امنیت وردپرس؛ محافظت از سایت در برابر حملات

وردپرس محبوب‌ترین سیستم مدیریت محتوای جهان است و همین محبوبیت، آن را به هدف شماره یک هکرها تبدیل کرده است. خبر خوب اینکه بیشتر حملات با چند اقدام ساده قابل جلوگیری هستند.

۱. به‌روز نگه داشتن وردپرس

مهم‌ترین کار امنیتی، به‌روزرسانی منظم هسته وردپرس، قالب و افزونه‌هاست. تقریباً هر آسیب‌پذیری شناخته‌شده وردپرس با یک به‌روزرسانی امنیتی برطرف شده است. نسخه‌های قدیمی، آسیب‌پذیرترین حالت ممکن هستند.

۲. استفاده از رمز عبور قوی

بیشتر حملات موفق، با حدس زدن رمز عبور شروع می‌شوند. یک رمز عبور خوب باید دست‌کم ۱۲ کاراکتر باشد و ترکیبی از حروف بزرگ و کوچک، عدد و نماد باشد. بهترین کار، استفاده از یک مدیر رمز عبور است.

۳. محدود کردن تلاش‌های ورود

وقتی کسی هزاران بار رمز عبور را حدس می‌زند، سیستم باید جلویش را بگیرد. افزونه‌هایی مانند Limit Login Attempts این کار را به‌صورت خودکار انجام می‌دهند و بعد از چند تلاش ناموفق، آی‌پی را موقتاً مسدود می‌کنند.

۴. استفاده از HTTPS

تمام ارتباط بین مرورگر کاربر و سرور باید رمزنگاری شود. بدون گواهی SSL، رمز عبور و کوکی‌ها به‌صورت متن ساده در شبکه جابه‌جا می‌شوند و هر کسی در مسیر می‌تواند آن‌ها را بخواند. گواهی‌های رایگان Let&#۸۲۱۷;s Encrypt دیگر هزینه‌ای ندارند.

۵. پشتیبان‌گیری منظم

پشتیبان‌گیری، سپر شما در برابر بدترین حالت ممکن است. حتی اگر همه مراحل بالا را رعایت کنید، باز هم ممکن است سایت هک شود. یک نسخه پشتیبان سالم یعنی شما همیشه راه بازگشت دارید. مهم است که نسخه‌ها را روی سرور جداگانه نگه دارید، نه روی همان سایت.

۶. کمترین دسترسی

برای هر کاربر وردپرس فقط حداقل دسترسی لازم را بدهید. همه کاربران نیازی به دسترسی مدیر کل ندارند. اگر چند نفر روی سایت کار می‌کنند، برای هرکدام حساب جدا با نقش مشخص بسازید.

۷. پنهان کردن اطلاعات نسخه

// در functions.php یا افزونه اختصاصی
remove_action( 'wp_head', 'wp_generator' );

// در htaccess
// Block access to xmlrpc.php
<Files xmlrpc.php>
  Order Deny,Allow
  Deny from all
</Files>

امنیت یک فرایند مداوم است، نه یک کار یک‌باره. هر ماه یک بار وضعیت سایت را مرور کنید و مطمئن شوید همه‌چیز به‌روز است.