الأسئلة الشائعة حول أمان الموقع وبيانات WooCommerce

يهدف هذا المستند إلى توفير نظرة عامة عامة حول أمان وووكامرس، بالإضافة إلى الإجابة عن الأسئلة التي قد تكون لديك. يتناول المستند اللائحة العامة لحماية البيانات (GDPR) التي تحمي بيانات مواطني الاتحاد الأوروبي، فضلاً عن امتثال PCI-DSS (معيار أمان بيانات صناعة بطاقات الدفع)، والذي يضع تدابير أمان متسقة بهدف تقليل الاحتيال في بطاقات الائتمان.

ما هي معلومات العملاء التي يحتفظ بها وووكامرس؟ (What customer information does WooCommerce retain?)

افتراضياً، يحتفظ وووكامرس بما يلي:

• المنتجات التي طلبها العميل ومتى طلبها
• الاسم، وعنوان البريد الإلكتروني، ورقم الهاتف المقدم من العميل
• عنوان الفواتير (اختيارياً: عنوان الشحن) الذي أدخله العميل
• ملاحظة حول طريقة الدفع التي استخدمها العميل

يتم تخزين هذه المعلومات، مثل بقية بيانات تثبيت ووردبريس الخاص بك، في قاعدة بيانات مستضيف موقع الويب الخاص بك.

هل يمكنني الحصول على نسخة من بياناتي الشخصية؟ (Can I get a copy of my personal data?)

نعم. يمكنك طلبها من مالك الموقع/المتجر. إذا كنت مالك الموقع/المتجر، فهناك أداة تصدير البيانات الشخصية (Personal Data Exporter) في ووردبريس، ويضيف وووكامرس بيانات إلى هذا الملف. مزيد من المعلومات في: الحسابات والخصوصية (Accounts and Privacy).

كيف يجمع وووكامرس معلومات العملاء ويأخذ الدفع عند الخروج؟ (How does WooCommerce collect customer information and take payment at checkout?)

يسمح موقع وووكامرس الخاص بك للعملاء بالدفع مقابل الطلبات عبر إحدى بوابات الدفع (payment gateways) التي قمت بإعدادها وتمكينها على موقعك.

• بوابة دفع يدوية، مثل BACS، تجمع معلومات العميل، ثم تزوده بتفاصيلك حتى يتمكن من تحويل الدفع.
• بوابة دفع تلقائية هي تطبيق يطلب المعلومات بلطف وثبات من العملاء ويرسلها إلى خدمة معالجة دفع خارجية، مثل معالج بطاقات الائتمان أو PayPal.

تأتي بعض بوابات الدفع مضمنة مع وووكامرس، كما نقدم أيضاً العديد من إضافات بوابات الدفع المميزة. تتيح بوابة الدفع لخدمة الدفع الخارجية ما يلي:

• التحقق من معلومات فواتير العميل
• التحقق من توفر الأموال
• تحويل الأموال من العميل إليك
• إرسال تأكيد الدفع مرة أخرى إلى موقع وووكامرس الخاص بك

هناك أيضاً بوابات دفع مثل الدفع عند الاستلام (C.O.D.) والشيكات (Cheque) التي تتيح لك قبول الدفع دون اتصال بالinternet، ثم وضع علامة يدوية على الطلب بأنه "مدفوع". هذه المخاوف الأمنية بشأنها أقل بكثير من طرق الدفع الفورية التلقائية.

هل يحتفظ موقع وووكامرس الخاص بك بمعلومات بطاقة ائتمان العملاء؟ (Does my WooCommerce site retain customers’ credit card information?)

لا. بحكم التصميم، لا يتم تخزين رقم بطاقة ائتمان عميلك ورمز الأمان على موقع الويب الخاص بك أبداً. تعطي بوابة الدفع هذه المعلومات الحساسة مباشرة إلى معالج الدفع. نحن نصمم إضافات بوابات الدفع الخاصة بنا لضمان عدم دخول بيانات بطاقة الائتمان أو مرورها عبر قاعدة بيانات موقع الويب الخاص بك. هذا يعني أنك لست بحاجة إلى استيفاء معايير الأمان الثقيلة والمكلفة المطلوبة لتخزين أرقام بطاقات ائتمان العملاء. مع بعض إضافات بوابات الدفع المتكاملة، يمكنك منح عملائك خيار "تخزين" بطاقات الائتمان أو الشيكات الإلكترونية (eChecks) على موقعك عبر طريقة آمنة تسمى الترميز (tokenization). يمكن استخدام طرق الدفع المرمزة لـ المدفوعات المتكررة (recurring payments)، أو الطلبات المسبقة (pre-orders)، أو للراحة في عمليات الشراء المستقبلية بواسطة العميل المسجل دخوله. تخزن رموز الشيكات الإلكترونية آخر أربعة أرقام من أرقام الشيكات الإلكترونية، بينما تتضمن رموز بطاقات الائتمان آخر أربعة أرقام من البطاقة، ونوع/علامة التجارية للبطاقة، وتاريخ انتهاء صلاحيتها، غالباً لكي يتمكن العميل من تحديد الرمز التابع لأي بطاقة.

ما مدى أمان الترميز؟ (How secure is tokenization?)

أمان عالٍ للغاية. مع الترميز، يتم تخزين معلومات بطاقة الائتمان الفعلية للعملاء على خوادم معالج الدفع. البيانات الوحيدة المحفوظة على موقعك هي في شكل سلسلة من الأحرف تسمى الرمز (token). تم تصميم هذه الرموز لتكون عديمة الفائدة خارج السياق الدقيق الذي تم إنشاؤها من أجله. تخيل أنه عندما تستبدل أموالك برقائق في كازينو أو تذاكر ركوب في معرض، فإن تلك الرقائق أو التذاكر لا يمكن إنفاقها على أي شيء خارج الكازينو أو المعرض فحسب، بل لا يمكن إنفاقها إلا بواسطة أنت وحدك. الرموز محددة للغاية — محددة للعميل، ومحددة لموقع الويب الخاص بك، ومحددة لمعالج الدفع التابع لبوابة الدفع، ومحددة لحساب التاجر الخاص بك لدى هذا المعالج. إذا لم تكن أي من هذه العوامل دقيقة، فلن يعمل الرمزو كعنصر نائب لمعلومات دفع العميل. تتطلب العديد من البوابات التي تسمح بالترميز أيضاً من العميل إدخال رمز أمان البطاقة (Card Security Code) لكل عملية شراء جديدة. تتطلب بوابات الدفع التي تسمح بالترميز أن يلبي موقعك معايير أمان أعلى يحددها معالجو الدفع، ويتم وصف هذه المعايير في وثائق كل بوابة دفع.

كيف يمكنني اختيار بوابة دفع آمنة؟ (How can I choose a secure payment gateway?)

نحن لا نبيع أو نوزع بوابات دفع غير آمنة. يتعلق اختيار بوابات الدفع التي تريدها على موقعك بمدى الأمان الذي تريد توفيره لموقعك نفسه ( نظراً لأن إضافاتنا لن تعمل إذا لم يلبي موقعك معايير الأمان الخاصة بها) واعتبارات أخرى غير متعلقة بالأمان مثل تجربة الخروج للعميل. هناك العديد من الطرق المختلفة لتصنيف أو فرز بوابات دفع وووكامرس، ولكن من وجهة نظر أمنية، فإن النوعين الرئيسيين لبوابات الدفع هما تلك المستضافة خارج الموقع وتلك المدمجة في موقعك. إذا كنت تبحث عن مزيد من المعلومات العامة حول اختيار بوابة دفع، فقم بمراجعة أي خيار دفع مناسب لي؟ (Which Payment Option is Right for Me?)

بوابات الدفع المستضافة خارج الموقع (Offsite Hosted Payment Gateways)

من حيث تجربة المستخدم، تعني بوابة الدفع خارج الموقع إرسال العميل من صفحة الدفع الخاصة بك إلى موقع معالج الدفع (على سبيل المثال، PayPal.com)، جنباً إلى جنب مع نسخة مشفرة من معلومات الطلب الأساسية للعميل. اعتماداً على البوابة، قد تكون هذه المعلومات مجرد التكلفة الإجمالية للطلب ورقم الطلب؛ مع البوابات المستضافة الأكثر أماناً، يمكن أن تتضمن تفصيلاً بندياً لمنتجات الطلب، والشحن، والضريبة. بمجرد اكتمال الدفع، يقوم معالج الدفع بعد ذلك بإعادة العميل إلى موقعك جنباً إلى جنب مع تأكيد بأن الدفع قد تم. تدفق الدفع هذا يعني مخاوف أمنية ضئيلة لك ولموقع وووكامرس الخاص بك، نظراً لأن جزء الدفع بالكامل يتم على موقع وخوادم معالج الدفع. العيب الوحيد هو أن بعض العملاء قد يجدون إرسالهم خارج الموقع أمراً مزعجاً أو نافراً.

بوابات الدفع المتكاملة (Integrated Payment Gateways)

توفر بوابات الدفع المتكاملة طريقة دفع أكثر سلاسة وانسيابية. من خلال وسائل مختلفة بما في ذلك التشفير وحقول النموذج الآمنة المستضافة في مكان آخر ولكنها تظهر على موقعك، يتمكن العميل من اتمام عملية الدفع دون الحاجة إلى مغادرة موقعك أبداً. في حين أن العديد من بوابات الدفع المتكاملة هذه لا تزال سهلة الإعداد والتشغيل، إلا أنها تتطلب من موقعك تحمل عبء أمني أثقل قليلاً من بوابات الدفع خارج الموقع، وقد تكون هناك بضع عقبات أخرى يجب تجاوزها عندما يتعلق الأمر بتسجيل حساب التاجر الخاص بك. تختلف المتطلبات ويتم شرحها في وثائق كل بوابة دفع، وتتطلب جميع بوابات الدفع المتكاملة امتثالاً بدائياً لـ PCI على الأقل، أي شهادة HTTPS/SSL صالحة.

هل يحتاج موقع وووكامرس الخاص بي إلى شهادة SSL؟ (Does my WooCommerce site need an SSL certificate?)

يعتقد الكثير منا في وووكامرس أن جميع مواقع الويب التي تحتفظ بمعلومات المستخدم يجب أن تحتوي على شهادة SSL وأن تكون عبر HTTPS. إذا كنت تستخدم بوابة دفع مستضافة خارج الموقع، فقد لا تحتاج إلى شهادة SSL لتشغيل وووكامرس، لكن العديد من إضافات بوابات الدفع تطلبها ونحن نوصي بشدة بشدة بها لجميع مواقع وووكامرس. مزيد من المعلومات في: مقدمة إلى HTTPS/SSL والأسئلة الشائعة حول HTTPS/SSL. لاحظ أن المستند الأول يتضمن معلومات عن شهادات SSL المجانية.

هل موقع وووكامرس الخاص بي متوافق مع PCI؟ (Is my WooCommerce site PCI compliant?)

يمكن أن يكون بالتأكيد! إذا كنت تستخدم بوابة دفع متكاملة، فيجب أن يكون كذلك. المزيد في: امتثال PCI-DSS وووكامرس.

هل موقع وووكامرس الخاص بي متوافق مع GDPR؟ (Is my WooCommerce site GDPR compliant?)

يمكن أن يكون كذلك! دخلت اللائحة العامة لحماية البيانات (GDPR) في أوروبا حيز التنفيذ في 25 مايو 2018. إذا كنت تبيع أي منتجات للعملاء المقيمين في الاتحاد الأوروبي، أو كان لديك زوار من الاتحاد الأوروبي لموقعك، فيجب عليك التأكد من امتثال موقعك لـ GDPR. لدينا مجموعة من الموارد المتاحة لمساعدتك على البدء.

ما مدى أمان أو "قابلية اختراق" موقع وووكامرس الخاص بي بشكل عام؟ (How secure or “hackable” is my WooCommerce site in general?)

نظراً لأن وووكامرس مبني على ووردبريس، فإن موقع وووكامرس معيناً يكون بشكل عام آ تماماً مثل تثبيت ووردبريس نفسه. هذه أخبار جيدة نظراً لأن ووردبريس يُستخدم من قبل مئات الملايين من مواقع الويب وهناك الكثير من المعلومات حول أفضل ممارسات أمان ووردبريس. أي مسألة أمنية تتعلق بووردبريس، بما في ذلك اختيار مستضيف ويب وحزمة استضافة آمنة، ستتعلق أيضاً بوووكامرس. نوصي باتخاذ الخطوات الأولية على الأقل تأميناً لموقع وووكامرس الخاص بك؛ يمكنك حقاً تأمين موقعك تماماً باستخدام نصائح "التصلب" (hardening) الإضافية هذه. يتطور الويب بسرعة وبشكل لا يمكن التنبؤ به. أحد مفاتيح الأمان هو الحفاظ على تحديث إصدار ووردبريس لموقعك وجميع إضافات ووردبريس، وسواء كانت تخص وووكامرس أم لا. قد يبدو هذا بمثابة إزعاج، ولكنه أمر بالغ الأهمية للبقاء متقدماً بخطوة واحدة في سباق التسلح الأمني المستمر على الويب. أخيراً، يكفي إضافة واحدة خبيثة أو سيئة التصميم أو مقتطف كود لتعريض موقعك بالكامل وجميع بيانات موقعك للخطر. لدينا في WooCommerce.com مصلحة مادية مباشرة في شراء إضافات متعلقة بوووكامرس منا، ولكن هناك أيضاً اعتبار أمني حقيقي للغاية. تدافع وووكامرس عن منتجاتنا، فضلاً عن تلك الخاصة بمطوري الشركاء المختارين بعناية الذين نبيع ملحقاتهم على WooCommerce.com؛ نحن نرهن سمعتنا بأمانهم. هناك مواقع تدار تدعي بيع نفس الإضافات بسعر أرخص، ولكن ما لم ترتدي ملابسك وتشتري منتجاتنا أيضاً ثم تتقاطع شخصياً مع كل سطر كود، فلا يمكنك معرفة ما إذا كانت متطابقة حقاً. القرار لك لتتخذه، لكن من الصعب وضع سعر لراحة البال.

كيف يمكنني طلب وتخزين المعلومات الحساسة بأمان مثل أرقام الضمان الاجتماعي أو عمليات مسح بطاقات الهوية الحكومية؟ (How can I securely request and store sensitive information like Social Security numbers or scans of government ID cards?)

تفرض العديد من السلطات القضائية قوانين صارمة بخصوص تخزين معلومات مثل أرقام بطاقات الائتمان، وأرقام الضمان الاجتماعي، ومعلومات رخصة القيادة. تختلف متطلبات التحقق من أمان موقع الويب لتخزين هذا النوع من المعلومات قانوناً، ولكن في الولايات المتحدة، على سبيل المثال، قد تكون هناك مواصفات متعددة ومتداخلة على مستويات البلديات، والمقاطعات/الأبرشيات، والولاية، والمستويات الفيدرالية، وكلها سيتعين عليك استيفاؤها. سيتعين عليك التحقق مع محامٍ - والتأكد من إشعارك بمتطلبات التخزين الآمن القانونية ليس فقط لعنوان عملك وموقع مستضيف موقع الويب الخاص بك ولكن لكل مكان محتمل قد يتواجد فيه عملاؤك. إذا كان هذا يبدو مخيفاً، فاسأل نفسك: هل تحتاج حقاً إلى قيام العملاء بتقديم أرقام الضمان الاجتماعي الخاصة بهم أو معلومات/صور الهوية الحكومية على موقع الويب الخاص بك؟ الحفاظ على البيانات الحساسة في قواعد البيانات عبر الإنترنت هو كيف يحدث سرقة الهوية - ومع كل قاعدة بيانات إضافية مختلفة توجد بها تلك المعلومات، يزداد الخطر. إذا كنت مصراً على تخزين هذا النوع من المعلومات على موقع وووكامرس الخاص بك، فكن متأكداً بنسبة 100 بالمائة من أنك تعرف وراعي مسؤوليتك القانونية والأخلاقية.

ما هو هجوم اختبار البطاقة؟ (What is a card testing attack?)

هجوم اختبار البطاقة هو نوع من الاحتيال يحاول فيه المجرمون التحقق من صحة معلومات بطاقة الائتمان المسروقة من خلال إجراء معاملات صغيرة وسريعة من خلال متجر على الإنترنت. عادةً ما تتضمن محاولات الاحتيال هذه إجراء عمليات شراء متعددة ومنخفضة القيمة لتجنب اكتشافها من قبل حاملي البطاقات أو البنوك. إذا نجح الهجوم، يتعلم المهاجم أن البطاقة صالحة، مما يسمح له باستخدامها في عمليات شراء احتيالية أكبر. يمكن أن يؤدي هذا النوع من الهجوم إلى زيادة رسوم المعاملات، وعمليات استرداد الأموال الاحتيالية (chargebacks)، وربما الإضرار بسمعة المتجر.

تعرض موقعي لهجوم اختبار البطاقة. ماذا أفعل؟ (My site has had a card testing attack. What do I do?)

إذا كنت تستخدم WooPayments، فلدينا إرشادات محددة هنا. إذا كنت تستخدم بوابة دفع أخرى:

• قم برد جميع المعاملات التي تعتقد أنها احتيالية.
• فكر في إضافة برامج مكافحة الاحتيال إلى موقعك مثل WooCommerce Anti-Fraud.
• فكر في إضافة برنامج reCaptcha إلى عملية الدفع الخاصة بك reCaptcha for WooCommerce.
• حدد ما إذا كانت هناك منتجات محددة قد تكون أكثر عرضة لهذا النوع من الاختبارات، على سبيل المثال منتجات "التبرع" (donation) أو "حدد سعرك" (name your price).
• فكر في منع الدفع للضيوف (guest checkout) على موقعك.
• اعمل مع مزود الدفع الخاص بك لزيادة الأمان في حسابهم، على سبيل المثال، تحديث أو مراجعة تدابير مكافحة الاحتيال المعمول بها لديهم.

يرجى ملاحظة أنه إذا قمت برد المعاملات التي تعتقد أنها احتيالية، فقد يظل مزود الدفع الخاص بك لا يرد رسوم المعاملات لتلك المعاملات. إذا كنت ترغب في استرداد هذه الرسوم، يرجى التواصل مع مزود الدفع الخاص بك.