ملفات ووردبريس الأساسية، ببساطة

١. شكل ووردبريس من جوه

أي موقع ووردبريس بيتكوّن من حاجتين منفصلين تمامًا، ولازم تفهم الفرق بينهم من الأول:

القاعدة الذهبية: wp-admin و wp-includes وملفات الجذر دي ملك ووردبريس وبتتستبدل مع كل تحديث. wp-content و wp-config.php و .htaccess دول ملكك إنت.

٢. ملفات الجذر ووظيفة كل ملف

المجلدات الأساسية

wp-includes/ فيها كل الدوال والكلاسات اللي ووردبريس شغال بيها، زي class-wp-query.php (جلب المقالات)، functions.php (دوال عامة – غير functions.php بتاع القالب)، pluggable.php (دوال ممكن الإضافات تستبدلها زي wp_mail)، template-loader.php (بيختار ملف القالب المناسب)، و version.php (رقم إصدار ووردبريس).

wp-admin/ فيها كل صفحات لوحة التحكم. أهم ملفاتها admin.php اللي كل صفحة أدمن بتمر بيه، و admin-ajax.php اللي بيستقبل طلبات AJAX من الإضافات والقوالب، و setup-config.php و install.php بتوع التنصيب.

٣. مجلد wp-content

ده مجلدك إنت، والتحديثات مش بتلمسه (إلا لو ووردبريس بيضيف قالب افتراضي جديد). ده المجلد اللي لازم يكون في النسخة الاحتياطية دايمًا مع الداتابيز.

themes (القوالب)

كل قالب في مجلد لوحده. أقل حاجة القالب الكلاسيكي محتاجها: style.css (فيه رأس الملف اللي عليه اسم القالب وبياناته) و index.php. قوالب البلوكات الحديثة محتاجة style.css و templates/index.html.

plugins (الإضافات)

كل إضافة في مجلد، وفيها ملف رئيسي عليه رأس Plugin Name:. ووردبريس بيحفظ في الداتابيز المسار النسبي للملف ده (مثلًا akismet/akismet.php) عشان يعرف إن الإضافة مفعّلة.

mu-plugins (إضافات إجبارية)

أي ملف PHP في المجلد ده بيشتغل تلقائيًا قبل الإضافات العادية، ومينفعش يتعطل من لوحة التحكم. مفيد لكود لازم يشتغل دايمًا. ملاحظة: ووردبريس بيقرأ الملفات اللي في المجلد مباشرة بس، مش اللي جوه مجلدات فرعية.

uploads (الملفات المرفوعة)

الصور والملفات بتتخزن بالشكل uploads/2026/09/photo.jpg مع نسخ بمقاسات مختلفة. الملف نفسه على السيرفر، وبياناته في الداتابيز كـ «مرفق» attachment.

ملفات Drop-ins الخاصة

ملفات بأسماء محددة لو حطيتها مباشرة في wp-content بتستبدل سلوك الكور: advanced-cache.php و object-cache.php (الكاش)، db.php (طبقة الداتابيز)، maintenance.php (صفحة الصيانة)، php-error.php و fatal-error-handler.php (صفحات الأخطاء). إضافات الكاش بتنشئ بعضها تلقائيًا.

٤. أهم ملف: wp-config.php

ده الملف الوحيد اللي من غيره ووردبريس ميعرفش يتصل بالداتابيز، وبالتالي ميعرفش أي حاجة عن موقعك. وفي نفس الوقت هو أخطر ملف أمنيًا لأن فيه باسورد الداتابيز. مش متخزن في الداتابيز خالص، ولو ضاع ومفيش نسخة لازم تكتبه من جديد.

// بيانات الاتصال بالداتابيز
define( 'DB_NAME',     'database_name' );
define( 'DB_USER',     'database_user' );
define( 'DB_PASSWORD', 'strong_password' );
define( 'DB_HOST',     'localhost' );
define( 'DB_CHARSET',  'utf8mb4' );
define( 'DB_COLLATE',  '' );

// مفاتيح التشفير (بتتولد من https://api.wordpress.org/secret-key/1.1/salt/)
define( 'AUTH_KEY',         '...' );
define( 'SECURE_AUTH_KEY',  '...' );
define( 'LOGGED_IN_KEY',    '...' );
define( 'NONCE_KEY',        '...' );
define( 'AUTH_SALT',        '...' );
define( 'SECURE_AUTH_SALT', '...' );
define( 'LOGGED_IN_SALT',   '...' );
define( 'NONCE_SALT',       '...' );

// بادئة الجداول (لازم تطابق أسماء الجداول في الداتابيز)
$table_prefix = 'wp_';

// الديباج: شغّله على نسخة التجربة بس
define( 'WP_DEBUG', false );
define( 'WP_DEBUG_LOG', false );      // يكتب الأخطاء في wp-content/debug.log
define( 'WP_DEBUG_DISPLAY', false );  // ميعرضش الأخطاء للزوار

// إعدادات مفيدة
define( 'DISALLOW_FILE_EDIT', true ); // يقفل محرر الملفات من لوحة التحكم
define( 'WP_MEMORY_LIMIT', '256M' );
define( 'WP_POST_REVISIONS', 10 );    // حد أقصى لمراجعات المقال
define( 'FORCE_SSL_ADMIN', true );
// define( 'WP_HOME',    'https://example.com' );  // بيتجاوز قيمة home في الداتابيز
// define( 'WP_SITEURL', 'https://example.com' );  // بيتجاوز قيمة siteurl

/* لا تكتب أي حاجة بعد السطر ده */
if ( ! defined( 'ABSPATH' ) ) {
    define( 'ABSPATH', __DIR__ . '/' );
}
require_once ABSPATH . 'wp-settings.php';

أهمية الملفات بالترتيب: wp-config.php ثم .htaccess ثم ملفات سلسلة التحميل (index.php ← wp-blog-header.php ← wp-load.php ← wp-settings.php) ثم functions.php بتاع القالب لأنه أكتر ملف بيتعدل وبيوقع مواقع.

٥. دورة الطلب Request Lifecycle

لما حد يفتح example.com/my-post/، ده اللي بيحصل بالترتيب. الدوائر المتقطعة هي نقاط الـ hooks اللي الإضافات والقوالب بتتدخل فيها.

1. السيرفر يستقبل الطلب ويقرأ .htaccessالرابط /my-post/ مش ملف حقيقي، فقواعد الـ Rewrite بتحوّله لـ index.php.
2. index.phpيعرّف WP_USE_THEMES = true ويستدعي wp-blog-header.php.
3. wp-blog-header.php ← wp-load.phpيحدد ABSPATH ويدوّر على wp-config.php.
4. wp-config.phpيعرّف بيانات الداتابيز والثوابت، وفي آخره يستدعي wp-settings.php.
5. wp-settings.php يبدأ التحميليحمّل ملفات wp-includes، يتصل بالداتابيز، ويحمّل الخيارات المحمّلة تلقائيًا (autoload) من جدول wp_options.
6. mu-plugins ثم الإضافات المفعّلةيقرأ active_plugins من الداتابيز ويحمّل ملفاتها. بعدها muplugins_loaded ثم plugins_loaded.
7. pluggable.phpيحمّل الدوال القابلة للاستبدال (لو إضافة معرّفاها قبله، نسختها هي اللي بتشتغل).
8. القالب: functions.phpsetup_theme ثم تحميل functions.php للقالب الفرعي ثم الأب، ثم after_setup_theme.
9. init ثم wp_loadedالمستخدم الحالي اتعرف. هنا بتتسجل أنواع المقالات المخصصة والتصنيفات. ووردبريس جاهز بالكامل.
10. wp(): فهم الطلبparse_request يطابق الرابط مع rewrite_rules المخزنة، ثم WP_Query يجيب المحتوى من wp_posts، ثم hook wp.
11. template_redirectآخر فرصة للتحويل أو منع الوصول قبل عرض أي HTML.
12. template-loader.php يختار ملف القالبحسب التسلسل الهرمي: مقال مفرد ← single-post.php ← single.php ← singular.php ← index.php.
13. عرض الصفحةملف القالب يشتغل، و wp_head و wp_footer يطبعوا ستايلات وسكربتات الإضافات.
14. shutdownنهاية الطلب. وممكن wp-cron.php يتنادى في الخلفية لو فيه مهام مجدولة وقتها جه.

٦. كل حاجة بتتخزن فين في الداتابيز

الجداول الافتراضية ١٢ جدول (بالبادئة wp_ أو اللي محددها في wp-config):

ربط كل ملف أو مجلد بمكانه في الداتابيز

٧. إيه اللي يتعدل وإيه اللي لأ

الحاجات اللي بتتغير لوحدها طبيعي: .htaccess (لما تحفظ الروابط الدائمة أو إضافة أمان/كاش تكتب فيه)، uploads/، ملفات الكاش في wp-content/cache/، debug.log، وملف .maintenance المؤقت أثناء التحديثات.

٨. إزاي نعدل على الملفات صح

1. خد نسخة احتياطية من الملف اللي هتعدله (وحبذا الموقع كله: الملفات + الداتابيز).
2. اشتغل على نسخة تجريبية Staging لو التعديل كبير.
3. عدّل عن طريق SFTP أو File Manager في لوحة الاستضافة، مش من «محرر ملفات القوالب» داخل ووردبريس. لو غلطت في المحرر الداخلي وحصل Fatal Error، ممكن متعرفش تدخل تصلحه.
4. استخدم محرر نصوص حقيقي (VS Code، Notepad++)، مش Word أو Notepad الويندوز القديم، واحفظ بترميز UTF-8 بدون BOM. الـ BOM أو أي مسافة قبل <?php بتعمل خطأ «Headers already sent».
5. شغّل الديباج مؤقتًا وتابع wp-content/debug.log، وبعد ما تخلص اقفله.
6. بلاش تقفل ملفات PHP بـ ?> في آخر functions.php أو الإضافات، عشان أي سطر فاضي بعدها بيعمل مشاكل.

مثال: إضافة كود لقالب فرعي بشكل سليم في functions.php:

<?php
// تحميل ستايل القالب الأب
add_action( 'wp_enqueue_scripts', function () {
    wp_enqueue_style( 'parent-style', get_template_directory_uri() . '/style.css' );
} );

ولو عندك WP-CLI على السيرفر، ده أسهل طريق لحاجات كتير: wp plugin deactivate --all، wp theme activate twentytwentyfive، wp option get siteurl.

٩. لو ملف اتمسح: الأعراض والحل

محتوى .htaccess الافتراضي لموقع في جذر الدومين:

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

ولو الموقع في مجلد فرعي زي /blog/، غيّر RewriteBase /blog/ والسطر الأخير لـ /blog/index.php.

١٠. الأخطاء الشائعة وحلها

١١. خطوات استرجاع ملفات الكور

ملفات الكور مش محتاجة نسخة احتياطية عشان ترجعها، لأنها نفس الملفات عند كل الناس. المهم تنزل نفس الإصدار اللي عندك.

1. اعرف الإصدار من wp-includes/version.php (المتغير $wp_version) أو من قيمة db_version.
2. نزّل نفس الإصدار من wordpress.org/download/releases.
3. فك الضغط، وامسح من النسخة الجديدة مجلد wp-content وملف wp-config-sample.php لو حابب، عشان متكتبش فوق شغلك.
4. ارفع واستبدل: wp-admin و wp-includes بالكامل، وملفات الجذر.
5. متلمسش wp-config.php ولا wp-content. وراجع .htaccess إنه موجود.

أو بـ WP-CLI، أسرع وأضمن:

# يقارن ملفات الكور بالنسخة الرسمية ويقولك إيه ناقص أو متعدّل
wp core verify-checksums

# يعيد تنزيل الكور بنفس الإصدار من غير ما يلمس wp-content
wp core download --version=$(wp core version) --skip-content --force

# نفس الفحص للإضافات
wp plugin verify-checksums --all

١٢. الأمان

تأمين wp-config.php

• صلاحياته 400 أو 440 (أو 600 حسب الاستضافة) عشان محدش غير صاحب الملف يقراه.
• ممكن تنقله مجلد واحد فوق جذر الموقع، وووردبريس هيلاقيه تلقائيًا.
• مفاتيح تشفير قوية وفريدة، وغيّرها بعد أي اشتباه في اختراق.
• بادئة جداول غير wp_ في التنصيبات الجديدة (حماية بسيطة مش أساسية).
• DISALLOW_FILE_EDIT = true. ولو عايز تمنع تثبيت إضافات وتحديثات من اللوحة كمان: DISALLOW_FILE_MODS.
• WP_DEBUG_DISPLAY = false على الموقع الحقيقي، عشان رسائل الخطأ متكشفش مسارات.
• مستخدم الداتابيز يبقى ليه صلاحيات على الداتابيز دي بس، ومش root.

قواعد .htaccess مفيدة

# منع الوصول لـ wp-config.php و .htaccess نفسه
<Files wp-config.php>
  Require all denied
</Files>
<Files .htaccess>
  Require all denied
</Files>

# قفل xmlrpc.php لو مش محتاجه (Jetpack وتطبيقات قديمة بتحتاجه)
<Files xmlrpc.php>
  Require all denied
</Files>

# منع عرض محتوى المجلدات
Options -Indexes

وفي ملف .htaccess منفصل جوه wp-content/uploads/ عشان تمنع تشغيل أي PHP حد يرفعه متخفي كصورة:

<FilesMatch "\.(php|phtml|php\d)$">
  Require all denied
</FilesMatch>

ملحوظة: Require all denied صيغة Apache 2.4. السيرفرات القديمة بتستخدم Order allow,deny و Deny from all. وعلى Nginx نفس القواعد بتتكتب في إعدادات السيرفر بـ location ... { deny all; }.

صلاحيات الملفات

عادات أمان أساسية

• حدّث ووردبريس والقوالب والإضافات باستمرار، وامسح أي إضافة أو قالب مش مستخدم (حتى لو معطّل).
• متستخدمش اسم مستخدم admin، وفعّل التحقق بخطوتين، وحدد عدد محاولات الدخول.
• HTTPS على الموقع كله.
• نسخ احتياطي تلقائي للملفات والداتابيز متخزن برّه السيرفر، وجرّب الاسترجاع مرة على الأقل.
• نزّل القوالب والإضافات من مصادرها الرسمية بس، مش نسخ «Nulled» مجانية لأنها غالبًا فيها باك دور.
• افحص دوريًا بـ wp core verify-checksums واعرف لو فيه ملفات PHP غريبة في uploads.

١٣. ملخص سريع