كيفية إعداد حماية جوجل ريكابتشا (Google reCAPTCHA)

تعد حماية نقاط المصادقة بمتجرك وبوابات إتمام الدفع (Checkout) من الروبوتات الضارة (Bots)، وهجمات التخمين وقواميس كلمات المرور، والتسجيلات العشوائية المؤتمتة أمراً حاسماً وضرورياً للحفاظ على صحة وسلامة قواعد البيانات وأمن المعاملات. تتكامل إضافة Wawp مباشرة مع نظام reCAPTCHA الرسمي من جوجل، مما يتيح لك حماية نماذج ووردبريس القياسية، وتدفقات حسابات ووكومرس، وصفحات الدفع، وقوالب Wawp OTP المخصصة بسهولة فائقة وببساطة.

قدرات وميزات الحماية الأساسية

• تغطية شاملة لنماذج متعددة: تأمين حقول تسجيل الدخول، وإنشاء الحسابات، وطلبات استعادة كلمة المرور المفقودة، وصفحات الدفع في ووكومرس بسهولة عبر مفاتيح تفعيل موحدة.
• دعم إصدارات V2 المختلفة: اختر بين نوع V2 غير المرئي - Invisible (شارة تحقق سلسلة غير مرئية دون مضايقة المستخدمين) و نوع V2 مربع الاختيار - Checkbox (مربع التحدي التفاعلي التقليدي "أنا لست برنامج روبوت").
• تخطيطات متجاوبة للغات الاتجاهين LTR/RTL: يتكيف موضع شارة التحقق غير المرئية ديناميكياً مع لغات الموقع؛ حيث تظهر في الزاوية اليسرى السفلية (bottomleft) للموقع باللغة العربية، أو الزاوية اليمنى السفلية (bottomright) للموقع باللغة الإنجليزية.
• التخزين المؤقت عالي الأداء (Caching): تقوم الإضافة بتخزين نتائج التحقق البرمجي مؤقتاً في ذاكرة الخادم (wp_cache_set ضمن مجموعة wawp_database لمدة 60 ثانية) لمنع طلبات HTTP المتكررة والبعيدة إلى خوادم غوغل، مما يسرع معالجة إرسال النماذج متعددة الخطوات.
• محفزات حقول POST الذكية: يقتصر فحص صحة الرموز (Tokens) بدقة على طلبات POST المرتبطة بتفاعل المستخدمين الفعلي (مثل تتبع حقول log أو username أو billing_email)، مما يمنع الحظر الخاطئ والتأخير في عمليات تحميل الصفحات العادية.

الخطوة 1: تهيئة وتكوين بيانات اعتماد واجهة البرمجة (API Keys)

قبل تمكين الحماية على النماذج المباشرة في موقعك، يجب عليك جلب وتكوين بيانات اعتماد صالحة من غوغل:

1. قم بزيارة لوحة تحكم إدارة Google reCAPTCHA Console وقم بتسجيل نطاق متجرك وموقعك:
   • الاسم الظاهر (Label): أدخل نطاق موقعك الإلكتروني (على سبيل المثال، mysite.com) لتحديد الموقع المسجل وسهولة التعرف عليه.
   • نوع reCAPTCHA: حدد تحدي (v2) - Challenge (v2)، ثم اختر شارة reCAPTCHA غير مرئية (Invisible reCAPTCHA badge) (يتيح هذا الخيار الفحص في الخلفية دون مقاطعة أو مضايقة المستخدمين).
   • النطاقات (Domains): أدخل النطاق الرئيسي لمتجرك وموقعك (مثال: mysite.com) حيث تكون الإضافة نشطة.
   • منصة Google Cloud: اختر مشروع غوغل كلاود المقابل لربطه (على سبيل المثال، Wawp).

2. وافق على شروط الخدمة وانقر على زر إرسال (Submit).
3. انسخ مفتاح الموقع (Site Key) والمفتاح السري (Secret Key) المولدين من صفحة التأكيد:
   • انقر فوق نسخ مفتاح الموقع (COPY SITE KEY) لنسخ مفتاحك العام (يسمح لنص الواجهة الأمامية لـ Wawp بعرض وتهيئة الشارة).
   • انقر فوق نسخ المفتاح السري (COPY SECRET KEY) لنسخ مفتاح التحقق الخاص بك (يسمح للخادم الخلفي بالتحقق من صحة الرموز بالتواصل الآمن مع جوجل).

4. داخل لوحة تحكم Wawp reCAPTCHA، الصق المفاتيح وحدد النوع المتطابق المقابل لها.

الخطوة 2: تحديد المواقع والصفحات المحمية (Protected Locations)

قم بتشغيل مفاتيح التفعيل لتحديد النماذج والصفحات التي ترغب في فرض وتفعيل تحديات الريكابتشا عليها بدقة:

1. نماذج تسجيل الدخول (ووردبريس وووكومرس)

• الخطافات النشطة (Active Hooks): الخطاف authenticate (لخادم ووردبريس الأساسي بأولوية 21) والخطاف woocommerce_process_login_errors (لخادم ووكومرس الأساسي).

• آلية وسير العمل: تدرج الإضافة الملفات البرمجية النصية على شاشات تسجيل الدخول القياسية. إذا حاول بوت سبام أو أداة تخمين إرسال طلب تسجيل دخول دون حل رمز التحقق ريكابتشا، يعيد Wawp رسالة خطأ التحقق recaptcha_failed: فشل التحقق من reCAPTCHA. يرجى المحاولة مرة أخرى.

2. نماذج إنشاء الحساب والتسجيل (ووردبريس وووكومرس)

• الخطافات النشطة: الخطاف registration_errors (في ووردبريس) والخطاف woocommerce_process_registration_errors (في ووكومرس).

• آلية وسير العمل: يعرض التحدي التفاعلي أو الشارة غير المرئية داخل نماذج التسجيل. يضمن ذلك عدم قدرة برمجيات وسكربتات إنشاء الحسابات التلقائية على حشو وتخزين حسابات وهمية عشوائية داخل قاعدة بيانات موقعك.

3. نماذج استعادة كلمة المرور المفقودة

• الخطافات النشطة: الخطاف lostpassword_post (في ووردبريس) والخطاف woocommerce_lostpassword_form (في ووكومرس).

• آلية وسير العمل: يحمي الموقع من البوتات الضارة التي تقوم بشن هجمات إغراق للخادم بطلبات استعادة كلمة مرور كثيفة وضخمة، مما يوفر النطاق الترددي للخادم ويمنع الارتفاعات الحادة لرسائل البريد الإلكتروني الصادرة عبر SMTP.

4. شاشة دفع ووكومرس (WooCommerce Checkout)

• الخطافات النشطة: الخطاف woocommerce_after_checkout_form (لعرض الأداة والشارة بصرياً) والخطاف woocommerce_checkout_process (لمعالجة التحقق البرمجي عند معالجة الطلب).

• آلية وسير العمل: يتضمن Wawp معالج اكتشاف ذكي ومتقدم (maybe_render_global_recaptcha). إذا كانت صفحة الدفع الخاصة بك مدعومة بمكونات Gutenberg Checkout Blocks الحديثة أو الأكواد المختصرة المخصصة، يكتشف النظام سياق صفحة الدفع ويدرج ريكابتشا غير المرئية مباشرة داخل الخطاف العام لتذييل الصفحة wp_footer لضمان حماية سلسة ومستمرة تماماً دون أي عوائق.

5. نماذج Wawp المخصصة

• نماذج تسجيل دخول Wawp: حماية شاشات تسجيل الدخول المخصصة لـ Wawp المستندة إلى كلمة المرور أو الرموز لمرة واحدة OTP.

• نموذج تسجيل Wawp (إنشاء حساب): حماية نموذج وصفحات التسجيل المخصصة للإضافة.

الخطوة 3: الآلية البرمجية والتحقق (خلف الكواليس)

عندما تكون الحماية نشطة، يدير Wawp تسليم وتزامن الملفات البرمجية والتحقق ديناميكياً لحماية سرعة الموقع:

• إدراج الملفات البرمجية بشكل انتقائي: يتم إدراج ملف جافا سكريبت الرسمي لجوجل ريكابتشا (https://www.google.com/recaptcha/api.js) فقط وفقط في الصفحات النشطة والمستهدفة (مثل is_checkout() أو is_account_page()) أو داخل خطاف شاشات الدخول login_enqueue_scripts للحفاظ على سرعة تحميل ممتازة لباقي صفحات موقعك الإلكتروني.
• فحص مصداقية الرمز البرمجي: بمجرد إرسال النموذج، يجري Wawp طلب POST خلفي آمن ومشفّر باستخدام دالة الووردبريس wp_remote_post إلى رابط التحقق الرسمي من جوجل: https://www.google.com/recaptcha/api/siteverify
• التخزين المؤقت للنتائج: لتجنب بطء قاعدة البيانات أو تأخير الاستجابة أثناء عمليات إعادة التوجيه المعقدة لإتمام الشراء أو فحص كلمات المرور، يتم حفظ وتخزين النتيجة مؤقتاً في ذاكرة ووردبريس الانتقالية (wawp_recaptcha_[md5-token]) لمدة 60 ثانية، متخطياً الاستعلامات البعيدة المتكررة لواجهة جوجل.