البوتات تهاجم موقع ووردبريس؟ خطة تعامل من 4 خطوات

فجأة الموقع بقى تقيل، واستهلاك السيرفر في السما، والزيارات في التحليلات مش منطقية. أغلب الظن إن مش بشر اللي داخلين، دي بوتات. والحل مش إنك تقفل الباب في وش الكل، لأن جوجل نفسه بوت.

بحسب تحليل Kinsta لأكثر من 10 مليارات طلب، زادت حركة البوتات المدفوعة بالذكاء الاصطناعي بنحو 300% خلال عام. يعني الموضوع لم يعد حالة طوارئ نادرة، بل جزء من تشغيل أي موقع.

لماذا لا تحظر كل البوتات؟

حركة البوتات (Bot Traffic) ليست كلها ضارة. زواحف محركات البحث تجلب لك الزيارات العضوية، وأدوات مراقبة الـ Uptime تنبهك حين يسقط الموقع، وبعض زواحف الذكاء الاصطناعي (AI Crawlers) قد تذكر موقعك في إجاباتها.

في المقابل، هناك بوتات تستهلك الموارد بلا هدف خبيث، وأخرى تهاجم فعلاً. المطلوب خطة قابلة للتكرار بدل الذعر:

1. شخّص: ما الذي يحدث ومن المسؤول؟
2. ثبّت الموقع فوراً إن كان الزوار الحقيقيون يتأثرون.
3. قرر: ما الذي تسمح به، وما الذي تتحقق منه، وما الذي تحظره.
4. راقب النتائج وعدّل ووثّق.

الخطوة 1: شخّص المشكلة — بوتات عادية أم هجوم؟

أول سؤال: هل الموقع تحت ضغط فعلاً؟ راجع هذه العلامات:

• تحميل الصفحات أبطأ، أو ظهور أخطاء 502 و503.
• ارتفاع استهلاك المعالج وPHP وقاعدة البيانات في لوحة الاستضافة.
• قفزات في الزيارات لا تقابلها مبيعات أو تفاعل حقيقي.
• عدد ضخم من الطلبات على نفس الروابط.

بعدها حدّد المصدر. المصدر الأصلي يستعرض لوحة تحليلات Kinsta التي تقسم الزيارات إلى بشر محتملين، وبوتات موثقة، وزواحف AI، وحركة خبيثة. إن لم تكن على Kinsta، فأمامك بدائل متاحة لمعظم المواقع العربية:

• Cloudflare (الخطة المجانية): من Security ← Analytics ترى الطلبات حسب الدولة والـ User Agent والمسار وعنوان IP، وتمييز البوتات الموثقة.
• سجلات السيرفر (Access Logs): من cPanel أو hPanel أو Plesk. هذا الأمر يعرض أكثر 10 User Agents طلباً:

awk -F'"' '{print $6}' access.log | sort | uniq -c | sort -rn | head -10

• إضافة Wordfence: قسم Live Traffic يفرز البشر عن الزواحف داخل لوحة تحكم ووردبريس.

اسأل نفسك: أي الروابط تُستهدف؟ هل هي صفحات مخزّنة أم ديناميكية؟ ومن أي دول وأي IPs؟

الخطوة 2: ثبّت الموقع أولاً إن كان الزوار يتأثرون

لو العملاء الحقيقيون بدأوا يتأثروا، لا تنتظر حتى تكتمل التحقيقات. أنقذ الموقع أولاً، ثم حسّن القواعد بهدوء.

إجراءات التثبيت السريع:

• ارفع مستوى الحماية مؤقتاً: في Cloudflare فعّل Bot Fight Mode، أو في الحالات الحرجة Under Attack Mode لبضع ساعات.
• احظر الحركة المسيئة بوضوح: عناوين IP أو نطاقات ASN التي تضرب الموقع بآلاف الطلبات.
• تحقق من الحركة المشكوك فيها: بدل الحظر، فرض اختبار التحقق (Managed Challenge).
• احمِ الزواحف المهمة: تأكد أن Googlebot وبوابات الدفع مثل Paymob وFawry وخدمات الـ Webhook ما زالت تصل.

هذه الإجراءات أشد مما يحتاجه معظم المواقع على المدى الطويل، لكنها تشتري لك وقتاً لبناء خطة أدق.

الخطوة 3: قرر — اسمح، تحقّق، أو احظر

بعد استقرار الموقع، ضع لكل نوع من البوتات واحداً من ثلاثة قرارات:

• السماح (Allow): يدخل الطلب مباشرة.
• التحقق (Challenge): يمر الطلب بخطوة تحقق إضافية أولاً.
• الحظر (Block): يُرفض الطلب تماماً.

للوصول للقرار الصحيح، اسأل ثلاثة أسئلة:

1. هل يقدّم البوت قيمة؟ زاحف جوجل يجلب زيارات، أما Scraper لا يرسل زائراً واحداً فلا قيمة له.
2. كم يكلّفك؟ بوت يزور مقالة مخزّنة يكاد لا يكلّف شيئاً، أما بوت يضرب سلة ووكومرس فكل طلب منه يشغّل PHP وقاعدة البيانات.
3. ماذا يحدث لو حظرته؟ حظر Googlebot قد يمحو ظهورك في البحث. حظر معظم البوتات الأخرى لن يلاحظه أحد.

والأهم: القرار لا يجب أن يكون واحداً لكل الموقع. قد تسمح لبوت بقراءة المقالات وتمنعه من السلة.

سيناريوهات شائعة وكيف تتعامل معها

زاحف محرك بحث يرسل طلبات كثيرة

لا تحظره تلقائياً. افحص: هل يزحف على محتوى مفيد قابل للفهرسة، أم علق في روابط الفلاتر والمعاملات (Parameters) اللانهائية؟ الحل غالباً تقليل الروابط غير الضرورية، لا حظر الزاحف.

زواحف الذكاء الاصطناعي تستهلك الموارد

اسأل: هل يهمك الظهور في إجابات ChatGPT وغيره؟ هل تجلب هذه الزواحف زيارات فعلية؟ هناك فرق بين تدريب نموذج مجاناً على محتواك وبين ظهورك كمصدر. وليست كل زواحف AI سواء.

إن قررت تقييد بعضها، فأبسط بداية هي ملف robots.txt، مع العلم أنه طلب مهذب تحترمه الزواحف الملتزمة فقط:

User-agent: GPTBot
Disallow: /

User-agent: CCBot
Disallow: /

User-agent: Google-Extended
Disallow: /

Google-Extended يمنع استخدام محتواك في تدريب نماذج Google دون التأثير على ظهورك في بحث جوجل العادي. وللزواحف التي لا تحترم الملف، يتيح Cloudflare خيار حظر زواحف AI بنقرة من إعدادات البوتات.

بوتات تضرب السلة والدفع والبحث

هذه المسارات الديناميكية (Dynamic Endpoints) تتجاوز الكاش، وتشغّل PHP واستعلامات قاعدة البيانات، وتنافس عملاءك الحقيقيين على نفس الموارد. وهي مشكلة شائعة جداً في متاجر ووكومرس.

احمِ هذه المسارات تحديداً دون حظر الزواحف من الموقع كله. في robots.txt:

User-agent: *
Disallow: /cart/
Disallow: /checkout/
Disallow: /my-account/
Disallow: /*?add-to-cart=
Disallow: /*?s=

ثم أضف قاعدة جدار حماية تطبيقات الويب (WAF) في Cloudflare من Security ← WAF ← Custom rules بإجراء Managed Challenge، تستثني البوتات الموثقة:

(http.request.uri.path contains "/wp-login.php" or http.request.uri.path contains "/checkout") and not cf.client.bot

وأضف قاعدة تحديد معدل الطلبات (Rate Limiting) على wp-login.php وxmlrpc.php إن كانت خطتك تسمح بها.

Scraper مجهول يزحف على آلاف الروابط

المجهول ليس خبيثاً بالضرورة، لكنه يستحق التحقيق. افحص الـ User Agent وعناوين IP والمسارات وسلوك الطلبات. تأكد أنه ليس خدمة ربط تعتمد عليها، كأداة شحن أو مزامنة مخزون.

إن لم تتأكد، فرض عليه التحقق. وإن كان مزعجاً بوضوح، احظره. ثم راقب: بعض البوتات تغيّر هويتها وعناوينها بعد الحظر.

الخطوة 4: راقب وعدّل ووثّق

بعد تطبيق القواعد، راجع البيانات: الزيارات، واستهلاك الموارد، والظهور في البحث، والإحالات من أدوات الذكاء الاصطناعي. واسأل:

• هل قلّت الحركة غير المرغوبة؟
• هل تحسّن أداء السيرفر؟
• هل ما زالت الزواحف المشروعة تعمل؟ راجع Google Search Console.
• هل تعطّلت أي خدمة ربط، كإشعارات الدفع أو الشحن؟
• هل حظرت حركة مفيدة بالخطأ؟

لو كل شيء سليم، اترك القواعد وراجعها دورياً. لو المشكلة مستمرة، شدّد القواعد. ولو تأثر زوار حقيقيون أو بوتات مفيدة، أضف استثناءات محددة. ووثّق ما حدث في كل مرة، لأن الحادثة القادمة ستأتي.

قائمة مراجعة سريعة

الأسئلة الشائعة

س: كيف أعرف إن كان موقع ووردبريس يتعرض لهجوم بوتات؟
ج: علامات مثل البطء المفاجئ، وأخطاء 503، وقفزات في الزيارات بلا مبيعات، وآلاف الطلبات على نفس الرابط. راجع سجلات السيرفر أو تحليلات Cloudflare لتحديد المصدر.

س: هل حظر زواحف الذكاء الاصطناعي يضر السيو؟
ج: حظر Google-Extended أو GPTBot لا يؤثر على ترتيبك في بحث جوجل. لكنه قد يقلل ظهورك كمصدر في إجابات أدوات الذكاء الاصطناعي، فقرر حسب أهدافك.

س: هل تكفي خطة Cloudflare المجانية لحماية ووردبريس من البوتات؟
ج: لمعظم المواقع الصغيرة والمتوسطة نعم: Bot Fight Mode وقواعد WAF المخصصة وحظر زواحف AI متاحة فيها. المتاجر الكبيرة قد تحتاج ميزات خطط أعلى.

س: هل يكفي ملف robots.txt لإيقاف البوتات؟
ج: لا. هو طلب تحترمه الزواحف الملتزمة فقط. البوتات المسيئة تتجاهله، ولها جدار الحماية.

الخلاصة

متقفلش الباب في وش كل البوتات، ومتسيبهوش مفتوح على الآخر. شخّص، ثبّت، قرر لكل نوع ولكل جزء من الموقع، وراقب. ولو متجرك بيتعب في المواسم ومحتاج حد يظبط معاك قواعد الحماية، احجز من احجز استشارة مجانية.

مرجع المقال (بالإنجليزية): What to do when bots hit your WordPress site: An action plan
المقال ده مش ترجمة حرفية: متكيّف للقارئ العربي ومضاف عليه سياق ووردبريس وElementor وJetEngine.