امنیت وردپرس موضوعی است که از اهمیت زیادی برای هر صاحب وب سایت برخوردار است.
Google هر روز حدود 10،000+ وب سایت را برای بدافزار و حدود 50،000 وب سایت را برای هر هفته برای فیشینگ در لیست سیاه قرار می دهد.
اگر در مورد وب سایت خود جدی هستید ، باید به بهترین اقدامات امنیتی وردپرس توجه کنید.
در این راهنما ، ما بهترین نکات امنیتی WordPress را برای کمک به شما در محافظت از وب سایت خود در برابر هکرها و بدافزارها به اشتراک خواهیم گذاشت.
در حالی که نرم افزار اصلی وردپرس بسیار ایمن است و توسط صدها نفر از توسعه دهندگان مورد بازرسی قرار می گیرد ، اما کارهای زیادی می توان برای حفظ امنیت سایت شما انجام داد.
ما تعدادی اقدامات عملی داریم که می توانید برای محافظت از وب سایت خود در برابر آسیب پذیری های امنیتی انجام دهید.
برای سهولت کار ، ما یک محتوا ایجاد کرده ایم که به شما کمک می کند تا به راحتی از طریق راهنمای امنیتی نهایی وردپرس خود حرکت کنید.
گوگل هر هفته حدود 20،000 وب سایت را برای بدافزار و 50،000 را برای فیشینگ در لیست سیاه قرار می دهد.
اگر وب سایت شما یک تجارت است ، پس باید بیشتر به امنیت وردپرس خود توجه کنید.
مشابه نحوه مسئولیت صاحبان مشاغل در محافظت از ساختمان فیزیکی فروشگاه خود ، به عنوان یک مالک مشاغل آنلاین مسئولیت محافظت از وب سایت مشاغل خود بر عهده شماست.
رایج ترین تلاش های هک وردپرس از رمزهای عبور سرقت شده استفاده می کند.
با استفاده از رمزهای عبور قوی تر که برای وب سایت شما منحصر به فرد هستند ، می توانید این کار را دشوار کنید.
نه فقط برای منطقه مدیریت وردپرس ، بلکه همچنین برای حساب های FTP ، پایگاه داده ، حساب میزبانی وردپرس و آدرس های ایمیل سفارشی شما که از نام دامنه سایت شما استفاده می کنند.
بسیاری از مبتدیان استفاده از رمزهای عبور قوی را دوست ندارند زیرا به سختی به خاطر سپرده می شوند.
خوبی این است که دیگر نیازی به یادآوری رمزهای عبور نیست. می توانید از مدیر رمز عبور استفاده کنید.
راه دیگر برای کاهش خطر این است که به هرکسی اجازه دسترسی به حساب مدیر وردپرس خود را ندهید ، مگر اینکه کاملاً مجبور شوید .
اگر یک تیم بزرگ یا نویسنده مهمان دارید ، قبل از افزودن حساب های کاربری و نویسندگان جدید به سایت وردپرس خود ، مطمئن شوید که نقش و قابلیت های کاربر را در وردپرس درک کرده اید .
پشتیبان گیری اولین دفاع شما در برابر هرگونه حمله وردپرس است.
به یاد داشته باشید ، هیچ چیز 100٪ امن نیست. اگر وب سایت های دولتی می توانند هک شوند ، وب سایت های شما نیز می توانند این کار را انجام دهند.
در صورت بروز اتفاقات بد ، پشتیبان گیری به شما امکان می دهد به سرعت سایت وردپرس خود را بازیابی کنید.
افزونه های پشتیبان وردپرس رایگان و پولی زیادی وجود دارد که می توانید از آنها استفاده کنید.
مهمترین نکته ای که در مورد تهیه نسخه پشتیبان باید بدانید این است که شما باید به طور منظم پشتیبان گیری از سایت کامل را در یک مکان از راه دور (نه حساب میزبانی خود) ذخیره کنید.
براساس تعداد دفعات به روزرسانی وب سایت خود ، تنظیمات ایده آل ممکن است یک بار در روز یا پشتیبان گیری در زمان واقعی باشد.
خوشبختانه این کار با استفاده از افزونه هایی مانند UpdraftPlus یا BlogVault به راحتی قابل انجام است .
هر دو قابل اطمینان هستند و از همه مهمتر استفاده از آنها آسان است (نیازی به کدگذاری نیست).
مورد بعدی ، شما باید بر روی برگه "Hardengine" از فهرست تنظیمات کلیک کنید.
از هر گزینه استفاده کرده و بر روی دکمه "Apply Hardengine" کلیک کنید.
این گزینه ها به شما کمک می کند تا مناطق اصلی را که هکرها اغلب در حملات خود استفاده می کنند قفل کنید.
تنها گزینه سخت افزاری که به روزرسانی پرداخت می شود ، Firewall Web Application Web است که در مرحله بعد توضیح خواهیم داد ، بنابراین فعلاً از آن صرف نظر کنید.
بعد از قسمت سخت شدن ، تنظیمات پیش فرض افزونه برای اکثر وب سایت ها به اندازه کافی مناسب است و نیازی به هیچ تغییری نیست.
تنها چیزی که توصیه می کنیم شخصی سازی کنید "Email Alerts" است.
تنظیمات پیش فرض هشدار می تواند صندوق ورودی شما را با ایمیل سر و صدا کند.
ما توصیه می کنیم هشدارها را برای اقدامات اصلی مانند تغییر در افزونه ها ، ثبت نام کاربر جدید و غیره دریافت کنید.
با رفتن به تنظیمات Sucuri » Alerts می توانید هشدارها را پیکربندی کنید.
این افزونه امنیتی وردپرس بسیار قدرتمند است ، بنابراین همه برگه ها و تنظیمات را مرور کنید.
تمام کارهایی که انجام می دهد مانند : اسکن بدافزار ، گزارش های حسابرسی ، ردیابی تلاش برای ورود به سیستم و غیره.
می توانید در مورد چگونگی کمک Sucuri به ما در جلوگیری از 450000 حمله وردپرس در یک ماه را در تصویر زیر مشاهده کنید .
بهترین قسمت در مورد فایروال Sucuri این است که با پاک سازی بدافزار و تضمین حذف لیست سیاه نیز همراه است.
اساساً اگر قرار باشد زیر ساعت آنها هک شوید ، آنها تضمین می کنند که وب سایت شما را برطرف خواهند کرد (مهم نیست که چند صفحه داشته باشید).
این ضمانت بسیار محکمی است زیرا تعمیر وب سایت های هک شده بسیار گران است.
کارشناسان امنیتی معمولاً هر ساعت 250 دلار هزینه می گیرند. در حالی که می توانید کل پشته امنیتی Sucuri را با 199 دلار در سال دریافت کنید.
<<با فایروال Sucuri امنیت WordPress خود را بهبود بخشید>>
Sucuri تنها ارائه دهنده فایروال سطح DNS نیست. دیگر رقبای محبوب Cloudflare است.
با افزودن کد زیر در پرونده wp-config.php به راحتی می توانید این کار را انجام دهید .
می توانید این کار را با استفاده از یک ویژگی کلیک کنید در افزونه رایگان Sucuri که در بالا به آن اشاره کردیم ، با یک کلیک انجام دهید.
در مرحله بعدی ، باید این فایل را به صورت .htaccess ذخیره کرده و با استفاده از سرویس گیرنده FTP آن را در / wp-content / uploads / پوشه ها در وب سایت خود بارگذاری کنید .
به طور معمول ، هکرها می توانند پوشه wp-admin و صفحه ورود شما را بدون هیچ محدودیتی درخواست کنند.
این به آنها امکان می دهد ترفندهای هک شده خود را امتحان کنند یا حملات DDoS را انجام دهند.
می توانید حفاظت اضافی از رمز عبور را در سطح سمت سرور اضافه کنید ، که به طور موثر این درخواست ها را مسدود می کند.
هکرها می توانند از فهرست دایرکتوری استفاده کنند تا بفهمند آیا پرونده ای با آسیب پذیری های شناخته شده دارید یا خیر ، بنابراین آنها می توانند با استفاده از این پرونده ها دسترسی پیدا کنند.
افراد دیگر می توانند از فهرست دایرکتوری برای جستجوی پرونده های شما ، کپی کردن تصاویر ، یافتن ساختار دایرکتوری و سایر اطلاعات استفاده کنند.
به همین دلیل توصیه می شود فهرست بندی فهرست و فهرست را خاموش کنید.
شما باید با استفاده از مدیر پرونده FTP یا cPanel به وب سایت خود متصل شوید. سپس ، پرونده .htaccess را در دایرکتوری ریشه وب سایت خود قرار دهید.
اگر نمی توانید آن را در آنجا مشاهده کنید ، به راهنمای ما مراجعه کنید که چرا نمی توانید فایل htaccess را در وردپرس مشاهده کنید .
پس از آن ، باید خط زیر را در انتهای پرونده .htaccess اضافه کنید:
به سادگی مدت زمان را تنظیم کنید و یک پیام خروج اضافه کنید.
فراموش نکنید که برای ذخیره تنظیمات خود بر روی دکمه ذخیره تغییرات کلیک کنید.
افزودن سوال امنیتی به صفحه ورود به وردپرس دسترسی به غیر مجاز را برای کسی دشوارتر می کند.
با نصب افزونه WP Security Questions می توانید سولات امنیتی اضافه کنید.
پس از فعال سازی ، برای پیکربندی تنظیمات افزونه باید به صفحه Settings » Security Questions بروید.
اگر یک افزونه امنیتی وردپرس نصب کرده باشید ، آن پلاگین ها به طور منظم از نظر بدافزار و نشانه های نقض امنیت بررسی می شوند.
با این حال ، اگر یک افت ناگهانی در بازدید از وب سایت یا رتبه بندی جستجو مشاهده کردید ، ممکن است بخواهید دستی اسکن کنید.
می توانید از افزونه امنیتی وردپرس خود استفاده کنید ، یا از یکی از این بدافزارها و اسکنرهای امنیتی استفاده کنید .
اجرای این اسکن های آنلاین کاملاً رو به جلو است ، شما فقط URL های وب سایت خود را وارد کرده و خزنده های آنها از طریق وب سایت شما به دنبال بدافزار شناخته شده و کد مخرب می گردند.
اکنون بخاطر داشته باشید که اکثر اسکنرهای امنیتی وردپرس فقط می توانند وب سایت شما را اسکن کنند.
آنها نمی توانند بدافزار را حذف کنند یا یک سایت هک شده وردپرس را تمیز کنند.
این ما را به بخش بعدی می رساند ، بدافزارها و سایت های وردپرس هک شده را پاکسازی می کنیم.
در حالی که نرم افزار اصلی وردپرس بسیار ایمن است و توسط صدها نفر از توسعه دهندگان مورد بازرسی قرار می گیرد ، اما کارهای زیادی می توان برای حفظ امنیت سایت شما انجام داد.
ما تعدادی اقدامات عملی داریم که می توانید برای محافظت از وب سایت خود در برابر آسیب پذیری های امنیتی انجام دهید.
برای سهولت کار ، ما یک محتوا ایجاد کرده ایم که به شما کمک می کند تا به راحتی از طریق راهنمای امنیتی نهایی وردپرس خود حرکت کنید.
چرا امنیت وب سایت مهم است؟
یک سایت هک شده وردپرس می تواند آسیب جدی به درآمد و اعتبار کسب و کار شما وارد کند. هکرها می توانند اطلاعات کاربر ، رمزهای عبور ، نرم افزارهای مخرب را سرقت کنند و حتی می توانند بدافزار را به کاربران شما توزیع کنند. بدتر از همه ، ممکن است خود را در ازای پرداخت باج افزار به هکرها بدست آورید تا فقط به وب سایت خود دسترسی پیدا کنید.
گوگل هر هفته حدود 20،000 وب سایت را برای بدافزار و 50،000 را برای فیشینگ در لیست سیاه قرار می دهد.
اگر وب سایت شما یک تجارت است ، پس باید بیشتر به امنیت وردپرس خود توجه کنید.
مشابه نحوه مسئولیت صاحبان مشاغل در محافظت از ساختمان فیزیکی فروشگاه خود ، به عنوان یک مالک مشاغل آنلاین مسئولیت محافظت از وب سایت مشاغل خود بر عهده شماست.
رمزهای عبور قوی و مجوزهای کاربر
رایج ترین تلاش های هک وردپرس از رمزهای عبور سرقت شده استفاده می کند.
با استفاده از رمزهای عبور قوی تر که برای وب سایت شما منحصر به فرد هستند ، می توانید این کار را دشوار کنید.
نه فقط برای منطقه مدیریت وردپرس ، بلکه همچنین برای حساب های FTP ، پایگاه داده ، حساب میزبانی وردپرس و آدرس های ایمیل سفارشی شما که از نام دامنه سایت شما استفاده می کنند.
بسیاری از مبتدیان استفاده از رمزهای عبور قوی را دوست ندارند زیرا به سختی به خاطر سپرده می شوند.
خوبی این است که دیگر نیازی به یادآوری رمزهای عبور نیست. می توانید از مدیر رمز عبور استفاده کنید.
راه دیگر برای کاهش خطر این است که به هرکسی اجازه دسترسی به حساب مدیر وردپرس خود را ندهید ، مگر اینکه کاملاً مجبور شوید .
اگر یک تیم بزرگ یا نویسنده مهمان دارید ، قبل از افزودن حساب های کاربری و نویسندگان جدید به سایت وردپرس خود ، مطمئن شوید که نقش و قابلیت های کاربر را در وردپرس درک کرده اید .
نقش میزبانی وردپرس
سرویس میزبانی وردپرس شما مهمترین نقش را در امنیت سایت وردپرسی شما دارد. معمولا یک ارائه دهنده میزبانی مشترک مشترک مانند اقدامات اضافی را برای محافظت از سرورهای خود در برابر تهدیدات معمول انجام می دهد. در اینجا نحوه کار یک شرکت میزبان وب خوب در پس زمینه برای محافظت از وب سایت ها و داده های شما ارائه شده است.- آنها به طور مداوم شبکه خود را از نظر فعالیت مشکوک کنترل می کنند.
- همه شرکت های میزبان خوب ابزارهایی برای جلوگیری از حملات گسترده DDOS در اختیار دارند
- آنها نرم افزار سرور ، نسخه های php و سخت افزار خود را به روز نگه می دارند تا از سو hack استفاده آسیب پذیری های امنیتی در نسخه قدیمی توسط هکرها جلوگیری کنند.
- آنها آماده استفاده از نقشه های بازیابی حوادث و حوادث هستند که به آنها امکان می دهد از داده های شما در صورت تصادف بزرگ محافظت کنند.
امنیت وردپرس در مراحل آسان (بدون کدگذاری)
ما می دانیم که بهبود امنیت وردپرس می تواند یک فکر وحشتناک برای مبتدیان باشد. مخصوصاً اگر اهل فن نباشید. حدس بزنید ، شما تنها نیستید. ما به هزاران کاربر وردپرس در تقویت امنیت وردپرس خود کمک کرده ایم. ما به شما نشان خواهیم داد که چگونه فقط با چند کلیک می توانید امنیت وردپرس خود را بهبود بخشید (بدون نیاز به کدگذاری). اگر می توانید اشاره و کلیک کنید ، می توانید این کار را انجام دهید!یک راه حل پشتیبان گیری از وردپرس نصب کنید
پشتیبان گیری اولین دفاع شما در برابر هرگونه حمله وردپرس است.
به یاد داشته باشید ، هیچ چیز 100٪ امن نیست. اگر وب سایت های دولتی می توانند هک شوند ، وب سایت های شما نیز می توانند این کار را انجام دهند.
در صورت بروز اتفاقات بد ، پشتیبان گیری به شما امکان می دهد به سرعت سایت وردپرس خود را بازیابی کنید.
افزونه های پشتیبان وردپرس رایگان و پولی زیادی وجود دارد که می توانید از آنها استفاده کنید.
مهمترین نکته ای که در مورد تهیه نسخه پشتیبان باید بدانید این است که شما باید به طور منظم پشتیبان گیری از سایت کامل را در یک مکان از راه دور (نه حساب میزبانی خود) ذخیره کنید.
براساس تعداد دفعات به روزرسانی وب سایت خود ، تنظیمات ایده آل ممکن است یک بار در روز یا پشتیبان گیری در زمان واقعی باشد.
خوشبختانه این کار با استفاده از افزونه هایی مانند UpdraftPlus یا BlogVault به راحتی قابل انجام است .
هر دو قابل اطمینان هستند و از همه مهمتر استفاده از آنها آسان است (نیازی به کدگذاری نیست).
بهترین پلاگین امنیتی وردپرس
پس از تهیه نسخه پشتیبان ، کار بعدی که باید انجام دهیم این است که یک سیستم حسابرسی و نظارت راه اندازی کنیم که همه اتفاقات وب سایت شما را ردیابی کند. این شامل نظارت بر یکپارچگی پرونده ، تلاشهای ناموفق برای ورود به سیستم ، اسکن بدافزار و غیره است. خوشبختانه ، این می تواند توسط بهترین افزونه رایگان امنیتی وردپرس ، Sucuri Scanner مراقبت شود . شما باید پلاگین رایگان Sucuri Security را نصب و فعال کنید . پس از فعال سازی ، باید به فهرست Sucuri در مدیر وردپرس خود بروید. اولین کاری که از شما خواسته می شود انجام دهید ایجاد یک کلید API رایگان است. این امکان ورود به سیستم حسابرسی ، بررسی یکپارچگی ، هشدارهای ایمیل و سایر ویژگی های مهم را فراهم می کند.
مورد بعدی ، شما باید بر روی برگه "Hardengine" از فهرست تنظیمات کلیک کنید.
از هر گزینه استفاده کرده و بر روی دکمه "Apply Hardengine" کلیک کنید.
این گزینه ها به شما کمک می کند تا مناطق اصلی را که هکرها اغلب در حملات خود استفاده می کنند قفل کنید.
تنها گزینه سخت افزاری که به روزرسانی پرداخت می شود ، Firewall Web Application Web است که در مرحله بعد توضیح خواهیم داد ، بنابراین فعلاً از آن صرف نظر کنید.
بعد از قسمت سخت شدن ، تنظیمات پیش فرض افزونه برای اکثر وب سایت ها به اندازه کافی مناسب است و نیازی به هیچ تغییری نیست.
تنها چیزی که توصیه می کنیم شخصی سازی کنید "Email Alerts" است.
تنظیمات پیش فرض هشدار می تواند صندوق ورودی شما را با ایمیل سر و صدا کند.
ما توصیه می کنیم هشدارها را برای اقدامات اصلی مانند تغییر در افزونه ها ، ثبت نام کاربر جدید و غیره دریافت کنید.
با رفتن به تنظیمات Sucuri » Alerts می توانید هشدارها را پیکربندی کنید.
این افزونه امنیتی وردپرس بسیار قدرتمند است ، بنابراین همه برگه ها و تنظیمات را مرور کنید.
تمام کارهایی که انجام می دهد مانند : اسکن بدافزار ، گزارش های حسابرسی ، ردیابی تلاش برای ورود به سیستم و غیره.
فعال کردن فایروال برنامه وب (WAF)
ساده ترین راه برای محافظت از سایت و اطمینان از امنیت وردپرس ، استفاده از فایروال برنامه وب (WAF) است. فایروال وب سایت قبل از اینکه به وب سایت شما برسد ، همه بازدیدهای مخرب را مسدود می کند. فایروال وب سایت سطح DNS - این فایروال ها ترافیک وب سایت شما را از طریق سرورهای پروکسی ابری خود هدایت می کنند. این به آنها امکان می دهد فقط ترافیک اصلی را به وب سرور شما ارسال کنند. Application Level Firewall - این افزونه های فایروال پس از اینکه به سرور شما رسید اما قبل از بارگذاری اکثر اسکریپت های وردپرس ، میزان بازدید را بررسی می کنند. این روش به اندازه فایروال سطح DNS در کاهش بار سرور کارآمد نیست.
می توانید در مورد چگونگی کمک Sucuri به ما در جلوگیری از 450000 حمله وردپرس در یک ماه را در تصویر زیر مشاهده کنید .
بهترین قسمت در مورد فایروال Sucuri این است که با پاک سازی بدافزار و تضمین حذف لیست سیاه نیز همراه است.
اساساً اگر قرار باشد زیر ساعت آنها هک شوید ، آنها تضمین می کنند که وب سایت شما را برطرف خواهند کرد (مهم نیست که چند صفحه داشته باشید).
این ضمانت بسیار محکمی است زیرا تعمیر وب سایت های هک شده بسیار گران است.
کارشناسان امنیتی معمولاً هر ساعت 250 دلار هزینه می گیرند. در حالی که می توانید کل پشته امنیتی Sucuri را با 199 دلار در سال دریافت کنید.
<<با فایروال Sucuri امنیت WordPress خود را بهبود بخشید>>
Sucuri تنها ارائه دهنده فایروال سطح DNS نیست. دیگر رقبای محبوب Cloudflare است.
سایت وردپرس خود را به SSL / HTTPS منتقل کنید
SSL (لایه سوکت های امن) پروتکلی است که انتقال داده را بین وب سایت شما و مرورگر کاربران رمزگذاری می کند. این رمزگذاری باعث می شود که کسی در اطراف بو و سرقت اطلاعات را دشوار کند. هنگامی که SSL را فعال کردید ، وب سایت شما به جای HTTP از HTTPS استفاده می کند. همچنین علامت قفل در کنار آدرس وب سایت خود را در مرورگر مشاهده خواهید کرد. برای مطالب بیشتر در این زمینه به مقاله مربوطه مراجعه کنید.امنیت وردپرس برای کاربران DIY
کارهای سخت دیگری وجود دارد که می توانید برای تقویت امنیت وردپرس خود انجام دهید. برخی از این مراحل ممکن است به دانش کدگذاری نیاز داشته باشند.نام کاربری پیش فرض "مدیر" را تغییر دهید
در زمان های قدیم ، نام کاربری مدیر پیش فرض وردپرس "admin" بود. از آنجا که نام های کاربری نیمی از اطلاعات ورود به سیستم را تشکیل می دهند ، این حملات را برای هکرها آسان تر می کند. خوشبختانه ، وردپرس از آن زمان تاکنون این مورد را تغییر داده است و اکنون شما را ملزم به انتخاب نام کاربری سفارشی در زمان نصب وردپرس می کند . با این حال ، برخی از نصب کنندگان وردپرس با یک کلیک ، هنوز نام کاربری مدیر پیش فرض را روی "مدیر" تنظیم می کنند. اگر چنین موردی را مشاهده کردید ، احتمالاً ایده خوبی است که میزبانی وب خود را تغییر دهید . از آنجا که وردپرس به شما اجازه تغییر نام کاربری را به طور پیش فرض نمی دهد ، سه روش وجود دارد که می توانید برای تغییر نام کاربری استفاده کنید.- نام کاربری مدیر جدید ایجاد کنید و نام قدیمی را حذف کنید.
- از افزونه تغییر نام کاربری استفاده کنید
- نام کاربری را از phpMyAdmin به روز کنید
ویرایش پرونده را غیرفعال کنید
وردپرس دارای یک ویرایشگر کد داخلی است که به شما امکان می دهد تم و پرونده های پلاگین خود را از قسمت مدیر وردپرس ویرایش کنید. در دست اشتباه ، این ویژگی می تواند یک خطر امنیتی باشد به همین دلیل توصیه می کنیم آن را خاموش کنید.
با افزودن کد زیر در پرونده wp-config.php به راحتی می توانید این کار را انجام دهید .
|
1
2 |
// Disallow file edit define( 'DISALLOW_FILE_EDIT', true ); |
در برخی از دایرکتوری های وردپرس اجرای فایل PHP را غیرفعال کنید
روش دیگر برای سخت کردن امنیت وردپرس شما غیرفعال کردن اجرای فایل PHP در فهرست هایی است که نیازی به آن نیست مانند / wp-content / uploads /. می توانید این کار را با باز کردن یک ویرایشگر متن مانند Notepad انجام دهید و این کد را جای گذاری کنید:|
1
2
3 |
<Files *.php> deny from all </Files> |
تلاشهای ورود به سیستم را محدود کنید
به طور پیش فرض ، وردپرس به کاربران اجازه می دهد تا هر زمان که بخواهند وارد سیستم شوند. این باعث می شود سایت وردپرسی شما در برابر حملات brute force آسیب پذیر شود. هکرها با تلاش برای ورود به سیستم با ترکیبات مختلف سعی می کنند رمزهای عبور را بشکنند. با محدود کردن تلاشهای ناموفق برای ورود به سیستم ، کاربر می تواند به راحتی برطرف شود. اگر از فایروال برنامه وب که قبلاً ذکر شد استفاده می کنید ، به طور خودکار از آن مراقبت می شود. با این حال ، اگر نصب فایروال را ندارید ، مراحل زیر را دنبال کنید. ابتدا باید افزونه Login LockDown را نصب و فعال کنید. پس از فعال سازی ، برای تنظیم افزونه به Settings » Login LockDown به صفحه LockDown مراجعه کنید.
پیشوند پایگاه داده وردپرس را تغییر دهید
به طور پیش فرض ، وردپرس از wp_ به عنوان پیشوند تمام جداول موجود در پایگاه داده وردپرس شما استفاده می کند . اگر سایت وردپرس شما از پیشوند پایگاه داده پیش فرض استفاده می کند ، حدس زدن نام جدول شما برای هکرها آسان تر است. به همین دلیل است که توصیه می کنیم آن را تغییر دهید. توجه: اگر این کار به درستی انجام نشود ، می تواند سایت شما را خراب کند.از رمز عبور محافظت کنید از وردپرس و صفحه ورود به سیستم
به طور معمول ، هکرها می توانند پوشه wp-admin و صفحه ورود شما را بدون هیچ محدودیتی درخواست کنند.
این به آنها امکان می دهد ترفندهای هک شده خود را امتحان کنند یا حملات DDoS را انجام دهند.
می توانید حفاظت اضافی از رمز عبور را در سطح سمت سرور اضافه کنید ، که به طور موثر این درخواست ها را مسدود می کند.
نمایه سازی فهرست و فهرست را غیرفعال کنید
هکرها می توانند از فهرست دایرکتوری استفاده کنند تا بفهمند آیا پرونده ای با آسیب پذیری های شناخته شده دارید یا خیر ، بنابراین آنها می توانند با استفاده از این پرونده ها دسترسی پیدا کنند.
افراد دیگر می توانند از فهرست دایرکتوری برای جستجوی پرونده های شما ، کپی کردن تصاویر ، یافتن ساختار دایرکتوری و سایر اطلاعات استفاده کنند.
به همین دلیل توصیه می شود فهرست بندی فهرست و فهرست را خاموش کنید.
شما باید با استفاده از مدیر پرونده FTP یا cPanel به وب سایت خود متصل شوید. سپس ، پرونده .htaccess را در دایرکتوری ریشه وب سایت خود قرار دهید.
اگر نمی توانید آن را در آنجا مشاهده کنید ، به راهنمای ما مراجعه کنید که چرا نمی توانید فایل htaccess را در وردپرس مشاهده کنید .
پس از آن ، باید خط زیر را در انتهای پرونده .htaccess اضافه کنید:
Options -Indexes
XML-RPC را در وردپرس غیرفعال کنید
XML-RPC به طور پیش فرض در وردپرس 3.5 فعال شده است زیرا به شما کمک می کند سایت وردپرس خود را با وب و برنامه های تلفن همراه متصل کنید. به دلیل ماهیت قدرتمند خود ، XML-RPC می تواند حملات brute-force را به میزان قابل توجهی تقویت کند. به عنوان مثال ، به طور معمول اگر یک هکر بخواهد 500 گذرواژه مختلف را در وب سایت شما امتحان کند ، مجبور است 500 تلاش ورود به سیستم جداگانه انجام دهد که توسط پلاگین logdown lockdown گیر و مسدود می شود. اما با XML-RPC ، یک هکر می تواند با استفاده از تابع system.multicall هزاران رمز عبور را با 20 یا 50 درخواست درخواست کند. به همین دلیل است که اگر از XML-RPC استفاده نمی کنید ، توصیه می کنیم آن را غیرفعال کنید. نکته: بهترین روش htaccess است زیرا کمترین میزان مصرف منابع را دارد. اگر از فایروال برنامه وب که قبلاً ذکر شد استفاده می کنید ، فایروال می تواند از این مسئله مراقبت کند.به طور خودکار کاربران بیکار را در وردپرس خارج کنید
کاربران وارد شده می توانند گاهی از صفحه دور شوند و این یک خطر امنیتی است. شخصی می تواند جلسه خود را ربوده ، گذرواژه ها را تغییر دهد یا در حساب خود تغییراتی ایجاد کند. به همین دلیل بسیاری از سایت های بانکی و مالی به طور خودکار از یک کاربر غیرفعال خارج می شوند. همچنین می توانید عملکرد مشابهی را در سایت وردپرس خود پیاده سازی کنید. شما باید پلاگین Inactive Logout را نصب و فعال کنید. پس از فعال سازی ، برای پیکربندی تنظیمات افزونه به صفحه Settings » Inactive Logout شوید.
به سادگی مدت زمان را تنظیم کنید و یک پیام خروج اضافه کنید.
فراموش نکنید که برای ذخیره تنظیمات خود بر روی دکمه ذخیره تغییرات کلیک کنید.
سوالات امنیتی را به صفحه ورود به وردپرس اضافه کنید
افزودن سوال امنیتی به صفحه ورود به وردپرس دسترسی به غیر مجاز را برای کسی دشوارتر می کند.
با نصب افزونه WP Security Questions می توانید سولات امنیتی اضافه کنید.
پس از فعال سازی ، برای پیکربندی تنظیمات افزونه باید به صفحه Settings » Security Questions بروید.
اسکن وردپرس برای بدافزار و آسیب پذیری ها
اگر یک افزونه امنیتی وردپرس نصب کرده باشید ، آن پلاگین ها به طور منظم از نظر بدافزار و نشانه های نقض امنیت بررسی می شوند.
با این حال ، اگر یک افت ناگهانی در بازدید از وب سایت یا رتبه بندی جستجو مشاهده کردید ، ممکن است بخواهید دستی اسکن کنید.
می توانید از افزونه امنیتی وردپرس خود استفاده کنید ، یا از یکی از این بدافزارها و اسکنرهای امنیتی استفاده کنید .
اجرای این اسکن های آنلاین کاملاً رو به جلو است ، شما فقط URL های وب سایت خود را وارد کرده و خزنده های آنها از طریق وب سایت شما به دنبال بدافزار شناخته شده و کد مخرب می گردند.
اکنون بخاطر داشته باشید که اکثر اسکنرهای امنیتی وردپرس فقط می توانند وب سایت شما را اسکن کنند.
آنها نمی توانند بدافزار را حذف کنند یا یک سایت هک شده وردپرس را تمیز کنند.
این ما را به بخش بعدی می رساند ، بدافزارها و سایت های وردپرس هک شده را پاکسازی می کنیم.
