چک‌ لیست کامل امنیت وردپرس؛ ۲۰ اقدام ضروری برای محافظت از سایت

مقدمه:

امنیت وردپرس با نصب یک افزونه امنیتی کامل نمی‌شود. محافظت مؤثر از سایت به مجموعه‌ای از اقدامات پیوسته مانند به‌ روزرسانی، بکاپ، کنترل دسترسی، احراز هویت دومرحله‌ای، انتخاب هاست مناسب و پایش تغییرات نیاز دارد. در این راهنما ۲۰ اقدام ضروری را به‌ترتیب بررسی می‌کنیم تا بتوانید نقاط ضعف رایج سایت را شناسایی و برطرف کنید. پیش از تغییر تنظیمات فنی نیز باید نسخه پشتیبان قابل‌بازیابی تهیه شود.

فهرست مطالب

• چرا امنیت وردپرس به یک چک‌ لیست نیاز دارد؟

• اقدامات ضروری پیش از شروع

• ایمن‌سازی هسته، قالب و افزونه‌ها

• محافظت از حساب‌های کاربری و صفحه ورود

• امنیت فایل‌ها، دیتابیس و تنظیمات

• امنیت هاست و ارتباطات سایت

• بکاپ، پایش و واکنش به رخدادها

• جدول اولویت‌بندی اقدامات امنیتی

• چک‌لیست نهایی

• جمع‌ بندی

• سؤالات متداول

چرا امنیت وردپرس به یک چک‌ لیست نیاز دارد؟

امنیت سایت یک اقدام یکباره نیست. ممکن است امروز تمام اجزای سایت به‌روز باشند، اما هفته آینده نسخه جدیدی از یک افزونه منتشر شود، حساب مدیریتی تازه‌ای ساخته شود یا تنظیمات سرور تغییر کند.

همچنین منشأ همه مشکلات هسته وردپرس نیست. رمز تکراری، افزونه نامعتبر، دسترسی بیش‌ازحد کاربران، بکاپ ناقص یا رایانه آلوده مدیر سایت نیز می‌تواند مسیر نفوذ ایجاد کند.

مستندات رسمی وردپرس تأکید می‌کند که امنیت به برنامه‌ریزی، مراقبت مستمر و نگهداری دوره‌ای نیاز دارد. به‌روزرسانی هسته، قالب‌ها و افزونه‌ها نیز از مهم‌ترین اقدامات حفاظتی است.

اگر نمی‌دانید نقطه ضعف سایت در وردپرس، هاست یا نحوه مدیریت دسترسی‌ها قرار دارد، می‌توانید برای ارزیابی اولیه وضعیت فنی از کارشناسان شرکت تجارت الکترونیک نوژن مشاوره دریافت کنید.

اقدامات ضروری پیش از تغییر تنظیمات امنیتی

پیش از اجرای چک‌ لیست، از فایل‌ها و پایگاه داده نسخه پشتیبان کامل تهیه کنید. روش بازیابی را نیز آزمایش کنید تا در صورت بروز اختلال بتوانید سایت را به وضعیت سالم بازگردانید.

تغییر سطح دسترسی فایل‌ها، تنظیمات سرور، قواعد فایروال یا فایل wp-config.php بدون شناخت کافی ممکن است سایت را از دسترس خارج کند. این اقدامات را ابتدا در محیط آزمایشی انجام دهید یا از مدیر سرور کمک بگیرید.

آموزش بکاپ‌گیری از سایت وردپرسی» ← مقاله تهیه و بازیابی نسخه پشتیبان وردپرس]

ایمن‌سازی هسته، قالب و افزونه‌های وردپرس

۱. هسته وردپرس را به‌ روز نگه دارید

نسخه‌های جدید هسته ممکن است شامل اصلاح مشکلات امنیتی، رفع باگ و بهبود سازگاری باشند. اعلان‌های به‌روزرسانی را بررسی کنید و آپدیت را برای مدت طولانی به تعویق نیندازید.

قبل از ارتقای نسخه اصلی، از سایت بکاپ بگیرید و سازگاری قالب، افزونه‌های مهم و نسخه PHP را در محیط آزمایشی بررسی کنید. راهنمای رسمی وردپرس نیز تهیه نسخه پشتیبان و استفاده از فرایند استاندارد به‌روزرسانی را توصیه می‌کند.

مطالعه بیشتر: آموزش به‌روزرسانی وردپرس با سه روش امن

۲. افزونه‌ها و قالب‌ها را مرتب به‌ روزرسانی کنید

افزونه و قالب قدیمی می‌تواند حتی در صورت به‌روز بودن هسته، امنیت کل سایت را تضعیف کند. فهرست افزونه‌ها و قالب‌ها را به‌صورت دوره‌ای بررسی کنید و نسخه‌های جدید را پس از کنترل سازگاری نصب کنید.

به‌ روزرسانی چند جزء حساس به‌صورت هم‌ زمان عیب‌یابی را دشوار می‌کند. در سایت‌های فروشگاهی بهتر است تغییرات مرحله‌ای انجام شوند و بعد از هر مرحله، ورود، پرداخت، فرم‌ها و پنل کاربری آزمایش شوند.

۳. افزونه‌ها و قالب‌های بدون استفاده را حذف کنید

غیرفعال‌ کردن یک افزونه به معنی حذف کامل فایل‌های آن نیست. اگر افزونه یا قالبی دیگر استفاده نمی‌شود، پس از اطمینان از بی‌نیازی سایت، آن را حذف کنید.

حداقل یک قالب سالم و رسمی برای عیب‌یابی نگه دارید، اما قالب‌های آزمایشی و نسخه‌های قدیمی را انباشته نکنید. هر جزء اضافی به نگهداری و بررسی امنیتی نیاز دارد.

۴. فقط از منابع معتبر فایل دریافت کنید

قالب یا افزونه را از مخزن رسمی، وب‌سایت معتبر سازنده یا فروشنده‌ای دریافت کنید که هویت و سابقه پشتیبانی آن مشخص است. فایل‌های دستکاری‌شده یا اصطلاحاً نال‌شده ممکن است شامل کد مخرب، حساب پنهان یا لینک‌های ناخواسته باشند.

پیش از نصب، تاریخ آخرین به‌روزرسانی، سازگاری، مستندات و وضعیت پشتیبانی محصول را بررسی کنید. نبود سابقه نگهداری منظم می‌تواند در آینده مشکل امنیتی ایجاد کند.

۵. قابلیت‌ها و افزونه‌ها را به حداقل موردنیاز محدود کنید

هر افزونه علاوه بر امکانات جدید، کد و نقاط تعامل تازه‌ای به سایت اضافه می‌کند. افزونه‌هایی را که وظیفه مشابه دارند شناسایی و گزینه مناسب‌تر را نگه دارید.

تعداد افزونه‌ها به‌ تنهایی معیار امنیت نیست؛ کیفیت کدنویسی، سطح دسترسی و نحوه نگهداری اهمیت بیشتری دارد. بااین‌حال، حذف اجزای غیرضروری سطح حمله و بار نگهداری را کاهش می‌دهد.

محافظت از حساب‌های کاربری و صفحه ورود

۶. برای تمام حساب‌ها رمز عبور قوی و منحصربه‌فرد تعیین کنید

رمز ورود وردپرس، هاست، ایمیل مدیر، دیتابیس و پنل دامنه نباید یکسان باشد. اگر یکی از این حساب‌ها افشا شود، استفاده از رمز تکراری دسترسی به سایر بخش‌ها را نیز آسان می‌کند.

رمزها را در پیام‌رسان، فایل متنی معمولی یا مرورگر عمومی ذخیره نکنید. یک مدیر رمز معتبر می‌تواند برای تولید و نگهداری رمزهای منحصربه‌فرد استفاده شود.

۷. احراز هویت دومرحله‌ای را فعال کنید

احراز هویت دومرحله‌ای باعث می‌شود ورود فقط به رمز عبور وابسته نباشد. پس از واردکردن رمز، عامل دیگری مانند کد برنامه احراز هویت نیز درخواست می‌شود.

این قابلیت برای مدیران، فروشندگان، پشتیبانان و هر حساب دارای دسترسی حساس اهمیت دارد. کدهای بازیابی را در محل امن نگه دارید و قبل از فعال‌سازی عمومی، فرایند ورود اضطراری را آزمایش کنید. مستندات رسمی وردپرس نیز استفاده از احراز هویت دومرحله‌ای را یکی از راه‌های تقویت امنیت ورود معرفی می‌کند.

۸. نام کاربری و حساب‌های مدیریتی را بررسی کنید

وجود نام کاربری قابل‌حدس به‌ تنهایی باعث نفوذ نمی‌شود، اما کار مهاجم را برای حدس یکی از اجزای ورود ساده‌تر می‌کند. حساب‌های ناشناس، قدیمی یا متعلق به کارکنان سابق را بررسی کنید.

هنگام حذف یک کاربر، نوشته‌ها و محتوای متعلق به او را به حساب مناسبی منتقل کنید. هیچ حساب مدیریتی نباید بدون مالک و هدف مشخص باقی بماند.

۹. دسترسی کاربران را براساس نیاز واقعی تعیین کنید

همه کاربران به نقش مدیرکل نیاز ندارند. نویسنده، ویرایشگر، مدیر فروشگاه و پشتیبان باید فقط مجوزهای لازم برای وظیفه خود را داشته باشند.

وردپرس با نقش‌ها و قابلیت‌ها مشخص می‌کند هر کاربر چه کارهایی می‌تواند انجام دهد. اصل حداقل دسترسی، خسارت احتمالی ناشی از اشتباه یا سرقت حساب را محدود می‌کند.

۱۰. تلاش‌های ورود مشکوک را محدود و پایش کنید

حملات Brute Force با امتحان‌کردن مکرر ترکیب‌های نام کاربری و رمز انجام می‌شوند و حتی تلاش‌های ناموفق می‌توانند منابع سایت را مصرف کنند. محدودسازی هوشمند درخواست‌های ورود، فایروال و هشدارهای ورود مشکوک برای مقابله با این وضعیت مفید هستند.

مسدودسازی نباید آن‌قدر سخت‌گیرانه باشد که مدیران واقعی را دائماً از سایت خارج کند. قوانین را متناسب با ترافیک سایت تنظیم و امکان بازیابی دسترسی را پیش‌بینی کنید.

امنیت فایل‌ها، دیتابیس و تنظیمات وردپرس

۱۱. سطح دسترسی فایل‌ها و مالکیت آن‌ها را بررسی کنید

فایل‌ها و پوشه‌ها نباید بیش از مقدار موردنیاز قابل‌نوشتن باشند. سطح دسترسی بسیار باز ممکن است امکان تغییر فایل‌ها را برای پردازش‌ها یا کاربران غیرمجاز افزایش دهد.

مقدار مناسب به نوع وب‌سرور، شیوه اجرای PHP، مالکیت فایل‌ها و تنظیمات شرکت میزبان بستگی دارد. به‌جای اعمال یک مقدار ثابت روی همه مسیرها، از پشتیبانی هاست یا مدیر سرور بخواهید مالکیت و مجوزها را بررسی کند.

بخش Site Health وردپرس اطلاعاتی درباره قابلیت نوشتن در مسیرهای اصلی، افزونه‌ها، قالب‌ها و فایل‌های بارگذاری‌شده نمایش می‌دهد.

۱۲. از فایل wp-config.php محافظت کنید

فایل wp-config.php شامل اطلاعات پایه اتصال به دیتابیس و تنظیمات مهم سایت است. دسترسی غیرضروری به این فایل باید محدود باشد و نباید نسخه قابل‌دانلود یا فایل پشتیبان آن در مسیر عمومی باقی بماند.

قبل از هر ویرایش، یک نسخه پشتیبان امن تهیه کنید. افزودن تنظیمات ناشناخته‌ای که از منابع غیرمعتبر کپی شده‌اند ممکن است سایت را از دسترس خارج کند یا امنیت را کاهش دهد.

۱۳. ویرایش فایل از داخل پیشخوان را مدیریت کنید

ویرایشگر داخلی فایل‌های قالب و افزونه برای بعضی مدیران کاربردی است، اما در سایت‌هایی که نیازی به آن وجود ندارد می‌توان دسترسی به ویرایش مستقیم کد را محدود کرد. این اقدام به‌تنهایی جلوی نفوذ را نمی‌گیرد، اما تغییر فایل از طریق یک حساب مدیریتی سرقت‌شده را دشوارتر می‌کند.

اجرای این تنظیم باید توسط فرد فنی و پس از تهیه بکاپ انجام شود. مسیر استاندارد استقرار کد از طریق کنترل نسخه، SFTP یا پنل امن سرور نیز باید مشخص باشد.

۱۴. دسترسی و حساب دیتابیس را محدود کنید

وردپرس باید با حساب دیتابیسی متصل شود که فقط مجوزهای موردنیاز همان سایت را دارد. استفاده مشترک از یک حساب قدرتمند برای چند سایت، دامنه خسارت یک نفوذ احتمالی را افزایش می‌دهد.

اطلاعات دیتابیس را در صفحات، تیکت‌های عمومی یا فایل‌های قابل‌دانلود قرار ندهید. اگر احتمال افشای اطلاعات اتصال وجود دارد، رمز را تغییر دهید و فایل‌های تنظیمات و گزارش‌ها را بررسی کنید.

۱۵. نمایش عمومی خطاهای فنی را غیرفعال کنید

پیام‌های خطای PHP ممکن است مسیر فایل‌ها، نام افزونه، ساختار سرور یا جزئیات دیتابیس را آشکار کنند. در سایت فعال، خطاها بهتر است در گزارش‌های محافظت‌شده ثبت شوند و برای بازدیدکننده نمایش داده نشوند.

عیب‌یابی را در محیط آزمایشی انجام دهید. پنهان‌کردن پیام خطا مشکل اصلی را برطرف نمی‌کند؛ بنابراین گزارش‌ها باید توسط مدیر فنی بررسی و علت خطا اصلاح شود.

رفع خطاهای رایج وردپرس» ← مقاله عیب‌یابی خطاهای وردپرس]

امنیت هاست، ارتباطات و زیرساخت سایت

۱۶. HTTPS و گواهی SSL را به‌درستی فعال کنید

HTTPS ارتباط میان مرورگر کاربر و وب‌سایت را رمزگذاری می‌کند. تمام صفحات سایت، به‌ویژه ورود، پرداخت و فرم‌های حاوی اطلاعات، باید از اتصال امن استفاده کنند.

پس از نصب گواهی، تغییر مسیر HTTP به HTTPS، محتوای ترکیبی، آدرس‌های داخلی و تمدید گواهی را بررسی کنید. وجود علامت قفل به‌تنهایی به معنی امنیت کامل وردپرس نیست، اما حذف HTTPS یک ضعف مهم در مسیر ارتباطی ایجاد می‌کند.

مطالعه بیشتر: آموزش نصب و تمدید SSL

۱۷. هاست امن و به‌ روز انتخاب کنید

امنیت وردپرس به زیرساخت میزبانی نیز وابسته است. نسخه‌های پشتیبانی‌شده PHP، به‌روزرسانی سرویس‌ها، جداسازی حساب‌ها، بکاپ، کنترل بدافزار، گزارش رخدادها و پشتیبانی فنی از معیارهای مهم انتخاب هاست هستند.

ارزان‌تر بودن سرویس نباید تنها معیار تصمیم‌گیری باشد. نوع سایت، حساسیت اطلاعات، میزان بازدید و امکان بازیابی در زمان بحران را نیز در نظر بگیرید.

مقایسه لایه‌های اصلی محافظت

برای بررسی سرویس‌های میزبانی، بکاپ و زیرساخت متناسب با سایت‌های شرکتی یا فروشگاهی می‌توانید از خدمات هاست، سرور مجازی و پشتیبانی فنی شرکت تجارت الکترونیک نوژن بازدید کنید.

۱۸. فایروال و محافظت در برابر درخواست‌های مخرب را به‌کار بگیرید

فایروال برنامه وب می‌تواند بخشی از درخواست‌های مشکوک را پیش از رسیدن به وردپرس بررسی یا مسدود کند. این قابلیت ممکن است در سطح CDN، وب‌سرور، هاست یا افزونه امنیتی ارائه شود.

هیچ فایروالی جایگزین آپدیت، رمز قوی و بکاپ نیست. تنظیمات سخت‌گیرانه نیز ممکن است درخواست‌های سالم، API، درگاه پرداخت یا ابزارهای مدیریت را مسدود کند؛ بنابراین گزارش‌ها را بررسی و قوانین را آزمایش کنید.

بکاپ، پایش و آمادگی برای رخدادهای امنیتی

۱۹. بکاپ زمان‌ بندی‌شده و مستقل داشته باشید

نسخه پشتیبان باید فایل‌ها و دیتابیس را پوشش دهد و با فاصله‌ای متناسب با میزان تغییرات سایت تهیه شود. فروشگاهی که هر روز سفارش دریافت می‌کند، نیاز متفاوتی با یک سایت معرفی کم‌تغییر دارد.

حداقل یک نسخه را خارج از فضای اصلی سایت نگه دارید. اگر بکاپ در همان حساب آلوده یا همان دیسک آسیب‌دیده باشد، ممکن است همراه سایت از بین برود.

نسخه‌های پشتیبان را رمزگذاری و دسترسی به آن‌ها را محدود کنید؛ زیرا خود بکاپ شامل اطلاعات حساس سایت است. بازیابی آزمایشی نیز باید بخشی از برنامه نگهداری باشد.

۲۰. ورودها، تغییرات و سلامت سایت را پایش کنید

ورود مدیران، نصب یا حذف افزونه، ایجاد حساب جدید، تغییر فایل‌ها و افزایش غیرعادی درخواست‌ها از رخدادهایی هستند که ارزش پایش دارند. ثبت گزارش به تشخیص زمان و مسیر احتمالی مشکل کمک می‌کند.

هشدارها را طوری تنظیم کنید که رویدادهای مهم گم نشوند. دریافت تعداد زیادی هشدار کم‌اهمیت ممکن است باعث شود تیم فنی پیام‌های واقعی را نادیده بگیرد.

یک برنامه واکنش نیز مشخص کنید: چه کسی سایت را بررسی می‌کند، بکاپ سالم کجاست، چگونه سایت موقتاً محدود می‌شود و چه حساب‌هایی باید تغییر رمز دهند. اگر سایت هک شد، صرفاً حذف فایل ظاهراً آلوده کافی نیست؛ باید مسیر ورود، حساب‌ها، فایل‌ها و دیتابیس بررسی شوند.

جدول اولویت‌بندی چک‌ لیست امنیت وردپرس

سناریوی کاربردی: امن‌سازی یک فروشگاه وردپرسی

فرض کنید فروشگاهی چند حساب مدیر، افزونه‌های قدیمی و یک بکاپ ذخیره‌شده روی همان هاست دارد. شروع کار با نصب یک افزونه امنیتی، مشکلات اصلی این سایت را حل نمی‌کند.

ابتدا باید بکاپ کامل تهیه و امکان بازیابی آن آزمایش شود. سپس حساب‌های بدون استفاده حذف، نقش کاربران محدود و رمزهای ورود، هاست و ایمیل تغییر داده شوند.

در مرحله بعد، هسته، قالب و افزونه‌ها ابتدا در محیط آزمایشی به‌روز می‌شوند. ورود دومرحله‌ای برای حساب‌های حساس فعال و صفحات پرداخت، سبد خرید، پنل کاربری و ارسال ایمیل آزمایش می‌شوند.

در پایان، یک نسخه بکاپ خارج از هاست نگهداری شده و پایش ورودها و تغییرات مهم فعال می‌شود. به این ترتیب امنیت به یک فرایند قابل‌اندازه‌گیری تبدیل می‌شود، نه مجموعه‌ای از تنظیمات پراکنده.

چک‌ لیست سریع اجرای اقدامات امنیتی

• هسته وردپرس به‌ روز است.

• قالب‌ها و افزونه‌ها به‌روز هستند.

• افزونه‌ها و قالب‌های بدون استفاده حذف شده‌اند.

• همه فایل‌ها از منابع معتبر تهیه شده‌اند.

• افزونه‌های تکراری و غیرضروری بررسی شده‌اند.

• تمام حساب‌های حساس رمز منحصربه‌فرد دارند.

• احراز هویت دومرحله‌ای فعال است.

• حساب‌های قدیمی و ناشناس حذف شده‌اند.

• نقش کاربران براساس نیاز تعیین شده است.

• تلاش‌های ورود مشکوک محدود و پایش می‌شوند.

• مالکیت و مجوز فایل‌ها بررسی شده است.

• از فایل wp-config.php محافظت می‌شود.

• ویرایش مستقیم فایل‌ها مدیریت شده است.

• حساب دیتابیس دسترسی محدود دارد.

• خطاهای فنی برای عموم نمایش داده نمی‌شوند.

• HTTPS روی تمام صفحات فعال است.

• زیرساخت هاست به‌روز و قابل‌پشتیبانی است.

• فایروال با عملکرد سایت هماهنگ شده است.

• بکاپ مستقل و قابل‌بازیابی وجود دارد.

• ورودها، تغییرات و سلامت سایت پایش می‌شوند.

جمع‌ بندی

امنیت وردپرس حاصل اجرای یک افزونه یا تغییر آدرس ورود نیست. به‌روزرسانی منظم، رمزهای منحصربه‌فرد، احراز هویت دومرحله‌ای، کنترل نقش کاربران و حذف اجزای بلااستفاده، پایه‌های اصلی محافظت از سایت هستند.

لایه‌های هاست، فایل‌ها، دیتابیس، HTTPS و فایروال نیز باید در کنار تنظیمات وردپرس بررسی شوند. هر تغییر فنی باید پس از تهیه بکاپ و ترجیحاً در محیط آزمایشی انجام شود.

در نهایت، بکاپ مستقل و پایش رخدادها مشخص می‌کند که در صورت بروز مشکل، سایت با چه سرعت و دقتی قابل‌بازیابی خواهد بود. این چک‌لیست را به برنامه نگهداری دوره‌ای سایت تبدیل کنید و بعد از هر تغییر مهم دوباره آن را مرور کنید.

برای ارزیابی امنیت، انتخاب زیرساخت مناسب یا دریافت پشتیبانی نگهداری سایت می‌توانید با کارشناسان شرکت تجارت الکترونیک نوژن تماس بگیرید و خدمات هاست، سرور مجازی، طراحی سایت و پشتیبانی فنی مجموعه را بررسی کنید.

سؤالات متداول

۱. آیا وردپرس به‌ صورت پیش‌ فرض امن است؟

وردپرس دارای سازوکارهای امنیتی است، اما امنیت نهایی به به‌روزبودن هسته، افزونه‌ها، قالب، تنظیمات هاست، حساب‌های کاربران و نحوه مدیریت سایت بستگی دارد.

۲. آیا نصب افزونه امنیتی برای جلوگیری از هک کافی است؟

خیر. افزونه امنیتی فقط یکی از لایه‌های محافظتی است و جایگزین بکاپ، آپدیت، رمز قوی، احراز هویت دومرحله‌ای و میزبانی امن نمی‌شود.

۳. هر چند وقت یک‌بار باید از وردپرس بکاپ گرفت؟

فاصله بکاپ به میزان تغییر اطلاعات بستگی دارد. سایت فروشگاهی یا عضویت‌محور که مرتب داده جدید دریافت می‌کند، به بکاپ پرتکرارتری نسبت به سایت ثابت نیاز دارد.

۴. آیا تغییر آدرس ورود وردپرس امنیت را تضمین می‌کند؟

خیر. تغییر آدرس ورود ممکن است بخشی از درخواست‌های خودکار را کاهش دهد، اما در برابر ضعف افزونه، سرقت رمز یا دسترسی ناامن به هاست محافظت کامل ایجاد نمی‌کند.

۵. آیا باید نام کاربری admin را تغییر دهیم؟

بهتر است حساب‌های مدیریتی نام قابل‌شناسایی و مالک مشخص داشته باشند، اما تغییر نام کاربری به‌تنهایی کافی نیست. رمز منحصربه‌فرد، ورود دومرحله‌ای و محدودسازی تلاش ورود اهمیت بیشتری دارند.

۶. از کجا بفهمیم سایت وردپرسی هک شده است؟

تغییر غیرمنتظره صفحات، کاربران ناشناس، انتقال بازدیدکننده، ارسال اسپم، فایل‌های جدید و افزایش مصرف منابع می‌توانند نشانه باشند. تشخیص قطعی به بررسی فایل‌ها، دیتابیس، حساب‌ها و گزارش‌های سرور نیاز دارد.

۷. اگر سایت هک شد، اولین اقدام چیست؟

از ایجاد تغییرات پراکنده خودداری کنید، دسترسی‌ها را کنترل و شواهد و گزارش‌ها را حفظ کنید. سپس سایت توسط فرد فنی بررسی شود و تنها از بکاپی بازیابی شود که سالم‌ بودن آن تأیید شده است.