خطة العمليات لأمان الويب

الأولوية: عالية | الجدول الزمني: اليوم 1-2 | المسؤول: قائد DevOps

الوصف:

إضافة رأس X-Frame-Options لتكوين خادم الويب للحماية من هجمات clickjacking.

حل Nginx/LiteSpeed:

server {
    # إضافة إلى تكوين الخادم
    add_header X-Frame-Options "DENY" always;
    
    # خيار بديل SAMEORIGIN
    # add_header X-Frame-Options "SAMEORIGIN" always;
}

التحقق على الخادم الاختباري:

• نشر التكوين على خادم التحضير
• التحقق من الرأس: curl -I https://staging.example.com
• التأكد من: X-Frame-Options: DENY مُرجعة
• اختبار جميع نقاط النهاية

نشر الإنتاج:

1. نسخ احتياطي: cp nginx.conf nginx.conf.backup
2. تحديث التكوين الإنتاجي
3. إعادة تحميل: systemctl reload nginx (بدون توقف)
4. تحقق من الإنتاج: curl -I https://example.com
5. توثيق التغيير في السجل

الرجوع (إذا لزم الأمر):

cp nginx.conf.backup nginx.conf
systemctl reload nginx

الأولوية: عالية | الجدول الزمني: اليوم 3-5 | المسؤول: قائد البنية الأساسية

الوصف:

شهادة SSL الحالية لا تطابق اسم النطاق. الحصول على وتثبيت الشهادة الصحيحة لـ example.com.

عملية Cloudflare:

1. الانتقال إلى Cloudflare Dashboard → SSL/TLS
2. النقر على "إنشاء شهادة" لـ example.com
3. اختيار نوع الشهادة "Comodo/Universal"
4. الانتظار للتحقق (~5 دقائق)
5. نسخ الشهادة والمفتاح إلى الخادم
6. تحديث تكوين Nginx

تحديث تكوين Nginx:

server {
    listen 443 ssl http2;
    server_name example.com www.example.com;
    
    # تحديث مسارات الشهادة
    ssl_certificate /etc/ssl/certs/example.com.crt;
    ssl_certificate_key /etc/ssl/private/example.com.key;
    
    # معاملات SSL الموصى بها
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
}

التحقق:

• فحص الشهادة: openssl s_client -connect example.com:443
• التحقق من CN = example.com (ليس cdnjs.cloudflare.com)
• التحقق من تاريخ انتهاء الصلاحية
• فتح في المتصفح - التحقق من عدم وجود تحذيرات
• فحص SSL Report: https://www.ssllabs.com/

الأولوية: متوسطة | الجدول الزمني: اليوم 5-7 | المسؤول: DevOps + الأمان

مجموعة رؤوس الأمان المتكاملة:

server {
    # حماية Clickjacking
    add_header X-Frame-Options "DENY" always;
    
    # منع كشف نوع MIME
    add_header X-Content-Type-Options "nosniff" always;
    
    # حماية XSS
    add_header X-XSS-Protection "1; mode=block" always;
    
    # سياسة Referrer
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    
    # سياسة الميزات/الأذونات
    add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;
    
    # HSTS
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
}

الاختبار:

• التحقق من جميع الرؤوس: curl -I https://example.com
• التأكد من وجود جميع الرؤوس الـ 6
• فحص HSTS preload: https://hstspreload.org
• اختبار وظيفي شامل للتطبيق