إذا كنت قد قرأت تحليلنا لسلسلة هجوم 25 دقيقة على Magento 2.2، فالسؤال التالي بديهي: كم تكلف فعلاً مغادرة Magento 2.2 والوصول إلى 2.4.9؟ ليس الرقم التسويقي المتفائل — بل النطاق الواقعي، مع المطبات التي لا يذكرها أي مزوّد في عرضه.
هذه هي الخريطة، مبسوطة على الطاولة، من مكامل خدمات نفّذ عدة عمليات ترحيل Magento في تونس. لا قوائم أسعار مزخرفة: نطاقات بـأيام-عمل يمكنك ضربها في معدل يوم العمل لدى مزوّدك (أو لدينا). وثلاثة سيناريوهات — متجر بسيط، قياسي، معقّد — لكي تموقع نفسك.
لماذا يجب أن يرحل 2.2 (تذكير سريع)
Magento 2.2 منتهي الصلاحية منذ ديسمبر 2019. ست سنوات بلا تحديثات أمنية رسمية. في هذه الفترة، ضربت حملتان جماعيتان نظام Magento البيئي: CVE-2025-54236 «SessionReaper» (CVSS 9,1، استغلال نشط أكّده Adobe في النشرة APSB25-88)، وPolyShell (مارس 2026)، الذي بحسب Sansec اخترق 56,7 % من المتاجر المعرّضة خلال 48 ساعة. إذا كان متجرك لا يزال على 2.2، فأنت إحصائيًا مُخترَق فعلاً — أو على وشك ذلك.
النسخة الهدف اليوم هي Magento Open Source 2.4.9، الصادرة في 12 ماي 2026 (هذا الأسبوع). فرع 2.4.8 LTS يبقى مدعومًا حتى 11 أفريل 2028 — اختيار حكيم إذا أردت الاستقرار دون ملاحقة كل إصدار فرعي (ملاحظات الإصدار الرسمية).
الخريطة الحقيقية للتكاليف: 4 بنود لا أحد يعزلها بشكل صحيح
1. توافق الموديولات الخارجية (البند الذي يفجّر العرض المالي)
هذا هو البند الأكثر استهانة. 60 إلى 80 % من الموديولات المصمّمة لـ 2.2 لن تُثبَّت كما هي على 2.4: تغييرات جذرية في PHP 8.2، استبعاد دوال API، إعادة هيكلة ObjectManager، إعادة كتابة تخطيطات XML، إزالة بعض الواجهات.
لكل موديول مثبّت على 2.2، ثلاثة سيناريوهات:
- حظ سعيد — الناشر لا يزال موجودًا ويصدر نسخة متوافقة مع 2.4. تشتري الترقية. التكلفة: رخصة + 0,5 إلى 1 يوم-عمل للتكامل.
- حظ متوسط — الناشر موجود لكن الموديول لم يتطوّر. تدفع مقابل النقل أو تعيد تطويره. التكلفة: 2 إلى 8 أيام-عمل لكل موديول حسب التعقيد.
- حظ سيّئ — الناشر اختفى (شائع جدًا في نظام 2.2 البيئي القديم منذ 6 سنوات). إعادة بناء كاملة أو البحث عن بديل. التكلفة: 3 إلى 15 يوم-عمل.
التدقيق موديول بموديول إجباري قبل البدء. اجرد كل ما في app/code/ وvendor/ (الموديولات التجارية)، صنّف كل عنصر في أحد السيناريوهات الثلاثة، ثم قدّر التكلفة. بدون هذا التدقيق، عرضك المالي خيال علمي.
2. البنية التحتية (المصروف الدوري الذي يُنسى)
Magento 2.4 ليس أثقل من 2.2 — هو ثقيل بطريقة مختلفة. الانكسارات التي يجب توقّعها:
- OpenSearch إجباري بدءًا من 2.4.7+ (Elasticsearch لم يعد مدعومًا). أضف على الأقل 1-2 جيغابايت من الذاكرة المخصّصة، إلى جانب صيانة العنقود.
- PHP 8.2 كحدّ أدنى (8.3 موصى به) — قطيعة كاملة مع PHP 7.x. كل موديول قديم يستخدم
each()أوcreate_function()أو الوصول بالأقواس المعقوفة سيتعطّل. - Composer 2 (Composer 1 لم يعد مدعومًا)، مع مصادقة Magento Marketplace عبر
auth.json. - MySQL 8.0 / MariaDB 10.6 كحدّ أدنى.
- Redis 7.x موصى به للذاكرة المؤقتة والجلسة.
- Varnish 7.x للـ full-page cache في الإنتاج.
النتيجة العملية في تونس: إذا كان Magento 2.2 يعمل على استضافة مشتركة Plesk (الحالة الأكثر شيوعًا)، فلن تستطيع تشغيل 2.4 عليها بشكل صحيح. يجب الانتقال إلى VPS مخصّص (8 جيغابايت ذاكرة كحدّ أدنى، 4 vCPU، SSD NVMe) أو سحابة (AWS، Hetzner، OVH Cloud، Scaleway). احسب ترحيل بنية تحتية من 3 إلى 8 أيام-عمل، إضافة إلى تكلفة شهرية متكرّرة مضاعفة 2 إلى 4 مرات مقارنة بالاستضافة المشتركة.
3. البيانات + القالب (بند «يجب إعادة اختبار كل شيء»)
ترحيل البيانات عبر magento-migration-tool (الرسمي من Adobe) يغطّي:
- الكاتالوغ (المنتجات، الفئات، السمات)
- الزبائن
- الطلبات
- الإعدادات الأساسية
ما لا يغطّيه بشكل نظيف:
- الوسائط (
pub/media/يجب نسخها يدويًا، غالبًا عدة جيغابايت) - السمات المخصّصة التي أنشأتها موديولات خارجية (ما لم تُرحَّل في الوقت ذاته)
- عناوين URL التاريخية المعاد كتابتها (يجب تخطيطها وإلا فقدت SEO)
- بيانات B2B إذا كنت على Commerce
جانب القالب: قالب مخصّص لـ 2.2 لا يصمد تقريبًا أبدًا أمام 2.4. LESS أصبح SCSS في Hyvä، الـ HTML أعيد بناؤه، Knockout.js يُستبدل تدريجيًا بـ Alpine.js. ثلاثة خيارات:
- البقاء على Luma 2.4 مع تنسيق خفيف — اقتصادي لكن قديم بصريًا.
- اعتماد Hyvä Theme (المعيار الحديث لـ 2.4) — أداء Lighthouse 90+، لكنه إعادة بناء كاملة للقالب. احسب 15 إلى 40 يوم-عمل.
- إعادة نقل قالبك المخصّص الحالي — غالبًا أغلى من الذهاب إلى Hyvä.
اختبار checkout والدفع غير قابل للتفاوض. هذه اللحظة التي تظهر فيها الثغرات المخفية منذ سنتين: أكواد الخصم تتضاعف، الضرائب تُقرَّب بشكل خاطئ، التوصيل يتعطّل في بعض الولايات.
4. التكاملات التونسية المحلية (بند «لا أحد يملك التوثيق»)
هذا أكثر البنود خصوصية بالسوق التونسي، والأكثر غيابًا في العروض العامة:
- Clictopay (SocGen / Smart Tunisie) — يجب إعادة كتابة موصل 2.2 لـ 2.4 أو استبداله بالموديول الرسمي إذا توفّرت نسخة متوافقة.
- Paymee — تحقّق من REST API وتكامل الـ callback.
- Konnect (BIAT) — موديول مجتمعي يجب نقله أو إعادة بنائه.
- D17 إذا دمجته للدفع عند التوصيل عبر الموبايل.
- التكاملات الضريبية التونسية — TVA 19 %، الخصم عند المصدر، البنود القانونية للفاتورة طبقًا لقانون 2016-66، والـ hooks المستقبلية للفوترة الإلكترونية.
- ERP / المحاسبة — Sage، EBP، Odoo، أو حلول محلية: كل موصل 2.2 يجب إعادة بنائه على 2.4.
- التوصيل — Aramex، First Delivery، Fparcel: موديولات مخصّصة يجب نقلها.
احسب 1 إلى 5 أيام-عمل لكل موصل، مضروبة في عدد التكاملات. في متجر جدّي، غالبًا 15 إلى 30 يوم-عمل في هذا البند وحده.
النطاق الواقعي: 3 سيناريوهات
بدل اختراع سعر بالدينار التونسي لن يصمد، إليك نطاقات بأيام-عمل تضربها في معدل يوم العمل لدى مزوّدك:
متجر بسيط
- قالب شبه قياسي، 5 إلى 10 موديولات خارجية، أقل من 500 SKU، بوابة دفع واحدة، بدون ERP.
- المجموع: 30 إلى 60 يوم-عمل.
- المدة المنقضية: 2 إلى 3 أشهر.
متجر قياسي
- قالب مخصّص، 15 إلى 25 موديول خارجي، 500 إلى 5 000 SKU، 2 إلى 3 بوابات دفع، ERP/محاسبة متصل.
- المجموع: 80 إلى 160 يوم-عمل.
- المدة المنقضية: 3 إلى 5 أشهر.
متجر معقّد
- متعدّد المتاجر أو متعدّد المواقع، 30+ موديول، B2B + B2C، ERP + WMS + تشغيل آلي للتسويق، كاتالوغ كبير (> 5 000 SKU).
- المجموع: 200 إلى 400+ يوم-عمل.
- المدة المنقضية: 5 إلى 9 أشهر.
ما تشمله هذه النطاقات: التدقيق، الهندسة المعمارية، التطوير، الاختبار، التحويل، الاستقرار. لا تشمل التكلفة الشهرية المتكرّرة للاستضافة، ولا رخص الموديولات.
3 بدائل للترحيل المباشر
للمتاجر التي لا يصمد فيها ROI لترحيل Magento 2.4، إليك المسارات التي نعرضها بصدق:
الخيار أ — البقاء على 2.2 + تحصين قوي + مراقبة
ممكن على المدى القصير فقط، لشراء 3-6 أشهر بينما تحضّر فعلاً الترحيل. عمليًا: إزالة Adminer، تقييد admin بـ IP، إضافة HSTS/CSP، نشر WAF (Cloudflare أو ModSecurity)، مسح /pub/media/ يوميًا للبحث عن webshells، عزل الخادم عن الاتصالات MySQL الصادرة نحو الإنترنت.
لماذا ليس حلًا طويل المدى: ديون CVE تتراكم مع كل إصدار جديد، زبائنك (PSP، البنوك) سيطلبون في النهاية دليل توافق لا يمكنك تقديمه، وكل شهر إضافي يكبّر سطح الهجوم.
الخيار ب — الترحيل إلى PrestaShop 9.x
حالة نموذجية: متجر B2C تونسي بأقل من 5 000 SKU، فريق تقني محدود، اعتماد قوي على بوابات الدفع المحلية (التي يدمجها PrestaShop أصلًا عبر مجتمع FR/MA/TN). PrestaShop يبقى أرخص في TCO من Magento في هذه الشريحة.
تنبيه: PrestaShop ليس خاليًا من CVE — CVE-2026-44212 (XSS مخزّن، CVSS 9,3، نُشر في 14 ماي 2026، الفروع المصلَحة 9.1.1 و8.2.6) سقط للتوّ. الترحيل لا يعفي من التحصين.
الخيار ج — الترحيل إلى WooCommerce
حالة نموذجية: كاتالوغ أقل من 1 000 SKU، تسويق محتوى قوي (مدوّنة/SEO)، فريق مرتاح مع WordPress. الميزة: نظام بيئي ضخم من الإضافات وتغطية جيّدة للبوابات المحلية عبر إضافات مجتمعية.
العيب: WooCommerce يرث مشاكل WordPress — إضافات غير مصانة، ثغرات RCE غير مصادَق عليها بشكل منتظم (مثل CVE-2025-13329 على File Uploader for WooCommerce، CVSS 9,8). لا تذهب في هذا الاتجاه دون عقد صيانة جدّي.
الخيار د — Shopify: لماذا هو مأزق في تونس
Shopify ممتاز تقنيًا، لكنه محشور وظيفيًا للبيع في تونسا: المنصة لا تقبل الدينار التونسي عملةً للـ checkout، بواباتها للدفع غير مدمجة محليًا (Clictopay/Paymee/Konnect غير موجودة)، وفوترة زبائن تونسيين بالدولار/الأورو تخلق مشكلة ضريبية ومصرفية (إعادة العملات الأجنبية). Shopify قابل للحياة فقط إذا بعت دوليًا بحساب مصرفي أجنبي.
جدول زمني واقعي
| المرحلة | المدة |
|---|---|
| تدقيق الموديولات + البنية التحتية + التكاملات | 1 إلى 2 أسابيع |
| الهندسة المعمارية الهدف + خطة التحويل | 1 أسبوع |
| التطوير (نقل الموديولات، القالب، التكاملات) | 4 إلى 12 أسبوع |
| الاختبار / UAT (فريق الأعمال + مشتر سرّي) | 2 إلى 3 أسابيع |
| التحويل (تجميد الطلبات، مزامنة الفروق، DNS) | ليلة واحدة |
| الاستقرار (hypercare) | 4 أسابيع |
| الإجمالي المنقضي | 3 إلى 6 أشهر |
أي وعد بـ «ترحيل Magento 2.4 في 4 أسابيع» على متجر تونسي نشط هو، في 95 % من الحالات، وعد سينتهي إلى bug-bash بعد الإطلاق.
الأسئلة الشائعة
كم تكلف ترحيل Magento 2.2 إلى 2.4 لمتجر تونسي متوسط؟ احسب 80 إلى 160 يوم-عمل لمتجر قياسي (قالب مخصّص، 15-25 موديول، ERP). التكلفة النهائية بالدينار التونسي تتوقّف على معدل يوم عمل مزوّدك. اطلب تدقيق تحديد نطاق ليوم واحد قبل التوقيع.
هل أستهدف 2.4.8 LTS أم 2.4.9؟ 2.4.8 LTS (مدعومة حتى 11 أفريل 2028) إذا أردت الاستقرار وتقليل تحديثات الإصدارات الفرعية. 2.4.9 (الصادرة 12 ماي 2026) إذا أردت أحدث نسخة، لكن انتبه أن Adobe انتقل إلى وتيرة patches شهرية — فريقك يجب أن يلاحق.
هل ستعمل موديولات 2.2 الخاصة بي على 2.4؟ على الأرجح لا، ليس كما هي. 60-80 % من موديولات 2.2 الخارجية تحتاج refactor لـ 2.4 (PHP 8.2، ObjectManager، تخطيطات XML). التدقيق موديول بموديول قبل البدء هو ما يفصل العروض الجدّية عن العروض الخيالية.
هل يمكنني البقاء على Magento 2.2 إذا أمّنت الخادم جيّدًا؟ على المدى القصير نعم، بتحصين + WAF + مراقبة webshells. على المدى المتوسّط لا: ديون CVE تتراكم، والـ PSPs/البنوك تطلب بشكل متزايد دليل نسخة مدعومة. راجع سلسلة هجوم 25 دقيقة لتقدير نافذة الخطر.
ما البنية التحتية المطلوبة لـ Magento 2.4 في تونس؟ VPS مخصّص بـ 8 جيغابايت ذاكرة كحدّ أدنى (16 جيغابايت موصى به)، 4 vCPU، SSD NVMe، PHP 8.2+، MySQL 8 أو MariaDB 10.6، OpenSearch، Redis، Varnish. Plesk المشترك لا يكفي. سحابة تونسية سيادية أو Hetzner/OVH أوروبا حسب قيود RGPD/قانون 2004-63.
تدقيق ترحيل Magento — يوم-عمل مجاني لتحديد النطاق
قبل التوقيع على أي عرض Magento 2.4 لدى أي كان، اطلب تحديد النطاق من طرف ثالث. نقدّم يوم-عمل مجاني من تدقيق الترحيل لأي متجر تجارة إلكترونية تونسي:
- جرد الموديولات + تصنيف توافق 2.4
- تقييم البنية التحتية الهدف
- قائمة التكاملات المحلية التي يجب إعادة بنائها
- نطاق أيام-عمل لكل بند، موقّع
هذا هو التسليم الوحيد الذي تحتاجه لمقارنة العروض بشكل واعٍ.
مصادر علنية: Adobe APSB25-88، Magento 2.4.9 release notes، Magento 2.4.8 release notes، Sansec (حملات SessionReaper و PolyShell).