امنیت در وردپرس
اولین گزینه در تامین امنیت سایت شما بر عهده سرویس دهنده هاست شماست که باید بتواند امنیت اولیه سایت شما را تامین کند .
همیشه سعی کنید از سرویس دهنده های معتبر هاست و دامین خود را تهیه کنید . از بهترین سرویس دهنده های رتبه یک موجود کشور می توان به نام شرکت های ایران سرور و میهن وب هاست اشاره کرد .
قدم دوم بعد از تهیه هاست و دامین فعال کردن گواهینامه امنیتی ssl بر روی دامنه سایت است. این گواهی نامه به اضافه شدن یک s به آدرس ابتدای سایت منجر می شود . یعنی آدرس سایت شما از http://yorsite.com یا http://yoursite.ir به https تبدیل می شود. استفاده از این گواهینامه از طرف گوگل اجباری است .
لذا اگر این گواهی نامه بر روی دامنه سایت شما نصب نباشد گوگل می تواند سایت شما را یک سایت مخرب در نظر بگیرد و در بعضی موارد به کاربران اجازه ورود به سایت هایی که آدرس آنها بدون https است را نمی دهد.
همچنین نداشتن این گواهینامه باعث ایجاد رتبه منفی برای سایت شما در گوگل می شود . که در نتیجه جستجو ها در رتبه های پایین تری قرار می گیرد.
ارائه دهنده هایی مانند ایران سرور و میهن وب هاست این گواهینامه را بعد از تهیه هاست و دامین از آنها به صورت رایگان در اختیار شما قرار می دهند .
در صورتی که بعضی دیگر از شرکت ها این گواهینامه را به عنوان یک ویژگی جدید برای دامین شما به فروش می گذارند ، که در ابتدای کار یک هزینه اضافه را به سایت شما تحمیل می کند .
قدم سوم در این مسیر برای تامین امنیت سایت ، استفاده از cdn های امنیتی است. برای فعال کردن این cdn ها در ایران می توانید با ایجاد یک اکانت ساده در سایت ابرآروان مسیر ورود به سایت خود را از یک فیلتر امنیتی بگذرانید و همچنین از بهترین سایت هایی خارجی در این زمینه می توان به cloudflare اشاره کرد .
در نظر داشته باشید ابرآروان مقداری تنظیمات را برای شما گیج کننده وسخت می کند . و کلوفلر نیز ممکن اس به خاطر مسائل تحریم باعث بشود سایت شما به درستی بالا نیاید .
بهترین کار آن است که اگر قصد دارید به صورت رایگان از یک سرویس cdn استفاده کنید از سرویس دهنده خود سوال کنید که آیا از کلود فلر پشتیبانیمی کنند یا نه ؟
سرویس cdn باعث می شود به جای آنکه درخواست های لود و وورد به سایت شما مستقیم انجام شود یک سپر امنیتی ابتدا آن درخواست را بررسی کند که آیا ام هست یا نه ؟ آیا از طرف یک ربات صادر می شود یا یک حمله است ؟
قدم چهارم انتخاب یک قالب معتبر برای سایت است. قالبی که از شرکت های معتبر تهیه شده باشد .
اگر برای راه اندازی سایت خود از قالب های رایگان استفاده کنید و یا از شرکت هایی که اعتبار آنها تضمین شده نیست ، ممکن است نسخه به اصطلاح null شده یک قالب در اختیار شما قرار بگیرد.
این نسخه غیر قابل اعتماد تنها چند خط کد در بین هزاران کد خود دارد که برای ورود هکر ها طراحی شده تا به راحتی با این شکاف امنیتی بعدها بتوانند وارد سایت شما شده ، اطلاعات را بدون اطلاع شما سزقت کنند و یا ازشما اخاذی کنند.
پس انتخاب یک قالب مطمئن ، تضمین کننده موفقیت شما در ادامه مسیر خواهد بود.
قطعا از بین گزینه های موجود یکی از بهترین گزینه ها برای انتخاب قالب وردپرس ، سایت ژاکت است .
اما بعد از انتخاب ، تهیه و نصب قالب وارد مراحل تخصصی تر خواهیم شد تا بتوانیم امنیت سایت مان را تامین کنیم .
در هنگام نصب اولیه سایت گزینه دیگری که می تواند برای ایجاد امنیت سایت های وردپرسی به ما کمک کند ، تغییر پسوند دیتابیس های وردپرس است.
بهتر است در هنگام نصب اولیه وردپرس و برای بالا آوردن سایت ، همان ابتدا ، پسوند دیتابیس سایت وردپرسی خود را تغییر دهید تا از آسیب پذیری سایت خود جلوگیری کنید.
قدم پنجم بعد از نصب قالب بر روی سایت و قبل از انجام هر کاری نصب افزونه های امنیتی قوی و معتبر است. از بهترین افزونه های امنیتی وردپرس wordfence و ithemes هستند .
با وجود حمله های مداوم سایبری ، نصب پلاگین های درجه یک جهانی برای تامین امنیت سایت الزامی است . این افزونه ها در عین سادگی دارای تنظیمات زیادی برای جلوگیری از حملات سایبری هستند . که تقریبا با داشتن دانش تنظیم این افزونه ها می توان تا ۹۰ درصد جلوی حملات ربات ها و هکرها را گرفت .
قدم ششم برای تامین امنیت سایت قطعا انتخاب رمز های عبور قوی و تلفیقی از کاراکتر های مختلف عددی ، حرفی و سمبل هاست تا قابل حدس زدن برای ربات ها و هکرها نباشند.
هیچ گاه از نام کاربری admin برای سایت خود استفاده نکنید . بسیاری از حملات به سایت ها توسط نام کاربری admin انجام می شود که اگر سایت شما دارای این نام کاربری باشد بسیار آسیب پذیرتر خواهد بود .
ضمن آنکه افزونه ithems این امکان را به ما می دهد که تمام ip هایی که قصد ورود به سایت با نام ادمین را دارند ، بلاک کنیم .
بهترین گزینه در قدم هفتم تغییر مسیر ورود به پنل وردپرسی سایت است .
همان طور که می دانید برای ورود به پنل کاربری وردپرس باید از مسیر wp-admin استفاده کنیم . اما اگر توسط افزونه های ذکر شده این مسیر را به نام دلخواه دیگری که تنها مدیران سایت از آن اطلاع دارند تغییر دهیم ، دیگر هیچ رباتی از این مسیر امکان ضربه زدن و تلاش برای ورود به سایت ما را نخواهد داشت .
اما این تنها مسیر برای ورود ربات ها به سایت نیست . ربات ها با استفاده از مسیرهای ناموجود که منجر به ارور ۴۰۴ می شوند ،نیز می توانند اقدام به کارهای مخرب کنند .
لذا باید امکان جستجوی کلمات و آدرس های غیر معتبر را برای سایت محدود کرد. این ویژگی نیز از طریق افزونه ithems قابل ایجاد است .
از مهمترین گزینه ها برای تامین امنیت در وردپرس غیر فعال کردن امکان آپلود صفحاتی با پسوند .php توسط کاربران است .
اگر این امکان وجود داشته باشد ، هکر ها به سادگی با آپلود یک صفحه حاوی کد های مخرب می توانند سایت شما را به کلی نابود کنند.
همچنین امکان ویرایش صفحات php نباید در سایت شما امکانپذیر باشد . لذا توسط افزونه های ذکر شده می توان این امکان را غیر فعال کرد تا حتی با ورود به بخش مدیریت کنترل پنل وردپرس نتوان کد های قالب را تغییر داد و تنها این امکان برای مدیر سایت و از طریق هاست آن امکان پذیر باشد .
ضمن آنکه با تغییر سطح دسترسی و بالا بردن این سطح با تعیین اجازه های خاص به فایل های مهم هسته اصلی وردپرس در هاست ، می توان امکان ویرایش کدهای قالب وردپرس و سایت را محدود تر کرد ، تا هر کسی اجازه تغییر دادن کدهای فایل های مهم وردپرس مثل htaccess یا wp-config را نداشته باشد .
حتما برای ورود و ثبت نام کاربران و مدیران باید ربات نبودن آن ها را بررسی کرد . لذا حتما برای صفحات ورود سایت گزینه های امنیتی من ربات نیستم و یا سوالات خاص را تعبیه کنید .
همیشه به خاطر داشته باشید که وردپرس، قالب و افزونه های سایتتان را به آخرین نسخه ها به روز رسانی نمایید .
اما اگر باز هم بعد از رعایت تمام گزینه های امنیت در وردپرس ، یک ربات بتواند در سایت شما ثبت نام کند دیوار بعدی برای جلوگیری از ورود آن به سایت ایجاد گزینه احراز هویت دو عاملی است .
به این معنی که از کاربر خواسته می شود با ورود اطلاعات حساب کاربری ، باز هم به ایمیل حساب کاربری خود قبل از ورود به سایت مراجعه کند و کد امنیتی ارسال شده به آن آدرس ایمیل را در پنجره موجود در سایت شما وارد کند . بدین ترتیب اگر رباتی با ایمیل نامعتبر بتواند در سایت ثبت نام کند اما از ورود آن به سایت جلوگیری می شود.
و از این طریق می توان تشخیص داد که آیا یک ربات برای ورود به سایت تلاش کرده است یا نه ؟
اما برای قدم آخر با رعایت تمام نکات باز هم امکان از دست رفتن اطلاعات سایت شما در اثر حمله های سایبری و یا تغییر مسیر سایتتان به آدرس های نامعتبر و خطرناک وجود دارد .
لذا همیشه واجب است به صورت روزانه از سایت خود نسخه پشتیبان تهیه کنید.
