---
title: "ووردبريس 7.2 Beta 1: مكان رسمي لمفاتيح الـ API وضغط الصور بالمتصفح"
description: "ووردبريس 7.2 بيعطي الإضافات طريقة رسمية تخزّن فيها مفاتيح الـ API مشفّرة بدل ما تنحفظ كنص عادي، وبيخلي المتصفح يجهّز الصور قبل الرفع. جرّب Beta 1 على staging بس."
url: https://ihsanalapsi.dev/articles/wordpress-7-2-beta-secrets-api
lang: ar
date: 2026-10-21
updated: 2026-10-21
tags: ["WordPress", "أمن التطبيقات", "تطوير الويب"]
author: Ihsan Alapsi (إحسان العبسي)
---
# ووردبريس 7.2 Beta 1: مكان رسمي لمفاتيح الـ API وضغط الصور بالمتصفح

نزلت أول نسخة تجربة من ووردبريس 7.2 بـ 20 تشرين الأول 2026. إذا عندك موقع ووردبريس أو بتكتب إضافات، في تغييرين بيلمسوك مباشرة: مكان رسمي ومشفّر للمفاتيح السرية، وصور بتتجهّز بالمتصفح قبل ما توصل للسيرفر.

## وين كانت إضافات ووردبريس تخزّن مفاتيح الـ <span dir="ltr">API</span> لهلق؟

أغلب إضافات ووردبريس كانت تخزّن مفاتيح الـ <span dir="ltr">API</span> بجدول الإعدادات كنص عادي، لأن النواة ما كان فيها مكان تاني. جدول الإعدادات (`wp_options`) هو الجدول يلي ووردبريس بيحفظ فيه إعدادات الموقع، من اسم الموقع ووصفه لإعدادات كل إضافة.

[مقترح الـ <span dir="ltr">Secrets API</span>](https://make.wordpress.org/core/2026/08/25/proposal-a-secrets-api-for-wordpress-7-2/) يلي نشره <span dir="ltr">Eric Mann</span> على مدونة فريق النواة بـ 25 آب 2026 بيشرح النتيجة: المفتاح بيطلع بكل نسخة من قاعدة البيانات وبالنسخ الاحتياطية وبكل نسخة <span dir="ltr">staging</span> (نسخة طبق الأصل عن موقعك بعيدة عن الزوار). والإضافات يلي حلّت المشكلة، حلّتها كل وحدة لحالها: <span dir="ltr">Site Kit</span> مثلاً بيشفّر مفاتيح <span dir="ltr">Google</span> بطريقته، وبوابات دفع <span dir="ltr">WooCommerce</span> وإضافات الإيميل كل وحدة إلها طريقتها، فكل وحدة لازم تنفحص لحالها.

وحسب المقترح، ربط المواقع بخدمات الذكاء الاصطناعي زاد عدد المفاتيح وغلّى خسارتها: مفتاح مزوّد نموذج مسرّب بيندفع حقه عالاستهلاك.

## شو هي الـ <span dir="ltr">Secrets API</span> بووردبريس 7.2؟

الـ <span dir="ltr">Secrets API</span> هي واجهة برمجية جديدة بنواة ووردبريس 7.2 بتعطي الإضافات مكان واحد تخزّن فيه المفاتيح السرية مشفّرة، متل مفاتيح الـ <span dir="ltr">API</span> والتوكنات، بدل ما تنحفظ كنص عادي بجدول الإعدادات.

الميزة دخلت النواة بـ 13 تشرين الأول 2026 بـ[التعديل 64337](https://core.trac.wordpress.org/changeset/64337) يلي سكّر التذكرة <span dir="ltr">#66187</span>. حسب رسالة التعديل وكود نسخة <span dir="ltr">Beta 1</span>:

- التشفير دايماً شغّال بمكتبة <span dir="ltr">libsodium</span> (مكتبة تشفير جاية مع الـ <span dir="ltr">PHP</span>)، وما في إعداد بيطفيه.
- المفاتيح بتنحفظ افتراضياً بجدول الإعدادات نفسه، بس كنص مشفّر.
- مفتاح التشفير ما بيدخل قاعدة البيانات أبداً: بييجي من ثابت `WP_SECRETS_KEY` بملف `wp-config.php`، وإذا مش معرّف، ووردبريس بيشتقه من `LOGGED_IN_KEY` و`LOGGED_IN_SALT`.
- كل مفتاح سري بيحتفظ بنسخته السابقة، فبتقدر تبدّله بمفتاح جديد بلا ما يوقف الكود يلي عم يقراه.
- الاستضافة بتقدر تحط ملف `wp-content/secrets.php` يبعت التخزين لمدير أسرار خارجي، أو يجيب مفتاح التشفير من خدمة إدارة مفاتيح (<span dir="ltr">KMS</span>). وإذا هالملف خربان، كل استدعاء بيرجّع خطأ، وما في رجعة صامتة للتخزين المحلي.
- في صلاحية جديدة اسمها `manage_secrets` للمدراء، و`manage_network_secrets` لمدير الشبكة، ومعهن فحوصات جديدة بـ <span dir="ltr">Site Health</span>.

شاشة إدارة المفاتيح مأجّلة لـ 7.3، وأوامر <span dir="ltr">WP-CLI</span> ضلّت بالإضافة التجريبية برّا النواة. يعني صاحب الموقع ما رح يشوف شي جديد بلوحة التحكم غير فحوصات <span dir="ltr">Site Health</span>، والتغيير الحقيقي بكود الإضافات.

## كيف بتخزّن إضافتك مفتاح <span dir="ltr">API</span> بالـ <span dir="ltr">Secrets API</span>؟

الإضافة بتخزّن المفتاح بـ `wp_set_secret()` وبتقراه بـ `wp_get_secret()`. والقراءة بترجّع واحد من تلات نتائج لازم الكود يفرّق بيناتهم: المفتاح موجود، أو مش موجود، أو موجود وما انفك تشفيره.

هاد المثال من المقترح نفسه، والدوال بنفس أسمائها بملف `wp-includes/secrets.php` بنسخة <span dir="ltr">Beta 1</span>:

```
wp_set_secret( 'my-plugin/api-key', $key_from_form );

$secret = wp_get_secret( 'my-plugin/api-key' );

if ( is_wp_error( $secret ) ) {
    // Exists, but unusable. Key material changed. Tell the user.
} elseif ( null === $secret ) {
    // Doesn't exist. Show the connect flow.
} else {
    $client = new API_Client( $secret->reveal() );
}
```

شو لازم تنتبه له وإنت عم تكتب:

- اسم المفتاح بصيغة `plugin-slug/secret-name`: أحرف إنجليزية صغيرة وأرقام و`-` و`_`، وشحطة مايلة وحدة بين اسم الإضافة واسم المفتاح. الاسم بلا اسم الإضافة بيمرق مع تحذير `_doing_it_wrong`، لأن إضافتين ممكن يختاروا `api-key` ووحدة تكتب فوق التانية.
- `wp_get_secret()` بترجّع كائن `WP_Secret`، والقيمة الحقيقية ما بتطلع إلا بـ `reveal()`. إذا طبعت الكائن أو كتبته بالـ <span dir="ltr">log</span> أو حوّلته لـ <span dir="ltr">JSON</span>، بيطلع `[secret:{name}]` مكان القيمة.
- `wp_set_secret()` ما بتفحص صلاحية المستخدم، لأنها لازم تشتغل من الـ <span dir="ltr">cron</span> والـ <span dir="ltr">REST API</span> ومن صفحات ما فيها حدا مسجّل دخول. فالفحص عليك بفورم الإعدادات: `current_user_can()` و<span dir="ltr">nonce</span> قبل ما تخزّن أي شي.
- إذا إضافتك لسا بتدعم إصدارات أقدم من 7.2، افحص `function_exists( 'wp_set_secret' )` قبل الاستدعاء، وخلي الطريق القديم للمواقع يلي ما حدّثت.

وإذا بدك شي يراجع هالفحوصات بكودك، [حزمة المهارات الأمنية](/products/security-skill-pack) لسا عم تتجهّز: مهارات بتراجع كود مشروعك وبتنبّهك لثغرات الصلاحيات قبل النشر.

### إذا إضافتك عندها مفتاح قديم بجدول الإعدادات

`wp_import_option_as_secret()` بتقرا القيمة من الإعداد القديم وبتخزّنها مشفّرة، وبتعلّم المفتاح إن لازم يتبدّل. الإعداد القديم بيضل متل ما هو:

```
wp_import_option_as_secret( 'my_plugin_api_key', 'my-plugin/api-key' );
```

ووردبريس ما رح يدوّر بجدول الإعدادات وينقل لحاله، لأن النواة ما بتقدر تعرف أي إعداد هو مفتاح سري. فالترتيب عليك: انقل المفتاح، تأكد إن `wp_get_secret()` عم ترجّعه، بعدين امسح الإعداد القديم. وبعدها اطلب من صاحب الموقع يعمل مفتاح جديد من الخدمة نفسها: المقترح بيذكّر إن المفتاح القديم صار بكل نسخة احتياطية انعملت قبل، والتشفير هلق ما بيمسحه من هونيك.

## شو بتحمي الـ <span dir="ltr">Secrets API</span> وشو ما بتحمي؟

الـ <span dir="ltr">Secrets API</span> بتحمي المفاتيح السرية إذا انسرقت نسخة من قاعدة البيانات أو نسخة احتياطية، أو إذا ثغرة <span dir="ltr">SQL injection</span> قرت جدول الإعدادات. وما بتحمي من كود خبيث شغّال جوّا ووردبريس نفسه.

المقترح صريح بهالنقطة: أي كود شغّال كجزء من ووردبريس بيقدر يستدعي `wp_get_secret()`، متل ما بيقدر يقرا `wp-config.php`. واسم الإضافة بأول اسم المفتاح للترتيب، وما بيمنع إضافة تانية تطلب مفتاحك. يعني إضافة مخترقة أو مزوّرة بموقعك بتوصل للمفاتيح متل قبل. يلي تغيّر إن قاعدة البيانات المسروقة صارت أقل قيمة، وحسب المقترح، سرقة قاعدة البيانات أشيع بكتير من كود خبيث شغّال جوّا ووردبريس.

إذا إنت صاحب الموقع، عرّف `WP_SECRETS_KEY` بملف `wp-config.php` قبل ما تخزّن أي مفتاح سري. بدونه، مفتاح التشفير مشتق من `LOGGED_IN_KEY` و`LOGGED_IN_SALT`، و<span dir="ltr">Site Health</span> بنسخة <span dir="ltr">Beta 1</span> بيكتبلك إن الموقع شغّال على مفتاح احتياطي وإن هاد مش الإعداد المنصوح فيه. والكود بيوصي بقيمة من 32 بايت عشوائية مكتوبة بـ <span dir="ltr">base64</span>، وهاد الأمر بيطلّعلك وحدة:

```bash
openssl rand -base64 32
```

خلّي القيمة بـ `wp-config.php`، برّا أي مستودع <span dir="ltr">git</span>، واحفظ نسخة منها بمدير كلمات سر أو بمكان منفصل عن نسخ قاعدة البيانات. بتحتاجها لما ترجّع نسخة احتياطية، بس إذا كانت جنبها، يلي بيسرق النسخة بيسرق المفتاح معها.

وإذا صار في مفاتيح ما عاد تنفك، <span dir="ltr">Site Health</span> بيعرضها بالاسم وبيقول إن ما في طريقة ترجّع قيمتها، وإن هاد بيصير إذا ضاع `WP_SECRETS_KEY`، أو رجّعت نسخة احتياطية بلا مفتاحها، أو فشل تبديل المفتاح. ساعتها لازم تدخل هالمفاتيح من جديد.

بعدها اسأل مطوّري الإضافات يلي بتخزّن عندك مفاتيح (الدفع والإيميل وخدمات الذكاء الاصطناعي) إمتى رح ينقلوا للـ <span dir="ltr">Secrets API</span>. وإذا موقعك فيه دفع أو بيانات عملاء وبدك تعرف لوين ممكن يوصل مهاجم، [فحص الاختراق والتحصين بمُحَصَّن](/muhassan) بيجرّب منصتك متل ما بيجرّبها مهاجم، وبيسلّمك خطة إصلاح.

## كيف بيريّح ضغط الصور بالمتصفح الاستضافة المشتركة؟

بووردبريس 7.2 المتصفح بيعمل الأحجام المختلفة من الصورة وبيضغطها وبيحوّل صيغتها قبل الرفع، فالسيرفر ما بيصرف ذاكرة ومعالج على هالشغل. وهالمعالجة وصلت لمكتبة الوسائط، بعد ما كانت لمحرر البلوكات بس.

ووردبريس بيعمل من كل صورة بترفعها كذا حجم (مصغّرة ووسط وكبيرة) لحتى يعرض الحجم المناسب بكل مكان. هالشغل كانت تعمله الـ <span dir="ltr">PHP</span> بالسيرفر بمكتبة <span dir="ltr">GD</span> أو <span dir="ltr">Imagick</span>، و[ملاحظة فريق النواة عن ووردبريس 7.1](https://make.wordpress.org/core/2026/07/22/client-side-media-processing-in-wordpress-7-1/) بتقول إن هالشغل من أشهر أسباب انقطاع الـ <span dir="ltr">PHP</span> بسبب الوقت أو حد الذاكرة على الاستضافة المشتركة.

بـ 7.1 صار المتصفح يعمل هالشغل بمحرر البلوكات بمكتبة <span dir="ltr">wasm-vips</span>. وبـ 7.2 وصل لمكتبة الوسائط بعرض الشبكة، ولشاشة <span dir="ltr">Add New Media File</span>، ولنافذة الوسائط بالمحرر، حسب [التعديل 64588](https://core.trac.wordpress.org/changeset/64588) يلي سكّر التذكرة <span dir="ltr">#65661</span>. وبـ 7.2 كمان انحلّت مشكلة من 2014 (<span dir="ltr">#28474</span>): الأحجام المصغّرة من صور <span dir="ltr">GIF</span> و<span dir="ltr">WebP</span> المتحركة صارت تضل متحركة.

قبل ما تعتمد عليها، اعرف حدودها:

- المعالجة الكاملة بتشتغل بالمتصفحات المبنية على <span dir="ltr">Chromium</span> (<span dir="ltr">Chrome</span> و<span dir="ltr">Edge</span> وغيرهن) من إصدار 137، وبـ <span dir="ltr">Chrome</span> على أندرويد من 146. بـ <span dir="ltr">Firefox</span> و<span dir="ltr">Safari</span> ووردبريس بيرجع للمعالجة عالسيرفر، ويلي عم يرفع ما بيلاحظ فرق.
- قبل ما يبلّش، المتصفح بيفحص الجهاز: ذاكرة أكتر من 2 جيجا (لأن المعالجة ممكن تخلّص ذاكرة الأجهزة الضعيفة)، ونواتين عالأقل (وحدة للمعالجة ووحدة للواجهة)، واتصال أسرع من <span dir="ltr">2G</span> وبلا وضع توفير البيانات (<span dir="ltr">Save-Data</span>)، لأن ملف المعالجة حوالي 13 ميجا. إذا فشل أي فحص، الرفع بيرجع للسيرفر.
- الرفع نفسه بيصير أتقل، لأن المتصفح بيرفع الصورة الأصلية ومعها كل الأحجام. يلي بتربحه هو ذاكرة السيرفر ومعالجه.
- الـ <span dir="ltr">Customizer</span> واختيار أيقونة الموقع والمحرر الكلاسيكي بيضلوا عالرفع القديم، ومعهن صور <span dir="ltr">JPEG</span> و<span dir="ltr">PNG</span> إذا كان تصغير <span dir="ltr">plupload</span> شغّال.

وعن الأمان، ملاحظة 7.1 بتقول إن السيرفر بيضل يفحص كل ملف مرفوع: نوعه وأبعاده وصلاحية يلي رافعه. بس نفس الملاحظة بتذكر استثناء: إذا محرر الصور بالسيرفر ما بيدعم <span dir="ltr">AVIF</span>، صور <span dir="ltr">AVIF</span> يلي فكّها المتصفح بتمرق بلا فحص النوع.

### إذا إضافتك بتشتغل عالصور

- الفلاتر `wp_image_editors` و`image_memory_limit` و`image_make_intermediate_size` ما بتشتغل لما الصورة بتتعالج بالمتصفح، لأن ما في محرر صور عالسيرفر.
- الفلتر `wp_generate_attachment_metadata` بيشتغل مرتين: مع `'create'` وقت الرفع، ومع `'update'` بعد ما تخلص الأحجام. اكتب كودك يتحمّل المرتين.
- إذا إضافتك بتحط <span dir="ltr">Content Security Policy</span>، لازم `worker-src` يسمح بـ `blob:`.

ولحتى توقف المعالجة بالمتصفح وترجع للسيرفر:

```
add_filter( 'wp_client_side_media_processing_enabled', '__return_false' );
```

## شو كمان بووردبريس 7.2 <span dir="ltr">Beta 1</span>؟

غير المفاتيح والصور، ووردبريس 7.2 فيه تحسينات بالمحرر ولوحة التحكم، ومنها أربعة بيلمسوا صاحب الموقع ومطوّر القوالب مباشرة: الملاحظات وتنسيق النماذج وظل النص ولوحة تحكم أسرع.


| الميزة                                                                                                                                             | شو بتعمل                                                                                                                                                                                                                                |
| -------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| [الملاحظات (<span dir="ltr">Notes</span>)](https://wordpress.org/news/2026/10/wordpress-7-2-beta-1-is-ready-for-download-and-testing/) | صارت بهامش المحرر جنب النص، وبتنفتح مع إعدادات البلوك بنفس الوقت، ومعها ردود فعل بالإيموجي ووضع مصغّر                                                                                                                                   |
| [تنسيق عناصر النماذج](https://make.wordpress.org/test/2026/10/20/help-test-wordpress-7-2/)                                                         | بتنسّق الأزرار وحقول النص والقوائم المنسدلة وتسميات الحقول (<span dir="ltr">labels</span>) من <span dir="ltr">Global Styles</span>، بلا <span dir="ltr">CSS</span> وبلا ما تعدّل `theme.json` بإيدك |
| ظل النص (<span dir="ltr">text shadow</span>)                                                                                           | تحكم جديد بإعدادات البلوك، والقالب بيقدر يعرّف ظلال جاهزة (<span dir="ltr">presets</span>) بـ `theme.json`                                                                                                                  |
| لوحة تحكم أسرع                                                                                                                                     | ملفات الـ <span dir="ltr">JavaScript</span> والـ <span dir="ltr">CSS</span> صارت تنحمّل كل واحد لحاله لحتى يحفظها المتصفح أحسن، وصار في تحميل مسبق لملفات الشاشة يلي غالباً رح تفتحها بعدها                     |


لمطوّري الإضافات بالبند الأخير: دمج الملفات بـ `load-scripts.php` و`load-styles.php` انشال، والثابت `CONCATENATE_SCRIPTS` ما عاد ينقرا، والملفين صاروا يرجّعوا 410 بنسخة <span dir="ltr">Beta 1</span>. إذا كودك بيعتمد على الدمج، جرّبه هلق.

## كيف تجرّب ووردبريس 7.2 <span dir="ltr">Beta 1</span> بلا ما تخرّب موقعك؟

جرّب ووردبريس 7.2 <span dir="ltr">Beta 1</span> على نسخة <span dir="ltr">staging</span> أو موقع محلي، مش على موقعك الحي: الإعلان الرسمي بيقول إن النسخة للتجربة والتطوير بس. والنسخة النهائية مقررة بـ 8 كانون الأول 2026.

إذا بتشتغل بـ <span dir="ltr">WP-CLI</span>، هاد الأمر بيحدّث نسخة الـ <span dir="ltr">staging</span> لـ <span dir="ltr">Beta 1</span>:

```bash
wp core update --version=7.2-beta1
```

1. اعمل نسخة <span dir="ltr">staging</span> من موقعك، أو موقع محلي بـ <span dir="ltr">Local</span> أو <span dir="ltr">wp-env</span>. إذا ما بتعرف كيف، الاستضافة بتساعدك.
2. حدّث النسخة لـ <span dir="ltr">Beta 1</span> بالأمر فوق، أو بإضافة <span dir="ltr">WordPress Beta Tester</span> مع قناة <span dir="ltr">Bleeding edge</span> وخيار <span dir="ltr">Beta/RC Only</span>. وإذا بدك تتفرج بس، <span dir="ltr">WordPress Playground</span> بيشغّلها بالمتصفح بلا تثبيت.
3. افتح <span dir="ltr">Site Health</span> من قائمة الأدوات، وشوف فحوصات الـ <span dir="ltr">Secrets API</span> بتبويب <span dir="ltr">Status</span> وتفاصيل التشفير بتبويب <span dir="ltr">Info</span>.
4. ارفع صور من مكتبة الوسائط بـ <span dir="ltr">Chrome</span>، بعدين بـ <span dir="ltr">Safari</span> أو <span dir="ltr">Firefox</span>، وتأكد إن الرفع نجح والأحجام انعملت بالحالتين.
5. جرّب إضافاتك وقالبك ونماذج الموقع، وراقب سجل الأخطاء وكونسول المتصفح.
6. بلّغ عن أي مشكلة بقسم <span dir="ltr">Alpha/Beta</span> بمنتديات الدعم، أو افتح تذكرة على <span dir="ltr">Trac</span> إذا بتقدر تعيدها بالترتيب.

حسب [جدول الإصدار](https://make.wordpress.org/core/2026/10/06/wordpress-7-2-release-party-schedule/)، <span dir="ltr">Beta 2</span> بـ 27 تشرين الأول وأول <span dir="ltr">RC</span> بـ 17 تشرين الثاني، والجدول بيسمّي حاله مقترح. وقائمة الفحص الكاملة لكل ميزة بـ[دعوة فريق الاختبار لووردبريس 7.2](https://make.wordpress.org/test/2026/10/20/help-test-wordpress-7-2/)، والدعوة كاتبة 9 كانون الأول للنسخة النهائية، بس الإعلان الرسمي والجدول بيقولوا 8.

وبعد ما يمشي موقعك على 7.2، إذا بدك يطلع بإجابات <span dir="ltr">ChatGPT</span> و<span dir="ltr">Gemini</span>، [دليل الـ <span dir="ltr">AI SEO</span>](/products/ai-seo-guide) بيمشي معك على الشغل يلي بيخلي محركات الإجابة تفهمه وتقتبس منه.

شو أول إضافة بموقعك رح تفتح كودها لتشوف وين مخبّية مفتاحها؟

## FAQ

**إمتى بتنزل النسخة النهائية من ووردبريس 7.2؟**

8 كانون الأول 2026، حسب إعلان Beta 1 الرسمي وجدول الإصدار على مدونة فريق النواة. قبلها في نسخ Beta وRC تانية، وكل وحدة منها للتجربة بس.

**هل إضافاتي الحالية رح تنقل مفاتيحها للـ Secrets API لحالها؟**

لأ. ووردبريس ما بيدوّر بجدول الإعدادات وما بينقل شي لحاله، لأن النواة ما بتقدر تعرف أي إعداد هو مفتاح سري. كل إضافة لازم تنقل مفاتيحها بنفسها، فاسأل مطوّر الإضافة إمتى رح يعملها.

**شو بيصير لمفاتيحي المشفّرة إذا غيّرت LOGGED_IN_KEY وLOGGED_IN_SALT؟**

إذا ما عرّفت WP_SECRETS_KEY، مفتاح التشفير مشتق من هالقيمتين، فتغييرهن بيخلي المفاتيح المشفّرة ما تنفك. Site Health بيعرض المفاتيح يلي ما انفك تشفيرها، وما في طريقة ترجّع قيمتها: لازم تدخلها من جديد.

**هل معالجة الصور بالمتصفح بتشتغل على Safari وFirefox؟**

لأ، لهلق. المعالجة الكاملة بتحتاج ميزة Document-Isolation-Policy الموجودة بالمتصفحات المبنية على Chromium (Chrome وEdge وغيرهن) من إصدار 137، وبـ Chrome على أندرويد من 146. بـ Safari وFirefox ووردبريس بيرجع للمعالجة عالسيرفر متل قبل، والرفع بيكمل عادي.

**بقدر وقّف معالجة الصور بالمتصفح إذا خرّبت إضافة عندي؟**

إي. الفلتر wp_client_side_media_processing_enabled إذا رجّع false، ووردبريس بيرجع للرفع القديم عالسيرفر. جرّبه على staging أول، وبلّغ عن المشكلة لحتى تنحل قبل النسخة النهائية.