نگهداری سایت فقط به‌روزرسانی افزونه‌ها نیست. سایتی که باز می‌شود ممکن است فرم خراب، بکاپ غیرقابل بازیابی، صفحه حذف‌شده از گوگل یا درگاه پرداخت نامطمئن داشته باشد. یک چکلیست ماهانه خوب باید سلامت فنی، امنیت، سرعت، تجربه کاربر، سئو و سرویس‌های وابسته را با شواهد قابل بررسی پوشش دهد.
اگر این مسئولیت را به فرد یا شرکت دیگری می‌سپارید، گزارش «همه چیز بررسی شد» کافی نیست. برای هر کنترل باید نتیجه، تاریخ، مدرک، اقدام اصلاحی و مسئول بعدی مشخص باشد. در این راهنما وظایف روزانه، هفتگی، ماهانه و دوره‌ای را جدا کرده‌ایم و نکات مهم برای سایت‌های فعال در ایران، از دسترسی داخل و خارج کشور تا درگاه، پیامک، دامنه و محدودیت سرویس‌های خارجی را توضیح می‌دهیم.
هدف چکلیست، تیک زدن کارها نیست. هدف این است که مشکل زود کشف شود، اثر آن سنجیده شود و تا زمان رفع، مالک و مهلت مشخص داشته باشد.
چطور از این چکلیست استفاده کنیم؟
ابتدا مشخص کنید کدام قابلیت‌ها برای کسبوکار حیاتی‌اند. در فروشگاه، ثبت سفارش و پرداخت مهم است. در سایت خدماتی، فرم تماس و تلفن. در سامانه تحت وب، ورود کاربر و دسترسی به داده‌ها. سپس هر کنترل را با یکی از وضعیت‌های «سالم»، «نیازمند پیگیری» یا «بحرانی» ثبت کنید.
هر ردیف گزارش بهتر است این فیلدها را داشته باشد:
- نام کنترل و تناوب انجام
- تاریخ، ساعت و نام اجراکننده
- نتیجه و مدرک مانند اسکرینشات، لاگ یا لینک گزارش
- تغییر نسبت به دوره قبل
- سطح اهمیت و اثر روی کاربر یا کسبوکار
- اقدام اصلاحی، مسئول و مهلت
- تاریخ تأیید نهایی رفع مشکل
تقویم پیشنهادی نگهداری سایت
| تناوب | نمونه مسئولیت | هدف |
|---|---|---|
| پیوسته یا روزانه | Uptime، خطاهای بحرانی، امنیت و موفقیت بکاپ | کشف سریع رخداد |
| هفتگی | آزمون مسیرهای اصلی، مرور لاگ و تغییرات | جلوگیری از انباشته شدن مشکل |
| ماهانه | به‌روزرسانی کنترل‌شده، سرعت، سئو، دسترسی و گزارش | حفظ سلامت و بهبود مستمر |
| فصلی | بازیابی کامل، آزمون امنیت و ظرفیت | اعتبارسنجی آمادگی واقعی |
| سالانه یا پیش از تمدید | دامنه، لایسنس، معماری و قرارداد | کاهش ریسک بلندمدت |
کنترل‌های روزانه و خودکار
۱. دسترسپذیری سایت
صفحه اصلی و چند مسیر حیاتی از بیرون سرور پایش شوند. فقط پاسخ HTTP کافی نیست؛ یک صفحه خطای سفارشی هم ممکن است کد موفق برگرداند. برای مسیرهای مهم، وجود محتوای مورد انتظار یا تکمیل یک درخواست سبک بررسی شود.
برای سایت ایرانی بهتر است پایش از بیش از یک موقعیت انجام شود. دسترسی کاربر داخل ایران، کاربر خارج ایران و خود سرور ممکن است متفاوت باشد. گزارش باید نشان دهد مشکل از سایت، دیتاسنتر، DNS، CDN یا مسیر ارتباطی بوده است.
۲. خطاها و منابع سرور
افزایش خطای ۵xx، پر شدن دیسک، مصرف غیرعادی CPU یا RAM، صف‌های متوقف و خطای دیتابیس باید هشدار داشته باشند. آستانه‌ها بر اساس رفتار عادی همان سایت تنظیم شوند. هشدار زیاد و بی‌اهمیت باعث می‌شود رخداد واقعی نادیده گرفته شود.
۳. موفقیت بکاپ
موفق بودن Job بکاپ روزانه کنترل شود. حجم بسیار کم یا بسیار زیاد نسبت به روز قبل می‌تواند نشانه مشکل باشد. فایل بکاپ باید خارج از سرور اصلی و با دسترسی محدود نگهداری شود.
۴. رخدادهای امنیتی
تلاش ورود غیرعادی، تغییر فایل حساس، ایجاد کاربر مدیر، اسکن گسترده، ارسال ایمیل ناخواسته یا جهش ترافیک بررسی شود. هشدار امنیتی فعال منتظر جلسه ماهانه نمی‌ماند و باید طبق برنامه واکنش به رخداد مدیریت شود.
کنترل‌های هفتگی
- باز کردن صفحات اصلی روی موبایل و دسکتاپ
- ارسال آزمایشی فرم تماس و بررسی دریافت پیام
- آزمون ورود، بازیابی رمز و خروج کاربر
- بررسی سفارش یا رزرو آزمایشی متناسب با نوع سایت
- مرور خطاهای برنامه، وب‌سرور و سرویس‌های پس‌زمینه
- کنترل تغییرات انجام‌شده و ثبت آن‌ها در Change Log
- بررسی صف ایمیل، پیامک و اعلان‌های ناموفق
- مرور هشدارهای مانیتورینگ و بستن هشدارهای حل‌شده
اگر سایت تراکنش بالایی دارد، آزمون پرداخت و مسیرهای حیاتی باید روزانه یا خودکار باشد. تناوب چکلیست با ریسک تعیین می‌شود، نه با عادت تیم.
چکلیست ماهانه زیرساخت و دسترسی
- مرور Uptime: درصد دسترسپذیری، مدت و علت هر قطعی و زمان کشف و بازیابی ثبت شود.
- بررسی ظرفیت: فضای دیسک، دیتابیس، پهنای باند، CPU، RAM و روند رشد با ماه قبل مقایسه شود.
- کنترل DNS: رکوردهای اصلی، Name Server، ایمیل و تغییرات ناخواسته بررسی شوند.
- اعتبار SSL: تاریخ انقضا، زنجیره گواهی، تمدید خودکار و هشدار پیش از انقضا کنترل شود.
- وضعیت CDN و کش: نرخ خطا، Purgeهای غیرعادی و دسترسی Origin مرور شود.
- ساعت سرور: منطقه زمانی و همگام‌سازی زمان برای لاگ، سفارش و اعلان درست باشد.
- دسترسی مدیریتی: حساب‌های بی‌استفاده، کارمند جداشده و دسترسی بیش از نیاز حذف یا محدود شود.
چکلیست بکاپ و بازیابی
- وجود نسخه فایل‌ها و دیتابیس برای بازه توافق‌شده
- نگهداری حداقل یک نسخه خارج از زیرساخت اصلی
- رمزنگاری و محدودیت دسترسی به نسخه‌ها
- بررسی حجم، زمان و Log بکاپ‌های موفق و ناموفق
- آزمون بازیابی نمونه در محیط جدا
- ثبت مدت واقعی بازیابی و مقایسه با RTO
- بررسی مقدار داده ازدست‌رفته احتمالی و مقایسه با RPO
- پاک‌سازی امن نسخه‌های منقضی طبق سیاست نگهداری
هر ماه لازم نیست بازیابی کامل Production انجام شود، اما یک نمونه باید قابل باز شدن و استفاده باشد. بازیابی کامل می‌تواند فصلی یا پس از تغییر بزرگ انجام شود. مسئول پشتیبانی باید مدرک آزمون را ارائه کند، نه فقط تصویر «Backup Successful».
چکلیست به‌روزرسانی و تغییرات نرم‌افزاری
فهرست سیستم مدیریت محتوا، قالب، افزونه‌ها، پکیج‌ها، Runtime و سیستم‌عامل را تهیه کنید. سپس:
- اعلان‌های امنیتی و نسخه‌های پشتیبانی‌نشده را شناسایی کنید.
- تغییرات مهم هر نسخه و ناسازگاری‌های شناخته‌شده را بخوانید.
- پیش از تغییر بکاپ معتبر بگیرید و راه بازگشت تعریف کنید.
- به‌روزرسانی را ابتدا در Staging آزمایش کنید.
- فرم، ورود، پرداخت، جست‌وجو و مسیرهای حیاتی را Regression Test کنید.
- در زمان کم‌ترافیک و پنجره نگهداری تأییدشده منتشر کنید.
- نسخه، زمان، اجراکننده، نتیجه و Rollback احتمالی را ثبت کنید.
به‌روزرسانی خودکار برای همه اجزا مناسب نیست. وصله امنیتی حیاتی ممکن است فوریت داشته باشد، اما تغییر عمده باید پس از آزمون انجام شود.
چکلیست امنیت ماهانه
- مرور فهرست کاربران مدیر و سطح دسترسی نقش‌ها
- فعال بودن احراز هویت دومرحله‌ای برای حساب‌های حساس
- تعویض یا لغو Secret و Tokenهای لو‌رفته یا بدون مالک
- کنترل تلاش‌های ورود، IPهای مشکوک و الگوی حملات
- بررسی تغییر فایل‌ها و ایجاد صفحه یا Redirect ناشناس
- مرور هشدارهای Security Issues و Manual Actions در Search Console
- کنترل Permission فایل، پنل‌ها و پورت‌های در دسترس
- بررسی SPF، DKIM و DMARC برای دامنه ایمیل در صورت استفاده
- اسکن آسیب‌پذیری متناسب با فناوری و پیگیری نتیجه‌های واقعی
- تأیید سالم بودن سیستم‌های مورد استفاده مدیران سایت
اسکن به‌تنهایی امنیت ایجاد نمی‌کند. هر یافته باید اعتبارسنجی، اولویت‌بندی و تا رفع نهایی پیگیری شود. آزمون نفوذ عمیق نیز معمولاً کار ماهانه نیست و بر اساس ریسک یا پس از تغییر مهم برنامه‌ریزی می‌شود.
چکلیست عملکرد و سرعت
چند صفحه نماینده انتخاب کنید: صفحه اصلی، صفحه محصول یا خدمت، فهرست، مقاله و یک مسیر تراکنشی. نتایج موبایل و دسکتاپ را با خط مبنای قبلی مقایسه کنید. فقط امتیاز یک ابزار را گزارش نکنید.
- Core Web Vitals و زمان پاسخ سرور
- حجم صفحه، تصویر، فونت، JavaScript و CSS
- درخواست‌های خطادار و منابع مسدودشده
- Cache Hit Rate و تنظیمات فشرده‌سازی
- Queryهای کند و رشد غیرعادی دیتابیس
- عملکرد کاربران واقعی در دستگاه و شبکه‌های متفاوت
- تفاوت سرعت دسترسی از ایران و خارج ایران
اگر ابزار خارجی از داخل ایران محدود یا نتیجه آن ناپایدار است، از چند منبع سنجش و داده کاربران واقعی استفاده کنید. نتیجه یک تست لحظه‌ای نماینده کل ماه نیست.
چکلیست عملکرد تجاری و مسیرهای حیاتی
کنترل فنی باید به کاری که کاربر انجام می‌دهد متصل باشد:
- فرم تماس و رسیدن پیام به مقصد درست
- کلیک شماره تلفن و لینک پیام‌رسان در موبایل
- ثبت‌نام، ورود، OTP و بازیابی رمز
- جست‌وجو، فیلتر و صفحه نتیجه خالی
- سبد خرید، کد تخفیف، هزینه ارسال و موجودی
- پرداخت موفق، ناموفق، انصرافی و Callback دیرهنگام
- ثبت سفارش فقط یک‌بار در تکرار Callback
- صدور فاکتور، پیامک و ایمیل پس از تراکنش
- رزرو، لغو، بازپرداخت و هماهنگی تقویم
برای درگاه‌های پرداخت ایران، وضعیت قرارداد پذیرندگی، دسترسی پنل، Callback، مغایرت تراکنش و تغییر احتمالی IP یا دامنه بررسی شود. آزمون واقعی باید با مبلغ کنترل‌شده و ثبت نتیجه انجام شود. رمز کارت یا اطلاعات حساس مشتری نباید در گزارش نگهداری شود.
چکلیست سرویس پیامک، ایمیل و APIها در ایران
- اعتبار باقیمانده و تاریخ انقضای پنل پیامک
- فعال بودن خطوط خدماتی و الگوهای OTP
- نرخ ارسال ناموفق و پاسخ Provider
- تحویل ایمیل و قرار نگرفتن دامنه در فهرست Spam
- اعتبار API Key، IPهای مجاز و محدودیت Rate Limit
- تغییر مستندات یا نسخه API سرویس ثالث
- وجود مسیر جایگزین برای سرویس حیاتی
وابستگی به یک سرویس خارجی یا داخلی بدون برنامه جایگزین ریسک ایجاد می‌کند. مسئول پشتیبانی باید پیش از تمام شدن اعتبار یا از کار افتادن نسخه API هشدار بدهد.
چکلیست فنی سئو و Search Console
- مرور Page Indexing و افزایش خطاهای Crawl
- بررسی Security Issues و Manual Actions
- کنترل robots.txt، Sitemap و Meta Robots
- بررسی Canonical صفحات مهم و تغییر ناخواسته noindex
- شناسایی ۴۰۴، Soft 404، خطای ۵xx و زنجیره Redirect
- کنترل داده ساختاریافته پس از تغییر قالب
- مقایسه کلیک، Impression و صفحات ورودی با دوره قبل
- بررسی صفحات ناشناس یا محتوای احتمالی ناشی از هک
افت رتبه همیشه نتیجه مشکل فنی نیست. گزارش باید تغییر الگوریتم، فصل، تقاضای جست‌وجو و تغییرات خود سایت را از هم جدا کند و از اصلاح عجولانه پرهیز شود.
چکلیست محتوا، ظاهر و تجربه کاربر
- لینک و تصویر خراب در صفحات پرترافیک
- نمایش درست فونت فارسی، نیم‌فاصله و راست‌چین
- خوانایی متن و دکمه در اندازه‌های رایج موبایل
- منو، Breadcrumb، جست‌وجو و صفحه ۴۰۴
- اطلاعات تماس، ساعت کاری، قیمت و موجودی منقضی
- Alt تصاویر و ساختار منطقی تیترها
- کنتراست، Focus کیبورد و Label فرم‌های مهم
- Popup یا بنر مزاحم و پوشاندن محتوای اصلی
چکلیست Analytics و صحت داده
وجود Analytics کافی نیست. باید مطمئن شوید رویدادها واقعاً ثبت می‌شوند و داده تکراری نیست:
- ثبت Page View در صفحات اصلی و SPA
- ثبت فرم، تماس، افزودن به سبد و خرید
- صحت مبلغ، شناسه تراکنش و جلوگیری از ثبت دوباره
- فعال بودن Consent در صورت نیاز سیاست کسبوکار
- فیلتر ترافیک داخلی و Botهای شناخته‌شده
- تغییر ناگهانی حجم داده و قطع Tagها
- هماهنگی منطقه زمانی و تاریخ گزارش‌ها
چکلیست دامنه، مالکیت و تمدیدها
هر ماه نزدیک شدن تاریخ تمدید موارد زیر کنترل و هشدارهای چندمرحله‌ای تنظیم شود:
- دامنه ملی و بین‌المللی و دسترسی به حساب ثبت‌کننده
- هاست، سرور، CDN، فضای بکاپ و ایمیل سازمانی
- گواهی SSL در صورت نبود تمدید خودکار مطمئن
- لایسنس قالب، افزونه، فونت و سرویس‌های پولی
- درگاه پرداخت، پنل پیامک، نقشه و APIهای تجاری
دامنه به‌خصوص دامنه ir بهتر است تحت شناسه و کنترل مالک کسبوکار باشد، نه حساب شخصی پشتیبان. اطلاعات بازیابی حساب و ایمیل مالک نیز باید به‌روز باشد. برای سرویس خارجی، روش تمدید قانونی، تغییر قیمت ارزی و جایگزین در دسترس بررسی شود.
کنترل‌های ویژه شرایط زیرساختی ایران
- پایش دوطرفه: سایت از شبکه داخل ایران و یک نقطه خارج ایران آزمایش شود.
- تفکیک خطا: اختلال سراسری، مشکل دیتاسنتر، DNS، CDN و خطای برنامه جدا گزارش شوند.
- سرویس جایگزین: برای پیامک، ایمیل، نقشه یا API حیاتی گزینه دوم و زمان فعال‌سازی مشخص باشد.
- پرداخت: Callback، مغایرت، تسویه و اعلان سفارش به‌صورت دوره‌ای کنترل شوند.
- بکاپ مستقل: همه نسخه‌ها در یک دیتاسنتر یا یک حساب نگهداری نشوند.
- تعطیلات: برنامه On-call برای تعطیلات طولانی و روزهای پرتراکنش تعیین شود.
- دسترسی ابزار: وابستگی به ابزار محدودشده یا حسابی که تمدید آن ممکن نیست، شناسایی شود.
- تقویم و زمان: نمایش تاریخ شمسی، منطقه زمانی و پردازش زمان سفارش‌ها آزموده شود.
کارهای فصلی و سالانه
بعضی کنترلها ماهانه نیستند، اما باید در تقویم نگهداری حضور داشته باشند:
- بازیابی کامل سایت در محیط جدا و اندازه‌گیری RTO
- بازبینی معماری، ظرفیت و نقاط شکست واحد
- آزمون امنیت عمیق‌تر بر اساس ریسک
- مرور کامل کاربران، Tokenها و حساب‌های سرویس
- تمرین واکنش به قطعی، نشت اطلاعات یا خرابی دیتابیس
- بازبینی سیاست نگهداری لاگ و بکاپ
- کنترل مالکیت دامنه، کد، حساب‌ها و مستندات
- بازبینی قرارداد، SLA، هزینه و ظرفیت پشتیبانی
- حذف قابلیت، افزونه و سرویس بدون استفاده
گزارش ماهانه مسئول پشتیبانی باید چه داشته باشد؟
اگر نگهداری را برون‌سپاری می‌کنید، خروجی ماهانه حداقل شامل این موارد باشد:
- خلاصه مدیریتی با وضعیت کلی و سه ریسک مهم
- آمار Uptime و فهرست قطعی‌ها با علت و زمان بازیابی
- وضعیت بکاپ و نتیجه آخرین آزمون بازیابی
- به‌روزرسانی‌ها، تغییرات و نسخه‌های منتشرشده
- رخدادهای امنیتی و اقدام اصلاحی بدون افشای اطلاعات حساس
- نتیجه آزمون مسیرهای حیاتی، درگاه، فرم و پیامک
- روند سرعت، خطا، ظرفیت و شاخص‌های فنی سئو
- تیکت‌های باز، بسته و خارج از SLA
- تمدیدهای نزدیک و هزینه‌های نیازمند تصمیم
- برنامه ماه بعد با مسئول و مهلت هر اقدام
برای شناخت دامنه معمول فعالیت‌ها می‌توانید راهنمای خدمات پشتیبانی سایت را ببینید. سپس تعهد گزارش‌دهی و تناوب هر کنترل را در قرارداد ثبت کنید.
هنگام سپردن نگهداری سایت چه مواردی را مکتوب کنیم؟
- فهرست دقیق سایت‌ها، سرورها و سرویس‌های تحت پوشش
- تناوب هر کنترل و ساعات پوشش
- تعریف سطح رخداد و زمان پاسخ و بازیابی
- مسئول بکاپ و آزمون Restore
- کانال رسمی تیکت و افراد مجاز درخواست‌کننده
- حدود دسترسی، محرمانگی و ثبت تغییرات
- اقلام گزارش ماهانه و معیار پذیرش آن
- تکلیف سرویس‌های ثالث و شرایط اختلال اینترنت
- هزینه کار خارج از محدوده
- روش تحویل در پایان همکاری
مقاله قرارداد پشتیبانی سایت باید شامل چه مواردی باشد؟ این بندها را با تمرکز بر شرایط ایران به‌صورت کامل توضیح می‌دهد.
نشانه‌های گزارش نگهداری ضعیف
- همه ردیف‌ها بدون مدرک «سالم» ثبت شده‌اند.
- هیچ مقایسه‌ای با ماه قبل وجود ندارد.
- فقط تعداد افزونه‌های به‌روزشده گزارش می‌شود.
- بکاپ گرفته شده، اما بازیابی هرگز آزمایش نشده است.
- خطاها مالک و مهلت ندارند.
- پرداخت و فرم‌ها فقط با باز کردن صفحه بررسی شده‌اند.
- تفاوت دسترسی داخل و خارج ایران نادیده گرفته شده است.
- رمز یا داده حساس داخل گزارش عمومی قرار گرفته است.
جمع‌بندی
چکلیست ماهانه نگهداری سایت باید فراتر از آپدیت نرم‌افزار باشد. دسترسپذیری، بکاپ قابل بازیابی، امنیت، سرعت، مسیرهای تجاری، سئو، Analytics، دامنه، دسترسی و سرویس‌های وابسته همگی نیاز به کنترل دارند. تناوب هر کار نیز باید با ریسک سایت هماهنگ شود؛ بعضی وظایف پیوسته‌اند و برخی فصلی.
اگر این مسئولیت را می‌سپارید، خروجی قابل سنجش بخواهید: نتیجه، مدرک، تغییر نسبت به قبل، اقدام اصلاحی، مسئول و مهلت. در ایران، پایش از شبکه‌های متفاوت، آزمون درگاه و پیامک، مدیریت سرویس خارجی، بکاپ مستقل و برنامه تعطیلات اهمیت بیشتری دارند. با این روش، نگهداری از یک فعالیت مبهم به یک فرایند قابل مدیریت تبدیل می‌شود.
