ما هو SSH؟ الدخول الآمن إلى خادمك بالأوامر والمفاتيح

أوّل مرّةٍ تتّصل فيها بخادمٍ عبر SSH تظهر لك رسالةٌ تسألك سؤالًا غريبًا: هذا الخادم لا أعرفه، وهذه بصمته، فهل أنت متأكّدٌ أنّك تريد المتابعة؟ أكثر الناس يكتبون «نعم» دون أن يقرؤوا البصمة، وبعض الشروح تقول لك افعل ذلك. هذا المقال يبدأ من هذه الرسالة، لأنّ فهمها هو فهم SSH كلّه: كيف يعرف جهازك أنّ الخادم هو خادمك، وكيف يعرف الخادم أنّك أنت.

أدرت استضافتك حتى الآن من واجهاتٍ رسوميّة، ورأيت في مقال استضافة البريد أوّل أوامرك في الطرفيّة. هنا تستعمل الطرفيّة للدخول إلى الخادم نفسه: ما هو SSH، وماذا تفعل به، وكيف تدخل بالمفاتيح بدل كلمة المرور، وكيف تغلق هذا الباب على غيرك.

ما هو SSH

الاسم اختصارٌ لعبارة Secure Shell، أي «الصدفة الآمنة»، والصدفة في لغة الحواسيب هي البرنامج الذي يقرأ أوامرك وينفّذها. فالبروتوكول يعطيك سطر أوامر على خادمٍ بعيد، كأنّك تجلس أمامه، ويشفّر كلّ ما يمرّ بينكما. وحّدت هيئة معايير الإنترنت نسخته الثانية في سلسلة معايير صدرت سنة 2006، وما زالت أساس كلّ اتّصالٍ من هذا النوع اليوم.^[1]

وكلمة «آمنة» في الاسم لها تاريخ. الأدوات الأقدم للتحكّم عن بُعد كانت ترسل كلّ شيءٍ نصًّا مكشوفًا، ومعه كلمة المرور. ومعيار الإنترنت الذي يراجع أمان بروتوكول نقل الملفّات القديم يقول صراحةً إنّه يرسل كلمات المرور نصًّا مكشوفًا.^[2] أيّ جهازٍ في الطريق بين حاسوبك والخادم كان يستطيع أن يقرأها. وSSH يغلق هذه الثغرة: الاتّصال مشفّرٌ من أوّل رسالةٍ فيه إلى آخرها.

ويقوم الاتّصال على برنامجين: عميلٌ على جهازك، وخادمٌ على الجهاز البعيد يستمع للاتّصالات. والعميل موجودٌ غالبًا عندك الآن دون أن تنصّب شيئًا. في ماك ولينكس يأتي مع النظام، وفي ويندوز تقول وثائق Microsoft إنّ أداة OpenSSH المدمجة تعمل على ويندوز 10 من الإصدار 1809 فما بعده، وعلى ويندوز 11.^[3] تفتح الطرفيّة وتكتب أمرًا واحدًا، فتجد نفسك داخل الخادم.

والأمر نفسه قصيرٌ يحمل ثلاث معلومات. هذا مثالٌ بعنوانٍ تجريبيّ:

ssh -p 65002 [email protected]

يقول دليل الأداة إنّ الوجهة تُكتب على شكل اسم المستخدم ثمّ علامة @ ثمّ اسم الخادم أو عنوانه، وإنّ الخيار -p يحدّد رقم المنفذ على الخادم البعيد، كما في المثال.^[4] فالجزء قبل العلامة هو حسابك على الخادم، والجزء بعدها هو الخادم نفسه، والرقم بعد الخيار هو الباب الذي يستمع عليه، وإن لم تكتبه جرّب العميل المنفذ 22. وكلّ هذه القيم تجدها في لوحة استضافتك، في الصفحة نفسها التي تفعّل منها الوصول.

ماذا تفعل به

أوّل ما تفعله بعد الدخول أن تنظر حولك. أوامر القراءة لا تغيّر شيئًا، وهي أفضل بدايةٍ لأيّ شخصٍ يدخل خادمًا أوّل مرّة:

pwd
ls -la
df -h

الأوّل يقول لك في أيّ مجلّدٍ أنت الآن، والثاني يعرض ما في المجلّد من ملفّاتٍ ومعها صلاحيّاتها وأحجامها، والثالث يبيّن كم بقي من مساحة القرص. وإن كانت الطرفيّة نفسها جديدةً عليك، فابدأ بمقال الطرفيّة، ففيه هذه الأوامر وغيرها تجرّبها على جهازك قبل أن تدخل أيّ خادم.

ثمّ تأتي المهامّ التي لأجلها وُجد هذا الباب. تقرأ سجلّ الأخطاء في اللحظة التي يحدث فيها العطل، وتنقل ملفّاتٍ كبيرةً دون أن ينقطع الرفع في المتصفّح، وتضغط مجلّدًا من آلاف الملفّات في ثوانٍ قليلة. وعلى الخادم الافتراضيّ الذي رأيته في مقال الخادم الافتراضيّ، هذا الباب هو طريقك الوحيد تقريبًا لتنصيب البرامج وتحديثها وضبط إعداداتها.

ولأصحاب مواقع ووردبريس سببٌ خاصّ: أداة سطر أوامر ووردبريس، وقد رأيتها في مقال النقل. أوضح لحظةٍ تظهر فيها قيمتها موقعٌ لا يفتح بعد تحديث إضافة، ولوحة إدارةٍ لا تفتح هي أيضًا. تدخل الخادم، وتنتقل إلى مجلّد موقعك، ثمّ تطلب قائمة الإضافات المفعّلة بالأمر wp plugin list --status=active، فترى أسماءها وأيّها حُدّث مؤخّرًا.^[5] من سطر الأوامر تعطّل الإضافة المعطوبة باسمها، أو تعطّل الإضافات كلّها ما عدا واحدةً تحتاجها، كما تشرح وثائق الأداة:^[6]

wp plugin deactivate broken-plugin
wp plugin deactivate --all --exclude=woocommerce

واسم الإضافة في الأمر الأوّل مثال، فضع مكانه اسم مجلّد الإضافة الذي تشكّ فيه، وبعد أن يعود الموقع فعّل الإضافات واحدةً بعد الأخرى حتى تعرف أيّها كان السبب.

ومن الاستعمالات اليوميّة أيضًا نقل الملفّات. بروتوكول نقل الملفّات الآمن، واختصاره SFTP، يعمل فوق SSH نفسه، فيستعمل الاتّصال المشفّر ذاته وبيانات الدخول ذاتها. فإن رأيت في برنامج نقل الملفّات خيارين، أحدهما بهذا الاسم والآخر بالاسم القديم الخالي من حرف الأمان، فاختر الأوّل دائمًا، لأنّ الثاني هو الذي يرسل كلمة مرورك مكشوفة.

ويمكنك أن تستعمله من الطرفيّة نفسها. يصف دليل الأداة sftp بأنّها برنامج نقل ملفّاتٍ يشبه الأداة القديمة، لكنّه ينفّذ كلّ عمليّاته عبر اتّصال SSH مشفّر، ويستعمل كثيرًا من مزاياه مثل الدخول بالمفتاح والضغط.^[7] تدخل بالأمر كما تدخل بـSSH، ثمّ ترفع ملفًّا بالأمر put وتنزّل آخر بالأمر get. وإن كنت تفضّل برنامجًا رسوميًّا، فاختر فيه نوع الاتّصال الآمن، واكتب المنفذ نفسه الذي تعطيك إيّاه لوحة استضافتك، واستعمل بيانات الدخول نفسها أو مفتاحك الخاصّ من جهازك.

رسالة الاتّصال الأوّل

عد إلى الرسالة التي بدأ بها المقال. هذه نسختها كما تنشرها Hostinger في صفحة شرح الاتّصال بخطط استضافتها، والعنوان والبصمة فيها أمثلة:^[8]

The authenticity of host '[185.185.185.185]:65002 ([185.185.185.185]:65002)' can't be established.
ECDSA key fingerprint is SHA256:Eze2ImXw1MWfgAMbcWxfc2EQwAkgTHOEPsNwSnEAHAQ.
Are you sure you want to continue connecting (yes/no)?

لكلّ خادمٍ مفتاحٌ يعرّفه، والبصمة ملخّصٌ قصيرٌ لهذا المفتاح. ويشرح معيار SSH المشكلة التي تحلّها: الاتّصال الأوّل الذي لا يتحقّق فيه جهازك من مفتاح الخادم يبقى محميًّا من التنصّت، لكنّه معرّضٌ لمن يقف في المنتصف ويتظاهر بأنّه الخادم. ولهذا يقترح المعيار أن يحفظ العميل مفتاح الخادم في المرّة الأولى، ثمّ يقارنه به في كلّ مرّةٍ بعدها.^[1]

وهذا ما يفعله العميل حين تكتب «نعم»: يحفظ البصمة في ملفٍّ على جهازك، ولن يسألك عنها مرّةً ثانية. فإن تغيّرت يومًا، أوقف الاتّصال بتحذيرٍ أحمر طويل. لهذا التحذير سببان: الأوّل بريء، أن تكون الاستضافة أعادت بناء الخادم أو نقلتك إلى خادمٍ جديد. والثاني أن يكون أحدٌ في الطريق، فلا تتجاوزه قبل أن تسأل الاستضافة، والأفضل أن تقارن البصمة في المرّة الأولى نفسها بالبصمة التي تعرضها لوحة استضافتك إن كانت تعرضها.

المفاتيح بدل كلمة المرور

بعد أن يطمئنّ جهازك إلى الخادم، يأتي دور الخادم ليطمئنّ إليك. الطريقة الأبسط كلمة مرور، والطريقة الأقوى زوج مفاتيح. يصف معيار التحقّق من المستخدم في SSH الطريقة الثانية بأنّ امتلاك المفتاح الخاصّ هو الإثبات نفسه. يرسل جهازك توقيعًا صنعه بمفتاحك الخاصّ، ويتحقّق الخادم أنّ المفتاح العامّ عنده يقبل هذا التوقيع.^[9] يرسم الشكل 1 هذه الخطوات بترتيبها.

شكل 1

وقبل أيّ كلمة مرورٍ أو مفتاح، يتّفق الطرفان على سرٍّ مشترك. يقول معيار طبقة النقل في SSH إنّ الاتّفاق على المفاتيح يخرج بقيمتين: سرٌّ مشترك، وقيمةٌ مختصرةٌ للتبادل كلّه، ومنهما تُشتقّ مفاتيح التشفير. والقيمة الثانية تصير معرّفًا فريدًا لهذا الاتّصال، يدخل في البيانات التي يوقّعها جهازك بمفتاحك الخاصّ.^[10] ولهذا يبدأ التشفير قبل أن تكتب أيّ شيء: كلمة المرور، إن استعملتها، تسير داخل الاتّصال المشفّر.

الفكرة التي تجعل هذا أقوى من كلمة المرور في السطر الأخير من الشكل: المفتاح الخاصّ لا يغادر جهازك أبدًا. كلمة المرور تُرسل إلى الخادم في كلّ دخول، فإن كان الخادم مخترقًا أو منتحلًا أخذها. أمّا التوقيع فيحمل معرّف هذا الاتّصال، فيصلح له وحده، ولو التقطه أحدٌ وحاول أن يستعمله في اتّصالٍ آخر لفشل. والمفتاح نفسه أطول من أيّ كلمة مرورٍ يمكن أن تحفظها، فالبرامج التي تجرّب ملايين كلمات المرور على خوادم الإنترنت لا تجد ما تخمّنه.

وتشبيهٌ يقرّب الصورة: المفتاح العامّ قفلٌ تعطي نسخًا منه لكلّ خادمٍ تريد دخوله، والمفتاح الخاصّ هو المفتاح الوحيد الذي يفتح هذه الأقفال. توزيع الأقفال لا يضرّك، لأنّ من يملك قفلك لا يستطيع أن يصنع منه مفتاحًا. ويقف التشبيه عند نقطة: القفل الحقيقيّ يلمس المفتاح حين يُفتح، أمّا الخادم فيرى توقيعًا يثبت أنّ المفتاح عندك، والمفتاح نفسه يبقى في جهازك.

وإنشاء الزوج أمرٌ واحد، ومنذ الإصدار 9.5 الصادر في أكتوبر 2023، تنشئ أداة OpenSSH مفاتيح من نوع Ed25519 افتراضيًّا، وتصفها ملاحظات الإصدار بأنّها صغيرة الحجم مريحة الاستعمال.^[11] والأمر الثاني ينسخ المفتاح العامّ إلى الخادم، إن كان الخادم يسمح لك بالدخول بكلمة المرور مرّةً أولى:

ssh-keygen -t ed25519
ssh-copy-id [email protected]

حين يسألك الأمر الأوّل عن عبارة مرورٍ للمفتاح، اكتب واحدة، فهذه العبارة تحمي المفتاح نفسه إن سُرق حاسوبك أو نُسخ منه الملفّ، فلا يستطيع من أخذه أن يستعمله دونها. وفي الاستضافة المشتركة لا تحتاج الأمر الثاني غالبًا، لأنّ لوحة التحكّم فيها صفحةٌ تلصق فيها مفتاحك العامّ. والمفتاح العامّ هو الملفّ الذي ينتهي اسمه بـ.pub؛ أمّا الملفّ الآخر فلا تلصقه في أيّ مكانٍ ولا ترسله لأحد.

وعبارة المرور لا تعني أن تكتبها مع كلّ اتّصال. يصف دليل الأداة ssh-agent بأنّها برنامجٌ يحتفظ بالمفاتيح الخاصّة التي تستعملها للدخول، فيستعملها العميل تلقائيًّا حين تتّصل.^[12] تكتب العبارة مرّةً حين تضيف المفتاح إليها، ثمّ تتّصل بخوادمك طوال الجلسة دون أن تُسأل عنها، وفي ماك وأكثر توزيعات لينكس يعمل هذا البرنامج من تلقاء نفسه غالبًا.

وحين تكثر خوادمك، يصعب أن تتذكّر لكلٍّ منها عنوانه ومنفذه واسم مستخدمه، ولهذا يقرأ العميل ملفّ إعداداتٍ في مجلّد ~/.ssh على جهازك، تعطي فيه كلّ خادمٍ اسمًا قصيرًا. يشرح دليل هذا الملفّ أنّ الخيار Hostname يحدّد الاسم الحقيقيّ للخادم ويسمح بأسماءٍ مختصرة، وأنّ المنفذ الافتراضيّ 22 إن لم تحدّد غيره:^[13]

Host mysite
    Hostname 203.0.113.10
    Port 65002
    User u123456789
    IdentityFile ~/.ssh/id_ed25519

ضع قيم خادمك مكان القيم التجريبيّة، واحفظ الملفّ. بعدها يكفيك أن تكتب ssh mysite، فيعرف العميل العنوان والمنفذ والمستخدم والمفتاح. وهذا يقلّل الأخطاء أيضًا، لأنّك لا تكتب رقم المنفذ بيدك في كلّ مرّة.

ما الذي تغيّر في 2025 و2026

البروتوكول قديمٌ لكنّ أداته الأشهر تتغيّر كلّ بضعة أشهر، ففي الإصدار 10.0 الصادر في 9 أبريل 2025 أزالت OpenSSH دعم توقيعات DSA الضعيفة نهائيًّا، بعد تعطيلها افتراضيًّا منذ 2015. وفي الإصدار نفسه صار الاتّفاق على مفاتيح الجلسة يستعمل افتراضيًّا خوارزميّةً هجينةً تقول ملاحظات الإصدار إنّها تُعدّ آمنةً أمام الحواسيب الكموميّة.^[11] فإن كان عندك مفتاحٌ قديمٌ من نوع DSA صنعته قبل سنوات، فهو لا يعمل مع الإصدارات الحديثة، وحان وقت مفتاحٍ جديد.

وفي ملاحظات الإصدار 10.5، الصادر في 11 أغسطس 2026، سطرٌ يستحقّ الانتباه. يقول فريق المشروع إنّه تلقّى عددًا كبيرًا من بلاغات الثغرات الأمنيّة، كثيرٌ منها وجدته نماذج ذكاءٍ اصطناعيّ. ولأنّ من يجد الثغرة ولا يبلّغ عنها يستطيع أن يجدها أيضًا، قرّر الفريق إصدار التحديثات بوتيرةٍ أسرع.^[11] والنتيجة العمليّة لك: إن كنت تدير خادمًا افتراضيًّا، فتحديثات النظام التي تحمل إصلاحات SSH صارت أكثر، وتأجيلها صار أخطر.

هل تحتاجه أصلًا

في الاستضافة المشتركة يعتمد الجواب على خطّتك. تقول Hostinger مثلًا إنّ الوصول عبر SSH متاحٌ في خطّتها الثانية فما فوق، وغير متاحٍ في الخطّة الأرخص، وإنّه معطّلٌ افتراضيًّا حتى تفعّله بنفسك من لوحتها.^[8] وتقول أيضًا إنّ هذا الوصول محصورٌ في مجلّدك الرئيسيّ وما تحته.^[14] والمنفذ في مثالها 65002 لا المنفذ المعتاد 22، وهذا شائعٌ في الاستضافة المشتركة، فانسخ أمر الاتّصال من لوحتك كما هو، ولا تفترض رقم المنفذ من عندك.

رأيي أنّ صاحب مدوّنةٍ صغيرةٍ على استضافةٍ مشتركة يستطيع أن يعيش سنواتٍ دون أن يفتح هذا الباب، وهذا لا عيب فيه. لكن تعلّم الدخول مرّةً واحدةً قبل أن تحتاجه، في يومٍ هادئ. فأكثر من يحتاجونه أوّل مرّةٍ يحتاجونه في يوم عطلٍ لا تفتح فيه لوحة الإدارة، وهذا أسوأ يومٍ لتتعلّم فيه شيئًا جديدًا.

أمّا على الخادم الافتراضيّ أو المخصّص غير المُدار، فالمسألة محسومة: هذا الباب هو إدارة الخادم كلّها. وقد رأيت في مقال كيف تختار استضافة موقعك أنّ السؤال الأوّل في اختيار نوع الاستضافة هو هل تريد أن تدير الخادم بنفسك. إن كان جوابك نعم، فهذا المقال هو الخطوة الأولى في تلك الإدارة.

كيف تغلق الباب على غيرك

كلّ خادمٍ على الإنترنت يستقبل محاولات دخولٍ آليّةً على منفذ SSH من برامج تجرّب أسماء المستخدمين وكلمات المرور الشائعة بلا توقّف. وأوّل ما يوقفها تعطيل الدخول بكلمة المرور بعد أن تتأكّد أنّ مفتاحك يعمل. والمهمّ أن تعرف أنّ هذا الخيار مفعّلٌ افتراضيًّا: تقول صفحة دليل إعدادات خادم OpenSSH إنّ القيمة الافتراضيّة للدخول بكلمة المرور هي السماح.^[15]

والخطوة الثانية حساب الجذر، وهو الحساب الذي يملك كلّ الصلاحيّات على الخادم. تقول الصفحة نفسها إنّ القيمة الافتراضيّة لدخوله تمنع كلمة المرور وتسمح بالمفتاح.^[15] والأفضل أن تمنع دخوله المباشر تمامًا، وتدخل بحسابٍ عاديٍّ ثمّ ترفع صلاحيّاتك حين تحتاج. هذان السطران في ملفّ إعدادات الخادم يفعلان الأمرين:

PasswordAuthentication no
PermitRootLogin no

وقبل أن تعيد تشغيل الخادم بالإعدادات الجديدة، افحصها. الأمر sshd -t يتحقّق من صحّة ملفّ الإعدادات دون أن يطبّق شيئًا، كما يشرح دليله.^[16] وأبقِ نافذة اتّصالك الحاليّة مفتوحة، وافتح اتّصالًا ثانيًا في نافذةٍ أخرى لتجرّب الإعدادات. فإن فشل الثاني، ما زال الأوّل يعمل وتستطيع أن تصلح ما كسرته. وإن أغلقت الأوّل قبل أن تتأكّد، فقد تغلق الباب على نفسك. وبعض مزوّدي الخوادم الافتراضيّة يعطونك طرفيّةً في المتصفّح تتّصل بالخادم كأنّك أمام شاشته، فاعرف قبل أن تغيّر الإعدادات هل عند مزوّدك واحدة، لأنّها طريق العودة إن أغلقت الباب فعلًا.

وبعد هذا تأتي طبقاتٌ إضافيّة. أوّلها أداةٌ تحظر العنوان الذي يكرّر محاولات الدخول الفاشلة. وثانيها جدار حمايةٍ يسمح بمنفذ SSH من عناوين تعرفها فقط إن كان عنوان اتّصالك ثابتًا، وثالثها تحديثات النظام التي رأيت لماذا صارت أكثر إلحاحًا. وتغيير رقم المنفذ يقلّل ضجيج المحاولات الآليّة في السجلّات، لكنّه لا يحمي شيئًا وحده، فلا تعدّه بديلًا عن المفاتيح. وقد رأيت في مقال الأمان والنسخ الاحتياطيّ لماذا تُبنى الحماية طبقاتٍ لا خطوةً واحدة.

وإن كان في فريقك أكثر من شخصٍ يدخل الخادم، فلا تعطهم حسابًا واحدًا بكلمة مرورٍ مشتركة. يحفظ الخادم المفاتيح العامّة المقبولة لكلّ حسابٍ في ملفٍّ اسمه authorized_keys. ويقول دليل الخادم إنّ كلّ سطرٍ في هذا الملفّ يحمل مفتاحًا واحدًا، وإنّ آخر حقلٍ في السطر تعليقٌ حرّ.^[16] فاطلب من كلّ شخصٍ مفتاحه العامّ، وضعه في سطرٍ مستقلٍّ مع تعليقٍ باسمه، وحين يغادر أحدهم الفريق، احذف سطره وحده، فينتهي وصوله دون أن تغيّر شيئًا على الآخرين.

أخطاء شائعة

الخطأ الأوّل أن تكتب «نعم» على رسالة البصمة دون أن تقرأها، ثمّ تتجاوز تحذير تغيّرها لاحقًا بحذف السطر القديم من ملفّ البصمات. والخطأ الثاني أن ترسل مفتاحك الخاصّ لزميلٍ أو دعمٍ فنّيّ، أو ترفعه إلى مستودع شيفرةٍ مع مشروعك. المفتاح الخاصّ لا يُرسل أبدًا؛ من يحتاج الدخول ينشئ مفتاحه هو، وتضيف مفتاحه العامّ إلى الخادم.

والخطأ الثالث تعطيل الدخول بكلمة المرور قبل أن تتأكّد أنّ المفتاح يعمل، فتخرج من الخادم ولا تستطيع العودة إلّا من لوحة الاستضافة إن كانت تعطيك طرفيّةً فيها. والخطأ الرابع مفتاحٌ بلا عبارة مرور على حاسوبٍ محمول، فإن سُرق الحاسوب سُرقت معه خوادمك كلّها.

والخطأ الخامس، وهو الأخطر، أن تنفّذ أمرًا لا تفهمه لأنّك وجدته في منتدى، فالواجهة الرسوميّة تسألك «هل أنت متأكّد؟» قبل الحذف، أمّا سطر الأوامر فينفّذ فورًا. فاقرأ كلّ أمرٍ قبل أن تضغط زرّ الإدخال، وخاصّةً أيّ أمرٍ فيه حذفٌ أو تغييرٌ جماعيّ، وخذ نسخةً احتياطيّةً قبل أيّ تغييرٍ لا تعرف نتيجته مسبقًا.

والخطأ السادس أن تنسى المفاتيح القديمة. تبيع حاسوبك أو تفقد هاتفك، ويبقى سطر مفتاحه في ملفّ المفاتيح المقبولة على خوادمك سنوات. راجع هذا الملفّ مرّةً كلّ بضعة أشهر، واحذف كلّ سطرٍ لا تعرف صاحبه أو لم يعد جهازه عندك. ولهذا يفيدك أن تكتب في تعليق كلّ مفتاحٍ اسم الجهاز لا اسمك فقط. والخطأ السابع أن تعمل يوميًّا بحساب الجذر لأنّه أسهل، فيصير كلّ خطأٍ صغيرٍ في أمرٍ خطأً على الخادم كلّه.

جرّبه بنفسك

إن كانت خطّتك تسمح بالوصول عبر SSH، ففعّله من لوحة استضافتك، وانسخ أمر الاتّصال منها كما هو، والصقه في الطرفيّة. اقرأ رسالة البصمة هذه المرّة قبل أن تكتب «نعم»، ثمّ جرّب أوامر القراءة الثلاثة التي رأيتها في أوّل المقال. اكتب exit حين تنتهي.

ثمّ أنشئ زوج مفاتيح على حاسوبك بعبارة مرور، والصق المفتاح العامّ في صفحة المفاتيح في لوحة استضافتك، وادخل مرّةً ثانيةً دون كلمة مرور الحساب هذه المرّة. في المرّة الأولى التي يطلب فيها جهازك عبارة مرور المفتاح بدل كلمة مرور الخادم، ستعرف أنّ الشكل 1 يعمل أمامك.

خلاصة عمليّة

اقرأ بصمة الخادم في الاتّصال الأوّل، ولا تتجاوز تحذير تغيّرها قبل أن تعرف سببه، وادخل بزوج مفاتيح من نوع Ed25519 بعبارة مرور، ولا ترسل الملفّ الخاصّ لأحد. وعلى خادمك الخاصّ عطّل الدخول بكلمة المرور ودخول الجذر المباشر، وافحص الإعدادات قبل تطبيقها وأنت متّصلٌ من نافذةٍ ثانية. واستعمل النقل الآمن للملفّات بدل القديم دائمًا، وحدّث النظام حين تصل إصلاحات SSH.

أصبحت تملك الآن مفتاح الخادم، وهذا يعني أنّك تستطيع أن تكسر موقعك الحيّ بأمرٍ واحد. قبل أن تجرّب تحديثًا كبيرًا أو قالبًا جديدًا أو إضافةً لا تعرفها، تحتاج نسخةً من موقعك تجرّب عليها دون أن يرى الزوّار شيئًا. ما هذه النسخة، وكيف تنشئها، وكيف تنقل ما جرّبته إلى الموقع الحقيقيّ؟ هذا موضوع المقال التالي: بيئة التجربة.

المصادر

1. ‏IETF، «RFC 4251: The Secure Shell (SSH) Protocol Architecture» (يناير 2006)، القسم 4.1: مفتاح الخادم يُستعمل للتحقّق من أنّ العميل يخاطب الخادم الصحيح؛ الاتّصال الأوّل دون تحقّقٍ محميٌّ من التنصّت ومعرّضٌ لهجوم الوسيط؛ حفظ المفتاح في المرّة الأولى ومقارنته بعدها.
2. ‏IETF، «RFC 2577: FTP Security Considerations» (1999): بروتوكول FTP المعياريّ يرسل كلمات المرور نصًّا مكشوفًا بالأمر PASS.
3. ‏Microsoft Learn، «Get started with OpenSSH for Windows» (قُرئت في 25 سبتمبر 2026): تشمل ويندوز 10 وويندوز 11 وWindows Server 2019 فما بعده؛ الحدّ الأدنى ويندوز 10 الإصدار 1809.
4. ‏OpenBSD manual pages، «ssh(1)» (قُرئت في 25 سبتمبر 2026): الوجهة ‎[user@]hostname؛ الخيار ‎-p المنفذ على الخادم البعيد.
5. ‏WordPress Developer Resources، «wp plugin list» (قُرئت في 25 سبتمبر 2026): قائمة الإضافات المنصّبة وحالة تفعيلها وتوفّر التحديث، مع التصفية بقيمة حقل.
6. ‏WordPress Developer Resources، «wp plugin deactivate» (قُرئت في 25 سبتمبر 2026): تعطيل إضافةٍ أو أكثر باسمها، أو كلّها مع الخيار ‎–all، واستثناء بعضها بالخيار ‎–exclude.
7. ‏OpenBSD manual pages، «sftp(1)» (قُرئت في 25 سبتمبر 2026): برنامج نقل ملفّاتٍ يشبه ftp وينفّذ كلّ العمليّات عبر نقل ssh مشفّر، ويستعمل الدخول بالمفتاح.
8. ‏Hostinger، «How to connect to a hosting plan via SSH in Hostinger» (قُرئت في 25 سبتمبر 2026): الوصول متاحٌ في خطّة Premium Web فما فوق وغير متاحٍ في Single Web؛ يُفعَّل من اللوحة؛ مثال رسالة البصمة على المنفذ 65002.
9. ‏IETF، «RFC 4252: The Secure Shell (SSH) Authentication Protocol» (يناير 2006)، القسم 7: امتلاك المفتاح الخاصّ هو الإثبات؛ يرسل العميل توقيعًا بمفتاحه الخاصّ، ويتحقّق الخادم من المفتاح ومن صحّة التوقيع.
10. ‏IETF، «RFC 4253: The Secure Shell (SSH) Transport Layer Protocol» (يناير 2006)، القسم 7.2: الاتّفاق على المفاتيح يُنتج سرًّا مشتركًا وقيمة تبادل، تُشتقّ منهما مفاتيح التشفير، وتصير الأولى معرّف الجلسة الذي يدخل في ما يُوقَّع إثباتًا لامتلاك المفتاح الخاصّ.
11. ‏OpenSSH، «Release Notes» (قُرئت في 25 سبتمبر 2026): الإصدار 9.5 (4 أكتوبر 2023) ينشئ مفاتيح Ed25519 افتراضيًّا؛ الإصدار 10.0 (9 أبريل 2025) يزيل DSA ويجعل mlkem768x25519-sha256 الافتراضيّ للاتّفاق على المفاتيح؛ الإصدار 10.5 (11 أغسطس 2026) عن بلاغات الثغرات من نماذج الذكاء الاصطناعيّ والإصدارات الأكثر تواترًا.
12. ‏OpenBSD manual pages، «ssh-agent(1)» (قُرئت في 25 سبتمبر 2026): برنامجٌ يحتفظ بالمفاتيح الخاصّة المستعملة للدخول بالمفتاح، ويستعمله العميل تلقائيًّا.
13. ‏OpenBSD manual pages، «ssh_config(5)» (قُرئت في 25 سبتمبر 2026): ملفّ ‎~/.ssh/config؛ Hostname الاسم الحقيقيّ ويسمح بالأسماء المختصرة؛ Port افتراضيّه 22؛ User وIdentityFile.
14. ‏Hostinger، «How to enable SSH Access in Hostinger» (قُرئت في 25 سبتمبر 2026): الوصول محصورٌ في المجلّد الرئيسيّ للحساب وما تحته.
15. ‏OpenBSD manual pages، «sshd_config(5)» (قُرئت في 25 سبتمبر 2026): PasswordAuthentication قيمته الافتراضيّة yes؛ PermitRootLogin قيمته الافتراضيّة prohibit-password.
16. ‏OpenBSD manual pages، «sshd(8)» (قُرئت في 25 سبتمبر 2026): الخيار ‎-t وضع اختبارٍ يتحقّق من صحّة ملفّ الإعدادات والمفاتيح فقط.