همه چیز درباره امنیت وردپرس و 20 نکته تقویت سخت سازی کامل

اگر وب سایت وردپرسی شما در خطر نفوذ است یا می خواهید پیش از وقوع هر گونه تهدید، آن را تقویت کنید، این مقاله دقیقاً همان جایگاهی است که به دنبال آن بودید. در ادامه، با تکیه بر تجربه متخصصین امنیتی، به صورت گام به گام تمام جنبه های اساسی امنیت وردپرس را بررسی می کنیم. از تنظیمات پایه تا ابزارهای پیشرفته، روش های عملی و قابل اجرا برای محافظت از فایل ها، دیتابیس و دسترسی های مدیریتی را به دست خواهید آورد. همچنین ۲۰ نکتهٔ کلیدی برای سخت سازی سایت ارائه می شود که می توانید بلافاصله در محیط واقعی پیاده سازی کنید. با این راهنمای جامع، نه تنها ریسک های رایج را شناسایی می کنید، بلکه قادر خواهید بود یک زیرساخت امن و پایدار برای رشد آنلاین خود بسازید.

فهرست مطالب

• درک اصول امنیت وردپرس
• شناسایی تهدیدهای رایج سایت
• تنظیمات پایهٔ سرور ایمن
• به روزرسانی هسته و افزونه ها
• اعمال سیاست های دسترسی محدود
• پیاده سازی احراز هویت چندعاملی
• بهینه سازی تنظیمات فایل های سیستمی
• نصب و پیکربندی فایروال وب
• نظارت مستمر و پشتیبان گیری هوشمند
• مرور نکات کلیدی سخت گیری عملی
• سوالات متداول

شناسایی تهدیدهای رایج سایت

پیش از هر اقدام سخت سازی، باید دقیقاً بدانیم که چه تهدیدهایی می توانند وب سایت وردپرس شما را هدف بگیرند. برخی از این خطرات به صورت خودکار توسط اسکنرهای امنیتی شناسایی می شوند، ولی بسیاری دیگر به دلیل پیکربندی نادرست یا استفاده از افزونه های ناامن، به صورت پنهانی وارد سایت می شوند. شناخت این خطرات پایه ای است برای انتخاب راهکارهای مناسب و جلوگیری از نفوذ قبل از وقوع آسیب.

• حملات Brute‑Force: تلاش مکرر برای حدس زدن نام کاربری و رمز عبور ورود به پنل مدیریت.
• کدهای مخرب در افزونه/قالب: اسکریپت های مخفی یا اسنپ کدهای مخرب که پس از نصب یا به روزرسانی فعال می شوند.
• SQL Injection: تزریق دستورات SQL به فرم ها یا URLهای ناامن برای دسترسی به دیتابیس.
• Cross‑Site Scripting (XSS): تزریق اسکریپت های جاوااسکریپت به صفحات برای سرقت کوکی یا تغییر محتوا.
• حمله های DoS/DDoS: بارگذاری بیش از حد سرور با درخواست های مخرب برای از کار افتادن سایت.

به عنوان مثال، یک سایت کوچک که از افزونهٔ فرم تماس ساده استفاده می کند، ممکن است بدون فیلترهای مناسب، به سرعت در معرض SQL Injection قرار گیرد؛ هکر می تواند با ارسال یک مقدار ویژه در فیلد «نام» به دیتابیس دسترسی پیدا کند. برای جلوگیری از این وضعیت، افزودن prepared statements یا استفاده از افزونه های امنیتی که ورودی ها را پاک سازی می کنند، گام موثری است. همچنین، برای حملات Brute‑Force، محدود کردن تعداد تلاش های ورود با افزونهٔ امنیتی و استفاده از احراز هویت دو مرحله ای (2FA) می تواند خطر را به طور چشمگیری کاهش دهد.

در نهایت، به کارگیری یک رویکرد ترکیبی-مانند مانیتورینگ لاگ ها، استفاده از فایروال برنامه وب (WAF) و اجرای اسکن های دوره ای-به سرعت نقاط ضعف را آشکار می کند و به شما امکان می دهد پیش از اینکه هکرها به سراغ سایت بروند، اقدام پیشگیرانه انجام دهید.

تنظیمات پایهٔ سرور ایمن

پیش نیاز اصلی برای داشتن یک وردپرس ایمن، اطمینان از این است که سرور پایه ایی که سایت روی آن میزبانی می شود، به روز و به درستی پیکربندی شده باشد. ابتدا سیستم عامل را با آخرین بسته های امنیتی (security patches) بروز کنید؛ اکثر حملات به سرورهای نا به روز مرتبط با نقاط ضعف شناخته شده در هستهٔ لینوکس یا ویندوز می شود. در محیط های لینوکس می توانید از apt-get update && apt-get upgrade یا yum update استفاده کنید و پس از ارتقا، سرویس های غیرضروری (مانند FTP غیرامن یا Telnet) را غیرفعال کنید.

مجوزهای فایل (file permissions) نقش کلیدی در جلوگیری از دسترسی غیرمجاز دارد. برای اکثر نصب های وردپرس توصیه می شود 755 برای دایرکتوری ها و 644 برای فایل ها تنظیم شود؛ فقط فایل wp-config.php باید به 600 محدود شود تا فقط کاربر وب سرور بتواند آن را بخواند. این تنظیمات می توانند از طریق دستورهای chmod و chown اعمال شوند و مانع از اصلاحات ناخواسته توسط هکرها می شوند.

یک لایهٔ محافظتی دیگر، پیکربندی صحیح وب سرور (Apache یا Nginx) است. در Apache می توانید از یک فایل .htaccess برای غیرفعال سازی فهرست کردن (directory listing) و مسدود کردن دسترسی به فایل های حساس استفاده کنید. به عنوان مثال:


# جلوگیری از فهرست کردن دایرکتوری ها
Options -Indexes

# مسدود کردن دسترسی مستقیم به wp-config.php

Order deny,allow
Deny from all



فایروال (firewall) نیز نباید نادیده گرفته شود. تنظیم قواعدی که تنها پورت های ضروری (معمولاً 80/443 برای HTTP/HTTPS) را باز می کند، می تواند سطح خطر را به طور چشمگیری کاهش دهد. ابزارهایی مانند UFW یا iptables به سادگی می توانند این کار را انجام دهند؛ برای مثال، با ufw allow 443/tcp && ufw deny 22/tcp می توانید تنها ترافیک HTTPS را بپذیرید و دسترسی SSH را برای کاربران معتبر محدود کنید.

در نهایت، برای مثال یک سایت خبری که روزانه صدها پست می نویسد، می تواند با فعال سازی HTTP Strict Transport Security (HSTS) در هدرهای Nginx، مرورگرها را مجبور به استفادهٔ دائم از HTTPS کند:


add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;


این خط کوچک، مانع از حملات میان دست (MITM) می شود و به صورت خودکار همهٔ درخواست های ناامن را به نسخهٔ امن ریدایرکت می کند. ترکیب این تنظیمات پایه ای، یک بستر سرور مقاوم در برابر اکثر تهدیدات رایج را برای وردپرس فراهم می کند.

به روزرسانی هسته و افزونه ها

به روزرسانی منظم هسته وردپرس اولین خط دفاعی در برابر حملات است؛ هر نسخه جدید اغلب حاوی وصله های امنیتی برای شکاف های شناخته شده است. اگر این به روزرسانی ها را نادیده بگیرید، سایت تان در معرض خطرهای شناخته شده مانند تزریق اسکریپت یا سرقت داده ها می شود. از این رو، فعال سازی به روزرسانی خودکار برای هسته اصلی (در تنظیمات عمومی یا با استفاده از فیلتر auto_update_core) توصیه می شود، به ویژه برای وب سایت های تولیدی که زمان کافی برای بررسی دستی ندارند.

افزونه ها، به ویژه آن هایی که به صورت مستمر با سرویس های خارجی ارتباط برقرار می کنند، می توانند سریع ترین نقطه ضعف را فراهم کنند. هر افزونه ای که به روزرسانی دریافت می کند، معمولاً به دلیل رفع یک باگ یا بهبود سازگاری با نسخهٔ جدید هسته منتشر می شود. بنابراین، قبل از نصب یا به روزرسانی هر افزونه، مطمئن شوید که منبع آن معتبر است و از تاریخ آخرین انتشار نسخه آگاه باشید. افزونه های «متوقف شده» یا بدون پشتیبانی طولانی مدت را حذف کنید؛ این کار ریسک نفوذ را به طور چشمگیری کاهش می دهد.

یک روند ایمن برای به روزرسانی می تواند به شکل زیر باشد:

1. قبل از هر به روزرسانی، یک پشتیبان کامل از دیتابیس و فایل ها بگیرید؛ ابزارهایی مثل UpdraftPlus یا WP‑CLI می توانند این کار را خودکار کنند.
2. به روزرسانی را ابتدا در یک محیط staging (آزمایشی) انجام دهید تا از سازگاری با قالب و سایر افزونه ها اطمینان حاصل کنید.
3. اگر خطایی رخ داد، به نسخهٔ قبلی بازگردید، سپس مشکل را با بررسی لاگ ها یا تماس با پشتیبانی افزونه شناسایی کنید.
4. پس از تأیید سلامت سایت در staging، تغییرات را به سایت زنده منتقل کنید؛ برای این کار می توانید از WP‑CLI دستور wp core update و wp plugin update --all استفاده کنید.

به عنوان مثال، اگر در وب سایت فروشگاهی خود از افزونهٔ WooCommerce استفاده می کنید، هر بار که نسخهٔ جدیدی از این افزونه منتشر می شود، حتماً در محیط staging یک خرید تستی انجام دهید تا اطمینان حاصل کنید فرآیند پرداخت همچنان کار می کند. این کار ساده می تواند از بروز مشکل جدی در ساعات پیک فروش جلوگیری کند.

اعمال سیاست های دسترسی محدود

یکی از مؤلفه های کلیدی امنیت وردپرس، محدود کردن دسترسی کاربران به بخش های حساس سایت است. به جای اینکه همهٔ حساب های کاربری به صورت پیش فرض دسترسی کامل داشته باشند، باید نقش ها (Roles) و قابلیت ها (Capabilities) را بر اساس نیازهای واقعی هر کاربر تنظیم کنید. این کار نه تنها خطر نفوذ را کاهش می دهد، بلکه از بروز خطاهای انسانی مثل حذف ناخواستهٔ محتوا یا تغییر تنظیمات اساسی جلوگیری می کند.

برای اعمال این سیاست ها ابتدا باید نقش های پیش فرض وردپرس را بازنگری کنید. نقش های اصلی شامل Administrator (مدیر کل)، Editor (ویرایشگر)، Author (نویسنده)، Contributor (همکار) و Subscriber (مشترک) هستند. در اکثر سایت های تجاری، تنها یک یا دو حساب Administrator واقعی وجود دارد؛ بقیهٔ نقش ها باید به صورت دقیق محدود شوند.

برای اعمال این تغییرات می توانید از افزونه های مدیریتی مانند User Role Editor یا Members استفاده کنید. پس از نصب، نقش های دلخواه را انتخاب و قابلیت های غیرضروری را با یک کلیک غیرفعال کنید. به عنوان مثال، اگر یک تیم محتوا فقط نیاز به نوشتن و پیش نویس دارد، می توانید گزینهٔ «Publish posts» را برای نقش Contributor غیرفعال کنید؛ این کار مانع انتشار ناخواستهٔ محتوا می شود.

یک مثال عملی: در وب سایت فروشگاهی شما، فقط یک نفر (مدیر) باید دسترسی به تنظیمات پرداخت و افزونه های امنیتی داشته باشد. برای سایر کارکنان، نقش Editor کافی است تا محصولات را اضافه یا ویرایش کنند، اما گزینهٔ «Delete plugins» را در این نقش غیرفعال کنید. با این تنظیم ساده، حتی اگر حساب کاربری یک کارمند به طور ناخواسته هک شود، مهاجم نمی تواند افزونه های امنیتی را غیرفعال یا حذف کند.

پیاده سازی احراز هویت چندعاملی

احراز هویت چندعاملی (MFA) یکی از مؤثرترین لایه های دفاعی در برابر حملات نفوذ است؛ حتی اگر رمز عبور کاربر در اختیار مهاجم قرار بگیرد، دسترسی بدون یک عامل دوم امکان پذیر نیست. در وردپرس، حملات به ویژه حملات ترکیبی اسم کاربری‑رمز عبور و حملات کشف رمز عبور (credential stuffing) همچنان رایج هستند، بنابراین افزودن یک مرحلهٔ تأیید اضافی می تواند خطر نفوذ را به طور قابل توجهی کاهش دهد. در ادامه به بررسی گزینه های عملی برای پیاده سازی MFA در سایت های وردپرسی می پردازیم.

• برنامه های زمان سنجی (OTP) موبایلی: کدهای یک بار مصرف که از طریق پیامک یا برنامه های تولید کد مانند Google Authenticator یا Authy ارسال می شوند.
• کلیدهای سخت افزاری (U2F / WebAuthn): توکن های فیزیکی مثل YubiKey که با فشار یک دکمه تأیید می شوند.
• پیام های ایمیل یک بار مصرف: برای کاربرانی که دستگاه موبایل ندارند، ارسال کد به ایمیل ثبت شده.
• پلاگین های یکپارچه: افزونه هایی مانند Two Factor Authentication (miniOrange) یا Wordfence Login Security که تنظیمات MFA را در پیشخوان وردپرس در دسترس می گذارند.

1. به پیشخوان وردپرس بروید و از مخزن رسمی Two Factor Authentication افزونه را نصب و فعال کنید.
2. در منوی Users → Your Profile، بخش «Two‑Factor Options» را باز کنید.
3. روش دلخواه (Google Authenticator، Authy یا YubiKey) را انتخاب کنید؛ برای OTP موبایلی، QR‑کد نمایش داده شده را با برنامهٔ تولید کد اسکن کنید.
4. یک روش پشتیبان (مانند ایمیل) تنظیم کنید تا در صورت از دست رفتن دستگاه اصلی، کاربر بتواند به حساب خود دسترسی پیدا کند.
5. در صفحه تنظیمات افزونه، گزینهٔ «Force 2FA for Administrators and Editors» را فعال کنید تا فقط نقش های حساس MFA داشته باشند.
6. پس از ذخیره تنظیمات، با حساب کاربری دیگر تست کنید؛ اگر همه مراحل به درستی کار می کند، MFA برای تمام کاربران هدف فعال شده است.

یک نکتهٔ عملی برای مدیران: ابتدا MFA را فقط برای حساب های ادمین و ادمین های محتوا فعال کنید و پس از اطمینان از کارکرد صحیح، به تدریج به نقش های دیگر گسترش دهید. همیشه یک روش پشتیبان (مانند ایمیل) تنظیم کنید و پس از پیاده سازی، فرآیند ورود را با چند کاربر تست کنید تا از عدم بروز مشکل در زمان اضطراری اطمینان حاصل شود.

بهینه سازی تنظیمات فایل های سیستمی

فایل های سیستمی وردپرس پایهٔ امنیت سایت هستند؛ هر تغییری که در آنها اعمال می کنید می تواند جلوی حملات اساسی مانند دسترسی غیرمجاز یا اجرای کد مخرب را بگیرد. مهم ترین این فایل ها wp‑config.php، .htaccess و php.ini هستند. تنظیمات دقیق و محدود کردن دسترسی به این فایل ها، به خصوص در سرورهای مشترک یا هاست های مدیریت شده، یکی از اولین گام های «سخت سازی» محسوب می شود.

wp‑config.php حاوی اطلاعات حساس مانند نام کاربری و رمزعبور پایگاه داده است؛ بنابراین باید از قرارگیری در دایرکتوری ریشه وب جلوگیری کرد. ساده ترین روش این است که فایل را یک سطح بالاتر (مثلاً /home/username/) منتقل کنید و سپس در wp‑config.php مسیر جدید را با require_once فراخوانی کنید. علاوه بر این، تنظیم chmod 640 (فقط مالک و گروه می توانند بخوانند) دسترسی های غیرضروری را مسدود می کند. برای جلوگیری از ویرایش مستقیم از پیشخوان، خط زیر را به فایل اضافه کنید:

define( 'DISALLOW_FILE_EDIT', true );

همچنین افزودن کلیدهای امنیتی (Salts) به صورت تصادفی و به روز، امکان دزدیده شدن کوکی های کاربری را به طور چشمگیری کاهش می دهد.

.htaccess ابزار قدرتمند کنترل دسترسی در سرورهای Apache است. می توانید با افزودن قواعد زیر از نمایش محتویات مهم جلوگیری کنید:

• مسدود کردن مستقیم دسترسی به wp‑config.php:

  
      Order allow,deny
      Deny from all
  

• غیرفعال سازی لیست گذاری دایرکتوری ها (Options -Indexes)
• محدود کردن اجرای PHP در پوشه wp‑content/uploads تا فقط فایل های رسانه ای مجاز باشند:

  
      php_flag engine off
  

• تنظیم هدرهای کش برای استاتیک ها (CSS/JS) به منظور بهبود سرعت و کاهش درخواست های ناخواسته

php.ini (یا تنظیمات PHP در پنل میزبانی) می تواند سطح خطرات اجرایی را به طور چشمگیری کم کند. در اینجا چند تنظیم کلیدی آورده شده است:

• disable_functions: exec, shell_exec, system, passthru, popen, proc_open را غیرفعال کنید.
• expose_php = Off برای مخفی سازی نسخهٔ PHP.
• محدود کردن حافظه مصرفی با memory_limit = 128M (یا کمتر بسته به نیاز سایت).
• تعیین حداکثر حجم آپلود: upload_max_filesize = 10M و post_max_size = 12M تا از حملات DoS مبتنی بر فایل بزرگ جلوگیری شود.
• استفاده از open_basedir برای محدود کردن مسیرهای قابل دسترسی به دایرکتوری های سایت.

نصب و پیکربندی فایروال وب

فایروال وب (WAF) یکی از مؤثرترین لایه های دفاعی برای وردپرس است؛ با تجزیه و تحلیل درخواست های HTTP، ترافیک مخرب را قبل از رسیدن به هستهٔ سایت مسدود می کند. برای نصب یک WAF می توانید از افزونه های مشهور مانند Wordfence یا Sucuri Firewall استفاده کنید، که هر دو قابلیت فیلتر کردن حملات SQL Injection، XSS و brute‑force را دارند. در اولین گام، افزونه را از مخزن وردپرس یا وب سایت رسمی تهیه و به صورت معمول فعال کنید.

پس از فعال سازی، تنظیمات پایه را به صورت زیر پیکربندی کنید:

1. در بخش Firewall → Protection Level، حالت «پیشرفته» (Advanced) را انتخاب کنید تا قوانین دقیق تری اعمال شود.
2. در گزینهٔ Rate Limiting، محدودیت های درخواست برای هر IP (مثلاً ۱۰ درخواست در ۳۰ ثانیه) را تنظیم کنید تا حملات دنباله دار متوقف شوند.
3. قابلیت Live Traffic را روشن کنید تا بتوانید لحظه ای درخواست های مشکوک را مشاهده و در صورت نیاز IP مخرب را بلاک کنید.

به علاوه، می توانید فیلترهای سفارشی اضافه کنید؛ برای مثال، برای بلاک کردن آی پی های شناخته شدهٔ مخرب می توانید یک قانون ساده در بخش «Blocking» بنویسید:

IP: 203.0.113.45
Action: Block
Reason: Repeated brute‑force attempts

این قانون باعث می شود هر درخواست از این آی پی فوراً رد شود و لاگ های سرور تمیز بماند.

در نهایت، پس از اعمال تنظیمات، حتماً یک تست امنیتی ساده انجام دهید؛ با ابزارهای آنلاین مثل SecurityHeaders.io می توانید بررسی کنید که آیا هدرهای امنیتی (مانند X‑Frame‑Options یا Content‑Security‑Policy) به درستی اعمال شده اند یا نه. این گام نهایی به شما اطمینان می دهد که فایروال وب نه تنها نصب شده بلکه به درستی کار می کند و سایت شما در برابر تهدیدات رایج وب ایمن می شود.

نظارت مستمر و پشتیبان گیری هوشمند

امنیت وردپرس بدون نظارت مداوم و پشتیبان گیری هوشمند هرگز کامل نخواهد شد. هر تغییری در فایل های هسته، افزونه یا قالب می تواند نشانه ای از نفوذ باشد؛ بنابراین باید این تغییرات به صورت خودکار ثبت و بررسی شوند. در عین حال، داشتن نسخه های پشتیبان منظم به شما امکان می دهد در صورت بروز مشکل، سایت را به سرعت به وضعیت سالم بازگردانید.

برای نظارت پیوسته می توانید از دو مؤلفهٔ کلیدی استفاده کنید: نظارت بر یکپارچگی فایل ها و مانیتورینگ فعالیت های ورود. افزونه های رایج مانند Wordfence یا Sucuri Security به صورت زمان بندی شده هش فایل ها را با مقادیر قبلی مقایسه می کنند و هر اختلافی را به صورت هشدار به شما می فرستند. همچنین این ابزارها ثبت لاگ لاگین های موفق و ناموفق، تغییرات نقش کاربری و درخواست های مشکوک به API را ارائه می دهند؛ که می تواند در شناسایی حملات brute‑force یا تزریق کد مفید باشد.

در زمینهٔ پشتیبان گیری هوشمند، ترکیبی از پشتیبان گیری روزانهٔ افزایشی و پشتیبان گیری هفتگی کامل به صرفه ترین روش است. نسخه های افزایشی تنها تغییرات جدید را ذخیره می کنند و حجم ذخیره سازی را به طور قابل توجهی کاهش می دهند، در حالی که نسخهٔ هفتگی یک snapshot کامل از تمام فایل ها و دیتابیس فراهم می کند. بهتر است این نسخه ها را در دو مکان متفاوت (مثلاً یک سرویس ابری مانند Backblaze B2 و یک سرور FTP خارجی) نگهداری کنید و هر ماه یک بار فرآیند بازگردانی (restore) را آزمایش کنید تا از صحت پشتیبان ها اطمینان حاصل شود. به عنوان مثال، اگر یک افزونهٔ جدید باعث بروز خطای 500 شود، می توانید با بازگرداندن آخرین نسخهٔ افزایشی دیتابیس و فایل های سایت، ظرف چند دقیقه سرویس را دوباره فعال کنید.

با ترکیب این رویکردها، نه تنها می توانید حملات را در لحظه شناسایی کنید، بلکه در مواجهه با هر گونه نقص یا خرابی، زمان بازیابی سایت به حداقل می رسد. به کارگیری ابزارهای خودکار نظارت و پشتیبان گیری، بار کاری تیم فنی را کاهش می دهد و اطمینان می دهد که سایت شما همیشه در وضعیت امن و قابل اعتماد باقی بماند.

مرور نکات کلیدی سخت گیری عملی

در این بخش، نکات عملی که می توانند امنیت وردپرس شما را به صورت چشمگیر ارتقاء دهند، مرور می شوند. تمرکز بر روی تنظیمات پایه ای است که اکثر مدیران وب سایت ها به سادگی می توانند آن ها را اعمال کنند؛ از به روزرسانی منظم تا محدود کردن دسترسی های مدیریتی. حتی اگر پیش از این اقدامات سخت گیری را انجام داده اید، این فهرست می تواند نقاط ضعف احتمالی را بازنگری کرده و راه حل های سریع برای رفع آن ها ارائه دهد.

برای شروع، حتماً به روزرسانی خودکار هسته، افزونه ها و قالب ها را فعال کنید. این کار به صورت خودکار هر آسیب پذیری شناخته شده را بسته و خطر سوءاستفاده را کاهش می دهد. اگر به روزرسانی خودکار را نمی خواهید، یک برنامه هفتگی برای بررسی و نصب آخرین نسخه ها تنظیم کنید. به علاوه، حذف تمام افزونه ها و قالب های غیرفعال یا غیرقابل اعتماد، سطح حمله پذیری را به طور چشمگیری پایین می آورد.

در ادامه، دسترسی ها را به دقت تنظیم کنید. یک جدول کوتاه برای مرور سطوح دسترسی پیشنهادی:

همچنین، یک قانون فایروال برنامه محور (WAF) ساده می تواند درخواست های مخرب را پیش از رسیدن به سرور مسدود کند. افزونه هایی مانند Wordfence یا Sucuri Security به صورت پیش فرض فیلترهای عمومی را فعال می کنند؛ کافی است تنظیمات پیشرفته را مرور کنید و آدرس IPهای مشکوک یا کشوری که به طور معمول به سایت شما دسترسی ندارند را بلاک کنید.

در نهایت، استفاده از احراز هویت دو عاملی (2FA) برای حساب های مدیریتی یک لایه امنیتی اضافی اضافه می کند. حتی اگر رمز عبور قوی داشته باشید، بدون کد موقت تولید شده توسط اپلیکیشن یا پیامک، هکرها نمی توانند به صورت مستقیم وارد شوند. یک مثال ساده: با فعال سازی 2FA در افزونه «Google Authenticator»، هر بار ورود به داشبورد، یک کد شش رقمی از تلفن همراه کاربر درخواست می شود؛ این کار زمان حمله را به حداقل می رساند.

سوالات متداول

چگونه می توان ویرایش فایل ها از پیشخوان وردپرس را غیرفعال کرد؟

برای غیرفعال کردن ویرایش مستقیم فایل ها کافی است در فایل wp‑config.php خط زیر را اضافه کنید: define(‘DISALLOW_FILE_EDIT’,true); این کار منوی ویرایشگر را از پیشخوان حذف می کند. اگر می خواهید تمام ویرایش های کد (شامل افزونه ها و پوسته ها) را مسدود کنید می توانید define(‘DISALLOW_FILE_MODS’,true) نیز اضافه کنید.

بهترین روش محدود کردن تلاش های ورود بدون استفاده از افزونه چیست؟

یک راه ساده استفاده از فایل .htaccess برای محدود کردن دسترسی به wp‑login.php است. می توانید تعداد درخواست های ناموفق را با قوانین limit_req ماژول mod_ratelimit یا با افزونه های سبک مانند Login LockDown کنترل کنید. همچنین افزودن فیلتر بر پایه IP برای مدیران حسّاسی توصیه می شود.

چه مجوزهای فایل برای پوشه wp‑content باید تنظیم شود؟

پوشه wp‑content و زیرپوشه های آن باید دارای مجوز 755 باشند و فایل های داخل آن 644. این تنظیمات اجازه خواندن و اجرای مناسب را می دهند ولی نوشتن را فقط به مالک (وب سرور) محدود می کند. در صورت استفاده از سرور اشتراکی می توانید از 755 برای پوشه ها و 644 برای فایل ها استفاده کنید.

آیا باید XML‑RPC را برای امنیت سایت غیرفعال کنم؟

XML‑RPC قابلیت اتصال از راه دور را فعال می کند ولی برای حملات brute‑force و حملات DDoS هدف می شود. اگر از سرویس های موبایل یا برنامه های خارجی استفاده نمی کنید بهتر است با افزودن define(‘XMLRPC_ENABLED’,false) در wp‑config.php یا مسدود کردن مسیر wp‑xmlrpc.php در .htaccess آن را غیرفعال کنید. این کار ریسک احتمالی را به طور قابل توجهی کاهش می دهد.

چگونه می توان احراز هویت دو مرحله ای برای تمام مدیران فعال کرد؟

برای فعال سازی احراز هویت دو مرحله ای می توانید از افزونه های معتبر مانند Wordfence یا دو‑فاکتور Google Authenticator استفاده کنید. پس از نصب، برای هر حساب مدیر یک برنامه TOTP تنظیم کنید و ورود را فقط پس از وارد کردن کد موقت امکان پذیر کنید. همچنین می توانید به صورت اجباری این ویژگی را برای نقش Administrator در تنظیمات افزونه فعال کنید.

چک لیست عملی

• درک پایه های امنیت وردپرس و ریسک های اصلی.
• شناسایی تهدیدهای رایج مثل حملات Brute Force و XSS.
• پیکربندی سرور با دسترسی های محدود و TLS مناسب.
• به روز نگه داشتن هسته، افزونه ها و قالب ها.
• اعمال نقش ها و سطوح دسترسی دقیق برای کاربران.
• راه اندازی احراز هویت چندعاملی برای تمام حساب ها.
• تنظیمات بهینه فایل های سیستمی و حذف دسترسی های غیرضروری.
• نصب فایروال وب و نظارت مستمر همراه با پشتیبان گیری هوشمند.

امنیت مستمر وردپرس ترکیبی از دانش، ابزارهای مناسب و عادت های روزانه است. با اعمال این نکات پایه می توانید خطرات را به طور قابل توجهی کاهش دهید و آرامش ذهنی بیشتری داشته باشید. اگر تجربه یا سؤال خاصی دارید، خوشحال می شویم که آن را با ما به اشتراک بگذارید.