر، وتفعيل الخيارات الحيوية لأمان الموقع، واستخدام حماية DDoS في السيناريوهات المناسبة، وتحسين الأداء دون المساس بالأمان. إذا كنت ترغب في بنية تحتية سريعة وآمنة ومتوافقة فابدأ بأساس قوي في النطاق والاستضافة وشهادة SSL: Domain kaydı, Web hosting paketleri, SSL sertifikası.

ما هو كلاودفلير وما دوره في أمان الموقع؟

كلاودفلير منصة سحابية تقدم إدارة DNS وCDN وحماية DDoS وجدار حماية تطبيقات الويب وتقليل البوتات وإدارة SSL/TLS وتحليلات الحركة. في البنية التقليدية يتصل الزائر مباشرة بخادم الاستضافة، أما مع كلاودفلير فيتصل الزائر أولاً بخوادم كلاودفلير الطرفية مما يسمح بتصفية الحركة الضارة قبل وصولها إلى الخادم الأصلي.

مثلاً في موقع ووردبريس صغير قد يكون هناك 2000 زيارة يوميًا و20-30 طلبًا في الدقيقة. أما في هجوم HTTP flood بسيط فقد يصل العدد إلى 20 ألف طلب في الدقيقة مما يجعل الخادم عاجزًا بسبب استنفاد CPU أو RAM أو حدود الاتصال. يفرز كلاودفلير هذه الحركة باستخدام سمعة IP وتحليل السلوك وتقييد المعدل والتحدي وتوقيعات DDoS ليصل الزوار الحقيقيون بسهولة.

كلاودفلير ليس أداة أمان سحرية وحدها. يعمل بفعالية مع بنية استضافة قوية وبرمجيات محدثة وكلمات مرور آمنة ونسخ احتياطي وSSL وتكوين خادم صحيح. إذا كنت تستخدم ووردبريس فإن تحديث القوالب والإضافات وحماية لوحة الإدارة وسياسة كلمات مرور قوية لا تزال ضرورية: WordPress hosting, WordPress güvenliği.

قائمة التحضير قبل إعداد كلاودفلير

قبل الانتقال إلى كلاودفلير قم ببعض الفحوصات الأساسية لتقليل مشاكل الوصول وSSL بعد التثبيت. خاصة في المواقع ذات الحركة الحية يجب التخطيط لتغييرات DNS مسبقًا.

• استخرج سجلات DNS الحالية: سجّل A وAAAA وCNAME وMX وTXT وSPF وDKIM وDMARC وجميع النطاقات الفرعية.
• تحقق من عنوان IP الاستضافة: سجل A خاطئ قد يوجه الموقع إلى خادم آخر.
• تحقق من حالة SSL: إذا كان لديك SSL صالح على الخادم الأصلي يمكنك استخدام Full (Strict).
• انتبه لسجلات البريد الإلكتروني: سجلات MX وCNAME/A الخاصة بالبريد يجب أن تكون عادة DNS only أي بدون بروكسي.
• خذ نسخة احتياطية: نسخ DNS والموقع يتيح استعادة سريعة عند الخطأ.
• اختر وقت الصيانة: تغييرات Nameserver تظهر عادة خلال دقائق لكن الانتشار العالمي قد يستغرق حتى 24 ساعة.

في المواقع المؤسسية النهج العملي هو: انقل سجلات DNS أولاً ثم فعّل البروكسي فقط على www والنطاق الرئيسي المخصص لحركة الويب. أما خدمات البريد وFTP وcPanel وwebmail فاتركها حسب الاستخدام. إذا كان لديك نطاق فرعي منفصل للوصول إلى cPanel فاتركه DNS only لتجنب المشاكل: cPanel hosting yönetimi.

كيفية ضبط إعدادات DNS في كلاودفلير؟

يبدأ تثبيت كلاودفلير بإضافة نطاقك إلى اللوحة. يقوم كلاودفلير بفحص سجلات DNS الحالية ويعرضها لك. قد لا يجد الفحص التلقائي كل السجلات لذا يجب التحقق يدويًا.

1. أضف النطاق إلى كلاودفلير

بعد تسجيل الدخول اختر "Add a site" وأضف نطاقك. بعد اختيار الخطة راجع سجلات DNS. عادة يكون للنطاق الرئيسي سجل A ولـ www سجل CNAME. مثال على البنية:

• سجل A: example.com → 192.0.2.10
• سجل CNAME: www → example.com
• سجل MX: example.com → مزود البريد
• سجلات TXT: سجلات التحقق SPF وDKIM وDMARC

النقطة المهمة هي تحديد أي السجلات ستمر عبر بروكسي كلاودفلير. سجلات A وCNAME المخصصة لحركة الويب يمكن تفعيل السحابة البرتقالية عليها. أما حركة البريد وFTP والوصول المباشر للخادم فيفضل تركها DNS only (السحابة الرمادية).

2. غيّر Nameserver

يعطيك كلاودفلير اثنين من Nameserver. غيّرها في مكان شراء النطاق. في Hostragons يمكنك إدارة Nameserver من لوحة النطاق: Domain yönetimi. بعد التغيير انتظر حتى يصبح الحالة "Active" في لوحة كلاودفلير.

3. اختر حالة البروكسي المناسبة

عند تفعيل السحابة البرتقالية تمر حركة HTTP/HTTPS عبر كلاودفلير وتُطبق ميزات الأمان. أما السحابة الرمادية فتكتفي بحل DNS فقط. يجب تفعيل البروكسي لموقع الويب، بينما يُفضل إبقاؤه مغلقًا لـ mail.example.com وftp.example.com ونطاقات إدارة الخادم.

إعدادات SSL/TLS: التكوين الأكثر أمانًا

تحدد إعدادات SSL/TLS في كلاودفلير كيفية تشفير الاتصال بين المتصفح وكلاودفلير وبين كلاودفلير والخادم الأصلي. الوضع الخاطئ هو أكثر أسباب أخطاء كلاودفلير شيوعًا.

الفرق بين Flexible وFull وFull (Strict)

في الاستخدام الاحترافي استهدف Full (Strict). يتطلب ذلك شهادة SSL صالحة على الخادم الأصلي. يمكن استخدام Let’s Encrypt أو شهادة تجارية أو شهادة Origin من كلاودفلير. في باقات Hostragons يمكنك ضبط تثبيت وتجديد SSL لاستخدام هذا الوضع بثقة: SSL sertifikası kurulumu.

Always Use HTTPS وAutomatic HTTPS Rewrites

خيار "Always Use HTTPS" يعيد توجيه طلبات HTTP إلى HTTPS. أما "Automatic HTTPS Rewrites" فيساعد في تحويل بعض مصادر HTTP داخل الصفحة إلى HTTPS. لكن الحل الجذري لمشكلة المحتوى المختلط هو نقل روابط HTTP في قاعدة البيانات والقالب إلى HTTPS بشكل دائم.

انتبه عند استخدام HSTS

HSTS يخبر المتصفحات بالاتصال بموقعك عبر HTTPS فقط. إجراء أمني قوي لكنه قد يمنع الزوار من الوصول إذا كان إعداد SSL خاطئًا. لذا فعّله بعد التأكد من Full (Strict) وSSL صالح وجميع النطاقات الفرعية وإعادة التوجيه تعمل بسلاسة. ابدأ بقيمة max-age قصيرة للاختبار.

إعدادات WAF لحماية تطبيقات الويب

WAF (جدار حماية تطبيقات الويب) يصفي طلبات حقن SQL وXSS وتضمين الملفات وسلوك البوتات الضارة والثغرات المعروفة. إعدادات WAF في كلاودفلير مهمة خاصة لمواقع ووردبريس وJoomla وLaravel واللوحات المخصصة ومواقع التجارة الإلكترونية.

فعّل Managed Rules

Managed Rules هي مجموعات قواعد جاهزة ومحدثة من كلاودفلير. لمستخدمي ووردبريس توفر قواعد خاصة بوردبريس وقواعد OWASP العامة وتوقيعات CVE تقلل سطح الهجوم. في البداية راقب القواعد بوضع "Log" أو تأثير منخفض للتحقق من الإيجابيات الكاذبة ثم طبق "Block" أو "Managed Challenge".

استخدم Custom Rules لحماية المناطق الحرجة

القواعد المخصصة توفر حماية دقيقة حسب بنية موقعك. يمكنك السماح بالوصول إلى wp-login.php أو /admin من دول معينة فقط أو إرسال user-agent مشبوه إلى التحدي. لكن كن حذرًا حتى لا تحظر مستخدمين حقيقيين. في موقع تجارة إلكترونية قد يؤدي تطبيق التحدي على صفحة الدفع إلى فقدان تحويلات.

مثال تطبيقي: في موقع مؤسسي موجه لتركيا يمكن تطبيق Managed Challenge على مسار /wp-admin للوصول من خارج البلد. لكن إذا كان لديك فريق عمل عن بعد أو مكاتب خارجية أضف IP allowlist. هذا يقلل هجمات القوة الغاشمة مع الحفاظ على وصول المستخدمين المصرح لهم.

كيفية تطبيق حماية DDoS؟

يهدف هجوم DDoS إلى جعل موقعك أو خادمك غير قابل للوصول بسبب الحركة الزائدة. ميزة كلاودفلير الأساسية هي التعامل مع هذه الحركة على شبكته العالمية وإرسال الطلبات النظيفة فقط إلى الخادم الأصلي. لكن أفضل النتائج تأتي عند التعامل مع حماية DDoS كخطة دفاعية مُعدّة حسب السيناريو وليس ميزة سلبية.

1. أبقِ البروكسي مفعلاً لحركة الويب

تعمل حماية DDoS في كلاودفلير على السجلات التي يكون البروكسي مفعلاً عليها. إذا لم يكن النطاق الرئيسي وwww في السحابة البرتقالية فإن حركة الويب تذهب مباشرة إلى الخادم ولا يستطيع كلاودفلير التصفية. كما يجب إخفاء عنوان IP الأصلي عن الإنترنت. السجلات DNS القديمة أو رؤوس البريد أو الوصول المباشر بالـ IP تسمح للمهاجمين بتجاوز كلاودفلير.

2. استخدم Security Level وإعدادات التحدي

Security Level يحدد ما إذا كان الزائر سيواجه تحديًا حسب درجة الخطورة. في الفترات العادية يكفي "Medium" لمعظم المواقع. أثناء الهجوم أو الحركة المشبوهة يمكن رفعها إلى "High" أو تفعيل "I’m Under Attack Mode" مؤقتًا. يعرض هذا الوضع صفحة تحقق قصيرة للزائر لذا قد يؤثر على تجربة المستخدم ولا يُنصح بتركه مفتوحًا دائمًا.

3. حدد معدل الطلبات بـ Rate Limiting

Rate Limiting يحد من عدد الطلبات من نفس الـ IP أو العميل خلال فترة زمنية معينة. مثال: تطبيق تحدي على صفحة تسجيل الدخول إذا تجاوز 20 طلبًا في دقيقة واحدة يقلل هجمات القوة الغاشمة. أما نقاط نهاية API فيجب التعامل معها بحذر أكبر؛ إذا كان لديك تطبيقات جوال أو تكاملات فقس حجم الاستخدام الفعلي قبل وضع حدود صارمة: API ve entegrasyon güvenliği.

4. قيّد الخادم الأصلي حسب كلاودفلير

للحماية المتقدمة يمكنك في جدار حماية الخادم السماح بحركة HTTP/HTTPS القادمة من نطاقات IP كلاودفلير فقط. بهذا حتى لو عرف المهاجم IP الأصلي لن يتمكن من الوصول مباشرة. هذه الخطوة تحتاج عناية؛ يجب تحديث قائمة IP كلاودفلير بانتظام وتقييم وصول SSH ولوحة التحكم وخدمات النسخ الاحتياطي بشكل منفصل.

حماية البوتات وإجراءات منع القوة الغاشمة

ليست كل حركة البوتات ضارة؛ Googlebot ضروري لفهرسة موقعك. المشكلة في بوتات السبام وأدوات الاستخراج ومحاولات تسجيل الدخول المزيفة والأتمتة التي تستهلك الموارد. تساعد حماية البوتات في كلاودفلير على التمييز باستخدام إشارات سلوكية.

• Bot Fight Mode: يقلل حركة البوتات البسيطة لكنه يحتاج اختبارًا مع بعض التكاملات.
• Turnstile: بديل لـ CAPTCHA يوفر تحققًا أكثر سهولة في النماذج.
• حماية صفحات الدخول: يمكن تقييد wp-login.php وxmlrpc.php ومسارات الإدارة بقواعد مخصصة.
• التحكم في XML-RPC: إذا لم تستخدمه في ووردبريس فحظره يقلل خطر القوة الغاشمة.
• تقليل سبام النماذج: استخدم Turnstile وRate Limit معًا في نماذج الاتصال.

مثال عملي: إذا وصل آلاف طلبات POST إلى xmlrpc.php في موقع ووردبريس كل دقيقة فقد يرتفع استخدام CPU بسرعة. قاعدة Custom Rule في كلاودفلير تحظر طلبات xmlrpc.php أو تسمح فقط لـ IP خدمات مثل Jetpack تقلل الحمل على الخادم بشكل ملحوظ.

إعدادات التخزين المؤقت والأداء: تسريع دون المساس بالأمان

كلاودفلير لا يقتصر على الأمان بل يقدم أداءً قويًا أيضًا. يقدم الملفات الثابتة من أقرب نقطة نهاية للزائر مما يقلل وقت تحميل الصفحة. لكن لا يصح تخزين كل شيء مؤقتًا؛ صفحات المستخدمين المسجلين والسلة والدفع ولوحات العضوية والمحتوى المخصص يجب استثناؤها من التخزين المؤقت.

إعدادات التخزين المؤقت الموصى بها

• Caching Level: الوضع القياسي مناسب لمعظم المواقع.
• Browser Cache TTL: يفضل أسبوع أو أكثر للملفات الثابتة.
• Cache Rules: يجب تجاوز /wp-admin و/cart و/checkout و/my-account.
• Always Online: يوفر فائدة محدودة أثناء الانقطاع المؤقت؛ اضبط التوقعات في المواقع الديناميكية.
• Purge Cache: بعد تحديث التصميم أو المحتوى نظف الروابط المحددة بدلاً من كل شيء للحفاظ على السيطرة.

في تحسين الأداء يلعب طبقة الاستضافة دورًا مهمًا أيضًا. LiteSpeed وأقراص NVMe وإصدار PHP محدث وإضافة تخزين مؤقت مناسبة تعطي نتائج أفضل مع كلاودفلير: LiteSpeed hosting, web sitesi hızlandırma.

ملف تعريف بدء آمن لإعدادات كلاودفلير

يقدم الجدول التالي ملف تعريف آمن لمعظم مواقع الويب الصغيرة والمتوسطة. لكل موقع حركته وبرمجياته ونموذج عمله الخاص لذا راقب الإعدادات بناءً على البيانات الحية.

الأخطاء الشائعة في إعدادات كلاودفلير وحلولها

حلقة إعادة توجيه لا نهائية

غالباً ما تنتج هذه المشكلة عن استخدام وضع Flexible في كلاودفلير بينما يوجد إعادة توجيه HTTPS على الخادم الأصلي. الحل: ثبت SSL صالحًا على الخادم وغيّر وضع SSL في كلاودفلير إلى Full أو Full (Strict) preferably.

أخطاء 521 و522 و525

يشير الخطأ 521 إلى رفض الخادم للاتصال، و522 إلى انتهاء المهلة، و525 إلى مشكلة في مصافحة SSL. تحقق من أن جدار الحماية لا يحظر IP كلاودفلير وأن خادم الاستضافة يعمل وأن شهادة SSL صالحة وأن سجلات DNS تشير إلى IP الصحيح.

عدم ظهور التحديثات في لوحة الإدارة

غالباً ما يكون السبب قاعدة تخزين مؤقت قوية جدًا. استثنِ صفحات الإدارة والسلة والدفع وحساب المستخدم من التخزين المؤقت. استخدم تكامل تنظيف كلاودفلير مع إضافة التخزين المؤقت في ووردبريس لتسهيل الأمر.

مشاكل البريد الإلكتروني

بروكسي كلاودفلير لا ينقل حركة البريد. تأكد من صحة سجلات MX واترك السجلات التي تشير إلى خادم البريد DNS only. إذا كانت سجلات SPF وDKIM وDMARC ناقصة فقد تواجه مشاكل في التسليم.

قائمة التحقق خطوة بخطوة لتثبيت كلاودفلير الآمن

التسلسل التالي يقدم خارطة طريق عملية وآمنة للمبتدئين:

• 1. أضف نطاقك إلى كلاودفلير وقارن سجلات DNS مع مزودك الحالي.
• 2. فعّل البروكسي على النطاق الرئيسي وwww لحركة الويب.
• 3. قيّم استخدام DNS only للبريد وFTP وخدمات الإدارة.
• 4. غيّر Nameserver من لوحة النطاق.
• 5. ثبت SSL صالحًا على الخادم الأصلي واختر Full (Strict) في كلاودفلير.
• 6. فعّل Always Use HTTPS وAutomatic HTTPS Rewrites.
• 7. فعّل WAF Managed Rules وراقب السجلات والإيجابيات الكاذبة في الأيام الأولى.
• 8. حدد Rate Limiting أو Managed Challenge لصفحات الدخول.
• 9. تجاوز المناطق الديناميكية في Cache Rules.
• 10. ارفع Security Level أثناء الهجوم وافتح Under Attack Mode مؤقتًا إن لزم.
• 11. خطط لتشديد جدار حماية الخادم حسب IP كلاودفلير.
• 12. راقب Security Events والتحليلات وسجلات DNS أسبوعيًا.

تقلل هذه القائمة الأخطاء خاصة في التثبيت الأول. في المواقع ذات الحركة العالية مثل التجارة الإلكترونية أو مواقع العضوية طبق التغييرات في ساعات انخفاض الحركة وراقب مقاييس التحويل.

مراقبة تحليلات كلاودفلير وأحداث الأمان

لا ينتهي العمل بتثبيت كلاودفلير؛ القيمة الحقيقية تظهر في المراقبة والتحسين المستمر. في قسم Security Events يمكنك رؤية أي القواعد حظرت أكبر عدد من الطلبات ومن أي دول أو نطاقات IP جاءت الهجمات وأي الروابط استهدفت. هذه البيانات تتيح لك اتخاذ قرارات مبنية على الأدلة بدلاً من التخمين عند كتابة قواعد مخصصة.

مثلاً إذا رأيت 18 ألف طلب فاشل على /wp-login.php خلال 24 ساعة فمن الأفضل كتابة Rate Limit وتحدي خاص بهذه النقطة بدلاً من رفع مستوى الأمان العام فقط. وبالمثل إذا كانت نقطة API الخاصة بك مستخدمة بكثافة فاستهدف فقط الطرق أو الدول أو user-agent المسيئة بدلاً من تطبيق قواعد صارمة على كامل الموقع.

هل يكفي كلاودفلير وحده؟

كلاودفلير طبقة قوية لكن الأمان يجب أن يكون متعدد الطبقات. إذا كان خادم الاستضافة غير محدث أو كانت البرمجيات تحتوي ثغرات أو كلمة مرور الإدارة ضعيفة أو سياسة النسخ الاحتياطي غير موجودة فلن يزيل كلاودفلير كل المخاطر. النهج السليم يجمع بين استضافة آمنة وPHP محدث ونسخ احتياطي منتظم وSSL وإضافات أمان وأذونات ملفات وتحكم في الوصول.

في بنية Hostragons يساعدك اختيار باقة الاستضافة المناسبة على بناء معمارية أمان وأداء أكثر استقرارًا مع كلاودفلير. مع نمو الحركة يمكن النظر في الانتقال من الاستضافة المشتركة إلى VPS أو الخوادم السحابية لتقييم حدود الموارد ومقاومة الهجمات: VPS sunucu, kurumsal hosting çözümleri.

الخلاصة: نهج متوازن لإعدادات كلاودفلير الآمنة

تتكون إعدادات كلاودفلير الصحيحة من نقل سجلات DNS بدون أخطاء وSSL بـ Full (Strict) وقواعد WAF وحماية بوتات متحكم بها وتقييد المعدل واستثناءات تخزين مؤقت صحيحة وأوضاع DDoS خاصة بوقت الهجوم. للحصول على أفضل نتيجة انظر إلى الإعدادات كعملية أمان مستمرة تُحسّن بانتظام بناءً على بيانات الحركة وليس كإعداد لمرة واحدة.

باختصار: مرر حركة الويب عبر البروكسي واحمِ الخادم الأصلي واستخدم SSL في الوضع الصارم واضبط قواعد WAF وRate Limit حسب استخدامك الفعلي. إذا كنت ترغب في أساس آمن للنطاق أو الاستضافة أو SSL يمكنك الاطلاع على حلول Hostragons وتخطيط البنية التحتية المناسبة لاحتياجات موقعك: Hostragons hosting paketleri.

الأسئلة الشائعة

ما أكثر وضع SSL أمانًا في إعدادات كلاودفلير؟

بشكل عام الوضع الأكثر أمانًا هو Full (Strict). في هذا الوضع يُستخدم HTTPS بين الزائر وكلاودفلير وبين كلاودفلير والخادم الأصلي مع التحقق من شهادة الخادم. يتطلب ذلك وجود شهادة SSL صالحة على الخادم.

هل تعمل حماية DDoS في الخطة المجانية؟

تقدم كلاودفلير حماية DDoS أساسية في الخطة المجانية أيضًا. لكن للحصول على WAF متقدم وتقييد معدل أكثر تفصيلاً وإدارة بوتات أفضل وضوابط على مستوى المؤسسات يفضل الخطط المدفوعة. حتى في المواقع الصغيرة والمتوسطة يمكن للخطة المجانية المضبوطة جيدًا أن توفر حماية كبيرة.

هل يجب ترك Under Attack Mode مفتوحًا دائمًا؟

لا. يُستخدم Under Attack Mode مؤقتًا أثناء الهجوم فقط. إذا بقي مفتوحًا دائمًا قد يرى الزوار الحقيقيون شاشة تحقق إضافية وتتأثر تجربة المستخدم سلبًا. في الفترات العادية توفر WAF وRate Limiting وSecurity Level المناسب حلولاً أكثر توازنًا.

هل أحتاج استضافة إذا استخدمت كلاودفلير؟

نعم. يوفر كلاودفلير طبقة أمان وأداء أمام موقعك لكن ملفات موقعك وقاعدة بياناته وتطبيقه لا تزال بحاجة إلى استضافة أو خادم. لذلك تبقى بنية الاستضافة الموثوقة ضرورة أساسية حتى مع استخدام كلاودفلير.

هل تسبب إعدادات التخزين المؤقت في كلاودفلير مشاكل في مواقع التجارة الإلكترونية؟

قد تسبب مشاكل إذا ضُبطت بشكل خاطئ. يجب استثناء صفحات السلة والدفع وحساب المستخدم ولوحة الإدارة من التخزين المؤقت. عند تخزين الملفات الثابتة مؤقتًا واستثناء المحتوى الشخصي يمكن استخدام كلاودفلير بأمان في مواقع التجارة الإلكترونية.