چک لیست افزایش امنیت و محافظت از سایت وردپرس [۲۱ روش]
وردپرس محبوب‌ترین سیستم مدیریت محتوا (CMS) در جهان است و بیش از ۴۳٪ از کل وب‌سایت‌ها را قدرت می‌بخشد. اما این محبوبیت، آن را به یک هدف اصلی برای هکرها، اسپمرها و بدافزارها تبدیل کرده است. خوشبختانه، با رعایت مجموعه‌ای از اقدامات امنیتی، می‌توانید وب‌سایت خود را به یک دژ مستحکم تبدیل کنید.
این راهنما یک چک‌لیست کامل از بهترین روش‌های امنیتی وردپرس را، از اقدامات ساده تا تکنیک‌های پیشرفته، در اختیار شما قرار می‌دهد. ایمن‌سازی سایت، به ویژه برای کسب‌وکارهایی که روی یک بستر قدرتمند مانند خرید vps میزبانی می‌شوند، یک ضرورت مطلق است تا از داده‌های مشتریان و اعتبار برند خود محافظت کنند.
۱. انتخاب هاستینگ امن
امنیت وب‌سایت شما با انتخاب یک میزبان وب امن آغاز می‌شود. یک هاست معتبر، لایه‌های امنیتی متعددی را در سطح سرور پیاده‌سازی می‌کند، از جمله:
- فایروال‌های پیشرفته (WAF)
- اسکنرهای بدافزار
- محافظت در برابر حملات DDoS
- ارائه گواهینامه SSL رایگان
هاستینگ مدیریت شده وردپرس یک گزینه عالی است، زیرا بسیاری از وظایف امنیتی و نگهداری به صورت خودکار توسط میزبان انجام می‌شود.
۲. استفاده از آخرین نسخه PHP
PHP زبان برنامه‌نویسی است که وردپرس بر پایه آن ساخته شده. استفاده از آخرین نسخه PHP نه تنها سرعت سایت شما را افزایش می‌دهد، بلکه شامل جدیدترین پچ‌های امنیتی نیز می‌شود. همیشه اطمینان حاصل کنید که سایت شما روی آخرین نسخه پایدار PHP اجرا می‌شود.
۳. به‌روزرسانی منظم وردپرس، قالب‌ها و افزونه‌ها
حملات سایبری اغلب از طریق آسیب‌پذیری‌های موجود در نرم‌افزارهای قدیمی رخ می‌دهند. به‌روز نگه داشتن هسته وردپرس، و همچنین تمام قالب‌ها و افزونه‌های نصب شده، یکی از مهم‌ترین اقدامات امنیتی است. به‌روزرسانی‌های خودکار را برای وصله‌های امنیتی جزئی فعال کنید و به‌روزرسانی‌های اصلی را به محض انتشار، به صورت دستی انجام دهید.
۴. استفاده از رمزهای عبور قوی و احراز هویت دو عاملی (2FA)
حملات Brute Force، که در آن هکرها هزاران ترکیب نام کاربری و رمز عبور را امتحان می‌کنند، بسیار رایج هستند. برای مقابله با این حملات:
- از رمزهای عبور طولانی و پیچیده (ترکیبی از حروف بزرگ و کوچک، اعداد و نمادها) استفاده کنید.
- نام کاربری پیش‌فرض `admin` را تغییر دهید.
- احراز هویت دو عاملی (2FA) را با استفاده از افزونه‌هایی مانند Wordfence Login Security یا Google Authenticator فعال کنید.
۵. محدود کردن تلاش برای ورود
برای جلوگیری از حملات Brute Force، تعداد دفعاتی که یک کاربر می‌تواند با یک IP مشخص تلاش ناموفق برای ورود داشته باشد را محدود کنید. افزونه‌های امنیتی مانند Wordfence یا Limit Login Attempts Reloaded می‌توانند پس از چند تلاش ناموفق، IP مهاجم را به طور موقت مسدود کنند.
۶. تغییر آدرس صفحه ورود وردپرس
به طور پیش‌فرض، صفحه ورود همه سایت‌های وردپرسی در آدرس `wp-login.php` یا `wp-admin` قرار دارد. تغییر این URL پیش‌فرض، کار ربات‌ها و هکرها برای پیدا کردن صفحه ورود شما را دشوارتر می‌کند. افزونه‌هایی مانند WPS Hide Login به سادگی این کار را برای شما انجام می‌دهند.
۷. نصب یک افزونه امنیتی معتبر
یک افزونه امنیتی جامع می‌تواند بسیاری از جنبه‌های امنیتی سایت شما را پوشش دهد. این افزونه‌ها قابلیت‌هایی مانند اسکن بدافزار، فایروال برنامه وب (WAF)، امنیت صفحه ورود و نظارت بر فایل‌ها را ارائه می‌دهند. Wordfence Security و Sucuri Security دو مورد از بهترین گزینه‌ها هستند.
۸. فعال‌سازی گواهینامه SSL/HTTPS
HTTPS داده‌های رد و بدل شده بین مرورگر کاربر و سرور شما را رمزنگاری می‌کند. این کار از شنود اطلاعات حساس مانند اطلاعات ورود و فرم‌های تماس جلوگیری می‌کند. امروزه داشتن SSL نه تنها برای امنیت، بلکه برای سئو نیز یک ضرورت است.
۹. پشتیبان‌گیری منظم از سایت
مهم نیست چقدر اقدامات امنیتی را رعایت می‌کنید، همیشه احتمال بروز مشکل وجود دارد. داشتن یک استراتژی پشتیبان‌گیری منظم به شما این امکان را می‌دهد که در صورت هک شدن یا بروز هرگونه مشکل، سایت خود را به سرعت بازیابی کنید. از افزونه‌هایی مانند UpdraftPlus یا Jetpack Backups برای تهیه نسخه پشتیبان خودکار استفاده کنید.
۱۰. غیرفعال کردن ویرایشگر فایل در پیشخوان وردپرس
وردپرس به مدیران اجازه می‌دهد تا فایل‌های قالب و افزونه را مستقیماً از پیشخوان ویرایش کنند. اگر یک هکر به حساب مدیریت شما دسترسی پیدا کند، می‌تواند از این ویژگی برای تزریق کدهای مخرب استفاده کند. برای غیرفعال کردن آن، کد زیر را به فایل `wp-config.php` خود اضافه کنید:
define('DISALLOW_FILE_EDIT', true);
۱۱. غیرفعال کردن XML-RPC
XML-RPC یک ویژگی قدیمی وردپرس است که به برنامه‌های خارجی اجازه اتصال به سایت شما را می‌داد. این ویژگی اغلب به عنوان یک بردار حمله مورد سوء استفاده قرار می‌گیرد. اگر از آن استفاده نمی‌کنید (که اکثر سایت‌ها استفاده نمی‌کنند)، بهتر است آن را غیرفعال کنید. این کار را می‌توان با افزونه‌های امنیتی یا با افزودن کد به فایل `.htaccess` انجام داد.
۱۲. محافظت از فایل wp-config.php
فایل `wp-config.php` حاوی حساس‌ترین اطلاعات سایت شما، از جمله جزئیات اتصال به پایگاه داده است. برای محافظت از آن، می‌توانید کد زیر را به فایل `.htaccess` خود اضافه کنید تا دسترسی مستقیم به آن را مسدود کنید:
<files wp-config.php>
order allow,deny
deny from all
</files>
۱۳. تغییر پیشوند جداول پایگاه داده
به طور پیش‌فرض، جداول پایگاه داده وردپرس با پیشوند `wp_` شروع می‌شوند. تغییر این پیشوند به یک عبارت تصادفی (مثلاً `wp_a8c3e5_`) کار را برای حملات SQL Injection که به صورت خودکار انجام می‌شوند، دشوارتر می‌کند. این کار بهتر است در هنگام نصب اولیه وردپرس انجام شود.
۱۴. نظارت بر نقش‌های کاربری
همیشه نقش‌های کاربری را با دقت مدیریت کنید و به کاربران فقط سطح دسترسی مورد نیازشان را بدهید. به طور مرتب لیست کاربران را بررسی کنید و هر حساب مشکوک یا غیرضروری را حذف نمایید.
سایر نکات امنیتی پیشرفته
- استفاده از کلیدهای امنیتی وردپرس (WordPress Security Keys): این کلیدها با افزودن یک لایه رمزنگاری به کوکی‌ها، امنیت اطلاعات ورود را افزایش می‌دهند.
- تنظیم مجوزهای صحیح برای فایل‌ها و پوشه‌ها: مجوزهای فایل باید روی 644 و مجوزهای پوشه روی 755 تنظیم شوند.
- غیرفعال کردن نمایش خطا در PHP: نمایش جزئیات خطا در سمت کاربر می‌تواند اطلاعات حساسی درباره ساختار سرور شما فاش کند. این مورد باید در سطح سرور غیرفعال شود که در هاستینگ‌های باکیفیت مانند vps آلمان به خوبی مدیریت می‌شود.
- محافظت در برابر Hotlinking: از سرقت پهنای باند خود با جلوگیری از نمایش تصاویر سایتتان در وب‌سایت‌های دیگر جلوگیری کنید.
- استفاده از هدرهای امنیتی HTTP: هدرهایی مانند Content Security Policy (CSP) و X-Frame-Options می‌توانند از سایت شما در برابر حملات XSS و Clickjacking محافظت کنند.
- حذف نسخه وردپرس: جلوگیری از نمایش عمومی نسخه وردپرس سایت، کار هکرها برای یافتن آسیب‌پذیری‌های مرتبط با آن نسخه را سخت‌تر می‌کند.
- اسکن منظم سایت: به طور دوره‌ای سایت خود را با ابزارهای آنلاین مانند Sucuri SiteCheck برای یافتن بدافزار و آسیب‌پذیری‌ها اسکن کنید.
فهرست تیترها