كيفية فحص ترويسات أمان المواقع عبر الإنترنت مجانًا (دليل 2026)

عندما يحمّل متصفحك موقعًا، تكون الصفحة المرئية نصف المحادثة فقط. خلف الكواليس، يرسل الخادم أيضًا ترويسات أمان HTTP — تعليمات غير مرئية تخبر المتصفح كيف يتصرف: استخدم الاتصالات المشفرة فقط، ولا تدع هذه الصفحة تُضمَّن في مواقع أخرى، واحظر مصادر السكربتات غير المتوقعة. وهي من أرخص الدفاعات وأكثرها فعالية التي يستطيع مالك موقع نشرها، وهي غير مرئية تمامًا للزوار. يوضح لك هذا الدليل كيفية مراجعة ترويسات أي موقع باستخدام أداة فحص ترويسات الأمان المجانية لدينا، وما تعنيه كل ترويسة بلغة بسيطة، وما تفعله بالنتائج.

ما هي ترويسات الأمان؟

تحمل كل استجابة ويب ترويسات — أسطر بيانات وصفية صغيرة على هيئة مفتاح/قيمة تُرسل قبل محتوى الصفحة. معظمها عادي (نوع المحتوى والتخزين المؤقت). ترويسات الأمان هي المجموعة الفرعية التي تقوّي سلوك المتصفح لذلك الموقع. لا تكلّف شيئًا لإرسالها، ولا تتطلب إجراءً من المستخدم، وتخفف فئات هجمات كاملة: التنصت واختطاف النقرات والبرمجة عبر المواقع والتباس نوع المحتوى. فالموقع الذي ينقصها ليس "مخترقًا" بالضرورة — لكنه يترك حماية مجانية على الطاولة.

الخطوة 1: أدخل رابط الموقع

افتح أداة فحص ترويسات الأمان واكتب عنوان موقع — فـ example.com يعمل جيدًا كاختبار. يمكنك فحص أي موقع عام: موقعك أو موقع صاحب عملك أو موقع تشعر بالفضول حياله. فحص الترويسات تشخيص عادي وغير ضار — فأنت تقرأ فقط ترويسات الاستجابة العامة نفسها التي يتلقاها أي متصفح.

الخطوة 2: شغّل الفحص

انقر على "فحص الترويسات". تجلب الأداة ترويسات استجابة الموقع وتقيّم ترويسات الأمان المهمة. وفي ثوانٍ تحصل على تقرير لكل ترويسة.

تحذير واحد: تحظر بضعة مواقع فحوصات الترويسات عبر المصادر، لذا قد لا يمكن أحيانًا مسح موقع من أداة قائمة على المتصفح. وإذا حدث ذلك، ستخبرك الأداة — وللفحص الأعمق يمكنك أيضًا تجربة خدمة securityheaders.com المعروفة.

الخطوة 3: اقرأ النتائج — الأخضر يعني موجودًا، والأحمر يعني مفقودًا

تحصل كل ترويسة على حكم بسيط: الأخضر يعني أن الترويسة موجودة، والأحمر يعني أنها مفقودة. لا تفزع عند الأحمر — اعتبر التقرير قائمة مهام، لا تنبيه اختراق. وفيما يلي ما تفعله كل ترويسة فعلًا.

ترويسة تلو الأخرى، بلغة بسيطة

Strict-Transport-Security (HSTS)

تخبر المتصفح: "تحدث إلى هذا الموقع عبر HTTPS فقط دائمًا، حتى لو حاول أحدهم خفض مستوى الاتصال". هذا يهزم هجمات من نمط sslstrip التي تحاول تجريد التشفير بصمت. أي موقع يتعامل مع تسجيلات دخول أو مدفوعات ينبغي أن يرسلها.

Content-Security-Policy (CSP)

قائمة بيضاء تعلن من أين يجوز للصفحة تحميل السكربتات والأنماط والموارد الأخرى. وهي أقوى تخفيف متاح ضد البرمجة عبر المواقع (XSS): فحتى لو حقن مهاجم وسم سكربت، يرفض المتصفح تشغيله ما لم يكن المصدر مسموحًا. وهي أيضًا أصعب ترويسة في الضبط الصحيح، ولهذا ينقصها كثير من المواقع.

X-Frame-Options

تتحكم فيما إذا كان يجوز تضمين الصفحة في إطار أو iframe على موقع آخر. عند ضبطها على DENY أو SAMEORIGIN، تحظر اختطاف النقرات — هجمات تضع صفحة خبيثة غير مرئية فوق (أو تحت) صفحة شرعية لاختطاف النقرات. (قد تستخدم المواقع الحديثة توجيه frame-ancestors من CSP بدلًا من ذلك، وهو يحل محلها.)

X-Content-Type-Options

مع القيمة nosniff، توقف المتصفحات عن التخمين الثاني لنوع محتوى ملف معلن. دونها، قد "يتحسس" متصفح ملفًا مرفوعًا ويقرر أنه في الواقع HTML/JavaScript وينفذه — وهو ناقل كلاسيكي للهجمات عبر رفع الملفات.

Referrer-Policy

تتحكم في مقدار رابط الصفحة المُرسل كـ HTTP Referer عند الانتقال بعيدًا. سياسة صارمة (مثل strict-origin-when-cross-origin أو no-referrer) تمنع تسريب روابط داخلية أو رموز جلسات في سلاسل الاستعلام أو مسارات خاصة إلى مواقع طرف ثالث.

إذا كان موقعك: ما تفعله بالترويسات المفقودة

1. أعطِ الأولوية لـ HSTS وX-Content-Type-Options — فهما إضافتان من سطر واحد على كل خادم وإطار عمل ويب تقريبًا.
2. أضف X-Frame-Options (أو frame-ancestors من CSP) ما لم يكن لديك سبب محدد للسماح بالتضمين.
3. خطّط لـ Content-Security-Policy بعناية. ابدأ بسياسة إبلاغ فقط لاكتشاف ما تحمّله صفحاتك بشكل شرعي، ثم نفّذها. فسياسة CSP مضبوطة خطأ تكسر موقعك بشكل مرئي، لذا اختبر في بيئة تجريبية أولًا.
4. أعد المسح بعد كل تغيير باستخدام أداة الفحص للتأكد من إرسال الترويسات فعلًا.

تُضبط الترويسات على مستوى الخادم أو التطبيق (إعداد خادم الويب أو وسيط إطار العمل أو قواعد حافة شبكة التوصيل) — والخطوات الدقيقة تعتمد على حزمتك، لكن كل منصة رئيسية توثّقها.

إذا كان موقع شخص آخر: كيف تفسّر الأحمر

الترويسة المفقودة على موقع تزوره فقط تستحق الملاحظة، لا الفزع. ترويسات الأمان دفاع متعمق: غيابها لا يعني أن الموقع مخترق أو أن بياناتك هناك مكشوفة. بل يعني أن مشغلي الموقع لم يفعّلوا طبقة حماية مجانية. وبالنسبة للمواقع التي تُدخل فيها معلومات حساسة، قد تفضّل بحق منافسين يأخذون التقوية بجدية — لكن لا تعتبر صفًا أحمر دليلًا على مخالفة.

ما لا تستطيع فحوصات الترويسات إخبارك به

الأمانة مهمة هنا أيضًا. فحص الترويسات يفحص الإعداد، لا الثغرات: فلا يستطيع العثور على حقن SQL أو مصادقة مكسورة أو أسرار مسربة أو برامج قديمة. فقد يسجّل موقع درجات كاملة في الترويسات ويظل غير آمن من الداخل — وقد ينقص موقعًا بضع ترويسات ويكون مهندسًا جيدًا في غير ذلك. اعتبره فحصًا لما إذا كان للمنزل أقفال قوية: معلومات مفيدة، لا مراجعة أمان كاملة.

الأسئلة الشائعة

هل فحص ترويسات موقع قانوني؟

نعم. فأنت تطلب الصفحة الرئيسية العامة للموقع وتقرأ بيانات الاستجابة القياسية التي يتلقاها كل متصفح. وهذا من فئة نشاط عرض مصدر الصفحة نفسه.

لماذا لا يمكن فحص بعض المواقع؟

تحظر بضعة مواقع الطلبات عبر المصادر، مما يمنع الأدوات القائمة على المتصفح من قراءة ترويساتها. وبالنسبة لها، يعمل عادة ماسح قائم على الخادم مثل securityheaders.com.

هل تبطئ ترويسات الأمان موقعًا؟

دون أثر قابل للقياس — فهي بضع بايتات إضافية في الاستجابة. لا يوجد سبب أداء لتخطيها.

هل إضافة الترويسات ستكسر موقعي؟

معظم الترويسات آمنة للإضافة مباشرة. Content-Security-Policy هي الاستثناء: اختبرها في وضع الإبلاغ فقط أولًا، لأن سياسة صارمة أكثر من اللازم تحظر سكربتات شرعية وتكسر الوظائف.

راجع موقعًا الآن: أداة فحص ترويسات الأمان المجانية · أداة البحث عن IP المجانية · أداة فحص روابط التصيد الاحتيالي المجانية