افزایش امنیت سایت وردپرسی

روش های زیادی برای امنیت سایت وردپرسی وجود دارد از نصب پلاگین گرفته تا به ‎روزرسانی ها و بررسی سطح دسترسی مدیران و کاربران و … . اگر وب سایت وردپرس شما هک شود، خطر از دست دادن داده ها، دارایی ها و اعتبار مهم را دارید. علاوه بر این، این مسائل امنیتی می تواند داده های شخصی و اطلاعات صورتحساب مشتریان شما را به خطر بیندازد. ما در این مقاله در مورد روش های افزایش امنیت سایت وردپرسی و محافظت از سایت شما در برابر حملات سایبری مختلف صحبت خواهیم کرد.

راه های افزایش امنیت وردپرس

ایمن سازی سایت وردپرس یک کار یکباره نیست. شما باید به طور مداوم آن را ارزیابی کنید زیرا حملات سایبری همیشه در حال توسعه هستند. خطر همیشه وجود خواهد داشت، اما شما می توانید اقدامات امنیتی وردپرس را برای کاهش این خطرات اعمال کنید.در این مقاله  از آژانس دیجیتال مارکتینگ نیلا، شامل بهترین روش های بالا بردن امنیت سایت وردپرسی با یا بدون افزونه وردپرس است. برخی از این روش ها برای پلتفرم های دیگر غیر از وردپرس نیز قابل اجرا هستند.

امنیت سایت چیست؟

امنیت سایت در واقع شامل مجموعه‌ای از تدابیر و ابزارهای امنیتی است که برای حفاظت از اطلاعات و داده‌ها، جلوگیری از دسترسی کاربران غیرمجاز و کاهش خطرات احتمالی از سوی تهدیدهای مختلف،  در سطح وب اعمال می‌شود. این تدابیر شامل مواردی از قبیل رمزنگاری، تشخیص و جلوگیری از انواع حملات مخرب، نظارت بر فعالیت‌ها و موانعی که در برابر حملات احتمالی نصب می‌شود.

آیا وردپرس امن نیست؟

وردپرس محبوب ترین سیستم مدیریت محتوا(CMS) است که ۴۳.۲ درصد از کل وب سایت ها بر روی نرم افزار آن اجرا می شوند. متأسفانه، محبوبیت آن باعث جذب انواع مجرمان سایبری می شود که از آسیب پذیری های امنیتی این پلت فرم سوء استفاده می کنند.

این بدان معنا نیست که وردپرس دارای یک سیستم امنیتی ضعیف است، نقض امنیتی نیز می تواند به دلیل عدم آگاهی کاربران از روش های بالا بردن امنیت سایت وردپرسی رخ دهد. بنابراین، بهتر است قبل از اینکه وب سایت شما به هدف هکرها تبدیل شود، اقدامات امنیتی پیشگیرانه را اعمال کنید.

چک لیست امنیت وردپرس

اجرای یک یا دو اقدام امنیتی وردپرس برای ایمن کردن وب سایت وردپرس شما کافی نخواهد بود. چک لیست امنیت وردپرس  زیر به پیگیری پیشرفت خود در اعمال اقدامات امنیتی مهم در وب سایت کمک می کند. ما همچنین نکات امنیتی وردپرس را برای کمک به محافظت بیشتر از سایت خود به اشتراک گذاشتیم.

نرم افزار و پلاگین ها را به روز نگه دارید

وردپرس به‌روزرسانی‌های نرم‌افزاری منظم را برای بهبود عملکرد و امنیت منتشر می‌کند. این به روز رسانی ها همچنین از سایت شما در برابر تهدیدات سایبری محافظت می کنند. به روز رسانی نسخه وردپرس یکی از ساده ترین راه ها برای بهبود امنیت وردپرس است. با این حال، نزدیک به ۵۰٪ از سایت های وردپرس بر روی نسخه قدیمی وردپرس اجرا می شوند، که آنها را آسیب پذیرتر می کند.

برای بررسی اینکه آیا آخرین نسخه وردپرس را دارید، وارد بخش مدیریت وردپرس خود شوید و به  بخش پیشخوان سپس بروزرسانی ها بروید. اگر نشان می دهد که نسخه شما به روز نیست، توصیه می کنیم در اسرع وقت آن را به روز کنید.

همچنین تم ها و افزونه های قدیمی ممکن است با نرم افزار اصلی وردپرس به روز شده تضاد داشته باشند و باعث ایجاد خطا و مستعد تهدیدات امنیتی شوند.

برای خلاص شدن از شر افزونه های قدیمی این مراحل را دنبال کنید:

1. به پنل مدیریت وردپرس خود بروید و به Dashboard (پیشخوان) سپس Updates  (بروزرسانی ها) بروید.
2. به قسمت Plugins  (پلاگین ها ) و Themes (تم ها )بروید و لیست تم ها و افزونه های آماده برای به روز رسانی را بررسی کنید. توجه داشته باشید که می توان آنها را به یکباره یا جداگانه به روزرسانی کرد.
3. اگر پیغام “همهٔ افزونه‌های شما به‌روز هستند” را مشاهده کردید نیاز به به ‎روزرسانی نیست در غیر این صورت روی به ‎رروزرسانی کلیک کنید.

امنیت شبکه را تقویت کنید

Network security یا امنیت شبکه به حفاظت از زیرساخت‌های زیربنایی شبکه در برابر هرگونه سرقت اطلاعات گفته می‌شود. قطع شدن شبکه می‌تواند باعث اختلال گسترده و خسارت بسیار زیاد به سازمان شود، به همین دلیل انجام اقدامات امنیتی بسیار ضروری است.

برای افزایش امنیت شبکه علاوه بر فایروال ها استفاده از نرم‌افزار آنتی ویروس نیز بسیار ضروری است. نرم افزارهای آنتی ویروس از شبکه سازمان در برابر ویروس‌ها، باج افزارها، کرم‌ها و تروجان‌ها محافظت می‌کنند.

حذف پلاگین ها و تم های غیر قابل استفاده

نگهداشتن پلاگین ها و تم های استفاده نشده در سایت می تواند مضر باشد، به خصوص اگر افزونه ها و تم ها به روز نشده باشند. افزونه ها و تم های قدیمی خطر حملات سایبری را افزایش می دهند زیرا هکرها می توانند از آنها برای دسترسی به سایت شما استفاده کنند.

مراحل حذف یک افزونه وردپرس استفاده نشده:

1. بهPlugins (افزونه ها) سپس به Installed Plugins (افزونه های نصب شده) بروید.
2.  در اینجا لیست تمام افزونه های نصب شده را مشاهده خواهید کرد. روی Delete (حذف) در زیر نام افزونه کلیک کنید.

توجه داشته باشید که دکمه حذف تنها پس از غیرفعال کردن افزونه در دسترس خواهد بود.

مراحل حذف یک تم استفاده نشده:

۱.از داشبورد مدیریت وردپرس خود، به Appearance → Themes بروید.
۲. روی تمی که می خواهید حذف کنید کلیک کنید.
۳.یک پنجره پاپ آپ ظاهر می شود که جزئیات تم را نشان می دهد. روی دکمه Delete (حذف) در گوشه سمت راست پایین کلیک کنید.

کانفینگ امنیت وردپرس چیست؟

همانطور که  گفتیم امنیت سایت وردپرسی چه برای صاحبان سایت و چه کاربران از اهمیت بالایی برخوردار است. برای کانفیگ امنیت وردپرس موارد زیر را روی سایت خود اعمال کنید.

یک گواهی SSL اضافه کنید فعال کردن (SSL)

وب‌سایت‌هایی با گواهی SSL نصب شده از HTTPS به جای HTTP استفاده می‌کنند، بنابراین شناسایی آنها آسان است. اکثر شرکت های هاستینگ SSL رایگان به کاربران خود می دهند. در ادامه به توضیح اینکه HTTPS  و SSL چیست؟ می پردازیم

HTTPS  چیست؟

Hypertext Transfer Protocol Secure ( HTTPS) پروتکلی است که ارتباط و انتقال داده بین مرورگر وب کاربر و وب سایت را ایمن می کند. HTTPS نسخه امن HTTP است. این پروتکل از کاربران در برابر تهدیدات امنیتی محافظت می کند.

SSLچیست؟

لایه سوکت های امن (SSL) ) یک پروتکل انتقال داده است که داده های مبادله شده بین وب سایت و بازدیدکنندگان آن را رمزگذاری می کند و سرقت اطلاعات مهم را برای مهاجمان دشوارتر می کند. پس از نصب گواهی SSL در حساب میزبانی خود، آن را در وب سایت وردپرس خود فعال کنید.

پس از اتمام، URL سایت خود را از HTTP به HTTPS تغییر دهید. برای انجام این کار، به Settings  (تنظیمات) سپس به General (عمومی)بروید و قسمت   Site Address (URL) (آدرس سایت (URL)) را پیدا کنید تا URL آن را تغییر دهید.

روش های مقابله با هکرها برای افزایش امنیت وردپرس

حتما شما هم در مورد هکرها شنیدید، هکرها  با هدف آلوده کردن وب سایت  به بدافزار و ویروس ها، به وب سایت شما حمله می کنند. اگر کسانی که دارای سایت وردپرسی هستند روش های بالا بردن امنیت سایت وردپرسی را لحاظ نکنند زمینه اقدامات هکری علیه سایتشان را فراهم می کنند.

اطمینان از پیکربندی صحیح  Firewall Web Application

نرم افزار فایروال برنامه وب (WAF)اتصال بین سرور و وب سایت شما را تنظیم می کند. آشنایی با ویژه گی های مهم  و ضروری WAF ها یک امر ضروری جهت انتخاب صحیح و دقیق از بین محصولات مختلف می باشد. راه اندازی فایروال وب سایت ضروری است زیرا به محافظت از سایت وردپرس شما در برابر تلاش های هک یا سایر اشکال حملات سایبری با مسدود کردن ترافیک ناخواسته کمک می کند.  البته توجه داشته باشید که تهیه WAF به تنهایی تضمین کننده برطرف کردن مشکلات امنیتی برنامه های تحت وب نخواهد شد بلکه نحوه قرار گیری WAF در ساختار شبکه، نحوه انجام پیکربندی ،مدیریت و مانیتور کردن آن  نقش بسیار تعیین کننده ای در مانع ورود هکرها به اهداف مورد نظرشان می شود.

گذرواژه هوشمند را انتخاب کنید

به عنوان یک پلتفرم، وردپرس برای استفاده ایمن و بی خطر است. امنیت وردپرس نه تنها به فناوری بلکه به عوامل انسانی نیز مربوط می شود. مهم نیست که پلت فرم چقدر ایمن باشد، اگر سایر اقدامات امنیتی  مانند استفاده از رمزهای عبور قوی و غیر) را انجام ندهید، به راحتی  هکرها می توانند سایت شما را هک کنند.

از وب سایت خود پشتیبان تهیه کنید

ایجاد منظم نسخه پشتیبان از سایت وردپرس یک کار بسیار مهم است زیرا به شما کمک می کند تا سایت خود را پس از حوادثی مانند حملات سایبری یا آسیب فیزیکی به مرکز داده بازیابی کنید. فایل پشتیبان باید شامل کل فایل های نصب وردپرس شما باشد، مانند پایگاه داده شما و فایل های اصلی وردپرس.

پشتیبان گیری از یک سایت وردپرسی را می توان با استفاده از افزونه ای مانند All-in-One WP Migration انجام داد. برای ایجاد یک فایل پشتیبان با این افزونه مراحل زیر را دنبال کنید:

1. افزونه را نصب و فعال کنید.
2. به منوی All-in-One WP Migration در پانل منوی سمت چپ بروید.
3. Backups را انتخاب کنید.
4. روی Create Backup کلیک کنید.

۵.پس از ایجاد نسخه پشتیبان، در لیستی در صفحه پشتیبان گیری ظاهر می شود.

۶.نسخه پشتیبان را دانلود و در حافظه ذخیره کنید. برای انجام این کار، به All-in-One WP Migration → Export بروید.

۷.روی منوی کشویی EXPORT TO کلیک کنید، File را انتخاب کنید. این یک نسخه پشتیبان برای سایت شما ایجاد می کند.

پس از تکمیل فرآیند، روی لینک دانلود کلیک کنید و نسخه پشتیبان سایت خود را در فضای ذخیره سازی ایمن تعیین شده ذخیره کنید، ترجیحاً مکانی در همان سرور وب سایت شما نباشد. این به این دلیل است که نسخه های پشتیبان ذخیره شده در وب سرور شما در دسترس عموم هستند و آن را در برابر حملات سایبری آسیب پذیر می کند.

ترفندهای سیستمی برای امنیت وردپرس

همانطور که می دانید ترفندهای سیستمی برای امنیت وردپرس تا حد زیادی از هک شدن  وبسایت توسط هکرها محافظت می کند. برخی از این ترفندها عبارتند از:

فایلهای پیکربندی وب سرور خود را بشناسید

وب سرور وظیفه‌ی ذخیره کردن اطلاعات و ارسال محتوای یک وب سایت از سرور به کلاینت درخواست کننده دارد. وب سرور ثابت است و فایل های طبقه بندی شده و میزبانی شده ی خود را به صورت ساده به مرورگر ارسال می کند.

اگر می خواهید پیکربندی یا فایل پیکربندی وب سایت خود را پیدا کنید، به سادگی File Manager را باز کرده و به پوشه public_html وب سایت خود بروید. اکثر فایل‌های پیکربندی در آنجا قرار دارند، زیرا دایرکتوری ریشه یا داخل یک زیر شاخه در public_html است.

بررسی دسترسی کاربران و مدیران سایت

نظارت به سطح دسترسی کاربران و بازدیدکنندگان سایت به فایل ها و فولدرهای هاست از اهمیت بالایی برخوردار است. بعضی از فایل های وردپرس دارای اهمیت زیادی هستند که نباید در دسترس هرکسی باشند و باید از آنها محافظت کنید.

عدم اجازه مرور فایل ها

شما نباید به بازدیدکنندگان سایتتان  اجازه مرور فایل ها و فولدرهای هاست خود را بدهید. Directory Browsing توسط هکرها مورد استفاده قرار می گیرد تا فایل ها را بررسی و راه نفوذ برای هک وب سایت را پیدا کنند. بنابراین باید مرور فایل ها را غیرفعال کنید تا کاربران و بازدیدکنندگان سایت به فایل های هاست دسترسی نداشته باشند.

نظارت بر فعالیت کاربر

با ردیابی فعالیت‌ها در ناحیه مدیریت، هرگونه اقدام ناخواسته یا مخربی را که وب سایت شما را در معرض خطر قرار می‌دهد، شناسایی کنید. ما این روش را برای کسانی توصیه می کنیم که چندین کاربر یا نویسنده دارند که به وب سایت وردپرس خود دسترسی دارند. این به این دلیل است که کاربران ممکن است تنظیماتی را که نباید تغییر دهند، مانند تغییر تم ها یا پیکربندی افزونه ها، تغییر دهند.

با نظارت بر فعالیت های آنها، متوجه خواهید شد که چه کسی مسئول آن تغییرات ناخواسته است و اگر شخصی بصورت غیرمجاز به وب سایت وردپرس شما نفوذ کرده باشد می توانید آن را شناسایی کنید.

تنظیمات پیش فرض CMS خود را تغییر دهید

وردپرس یا هرCMS  دیگری دارای تنظیمات پیش فرضی از جمله تنظیمات عمومی، تنظیم زمان و تاریخ، تنظیم نوشته ها و موارد دیگر است که شما می‌توانید آنها را به‌دلخواه خود تنظیم کرده و تغییر دهید. اما مهمترین تنظیماتی که بعد از نصب وردپرس باید انجام دهید، تغییر صفحه ورود به مدیریت وردپرس می باشد، همانطور که می دانید بصورت پیشفرض صفحه ورود وردپرس wp-login.php می باشد  که دست هکرها را باز می گذارد. این صفحه را می توانید با افزونه های امنیتی به نام دیگری تغییر دهید، برای مثال میتوانید از افزونه Lockdown WP Admin استفاده کنید.

نکته : قبل از هر تغییری از اطلاعات هاست و سرور خود بکاپ تهیه کنید.

بهینه سازی امنیت سایت وردپرسی

ایمن سازی سایت وردپرسی شما به بهبود تجربه مشتری کمک می کند. شما باید بهترین موارد امنیتی را پیاده سازی کنید و وب سایت خود را برای عملکرد خوب بهینه کنید. از جمله این موارد:

افزایش امنیت فایل wp-config.php

برای بالا بردن سطح امنیت فایل wp-config.php وردپرس دو روش وجود دارد:

روش اول : انتقال فایل wp-config وردپرس به روت دایرکتوری سرور

گرچه خیلی ها با این کار مخالفت می کنند اما موافقانی هم دارد. برای این کار wp-config.php  را از محلی که وردپرس را در آن نصب کرده‌اید به ریشه‌ی دایرکتوری هاست وردپرس، منتقل کنید.

روش دوم : بالا بردن امنیت فایل wp-config.php در htaccess

اگر یک کاربر مبتدی هستید توصیه می کنم این کار را انجام ندهید چرا که شما باید بدانید کد مربوطه را در کدام قسمت از این فایل قرار دهید که در صورت جای‌گذاری اشتباه کد، ممکن است سایت شما از دسترس خارج شود، برای این روش نیز تنها کافیست کد زیر را در فایل htaccess  ریشه‌ی هاست خود قرار دهید:

<files wp-config.php>
order allow,deny
deny from all
</files>

نکات کلیدی در جهت افزایش امنیت سایت

در ادامه برخی نکات کلیدی جهت افزایش امنیت سایت را بیان می کنیم که توجه به آن ها بسیار ضروری است.

از نام کاربری امن  استفاده کنید

یکی از رایج‌ترین اشتباهاتی که کاربران مرتکب می‌شوند استفاده از نام‌های کاربری ساده و قابل حدس زدن است، مانند « admin »، «administrator» یا « test»  این سایت شما را در معرض خطر حملات brute force قرار می دهد. علاوه بر این، مهاجمان نیز از این نوع حمله برای هدف قرار دادن سایت‌های وردپرسی که پسورد قوی ندارند، استفاده می‌کنند. بنابراین، توصیه می کنیم نام کاربری و رمز عبور خود را منحصر به فرد و پیچیده تر کنید.  همچنین جهت قرار دادن محدودیت تعداد لاگین های اشتباه از افزونه هایی مانند Limit Login Attempts استفاده نمایید. در این افزونه می توانید تنظیم کنید که هر کاربر محدودیت تعداد تلاش برای ورود داشته باشد و در صورتیکه موفق به ورود نشد، وردپرس اجازه تلاش مجدد را به وی ندهد

احراز هویت دو مرحله ای  فعال کنید

احراز هویت دو مرحله ای (FA 2 ) را فعال کنید تا روند ورود به سایت وردپرس خود را تقویت کنید. این روش احراز هویت یک لایه دوم از امنیت وردپرس را به صفحه ورود اضافه می کند، زیرا برای تکمیل فرآیند ورود باید یک کد منحصر به فرد وارد کنید. کد فقط از طریق یک پیام متنی یا یک برنامه احراز هویت شخص ثالث در دسترس شما است.

برای اعمال ۲FA در سایت وردپرس خود، یک افزونه امنیتی ورود مانند Wordfence Login Security را نصب کنید. علاوه بر این، باید یک برنامه احراز هویت شخص ثالث مانند Google Authenticator را روی تلفن همراه خود نصب کنید.

پس از نصب افزونه و برنامه احراز هویت، مراحل زیر را برای فعال کردن احراز هویت دو مرحله ای دنبال کنید:

1. به بخش plugin (افزونه) در ادمین وردپرس خود بروید. اگر از Wordfence Login Security استفاده می کنید، به منوی Login Security در پنل منوی سمت چپ بروید.
2. تب Two-Factor Authentication را باز کنید.
3. از برنامه تلفن همراه خود برای اسکن کد QR یا وارد کردن کلید فعال سازی استفاده کنید.
4. کد ایجاد شده در برنامه تلفن همراه خود را در قسمت موجود در قسمت کدهای بازیابی وارد کنید.
5. برای تکمیل تنظیمات روی دکمه ACTIVE کلیک کنید.

محدود کردن تلاش های ناموفق برای ورود

وردپرس به کاربران خود اجازه می دهد تا تعداد نامحدودی تلاش برای ورود به سایت انجام دهند. متأسفانه، هکرها می توانند با استفاده از ترکیب های مختلف رمز عبور تا زمانی که رمز عبور صحیح را بیابند، به زور به ناحیه مدیریت وردپرس شما راه پیدا کنند.

بنابراین، شما باید تلاش برای ورود به سیستم را برای جلوگیری از چنین حملاتی در وب سایت محدود کنید. محدود کردن تلاش های ناموفق همچنین به نظارت بر فعالیت های مشکوک در سایت شما کمک می کند.

اکثر کاربران فقط به یک بار امتحان یا چند تلاش ناموفق نیاز دارند، بنابراین باید به آدرس‌های IP مشکوک که به حداکثر تلاش رسیده است مشکوک باشید.

از هاست و شرکت میزبانی امن استفاده کنید

اگر محیط میزبانی مستعد حملات سایبری باشد، اقدامات امنیتی چندگانه وردپرس اهمیت چندانی نخواهد داشت. ارائه دهنده هاست شما باید فضای امنی را برای تمام داده ها و فایل های وب سایت شما بر روی سرور خود تضمین کند، بنابراین بسیار مهم است که فضایی را انتخاب کنید که دارای سطح امنیتی عالی باشد. اگر فکر می کنید شرکت میزبانی وب فعلی شما به اندازه کافی امن نیست، وقت آن رسیده که وب سایت وردپرس خود را به یک پلت فرم میزبانی جدید منتقل کنید.

سخن پایانی

در این مقاله در مورد روش های بالا بردن امنیت سایت وردپرسی صحبت کردیم. همچنین نکات کلیدی  در مورد افزایش امنیت سایت وردپرسی از جمله استفاده از نام کاربری امن و فعال کردن تایید دو مرحله ای بیان کردیم. حملات سایبری ممکن است به اشکال مختلف، از تزریق بدافزار گرفته تا حملات DDoS انجام شوند. وب سایت های وردپرسی، به ویژه، به دلیل محبوبیت CMS، هدف رایجی برای هکرها هستند. بنابراین، صاحبان وب سایت های وردپرسی باید بدانند که چگونه سایت های خود را ایمن کنند.

امیدواریم این مقاله به شما در درک اهمیت اقدامات امنیتی وردپرس و نحوه اجرای آنها کمک کرده باشد. اگر سوالی دارید، می توانید در بخش نطرات با ما در میان بگذارید.