من يرقّع ماذا؟ المسؤولية المشتركة في الاستضافة مقارنة بخادم VPS تديره بنفسك

عندما تُعلن ثغرة خطيرة في PHP أو OpenSSH أو في إضافة شائعة لنظام إدارة محتوى، فإن السؤال المفيد الأول ليس «ما مدى خطورتها؟» بل «هل إصلاحها مسؤوليتي؟». والإجابة تعتمد على نوع الخدمة التي تعمل عليها: ففي استضافة المواقع يعود جزء كبير من البنية إلى المزوّد، أما في الخادم الافتراضي الذي تديره بنفسك فكل ما فوق العتاد تقريباً مسؤوليتك. يرسم هذا الدليل الحد بين الطرفين بوضوح حتى لا يضيع شيء بينهما.

النموذج في جملة واحدة

المزوّد مسؤول عن الطبقات التي لا تستطيع الوصول إليها، وأنت مسؤول عن الطبقات التي تستطيع الوصول إليها. ويعرض وصف Microsoft الشائع للمسؤولية المشتركة ذلك بحسب نماذج الخدمة: في البنية التحتية كخدمة (IaaS) تدير الأجهزة الافتراضية وأنظمة التشغيل والتطبيقات، وفي المنصة كخدمة (PaaS) تنشر التطبيقات دون إدارة نظام التشغيل. كما يذكر ما يبقى دائماً على عاتق العميل أياً كان النموذج: البيانات، والأجهزة المستخدمة للوصول إلى الخدمة، وحسابات المستخدمين، وإدارة الوصول مثل المصادقة متعددة العوامل.

في الاستضافة المشتركة أو المُدارة

لا تمنحك خطط الاستضافة صلاحيات الجذر، لذا لا تستطيع ترقيع نظام التشغيل أو خادم الويب أو بيئة تشغيل PHP أو خادم قاعدة البيانات حتى لو أردت، فهذه يشغّلها المزوّد. لكن ما يبقى عليك ليس قليلاً:

• تطبيقك: نواة نظام إدارة المحتوى والإضافات والقوالب وأطر العمل وشيفرتك الخاصة. ومعظم اختراقات المواقع تبدأ من هنا لا من الخادم.
• الاعتماديات التي تُجلب عبر Composer أو npm، والمحافظة على تحديثها.
• التوافق مع إصدارات مدعومة: عندما يبلغ فرع من PHP نهاية عمره يجب أن تعمل الشيفرة على فرع أحدث. فقد انتهى عمر PHP 8.1 في 31 ديسمبر 2025، ولن يتلقى PHP 8.2 إصلاحات أمنية إلا حتى 31 ديسمبر 2026 (الإصدارات المدعومة في php.net).
• الحسابات والأسرار: حسابات لوحة التحكم ونظام إدارة المحتوى، والمصادقة متعددة العوامل، وكلمات مرور قواعد البيانات ومفاتيح API في ملفات الإعداد.
• بياناتك وطريقة استخدامها، بما في ذلك الملفات المصدّرة والنسخ التي تحتفظ بها في أماكن أخرى.

في خادم VPS تديره بنفسك

الخادم الافتراضي بصلاحيات الجذر هو بنية تحتية؛ يشغّل المزوّد الخوادم الفعلية والشبكة حتى خادمك وطبقة المحاكاة الافتراضية ولوحة التحكم، وكل ما يبدأ من النواة فصاعداً عملك أنت:

• تثبيت التحديثات الأمنية لنظام التشغيل، وإعادة تشغيل الخدمات التي تستخدم مكتبات محدَّثة، وإعادة تشغيل الخادم للأنوية الجديدة.
• اختيار خادم الويب وPHP وقاعدة البيانات وبيئات التشغيل وتحديثها، بما في ذلك الحزم القادمة من مستودعات خارجية قد لا تغطيها التحديثات التلقائية.
• تقوية SSH، وجدار الحماية داخل الخادم، وشهادات TLS وتجديدها.
• المراقبة والاحتفاظ بالسجلات والتنبيهات.
• النسخ الاحتياطي واختبارات الاستعادة.
• الانتقال إلى إصدار جديد من نظام التشغيل قبل خروج الإصدار الحالي من الدعم الأمني.

مقارنة مباشرة

مثال عملي: إصدار أمني حرج لـ PHP

خذ الإصدارات الأمنية لـ PHP في أكتوبر 2026 التي يشرحها مقالنا عن php2shell. في الاستضافة يكون تحديث بيئة PHP من مهام المزوّد، ودورك أن تُبقي الموقع على فرع مدعوم من PHP وأن تحدّث التطبيق نفسه. أما في VPS فلا يصل الإصلاح إلا عندما تثبّته أنت: شغّل تحديثات الحزم لتوزيعتك، وأعد تشغيل PHP-FPM أو خادم الويب، وتأكد من الإصدار العامل، وكرر ذلك على كل خادم. وإذا كان PHP يأتي من مستودع خارجي فتأكد من أن هذا المستودع مشمول في عملية التحديث لديك.

تطبيق ذلك على خطط الاستضافة وخوادم VPS في الرياض

في خطط الاستضافة لدى Skyline Cloud لا توجد صلاحيات جذر ولا Python ولا Docker. وتتضمن كل خطة شهادات SSL مجانية تتجدد تلقائياً، ونسخاً احتياطية ليلية للمواقع وقواعد البيانات تُحفظ 30 يوماً مع استعادة بنقرة واحدة. ويبقى تطبيقك وإضافاته واعتمادياته وحساباتك مسؤوليتك. وعندما تحتاج إلى صلاحيات الجذر أو Python أو Docker فالحل هو VPS تديره بنفسك؛ إذ يمنحك VPS الرياض دخول SSH بصلاحيات الجذر وجدار حماية سحابياً يُدار من لوحة التحكم ويُطبَّق خارج الخادم. ويغطي الدعم المنصة: لوحة التحكم والفوترة والشبكة وإمكانية الوصول، أما ما يعمل داخل الخادم فمسؤولية العميل. ولا توجد لخوادم الرياض لقطات للصور ولا نسخ احتياطية تديرها المنصة، فخطط لنسخك الخاصة، مثلاً بوكيل نسخ احتياطي لأجهزة لينكس مثل Skyline Backup أو بأداة من اختيارك.

أسئلة تطرحها قبل الاختيار

• من في الفريق سيثبّت التحديثات كل أسبوع، ومن ينوب عنه في غيابه؟
• هل تحتاج إلى صلاحيات الجذر أو Docker أو بيئة لغة برمجة لا توفرها الاستضافة؟
• أين ستُحفظ النسخ الاحتياطية، ومتى اختبرت الاستعادة آخر مرة؟
• ما إصدارات البرمجيات التي يحتاجها تطبيقك، وإلى متى تبقى مدعومة؟

ما الذي ينبغي فعله

• دوّن لكل موقع أو خادم الطبقات التي تقع عليك، مستعيناً بالجدول أعلاه.
• في الاستضافة، حدّث نظام إدارة المحتوى والإضافات والاعتماديات، وفعّل المصادقة متعددة العوامل لكل حساب.
• في VPS، اجعل التحديثات الأمنية تلقائية، وجدول إعادة التشغيل، وراقب الخادم، واحتفظ بنسخ احتياطية مختبَرة.
• تابع تواريخ نهاية الدعم لإصدار نظام التشغيل وفرع PHP، وخطط للانتقال قبلها بأشهر.
• عند ظهور نشرة أمنية جديدة حدّد الطبقة أولاً، ثم نفّذ ما يخصك في اليوم نفسه.

المصادر

• learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility
• php.net/supported-versions.php
• php.net/eol.php
• cloud.alskyline.com/hosting
• cloud.alskyline.com/vps-saudi-arabia
• cloud.alskyline.com/cloud-backup-saudi-arabia