مقدمة

ModSecurity هو جدار حماية لتطبيقات الويب (WAF) يحمي موقعك عن طريق تصفية طلبات HTTP المشبوهة. مع ذلك، قد يحجب طلبات مشروعة (إنذارات إيجابية كاذبة). يوضح هذا الدليل كيفية تحديد سبب الحجب، العثور على معرّف القاعدة (Rule ID)، وتطبيق تصحيح مستهدف — مثل تعطيل قاعدة محددة، إنشاء استثناء لنطاق، أو إدراج عنوان IP في القائمة البيضاء — دون تعطيل ModSecurity بشكل كامل.

باختصار : احصل على عنوان URL المحجوب، والوقت الدقيق، وعنوان IP الخاص بالعميل، ولقطة شاشة للرسالة؛ راجع cPanel → Metrics → Errors وإذا كان لديك WHM فاستخدم ModSecurity Tools → Hits List للعثور على معرّف القاعدة (Rule ID)فضّل دائمًا استثناءً مستهدفًا بدلًا من استبدال أو تعطيل WAF بشكل كامل.

المتطلبات

  • الوصول إلى cPanel (استضافة مشتركة) أو WHM/SSH (VPS / خادم مخصص، وصول بصلاحيات المدير).
  • عنوان URL الدقيق والوقت (بتنسيق ISO/W3C) للطلب المحجوب؛ لقطة شاشة لرسالة الخطأ (مثال: 403).
  • عنوان IP الخاص بالعميل (عنوانك إذا كنت تختبر)، طريقة HTTP (GET/POST) وUser‑Agent إن أمكن.

قبل البدء — مبدأ الأمان

لا تقم أبدًا بإيقاف ModSecurity على مستوى الإنتاج. الهدف هو تحديد القاعدة الدقيقة وتطبيق حلّ موجه: تعطيل قاعدة محددة، إنشاء استثناء لنطاق، أو السماح لعنوان IP. إذا لم تكن مسؤول نظام، قدّم جميع الأدلة إلى الدعم الفني.

إجراء خطوة بخطوة

إذا كان لديك حساب cPanel فقط (استضافة مشتركة)

  1. إعادة إنتاج المشكلة وجمع المعلومات.

    افتح الصفحة المحجوبة، انسخ عنوان URL الكامل، دوّن الوقت الدقيق (مثال: 2026‑10‑17T15:32:08Z)، رمز HTTP المعروض (غالبًا 403) والتقط لقطة شاشة للرسالة.

  2. تحقق من أداة ModSecurity داخل cPanel.

    إذا كان مزوّد الاستضافة قد أتاح الأداة، فابحث عن Security → ModSecurity في cPanel. يمكنك تمكينها/تعطيلها مؤقتًا للاختبار، لكن أعد تفعيلها فورًا بعد الانتهاء من الاختبار.

  3. راجع أخطاء Apache (في cPanel).

    في cPanel، افتح Metrics (أو Performance) → Errors لمشاهدة أحدث أسطر سجل الأخطاء المرتبطة بنطاقك؛ قد يساعد ذلك أحيانًا في تحديد القاعدة أو سبب الحجب.

  4. إذا لم يتضح السبب.

    افتح تذكرة لدى مزود الاستضافة مرفقًا: URL، الوقت (ISO)، IP العميل، لقطة شاشة والوصف. اطلب صراحةً التحقق من hits في ModSecurity / من ملف modsec_audit.log للطلب المعني.

إذا كنت مسؤول WHM (VPS/مخصص)

  1. افتح ModSecurity Tools → Hits List.

    WHM → Security Center → ModSecurity Tools → Hits List. تعرض Hits List الأحداث الأخيرة؛ انقر على إدخال لعرض معرّف القاعدة (Rule ID), الرسالة، URI، IP العميل والدرجة المحتملة.

  2. تحديد القاعدة (Rule ID) والإجراء.

    دوّن معرّف القاعدة (Rule ID) ونوع الإجراء (log، pass، block). تحدد هذه المعلومات التصحيح المناسب: تعطيل القاعدة، إنشاء استثناء أو الإبلاغ عن إيجابي كاذب لمزوّد مجموعة القواعد.

  3. تطبيق تصحيح مستهدف.

    تجنّب SecRuleEngine Off. من الأفضل:

    • تعطيل القاعدة المحددة (بمعرّف Rule ID)؛
    • أو إنشاء استثناء يقتصر على النطاق أو على الـIP المعني.

    انتبه إلى قواعد «vendor»: قد تُدار آليًا من قبل المزود وتتطلب توثيق أي تعديل.

السجلات: أين تبحث (المسارات الشائعة)

تختلف المسارات حسب إعداد الخادم. المسارات الشائعة:

  • /usr/local/apache/logs/modsec_audit.log
  • /var/log/apache2/modsec_audit.log أو أدلة/مجلدات لكل مستخدم /etc/apache2/logs/modsec_audit/USERNAME

ابحث عن نفس الوقت أو نفس unique_id المرتبط بالخطأ وسجّل معرّف القاعدة (Rule ID) وجزء الإجراء (log/pass/block).

أوامر مفيدة (متقدم — وصول root/SSH)

# suivre les dernières lignes du log d'audit
sudo tail -f /usr/local/apache/logs/modsec_audit.log

# rechercher une IP précise ou une URL
sudo grep -n '203.0.113.45' /usr/local/apache/logs/modsec_audit.log | less
sudo grep -n '/chemin/qui/pose/probleme' /usr/local/apache/logs/modsec_audit.log | less

الوضع التشخيصي: سجل التدقيق ووضع «Detection Only»

لتشخيص المشكلة دون حجب الطلبات، قم مؤقتًا بتبديل المحرك إلى وضع «Detection Only» (WHM → Security Center → ModSecurity Configuration) أو ارفع مستوى سجل التدقيق. ملاحظة: مستوى «log all transactions» يسجل كل حركة المرور (بيانات خاصة) وقد يملأ القرص بسرعة. استخدمه فقط لأغراض تصحيح أخطاء مؤقتة وراقب مساحة القرص.

إجراءات التصعيد — ما الذي يجب تقديمه للدعم

أرفق دائمًا:

  • عنوان URL الكامل والوقت (بصيغة ISO، مع المنطقة الزمنية)؛
  • لقطة شاشة لرسالة الخطأ؛
  • طريقة HTTP (GET/POST) وحقول النموذج إذا كانت العملية من نوع POST؛
  • عنوان IP للعميل وUser‑Agent؛
  • مقتطف من سجل Apache/ModSecurity حول نفس التوقيت (إن أمكن)؛
  • السياق (تحديث، إضافة مثبتة، تعديل حديث).

مثال على رسالة (نسخ/لصق):

Objet : Blocage ModSecurity — demande d’analyse

Bonjour,

Mon site example.com subit des 403 lors d’un POST vers /chemin-exemple le 2026-10-17T15:32:08Z depuis l’IP 203.0.113.45.
Pouvez‑vous :
 - vérifier les hits ModSecurity / modsec_audit.log autour de cette date/heure ;
 - indiquer le Rule ID et le message associé ;
 - proposer une action (exception par domaine, règle à désactiver pour l’user, ou autre).

PJ : capture d’écran et URL.

Merci.

الحالات الشائعة والحلول السريعة

  • Hits List فارغة تحقق من تفعيل سجل التدقيق (Audit Log Level). إذا لم يكن مفعلًا، اطلب من الدعم تفعيل التسجيل.
  • حجم سجل التدقيق كبير جدًا خفّض مستوى التدقيق مؤقتًا بعد التشخيص وقم بتكوين تدوير السجلات.
  • إضافة WordPress محظورة حدد القاعدة وأنشئ استثناءً مستهدفًا بدلاً من إيقاف ModSecurity لكامل النطاق.
  • طلبات POST محظورة تحقق من حجم ومحتوى جسم الطلب؛ حدّد القاعدة وأنشئ استثناءً مستهدفًا.

القيود وأفضل الممارسات

  • لا تقم بحذف قاعدة المزوّد (vendor) دون فهم التأثير؛ فضّل استثناءً محليًا.
  • احتفظ بالسجلات أثناء التشخيص وفعّل تدوير السجلات (logrotate) لتجنب نفاد مساحة القرص.
  • لا تُشارك أبدًا كلمات المرور أو رموز الوصول داخل تذاكر الدعم؛ أخفِ البيانات الحساسة في مقتطفات السجلات.

الموارد الرسمية

مقالات داخلية مفيدة

هل تحتاج إلى مساعدة في تفسير مقتطف من السجلات أو إعداد التذكرة؟ انسخ المقتطف هنا (أخفِ البيانات الحساسة) وسنساعدك في تحليله.

وثائق مرجعية

  • ModSecurity® Tools | وثائق cPanel & WHM
  • ModSecurity® Configuration | وثائق cPanel & WHM
  • ملفات سجلات cPanel & WHM | وثائق cPanel & WHM

تم الاطلاع على الوثائق في 17 أكتوبر 2026. قد تختلف الأدوات حسب مزود الاستضافة.