كيفية حماية موقع بكلمة مرور

أين يجب التحقق من كلمة المرور

إن كان التحقق يجري داخل الصفحة، في بضعة أسطر من JavaScript، فقد وصلت الصفحة بالفعل، ووصل معها كل ما فيها: ويُظهره View Source (عرض المصدر). لماذا لا تكون كلمة المرور داخل الصفحة كلمة مرور حقًا.

أما التحقق الحقيقي فيجري على الخادم. فدون كلمة المرور، يرسل الخادم نموذجًا بدل الصفحة، ولا يرى محرك البحث أيضًا إلا النموذج.

ثلاثة أسئلة تميّز الطرق أدناه بعضها من بعض: هل تستطيع حماية الموقع كله أم صفحة واحدة، وهل يتشارك الجميع كلمة مرور واحدة أم يسجّل كل شخص دخوله، وهل تبقى الملفات المرفوعة، كالصور وملفات PDF، متاحة على عناوينها الخاصة.

على WordPress أو Squarespace أو Wix

• WordPress. مقالة أو صفحة واحدة في كل مرة، مجانًا: في إعداداتها، اضبط Visibility (الظهور) على Password protected (محمي بكلمة مرور). يتشارك الجميع كلمة مرور تلك الصفحة، وطولها حتى 20 حرفًا، ويحتفظ بها المتصفح 10 أيام. ولا تصف وثائق WordPress نفسها كلمة مرور للموقع كله؛ بل تضيفها الإضافات (plugins). وتقول صفحات المساعدة في WordPress.com إن الملفات المضافة إلى مقالة محمية يمكن فتحها، وفهرستها، دون كلمة المرور.
• Squarespace. الموقع كله، من Site Availability → Password Protected (إتاحة الموقع ← محمي بكلمة مرور)، أو صفحات منفردة، من إعدادات الصفحة تحت Password (كلمة المرور). يتشارك الجميع كلمة المرور نفسها، ويُطلب من الزائر إدخالها مرة أخرى بعد أربع ساعات. وحين تكون كلمة المرور على الموقع كله، لا يستطيع العملاء إتمام الشراء.
• Wix. صفحات منفردة، من إعدادات الصفحة تحت Access → Password holders (الوصول ← حاملو كلمة المرور). وتقول صفحات المساعدة في Wix إن كلمة المرور للموقع كله ليست متاحة للجميع بعد، وإن الكود في الصفحة المحمية يمكن قراءته في المتصفح رغم ذلك.

على Netlify أو Vercel أو GitHub Pages

• Netlify. كلمة مرور للموقع كله في خطة Pro، بسعر $20 شهريًا؛ وليست في Free ولا في Personal. ويمكن في Pro أيضًا وضع اسم مستخدم وكلمة مرور على مسارات تختارها، في ملف _headers.
• Vercel. كلمة مرور مشتركة في خطة Pro، بسعر $20 شهريًا لكل مشروع محمي، ولا تغطي النطاق الذي يعمل عليه موقعك فعليًا إلا إذا كان مدى الحماية All Deployments (كل عمليات النشر). أما Vercel Authentication (المصادقة عبر Vercel)، المجانية في كل الخطط، فلا تسمح بالدخول إلا لمن لديهم حساب على Vercel ومنحتهم الوصول.
• GitHub Pages. لا كلمة مرور. موقع Pages عام حتى لو كان مستودعه خاصًا؛ ولا يستطيع جعله خاصًا، لمن يستطيعون قراءة المستودع، إلا GitHub Enterprise Cloud.

أي موقع: رمز بالبريد الإلكتروني مع Cloudflare Access

إن كان نطاقك على Cloudflare، يستطيع Access أن يقف أمام أي موقع. يكتب الزائر بريده الإلكتروني، فيصله رمز يعمل مرة واحدة ويبقى صالحًا 10 دقائق، ولا يدخل إلا إذا كنت قد وضعت عنوانه في القائمة. وهو مجاني لما يصل إلى 50 شخصًا، ثم بسعر $7 للشخص شهريًا.

لا كلمة مرور يتناقلها الناس، ويمكنك أن تحذف شخصًا واحدًا من القائمة. أما المأخذ، كما يذكره دليل Cloudflare نفسه، فهو أن كل من يجد عنوان خادمك نفسه يستطيع الالتفاف على Cloudflare، لذا ضع الخادم خلف Cloudflare Tunnel.

خادمك الخاص: كلمة مرور في Apache أو nginx

على خادم خاص بك، يستطيع خادم الويب نفسه أن يطلب اسم مستخدم وكلمة مرور. أنشئ ملف كلمات مرور خارج المجلد الذي يُقدَّم منه الموقع، فيه سطر لكل شخص:

htpasswd -c /etc/.htpasswd ana

ثم، في Apache، ضع هذا في إعدادات الموقع أو في ملف .htaccess داخل المجلد المراد حمايته:

AuthType Basic
AuthName "Private"
AuthUserFile "/etc/.htpasswd"
Require valid-user

وفي nginx، داخل كتلة server، أو داخل location لجزء واحد:

auth_basic "Private";
auth_basic_user_file /etc/.htpasswd;

يحصل كل شخص على اسم مستخدم وكلمة مرور خاصين به. وتنتقل كلمة المرور مع كل طلب دون تشفير، لذا لا تستخدمها إلا عبر HTTPS، كما يقول دليل Apache.

صفحة أو مجلد أو ملف PDF لديك: Solta

إن كان ما تريد حمايته صفحة أو مجلدًا أو ملف PDF، لا موقعًا تديره أصلًا، فانشره على Solta واختر بكلمة مرور ضمن خيارات من يستطيع فتحه. وهو متاح في كل الخطط: موقع واحد محمي بكلمة مرور في الوقت نفسه في خطة Free، و5 في خطة Plus، وبقدر ما تشاء في خطط Pro وTeam.

يُتحقق من كلمة المرور قبل أن يُرسل أي شيء: لا صفحة، ولا صورة، ولا PDF. لا نحتفظ إلا بتجزئة scrypt لها، وكلمة المرور الصحيحة تفتح ذلك الموقع وحده لمدة 12 ساعة. والموقع المحمي بكلمة مرور يبقى أيضًا خارج محركات البحث، مثل كل موقع غير عام. كيف يُبقي Solta المواقع خارج نتائج البحث.

وإن لم تكفِ كلمة مرور واحدة مشتركة، فإن خيار بالدعوة، في خطط Pro وTeam، لا يسمح بالدخول إلا للعناوين التي تضعها في القائمة، ويُؤكَّد كل عنوان بالبريد مرة واحدة، دون حساب.

أيّها تستخدم

• مقالة أو صفحة على موقع WordPress: كلمة المرور في WordPress نفسه، واحفظ الملفات المهمة في مكان آخر.
• موقع كامل على Squarespace: كلمة المرور التي يضعها للموقع كله، إلا إن كنت تبيع عليه.
• موقع تستضيفه بنفسك، لعدد قليل من الأشخاص بأسمائهم: Cloudflare Access، أو كلمة مرور في Apache أو nginx عبر HTTPS.
• صفحة أو مجلد أو ملف PDF لترسله إلى شخص ما: Solta، بكلمة مرور، أو بعناوين مدعوة في خطط Pro وTeam.

المصادر

ما نذكره عن كل شركة هو ما قالته صفحاتها نفسها حين قرأناها، في 1 نوفمبر 2026:

• WordPress: حماية المقالات بكلمة مرور، ومدة الاحتفاظ بكلمة المرور (بالإنجليزية)
• WordPress.com: ظهور المقالات والصفحات (بالإنجليزية)
• Squarespace: كلمات المرور للموقع كله وكلمات مرور الصفحات (بالإنجليزية)
• Wix: كلمة مرور على صفحة واحدة وعلى الموقع كله (بالإنجليزية)
• Netlify: الحماية بكلمة مرور والمصادقة الأساسية في الترويسات (بالإنجليزية)
• Vercel: الحماية بكلمة مرور، وحماية عمليات النشر، وVercel Authentication (بالإنجليزية)
• GitHub: إنشاء موقع Pages وجعل موقع Pages خاصًا (بالإنجليزية)
• Cloudflare: خطط Zero Trust، والرمز لمرة واحدة، وحماية موقع عام (بالإنجليزية)
• Apache: المصادقة والتفويض وnginx: auth_basic (بالإنجليزية)

أسئلة