تقرير الفحص الأمني الشامل

تم إجراء فحص أمني استشاري شامل على موقع almadah.com (متجر إلكتروني لمواد البناء) بتاريخ 12 يونيو 2026. يهدف هذا الفحص إلى تقييم الوضع الأمني للموقع وتحديد الثغرات المحتملة وفقاً لمعايير OWASP Top 10 وأفضل الممارسات الأمنية الصناعية.

1.1 نظرة عامة على النتائج

1.2 المخاطر الرئيسية

2.1 نطاق العمل

2.2 المعايير والأدوات

3.1 المكونات التقنية

3.2 تحليل الهيدرز الأمنية

3.3 تحليل SSL/TLS

3.4 فحص البورتات المفتوحة

3.5 فحص HTTP Methods

3.6 فحص Cloudflare WAF

تم اختبار Cloudflare WAF بمحاولات XSS و SQLi ظاهرة:

6.1 إضافة الهيدرز الأمنية (أولوية فورية)

add_header X-Frame-Options "SAMEORIGIN" always;

add_header X-Content-Type-Options "nosniff" always;

add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https://fonts.googleapis.com; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; img-src 'self' data: blob:; font-src 'self' https://fonts.gstatic.com; frame-ancestors 'self';" always;

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

public function handle($request, Closure $next)
{
    $response = $next($request);
    $response->headers->set('X-Frame-Options', 'SAMEORIGIN');
    $response->headers->set('X-Content-Type-Options', 'nosniff');
    $response->headers->set('Referrer-Policy', 'strict-origin-when-cross-origin');
    return $response;
}

6.2 حماية ضد XSS

$disallowed = ['svg', 'svgz'];
$badMimes = ['image/svg+xml'];

6.3 تقوية مصادقة المستخدمين

Route::post('/users/login', [LoginController::class, 'login'])
    ->middleware('throttle:5,1'); // 5 محاولات في الدقيقة

composer require anhskohbo/no-captcha

RateLimiter::for('login', function ($request) {
    return Limit::perMinute(5)->by($request->ip());
});

6.4 إخفاء المعلومات التقنية

server_tokens off;

APP_DEBUG=false
APP_ENV=production

6.5 تحسين إدارة الجلسات

'secure' => true
'same_site' => 'lax'
'http_only' => true

Contact: mailto:security@almadah.com
Expires: 2027-01-01T00:00:00.000Z
Preferred-Languages: ar, en

تم تحديد 8 ثغرات أمنية تتراوح بين عالية ومنخفضة. الفحص العميق اكتشف كمان إن TLS 1.0/1.1 لسه شغالين وإن Cloudflare WAF على mode ضعيف. الموقع ليه أساس أمني كويس بس فيه نقاط لازم تتصلح فوراً.

أولوية فورية (أسبوع):

• إضافة الهيدرز الأمنية المفقودة في nginx أو Laravel
• تحديث Active eCommerce CMS لآخر إصدار
• إخفاء إصدار nginx بـ server_tokens off;
• تعطيل TLS 1.0/1.1 وإبقاء TLS 1.2+ فقط
• رفع Cloudflare WAF Security Level لـ "High"

أولوية قصيرة (شهر):

• تفعيل Rate Limiting على تسجيل الدخول
• إضافة Google reCAPTCHA
• تفعيل SameSite=Lax على الكوكيز
• إنشاء ملف security.txt

أولوية متوسطة (3 أشهر):

• تدقيق كامل للكود ضد ثغرات XSS تانية
• تفعيل Content-Security-Policy بشكل كامل
• تطبيق Multi-Factor Authentication (MFA)
• فحص أمني شامل بواسطة شركة متخصصة

ملخص التقييم النهائي