ابدأ بالمسارات الحرِجة، لا بمسح ضخم
اختر من خمسة إلى عشرة عناوين URL وعرّف النتيجة المتوقعة لكلٍ منها: صفحة تأكيد، إيصال، سجل في CRM، أو تسليم إلى مزوّد. ضمّن الصفحات العامة والإجراءات التي تُنشئ إيراداً أو ثقة أو طلب دعم أو التزامًا قانونيًا. اختبر كزائر في نافذة متصفح مسجل الخروج وعلى هاتف.
إذا كان طرف ثالث يملك خطوة حرِجة، خرِّط التحويل وبيّن جهة دعمهم. يمكنك اختبار انتقالك لكن لا يمكنك إصدار شهادة عن موفرهم. صنّف النتائج كعائق (blocker)، تدهور مادي، أو تحسين حتى لا تُدفَن رحلة مكسورة بأعمال تجميلية.
غطِّ المسارات التي تُنشئ إيراداً أو ثقة أو طلب دعم أو التزامات قانونية.
كل نتيجة مادية تحتاج إلى مالك مسمّى وتاريخ مستهدف.
تحقق من إمكانية الاستخدام القابلة للوصول بالإضافة للمظهر
تعني الوصولية أن الأشخاص يستطيعون استيعاب الموقع وتشغيله بطرق إدخال مختلفة وتقنيات مساعدة. على الصفحات المختارة، استخدم التبويب (Tab) عبر التنقل والقوائم والعناصر والنماذج. تحقّق من وجود مؤشر تركيز مرئي، وتشغيل العناصر الأساسية دون فأرة، ومسار للوصول إلى المحتوى الرئيسي. دليل W3C’s Easy Checks يحدد مؤشر التركيز على لوحة المفاتيح ورابط تخطّي كعناصر مفيدة للمراجعة الأولية.
افحص نصوص الصور المعنوية، عناوين الصفحات، العناوين الفرعية، التباين، سلوك التكبير، بدائل الوسائط عند الحاجة، تسميات الحقول في النماذج، الحقول المطلوبة، والأخطاء المفهومة. أرسل تعبئة اختبار غير حساسة. هذا ليس تدقيق امتثال: تحذر W3C من أن الصفحات قد تجتاز فحوصاً سريعة بينما تظل تحتوي حواجز مهمة. استخدم تقييمًا مؤهلاً للأعمال الأعلى مخاطرة أو إعادة التصميم أو القضايا المعروفة.
اختبر التسميات، الإرشادات، الأخطاء، والمسار الفعلي إلى صفحة التأكيد.
يجب أن ينقل النص البديل غرض الصورة؛ وتُنظّم العناوين الصفحة.
راجع قابلية العثور دون أن تعد بالترتيب
يساعد SEO محركات البحث على فهم المحتوى ويساعد الناس في تقرير ما إذا كانوا سيزورون الموقع من نتائج البحث. لكل صفحة ذات أولوية، اقرأ العنوان، العنوان الرئيسي، النسخة الافتتاحية، عنوان URL، والروابط الداخلية كزائر جديد. يجب أن تُبيّن الغرض وتقود إلى خطوات مفيدة تالية. توصي Google بروابط وصفية، محتوى مفيد، ونص رابط وصفي.
إذا كنت تستخدم Google Search Console، فافحص عناوين URL الرئيسية بعد إصدار ذي أثر. تقول Google إن URL Inspection يمكن أن يساعد في التحقق من كيف يرى زاحفها الصفحة وما إذا كان يستطيع الوصول إلى الموارد المهمة. صحّح الحجب العرضي، الروابط الداخلية المعطلة، أو المسارات غير الواضحة، ثم امنح الزحف وقتًا لإعادة الفهرسة. Google لا تضمن الفهرسة أو الترتيب.
افتح الروابط الداخلية أثناء تسجيل الخروج وسجّل صفحات 404، الحلقات، والوجهات غير ذات الصلة.
راقب التسليم حيث يشعر الزوار به
يشمل التسليم استجابة الخادم، الصور، الخطوط، السكربتات، التخزين المؤقت، والأطراف الثالثة. شغّل فحص أداء المتصفح على الصفحات ذات الأولوية، ثم كرر المهمة الأساسية على هاتف حقيقي. دوّن المحتوى الأساسي المتأخر، عناصر التحكم البطيئة، تغيّر تخطيط الصفحة المفاجئ، الموارد الفاشلة، أو اللافتات التي تمنع إكمال المهمة. Core Web Vitals هي إطار عمل تجربة مستخدم من web.dev؛ استخدم القياسات للتركيز على التحقيق، لا لتحلّ محل اختبار الرحلات.
راجع الوسوم الجديدة، الأدوات المدمجة (widgets)، المضمّنات (embeds)، الخطوط، وتغيّرات الصور مع منفّذ التنفيذ. تعيد ذاكرات التخزين المؤقت HTTP استخدام الاستجابات السابقة. يشرح MDN أن `Cache-Control` ينقل تعليمات التخزين المؤقت وأن الاستجابات المخزنة قد تكون طازجة أو قديمة. بعد إصدار، قارن بين جلسات متصفح عادية وطازجة، ثم ليُراجع المالك الفني الرؤوس وقواعد CDN. تجنّب تغييرات عامة على الكاش دون فهم آثار الخصوصية والإصدار.
سجّل ما إذا كان المحتوى الأساسي يظهر، وهل بقيت الصفحة مستقرة، وهل استجابت العناصر الضرورية.
تُشير MDN إلى أن الكوكي وحده لا يجعل الاستجابة خاصة؛ اطلب من مالك فني مراجعة التخزين المؤقت المُخصّص.
أكيد الأساس الأمني وحماية تغييرات الدفع
يمكن لفحص المالك أن يكشف فجوات مرئية؛ لكنه ليس اختبار اختراق. افتح الموقع العام عبر HTTPS وجرب HTTP. توصي OWASP باستخدام TLS لكل الصفحات وتصف إعادة توجيه حركة HTTP العامة إلى HTTPS كطريقة شائعة. صعِّد تحذيرات الشهادة أو المحتوى المختلط أو النطاقات غير المتوقعة أو صفحات HTTP التي تُقدّم محتوى بدلًا من إعادة التوجيه بأمان.
أكد ملكية الوصول الحالية للنشر، النطاق، DNS، الدفع، الإضافات، والنسخ الاحتياطية. يجب أن يراجع مختص أمني مؤهل أو مزوّد إعداد TLS والتصحيحات والمصادقة وتكوين الخادم والسجلات. بالنسبة للدفع، استخدم فقط طريقة اختبار معتمدة من المزوّد أو بيئة آمنة غير إنتاجية. لا تضع بيانات بطاقة حقيقية أو بيانات اعتماد في اختبار غير رسمي ولا تزعم أن المراجعة البصرية تثبت امتثال PCI.
عامل تحذير شهادة أو تحذير محتوى غير آمن أو إعادة توجيه غير متوقعة كمشكلة توقف إطلاق حتى يتم التحقيق.
حوّل الشبهات باختراق، متطلبات الأمان، وأسئلة امتثال الدفع إلى مراجعين مؤهلين.
أثبِت الاسترداد وأغلق الدائرة
سجّل ما يعيد بناء الرحلة ذات الأولوية: إصدار التطبيق، قاعدة البيانات، الوسائط المرفوعة، مواقع التكوين، الوصول إلى DNS والنطاق، إعدادات التكامل، وجهات اتصال البائعين. توصي CISA بتحديد البيانات الحرِجة، حماية قواعد بيانات الموقع والتشغيل، تأمين النسخ الاحتياطية، واختبار الاسترداد. اسأل متى تم اختبار الاستعادة الأخيرة، ما الذي أعادته، كم استغرقت، ومن يمكنه تفويضها. درّب الاسترداد بأمان حيث أمكن.
قبل إصدار، حدّد الإصدار السابق، زناد الرجوع (reversal trigger)، الموافق، والتعامل مع DNS والكاش ومخطط قاعدة البيانات وتغييرات الطرف الثالث. النسخة الاحتياطية ليست إصلاحًا فورياً، وقد لا يعكس التراجع الأحداث الخارجية أو معاملات الدفع. احتفظ بسجل للنتيجة والأدلة والمالك والتاريخ ونتيجة إعادة الاختبار.
سجل نطاق الاستعادة، التاريخ، النتيجة، والفجوات أقوى من القول “النسخ الاحتياطية تعمل”.
تحقق من مسار الفشل الأصلي بعد الإصلاح في البيئة ذات الصلة.