چگونه امنیت وردپرس را افزایش دهیم؟ 15 اقدام ضروری

یک افزونه قدیمی، رمز عبوری ساده یا دسترسی اضافی یک کاربر می‌تواند در مدت کوتاهی زحمات چندماهه شما را تهدید کند. این راهنما با معرفی پانزده اقدام روشن، زمان لازم برای بررسی و ایمن‌سازی سایت را کاهش می‌دهد و مسیر افزایش امنیت وردپرس را مرحله‌به‌مرحله نشان می‌دهد. پیشنهادها بر اساس اثرگذاری، هزینه، امکان اجرای واقعی و مناسب‌بودن برای سایت‌های شخصی، شرکتی و فروشگاهی انتخاب شده‌اند. با این فهرست می‌توانید بدون سردرگمی از تنظیمات رایگان شروع کنید، خطرهای مهم را بشناسید و بعد، متناسب با ارزش اطلاعات و میزان ترافیک، ابزارهای پیشرفته‌تری اضافه کنید.

امنیت سایت وردپرسی فقط به نصب یک افزونه حفاظتی وابسته نیست. امنیت نتیجه همکاری میان مدیر سایت، شرکت میزبان، کاربران، قالب، افزونه‌ها و فرایندهای نگهداری است. بعضی حمله‌ها با یک رمز فاش‌شده آغاز می‌شوند و بعضی دیگر از نسخه‌ای قدیمی یا تنظیمی نادرست استفاده می‌کنند. بنابراین بهتر است پیش از خرید ابزارهای گران، قفل‌های اصلی را ببندید، نسخه پشتیبان داشته باشید و برنامه‌ای برای واکنش به حادثه آماده کنید. هر تغییر را جداگانه انجام دهید و پس از آن، ورود، فرم‌ها، پرداخت، نمایش صفحات و سرعت سایت را بررسی کنید.

پایه‌های ضروری امنیت؛ اقدام‌های رایگان برای بستن راه‌های نفوذ

اقدام اول: به‌روزرسانی هسته وردپرس، افزونه‌ها و قالب‌ها

نسخه‌های قدیمی معمولاً آسیب‌پذیری‌هایی شناخته‌شده دارند و اطلاعات مربوط به آن‌ها در اختیار مهاجمان قرار می‌گیرد. هسته وردپرس، افزونه‌ها و قالب‌ها را از پیشخوان و منابع معتبر به‌روزرسانی کنید. پیش از این کار، نسخه‌ای تازه از فایل‌ها و پایگاه داده بگیرید. سپس صفحه اصلی، فرم تماس، ورود کاربران، سبد خرید و پرداخت را آزمایش کنید. گاهی ناسازگاری میان نسخه‌ها بخشی از سایت را مختل می‌کند. در سایت‌های مهم، ابتدا تغییر را در محیط آزمایشی امتحان کنید و بعد در زمان کم‌ترافیک روی سایت اصلی اجرا کنید.

اقدام دوم: ساخت گذرواژه قوی و فعال‌سازی احراز هویت دومرحله‌ای

برای هر حساب مدیریتی، گذرواژه‌ای طولانی، تصادفی و منحصربه‌فرد بسازید. استفاده دوباره از رمز یک حساب در چند سرویس، خطر را بیشتر می‌کند؛ زیرا افشای یک سرویس می‌تواند راه ورود به سایت را نیز باز کند. مدیران باید احراز هویت دومرحله‌ای را فعال کنند تا ورود به رمز و عامل دوم نیاز داشته باشد. کدهای بازیابی را خارج از همان تلفن یا رایانه و در مکانی امن نگه دارید. فهرست حساب‌های دارای دسترسی را نیز بررسی کنید و رمز افراد جداشده از تیم را فوراً تغییر دهید.

اقدام سوم: محدودکردن نقش‌ها و سطح دسترسی کاربران

هر کاربر باید فقط مجوزهایی را داشته باشد که برای وظیفه‌اش لازم است. نویسنده را مدیر نکنید و برای انتشار محتوا از نقش‌های مناسب استفاده کنید. حساب‌های بلااستفاده را حذف یا غیرفعال کنید و فهرست دسترسی‌ها را در جایی امن ثبت کنید. این اصل، خسارت ناشی از هک یک حساب را کاهش می‌دهد. در سایت‌های چندنویسنده، فروشگاه‌ها و پروژه‌های سازمانی، بازبینی دوره‌ای اهمیت بیشتری دارد. پس از تغییر اعضای تیم، نقش‌ها را دوباره بررسی کنید تا دسترسی قدیمی بی‌دلیل باقی نماند.

سخت‌سازی تنظیمات وردپرس برای کاهش سطح حمله

اقدام چهارم: فعال‌سازی گواهی SSL و استفاده اجباری از HTTPS

گواهی SSL ارتباط میان مرورگر و سرور را رمزگذاری می‌کند و احتمال شنود اطلاعات را کاهش می‌دهد. استفاده از HTTPS برای صفحه ورود، فرم‌های شخصی و فروشگاه‌های اینترنتی ضروری است. سرویس‌هایی مانند Let’s Encrypt گواهی رایگان ارائه می‌کنند. بعد از فعال‌سازی، نشانی‌های قدیمی را به نسخه امن هدایت کنید و آدرس وردپرس را اصلاح نمایید. اگر تصویر، فایل سبک یا اسکریپتی هنوز با HTTP بارگذاری شود، خطای محتوای مختلط رخ می‌دهد. همه پیوندهای داخلی و منابع خارجی را بررسی کنید تا قفل امنیتی مرورگر کامل نمایش داده شود.

اقدام پنجم: غیرفعال‌کردن XML-RPC و ویرایشگر فایل داخلی

اگر سایت شما به انتشار یا مدیریت از راه دور نیاز ندارد، غیرفعال‌کردن XML-RPC می‌تواند تلاش‌های ورود متعدد و برخی سوءاستفاده‌ها را محدود کند. این تغییر را با افزونه معتبر یا تنظیمات سرور انجام دهید و پیش از اجرا، وابستگی ابزارهای موجود را بررسی کنید. ویرایشگر داخلی قالب و افزونه را نیز ببندید تا فردی که به حساب مدیر دسترسی پیدا کرده است نتواند مستقیماً کد سایت را تغییر دهد. افزودن مقدار DISALLOW_FILE_EDIT به فایل wp-config.php راهکاری ساده است، اما باید با دقت انجام شود.

اقدام ششم: حذف افزونه‌ها و قالب‌های بلااستفاده

افزونه یا قالب غیرفعال نیز ممکن است آسیب‌پذیری داشته باشد. پیش از حذف، وابستگی‌های فنی و نقش آن در طراحی سایت را بررسی کنید. نسخه‌های بدون استفاده، افزونه‌های آزمایشی و فایل‌هایی را که دیگر نگهداری نمی‌شوند کنار بگذارید. اطلاعات نسخه وردپرس، قالب و افزونه را نیز تا حد ممکن از پیام‌های عمومی و متادیتا پنهان کنید. این کار مهاجم را از شناخت دقیق محیط بازمی‌دارد، سطح حمله را کوچک‌تر می‌کند و نگهداری سایت را ساده‌تر نگه می‌دارد.

پشتیبان‌گیری و دفاع خودکار؛ انتخاب ابزار رایگان یا پولی

اقدام هفتم: تهیه نسخه پشتیبان زمان‌بندی‌شده

پشتیبان باید هم فایل‌ها و هم پایگاه داده را شامل شود. سایت فروشگاهی که هر روز سفارش و کاربر تازه دارد، به نسخه‌های روزانه یا حتی ساعتی نیازمند است؛ سایت معرفی ساده ممکن است با برنامه هفتگی شروع کند. ذخیره نسخه فقط روی همان سرور کافی نیست، زیرا نفوذ یا خرابی سخت‌افزاری می‌تواند هر دو نسخه را نابود کند. یک کپی رمزگذاری‌شده را در فضای ابری یا سروری جدا نگه دارید. افزونه‌هایی مانند UpdraftPlus برای شروع مناسب‌اند، اما بازگردانی را نیز مرتب آزمایش کنید.

اقدام هشتم: استفاده از فایروال برنامه وب

فایروال برنامه وب درخواست‌های مشکوک مانند حدس رمز، تزریق کد و برخی حمله‌های شناخته‌شده را پیش از رسیدن به وردپرس فیلتر می‌کند. سایت‌های پرترافیک یا هدف حمله، معمولاً از این لایه سود بیشتری می‌برند. Cloudflare برای بسیاری از پروژه‌ها گزینه‌ای رایگان و قابل‌استفاده دارد. طرح‌های پولی معمولاً گزارش دقیق‌تر، قوانین پیشرفته‌تر و پشتیبانی سریع‌تر ارائه می‌دهند. پیش از انتخاب، حجم ترافیک، نوع اطلاعات، محل کاربران و سابقه حمله را بسنجید. تنظیم بیش از حد سخت‌گیرانه می‌تواند کاربران واقعی یا سرویس‌های ضروری را مسدود کند.

اقدام نهم: اسکن بدافزار و بررسی تغییرات فایل‌ها

اسکن منظم می‌تواند کد آلوده، فایل دست‌کاری‌شده، کاربر ناشناس و رفتار غیرعادی را آشکار کند. Wordfence نسخه رایگان دارد و برای سایت‌هایی با چند مدیر یا افزونه‌های متعدد، نقطه شروع مناسبی است. گزارش اسکن را فقط ذخیره نکنید؛ موارد ناشناخته را بررسی و در صورت نیاز حذف کنید. پیش از پاک‌سازی، نسخه‌ای از وضعیت موجود برای تحلیل نگه دارید. اسکن سنگین ممکن است منابع سرور را مصرف کند، بنابراین آن را در ساعت کم‌ترافیک اجرا کنید. هشدارهای تکراری را نیز نادیده نگیرید.

ایمن‌سازی سرور و صفحه ورود برای سایت‌های حساس

اقدام دهم: انتخاب میزبانی وردپرس امن و به‌روز

امنیت سرور پایه‌ای است که تنظیمات وردپرس بر آن قرار می‌گیرد. شرکت میزبان معتبر باید سیستم‌عامل و نرم‌افزارهای سرور را به‌روز کند، فعالیت مشکوک را پایش نماید و از داده‌ها نسخه جداگانه داشته باشد. هنگام خرید، درباره محل نگهداری پشتیبان، زمان بازیابی، فایروال، جداسازی حساب‌ها و شیوه پاسخ‌گویی به رخداد سؤال کنید. هاست ارزان همیشه انتخاب بدی نیست، اما اگر پشتیبانی کند یا تنظیمات حفاظتی ضعیف داشته باشد، هزینه پنهان آن از صرفه‌جویی اولیه بیشتر خواهد شد.

اقدام یازدهم: تنظیم مجوز فایل‌ها و محافظت از فایل‌های پیکربندی

مجوز فایل مشخص می‌کند چه کسی می‌تواند اطلاعات را بخواند، تغییر دهد یا اجرا کند. مجوز نادرست، دسترسی غیرضروری به فایل‌های حساس را ممکن می‌سازد. فایل wp-config.php، پوشه‌های پشتیبان و فایل‌های دارای کلید دسترسی باید فقط برای کاربر ضروری قابل خواندن باشند. قبل از تغییر، نسخه پشتیبان بگیرید و از مستندات میزبان کمک بگیرید. مقدارگذاری اشتباه ممکن است سایت را از دسترس خارج کند. این اقدام هزینه‌ای ندارد، اما در سرورهای چندکاربره اثر مهمی دارد.

اقدام دوازدهم: محدودکردن تلاش‌های ورود و افزودن کپچا

محدودسازی تلاش ورود، تعداد درخواست‌های ناموفق از یک نشانی را کنترل می‌کند و حمله حدس رمز را کند می‌سازد. کپچا نیز ربات‌ها را از ارسال مکرر فرم بازمی‌دارد. این دو ابزار برای سایت‌هایی که مرتب با حمله به صفحه ورود روبه‌رو هستند، مفیدند. نوع کپچا را با توجه به تجربه کاربر انتخاب کنید؛ آزمون پیچیده ممکن است افراد واقعی را آزار دهد. فهرست سفید برای کارکنان، ثبت هشدارها و بررسی نشانی‌های مسدودشده را نیز در نظر بگیرید.

به صورت 24 ساعته مشکلات سایت شما را حل کرده و بهینه سازی کامل انجام خواهیم داد »»»  پشتیبانی فنی سایت های وردپرسی

نظارت، واکنش و چک‌لیست امنیت وردپرس برای نگهداری مداوم

اقدام سیزدهم: ثبت و بازبینی گزارش فعالیت کاربران

گزارش فعالیت، ورودها، تغییر رمز، نصب افزونه، ویرایش محتوا و تغییر تنظیمات را ثبت می‌کند. در سایت تیمی یا فروشگاهی، این اطلاعات پیدا کردن ورود مشکوک و تغییر غیرمجاز را آسان‌تر می‌سازد. گزارش باید زمان، کاربر، نشانی اینترنتی و نوع رویداد را نشان دهد. دست‌کم هفته‌ای یک‌بار موارد مهم را مرور کنید و گزارش‌های حساس را جداگانه نگه دارید. حجم زیاد رویدادها ممکن است بررسی را دشوار کند؛ بنابراین سطح ثبت و مدت نگهداری را منطقی تنظیم کنید.

اقدام چهاردهم: تدوین برنامه واکنش به حادثه و آزمایش بازگردانی

وقتی نفوذ رخ می‌دهد، تصمیم‌گیری بدون برنامه باعث سردرگمی و طولانی‌شدن قطعی می‌شود. در برنامه ساده خود مشخص کنید چه کسی دسترسی مشکوک را قطع می‌کند، چه کسی با میزبان تماس می‌گیرد و کاربران چگونه مطلع می‌شوند. محل نسخه پشتیبان، مراحل پاک‌سازی و شیوه تغییر رمزها را بنویسید. بازگردانی را در محیط آزمایشی تمرین کنید، نه فقط هنگام بحران. پس از تغییر هاست، افزونه یا اعضای تیم، برنامه را دوباره مرور کنید تا اطلاعات آن قدیمی نباشد.

اقدام پانزدهم: اجرای ممیزی دوره‌ای تنظیمات امنیتی وردپرس

در چک‌لیست ماهانه یا فصلی، نسخه هسته، افزونه‌ها و قالب، حساب‌های مدیر، وضعیت SSL، پشتیبان‌گیری، فایروال و گزارش فعالیت را بررسی کنید. مطمئن شوید افزونه‌ای ناشناس نصب نشده و حساب قدیمی همچنان دسترسی ندارد. بازگردانی نسخه را نیز آزمایش کنید و نتیجه را ثبت نمایید. سایت‌های پیچیده، درآمدزا یا دارای اطلاعات حساس ممکن است به ممیزی متخصص نیاز داشته باشند. ممیزی منظم مانع بازگشت اشتباه‌هایی می‌شود که پس از مدتی از یاد رفته‌اند.

جمع‌بندی ابزارها بر اساس هزینه

برای شروع، Let’s Encrypt، UpdraftPlus، Wordfence و Cloudflare گزینه‌هایی رایگان و کاربردی هستند. ابزار رایگان زمانی ارزشمند است که درست تنظیم و مرتب بررسی شود. سایت‌های حساس ممکن است به میزبانی مدیریت‌شده، فایروال پیشرفته، پشتیبان‌گیری جداگانه و پایش تخصصی نیاز داشته باشند. انتخاب میان این گزینه‌ها باید بر اساس تعداد کاربران، حجم فروش، ارزش داده‌ها، میزان توقف قابل‌تحمل و توان تیم فنی انجام شود. پرداخت بیشتر همیشه به معنی امنیت بیشتر نیست؛ کیفیت اجرا و پیگیری اهمیت اساسی دارد.

نتیجه‌گیری

افزایش امنیت وردپرس فرایندی پیوسته است که از به‌روزرسانی هسته، افزونه و قالب آغاز می‌شود و با رمزهای قوی، احراز هویت دومرحله‌ای، محدودکردن دسترسی، HTTPS، پشتیبان جداگانه، فایروال، اسکن بدافزار و نظارت ادامه پیدا می‌کند. لازم نیست همه ابزارهای پولی را از ابتدا تهیه کنید؛ تنظیمات رایگان بسیاری از خطرهای رایج را کاهش می‌دهند، به شرط آنکه درست اجرا و مرتب بررسی شوند. اقدامات را مرحله‌به‌مرحله انجام دهید، بعد از هر تغییر عملکرد سایت را بسنجید و برنامه واکنش به حادثه را تمرین کنید. این راهنما را نشانک‌گذاری کنید تا چک لیست امنیت وردپرس هنگام بازبینی ماهانه یا فصلی در دسترس باشد. اگر تجربه یا پیشنهادی دارید، آن را با دیگر خوانندگان در میان بگذارید؛ این مطلب دست‌کم هر شش ماه و هنگام انتشار آسیب‌پذیری‌های مهم بازبینی و به‌روزرسانی خواهد شد.