المسجّل، مزود الاستضافة، شبكة توصيل المحتوى: من يمكنه فعليًا التصرف؟

آخر تحديث: ٢٦ سبتمبر ٢٠٢٦

أمام موقع تصيد احتيالي، يعود سؤال واحد دائمًا: لمن يجب الكتابة لإيقاف هذا؟ تعتمد الإجابة على تفصيل غالبًا ما يُغفَل: لا يكون لموقع أبدًا مسؤول تقني واحد فقط، بل عدة مسؤولين، لكل منهم صلاحية مختلفة. توجيه البلاغ إلى الطرف الخطأ يعني الانتظار أسبوعًا لإجراء كان يمكن للطرف الصحيح تنفيذه في ساعة واحدة.

مخطط ثلاث حلقات: اسم النطاق، يديره المسجّل، يمكنه تعليق الاسم بأكمله؛ شبكة توصيل المحتوى، اختيارية، يمكنها تحذير الزوار أو حجبهم لكنها لا تحل محل مزود الاستضافة؛ الخادم الأصلي، يديره مزود الاستضافة، يمكنه إيقاف الجهاز. عدسة تكبير محقق تذكّر بأن شبكة توصيل المحتوى تُعيد التوجيه فقط وليست بديلًا: يوجد دائمًا خلفها خادم حقيقي. — الشكل 1: الحلقات الثلاث في السلسلة، ثلاثة مسؤولين مختلفين. كل منهم لا يمكنه التصرف إلا على حلقته الخاصة.

ما هو المسجّل؟

المسجّل هو الجهة التي يُشترى منها اسم نطاق مثل secure-login.example. هو من يسجّل هذا الاسم لدى سجل النطاقات (.com، .net، إلخ) ويمكنه، بناءً على بلاغ، تعليقه: يتوقف الاسم عندها عن العمل، أينما كان يشير. تصبح جميع الروابط التي أُرسلت بالفعل في حملة تصيد احتيالي غير صالحة فورًا، حتى لو كان الخادم وراءها لا يزال يعمل.

ما هو مزود الاستضافة؟

مزود الاستضافة هو مالك الجهاز المادي أو الافتراضي الذي يشغّل الموقع: الخادم نفسه. يمكنه إيقاف هذا الجهاز، أو إزالة صفحة معينة إذا كان باقي الخادم شرعيًا (حالة موقع مخترق). يؤدي إيقاف الاستضافة إلى إزالة الصفحة فورًا، لكنه لا يمنع المحتال من إعادة توجيه نطاقه إلى خادم آخر في غضون دقائق.

ما هي شبكة توصيل المحتوى؟

شبكة توصيل المحتوى (CDN) هي شبكة من الخوادم الوسيطة، مثل Cloudflare أو Akamai أو Fastly، توضع أمام الخادم الحقيقي. تسرّع العرض، وتُصفّي جزءًا من حركة المرور غير المرغوب فيها، والأهم: تُخفي عنوان IP الحقيقي للخادم الأصلي عن أعين الزوار العاديين. يمكن لشبكة توصيل المحتوى أن تعرض تحذيرًا للزوار أو تحجب الوصول إلى صفحة، لكن لا يمكنها حذف الموقع: إنها تُعيد توجيهه فقط نيابة عن مالكه الحقيقي.

من يتحكم بماذا؟

الطرف	ما يملكه	ما يمكنه فعله
المسجّل	اسم النطاق	تعليق الاسم بأكمله
مزود الاستضافة	الخادم (الجهاز)	إيقاف الجهاز أو إزالة صفحة
شبكة توصيل المحتوى	وسيط أمام الخادم	تحذير أو حجب الزوار، تحويل الشكاوى

هذه الإجراءات الثلاثة تكمّل بعضها البعض، ولا تحل إحداها محل الأخرى. إيقاف الخادم دون المساس بالنطاق يسمح للمحتال بإعادة البناء في مكان آخر في غضون دقائق؛ تعليق النطاق دون التصرف تجاه الخادم يترك الجهاز نشطًا لأسماء أخرى.

مثال ملموس: موقع تصيد احتيالي خلف Cloudflare

يُقلّد موقع صفحة تسجيل دخول بنك على العنوان https://secure-login.example. يُظهر بحث WHOIS عن عنوان IP الخاص به... Cloudflare. للوهلة الأولى، قد يعتقد المرء أن Cloudflare يستضيف هذا الموقع. هذا ليس صحيحًا تقريبًا أبدًا: تعمل Cloudflare (أو أي شبكة توصيل محتوى مماثلة) كوسيط فقط. الخادم الحقيقي، الذي يحتوي فعليًا على الصفحة المزيفة، يوجد في مكان آخر، لدى مزود استضافة لا يظهر إطلاقًا في هذا البحث الأولي عن WHOIS.

لماذا قد لا يكون الإبلاغ إلى شبكة توصيل المحتوى وحدها كافيًا

يمكن أن يثير بلاغ مُرسَل إلى شبكة توصيل المحتوى وحدها ردة فعل سريعة: توفّر Cloudflare، على سبيل المثال، نموذجًا مخصصًا على abuse.cloudflare.com ويمكنها عرض تحذير أمني للزوار. لكن طالما أن الخادم الحقيقي لا يزال يعمل، يمكن للمحتال سحب الموقع من شبكة توصيل المحتوى ومواصلة تقديمه مباشرة، أو نقله خلف شبكة توصيل محتوى أخرى. تُبطئ شبكة توصيل المحتوى فقط، ولا توقف. لإيقاف دائم، يجب أيضًا التتبع حتى مزود الاستضافة الحقيقي، وإبلاغ مسجّل النطاق.

كيفية تحديد مزود الاستضافة الحقيقي

غالبًا ما تتيح عدة مؤشرات العثور على الخادم الأصلي خلف شبكة توصيل المحتوى، دون أداة مخصصة:

سجل DNS التاريخي: تحتفظ بعض خدمات سجل DNS التاريخي أحيانًا بعنوان IP الذي كان النطاق يستخدمه قبل الانتقال خلف شبكة توصيل المحتوى. إذا كان الموقع قديمًا، أو غيّر إعداداته مؤخرًا، فقد يظل العنوان القديم مذكورًا هناك.
نطاق فرعي منسي: تفعّل الهياكل الكبيرة شبكة توصيل المحتوى على الموقع الرئيسي، لكنها تنسى أحيانًا نطاقًا فرعيًا تابعًا (mail.، ftp.، dev.، webmail.) لا يزال يشير مباشرة إلى الخادم الحقيقي.
الترويسات والشهادات: تستجيب بعض الخوادم سيئة الإعداد بشكل مختلف عند الوصول المباشر مقارنة بالوصول عبر شبكة توصيل المحتوى، أو تكشف عن شهادة مرتبطة باسم آخر.
ترويسات البريد الإلكتروني: إذا وصل التصيد الاحتيالي عبر البريد الإلكتروني، فإن عنوان IP للخادم المُرسِل (راجع كيفية قراءة الترويسات الكاملة) يعود أحيانًا إلى نفس مزود استضافة الموقع، حتى لو كان الموقع محميًا بشبكة توصيل محتوى.

مخطط من أربع مراحل: اليوم، يُظهر بحث WHOIS لعنوان IP شبكة توصيل محتوى، الخادم الحقيقي مخفي؛ مؤشر، غالبًا ما يُظهر سجل DNS التاريخي العنوان قبل الانتقال خلف شبكة توصيل المحتوى؛ مؤشر، نطاق فرعي منسي مثل mail أو ftp لا يزال يشير إلى الخادم الحقيقي دون المرور عبر شبكة توصيل المحتوى؛ النتيجة، الخادم الحقيقي محدد ويوفر بحث WHOIS الخاص به مزود الاستضافة الحقيقي وعنوان الإبلاغ الخاص به. تعليق: لا تتوقف أبدًا عند أول اسم تجده. — الشكل 2: العثور على الخادم الأصلي خلف شبكة توصيل المحتوى، مؤشرًا تلو الآخر.

عندما لا يكفي أي من هذه المؤشرات، تبقى شبكة توصيل المحتوى نقطة عبور إلزامية: يتيح نموذج الإبلاغ عن الإساءة الخاص بها إبلاغ الصفحة، وتُحيل بعض شبكات توصيل المحتوى بنفسها الشكاوى إلى مزود الاستضافة الحقيقي، الذي تعرفه.

صياغة بلاغك

بمجرد تحديد الجهة الصحيحة، يبقى البلاغ الفعّال موجزًا وقابلًا للتحقق: العنوان الدقيق للصفحة (وليس فقط اسم النطاق)، لقطة شاشة أو ترويسات كاملة إذا كانت الوسيلة بريدًا إلكترونيًا، وتاريخ ووقت الاكتشاف. نكتب إلى شبكة توصيل المحتوى للتحذير الفوري، وإلى المسجّل لإيقاف الاسم، وإلى مزود الاستضافة لإيقاف الجهاز — كل طرف بما يخصه، وليس إرسال كل شيء بشكل عشوائي للجميع.

ما يجب تذكره

يدير المسجّل اسم النطاق ويمكنه تعليقه بالكامل.
يدير مزود الاستضافة الخادم ويمكنه إيقاف الجهاز أو إزالة صفحة معينة.
لا تستضيف شبكة توصيل المحتوى الموقع: إنها تُعيد توجيهه فقط، وتُخفي عنوان IP الحقيقي، ويمكنها تحذير الزوار دون أن تتمكن من حذفه.
بحث WHOIS الذي يُظهر شبكة توصيل محتوى ليس نهاية التحقيق تقريبًا أبدًا: يجب البحث عن الخادم الحقيقي وراءها.
سجل DNS التاريخي، والنطاقات الفرعية المنسية، وترويسات البريد الإلكتروني نقاط انطلاق جيدة للعثور عليه.

هذا بالضبط ما يفعله Baitback: انطلاقًا من رسالة بريدية أو رابط، تجد الأداة الخادم المُرسِل، وتحدد مزود الاستضافة الحقيقي حتى خلف شبكة توصيل المحتوى، وتُعِد رسائل البلاغ الموجهة لكل طرف معني.