كيف يبدو التقرير في الواقع

ما ينبغي إصلاحه أولًا

هذه الأرقام الثلاثة تعدّ المشكلات التي عُثر عليها في أي موضع من هذا التقرير. أما الشريط أعلاه فيعدّ شيئًا آخر: كم فحصًا من قائمة ثابتة جرى تنفيذه، وكم منها عاد نظيفًا. الفحص الواحد الذي لم يعد نظيفًا قد يثير هنا أكثر من مشكلة، كما أن عدة أقسام أدناه تقع خارج تلك القائمة الثابتة تمامًا، ولذلك ليس المقصود أن يتطابق المجموعان.

• 6 حرجة
• 6 معلَّمة
• 16 ملاحظات

1. حرج:button-nameهذا خلل أبلغت عنه axe، وهي أداة آلية لفحص إمكانية الوصول تختبر الصفحة المعروضة مقابل إرشادات WCAG. كل خلل من هذا النوع يعني أن بعض من يستخدمون الصفحة بقارئ شاشة، أو بلوحة المفاتيح وحدها، أو بضعف بصري، يواجهون عائقاً محدداً هنا، وكلمة الأثر هي تصنيف axe نفسها: critical تعني عادةً أن الشخص لا يستطيع إتمام المهمة إطلاقاً، وminor تعني احتكاكاً بسيطاً فقط. تكتشف الفحوصات الآلية جزءاً فقط مما هو خاطئ فعلياً في الصفحة بالنسبة لمستخدمين حقيقيين، لذا يجب التعامل معها كحد أدنى لا كسقف نهائي. تستحق هذه الأخطاء الإصلاح أولاً لأن العناصر المتعطلة بالتحديد مُدرجة، ما يجعل معظمها تعديلاً محدداً لا إعادة تصميم كاملة.
2. حرج:labelهذا خلل أبلغت عنه axe، وهي أداة آلية لفحص إمكانية الوصول تختبر الصفحة المعروضة مقابل إرشادات WCAG. كل خلل من هذا النوع يعني أن بعض من يستخدمون الصفحة بقارئ شاشة، أو بلوحة المفاتيح وحدها، أو بضعف بصري، يواجهون عائقاً محدداً هنا، وكلمة الأثر هي تصنيف axe نفسها: critical تعني عادةً أن الشخص لا يستطيع إتمام المهمة إطلاقاً، وminor تعني احتكاكاً بسيطاً فقط. تكتشف الفحوصات الآلية جزءاً فقط مما هو خاطئ فعلياً في الصفحة بالنسبة لمستخدمين حقيقيين، لذا يجب التعامل معها كحد أدنى لا كسقف نهائي. تستحق هذه الأخطاء الإصلاح أولاً لأن العناصر المتعطلة بالتحديد مُدرجة، ما يجعل معظمها تعديلاً محدداً لا إعادة تصميم كاملة.
3. حرج:Content-Security-Policyسياسة أمان المحتوى (Content Security Policy) هي تعليمة قصيرة يُرفقها خادمك بالصفحة، تحدد الأماكن التي يُسمح للمتصفح بتحميل النصوص البرمجية والأنماط والإطارات المضمَّنة منها. من دونها، إذا حقن أي طرف نصاً برمجياً في صفحتك يوماً ما (عبر حقل تعليق، أو معامل في الرابط، أو أداة من جهة خارجية تعرَّض موردها للاختراق)، ينفّذه المتصفح دون تردد. الفرق بين احتواء هذا النوع من الأخطاء وبين قدرته على قراءة كل ما في الصفحة هو وجود سياسة كهذه. يمكنك نشرها أولاً في وضع report-only للإبلاغ فقط، بحيث لا يوجد أي خطر على عمل الموقع أثناء تعلّم ما تحتاجه هذه السياسة بالضبط.
4. حرج:Strict-Transport-SecurityStrict-Transport-Security تعليمة من سطر واحد تخبر المتصفحات بألا تصل إلى هذا الموقع إلا عبر اتصال مشفَّر، وأن تتذكر ذلك لفترة محددة. من دونها، فإن أول طلب يرسله الزائر، سواء بكتابة نطاقك أو باتباع رابط http قديم، يخرج غير مشفَّر قبل أن يتمكن التحويل التلقائي لديك من أخذ مفعوله، وهذا الطلب الأول هو بالضبط ما يمكن لأي شخص على الشبكة نفسها اعتراضه. لا يستطيع التحويل التلقائي وحده سدّ هذه الثغرة، بينما تستطيع هذه الترويسة فعل ذلك.
5. حرج:Stripe publishable keyعُثر داخل ملف JavaScript تقدّمه هذه الصفحة على سلسلة نصية تشبه بيانات اعتماد، كمفتاح API أو رمز وصول أو كلمة مرور. يُنزِّل كل زائر ذلك الملف، فإذا كان هذا فعلاً مفتاحاً فعّالاً فهو ليس سراً عن أي شخص يفتح أدوات المطورين، أياً كان ما يحميه غير ذلك. بعض المطابقات إنذارات كاذبة (مفاتيح قابلة للنشر، بيانات اختبار، قيم يُقصد أن تكون ظاهرة)، ولهذا يبقى المقتطف المُخفى داخل هذا التقرير ولا يُنسَخ أبداً إلى أي أداة أخرى. تحقق مما إذا كان هذا المفتاح فعّالاً، لأنه إن كان كذلك فالحل الوحيد الفعّال هو استبدال المفتاح لا حذف السطر.
6. حرج:Analytics write keyعُثر داخل ملف JavaScript تقدّمه هذه الصفحة على سلسلة نصية تشبه بيانات اعتماد، كمفتاح API أو رمز وصول أو كلمة مرور. يُنزِّل كل زائر ذلك الملف، فإذا كان هذا فعلاً مفتاحاً فعّالاً فهو ليس سراً عن أي شخص يفتح أدوات المطورين، أياً كان ما يحميه غير ذلك. بعض المطابقات إنذارات كاذبة (مفاتيح قابلة للنشر، بيانات اختبار، قيم يُقصد أن تكون ظاهرة)، ولهذا يبقى المقتطف المُخفى داخل هذا التقرير ولا يُنسَخ أبداً إلى أي أداة أخرى. تحقق مما إذا كان هذا المفتاح فعّالاً، لأنه إن كان كذلك فالحل الوحيد الفعّال هو استبدال المفتاح لا حذف السطر.
7. تنبيه:color-contrastهذا خلل أبلغت عنه axe، وهي أداة آلية لفحص إمكانية الوصول تختبر الصفحة المعروضة مقابل إرشادات WCAG. كل خلل من هذا النوع يعني أن بعض من يستخدمون الصفحة بقارئ شاشة، أو بلوحة المفاتيح وحدها، أو بضعف بصري، يواجهون عائقاً محدداً هنا، وكلمة الأثر هي تصنيف axe نفسها: critical تعني عادةً أن الشخص لا يستطيع إتمام المهمة إطلاقاً، وminor تعني احتكاكاً بسيطاً فقط. تكتشف الفحوصات الآلية جزءاً فقط مما هو خاطئ فعلياً في الصفحة بالنسبة لمستخدمين حقيقيين، لذا يجب التعامل معها كحد أدنى لا كسقف نهائي. تستحق هذه الأخطاء الإصلاح أولاً لأن العناصر المتعطلة بالتحديد مُدرجة، ما يجعل معظمها تعديلاً محدداً لا إعادة تصميم كاملة.
8. تنبيه:رابط سياسة الخصوصيةتفحّص هذا الفحص كل رابط في هذه الصفحة بحثاً عن رابط يؤدي إلى سياسة الخصوصية، وهي الوثيقة التي تخبر الزوار بما تجمعه عنهم وما تفعله به، ولم يجد أي رابط من هذا النوع. لا يملك الزوار الراغبون في التحقق أي وسيلة لذلك، وتقوم متاجر التطبيقات ومنصات الإعلانات ومزوّدو الدفع بشكل روتيني برفض أو تعليق حسابات المواقع التي لا تُظهر هذه السياسة. اطّلع هذا الفحص على الصفحة المُرسَلة فقط، فإذا كانت السياسة موجودة بالفعل في مكان آخر، فالحل غالباً رابط واحد في تذييل الصفحة.
9. تنبيه:الحماية من Clickjacking (X-Frame-Options أو frame-ancestors)لا شيء هنا يخبر المتصفحات ما إذا كان يُسمح لمواقع أخرى بتحميل صفحتك داخل إطار (frame)، وهو نافذة مُضمَّنة داخل صفحتها. هذا يسمح بهجوم clickjacking، حيث يضع أحدهم صفحتك الحقيقية بشكل غير مرئي فوق أزراره الخاصة، فيظن الزائر أنه ينقر على شيء بينما هو ينقر فعلياً على صفحتك. تزداد أهمية هذا الأمر عندما توجد إجراءات لمستخدم مسجَّل دخوله تستحق الاختطاف، وتقل كثيراً في صفحة تعريفية ثابتة، لكن الحل في الحالتين ترويسة واحدة، فلا مبرر يُذكر لتركها مفتوحة.
10. تنبيه:X-Content-Type-Options: nosniffهذه تعليمة من سطر واحد تخبر المتصفح بأن يثق بنوع الملف الذي يعلنه خادمك بدلاً من تخمينه من المحتوى. من دونها، قد يقرر المتصفح أن شيئاً تقدّمه كنص عادي أو كملف رفعه مستخدم هو في الحقيقة JavaScript أو HTML وينفّذه، وهذه هي الطريقة التي يتحول بها ملف مرفوع يبدو غير ضار إلى شيفرة قابلة للتنفيذ. القيمة ثابتة، ولا يوجد شيء خاص بموقعك يحتاج إلى قرار، واحتمال أن تُعطّل شيئاً منعدم عملياً، ما يجعلها من أرخص البنود في هذا التقرير كله.
11. تنبيه:‏Referrer-Policy ترسل العنوان الكامل إلى كل مصدر (unsafe-url)يتحكم Referrer-Policy في مقدار عنوان صفحتك الذي يكشفه المتصفح لمواقع أخرى، وقيمتها لديك مضبوطة على إعداد يُسلّم العنوان بأكمله، بما فيه المسار وسلسلة الاستعلام، إلى كل وجهة. فإذا كانت أي من روابطك تحمل رمز إعادة تعيين كلمة مرور، أو عبارة بحث، أو معرّف عميل، أو مرجع طلب، فإن هذه القيمة تُمرَّر إلى أطراف ثالثة، بما فيها كل نص برمجي للتحليلات أو الإعلانات في الصفحة. تُصنَّف هذه الحالة أعلى من مجرد غياب السياسة لأن الترويسة موجودة وتختار فعلياً هذا السلوك المسرِّب، وتغيير كلمة واحدة يصلحها.
12. تنبيه:خاصية Secure لملفات تعريف الارتباطملف تعريف الارتباط (cookie) قطعة بيانات صغيرة يطلب موقعك من المتصفح الاحتفاظ بها وإرسالها في كل زيارة، وغالباً ما يكون هو الرمز الذي يبقي المستخدم مسجَّل الدخول. واحد منها على الأقل لديك مضبوط دون خاصية Secure، ما يعني أن المتصفح مستعد لنقله عبر اتصال غير مشفَّر، حيث يستطيع أي أحد على مسار الشبكة نفسه قراءته. أسماء ملفات تعريف الارتباط المتأثرة مُدرجة في الأدلة، وهذا خيار واحد يُضاف أينما يُضبَط كل ملف منها.

16 نتيجة أخرى، في الأقسام أدناه