اموزش امنیت وردپرس - امنیت کامل وردپرس

اموزش امنیت وردپرس یکی از نیاز های مدیران سایت های وردپرسی هستش، تو این پست به شما توصیه هایی می کنم که با انجام دادن این تکنیک ها امنیت وب سایت وردپرسی خودتون رو افزایش بدین. هر ساله هک شدن سایت های موجود در سراسر دنیا خسارت های جبران ناپذیری به اونها وارد می کنه.با انجام چند توصیه، جزء قربانیان هک وبسایت نباشید.

یک وب سایت ایده عال باید این سه مورد رو داشته باشه، سرعت، سئو و امنیت این سه تا مثله مثلث قدرت سایت وردپرسی شما هستن و در صورت نبود هر کدوم وب سایت شما دچار مشکل میشه، پس بهتره که تعادل رو در همه موارد سایت رعایت کنیم.

هک وب سایت شما علاوه بر خسارت های جانبی باعث از بین رفتن رنک سئو سایت شما در گوگل میشه ، شما چند سال تلاش می کنی تا به صفحه اول بیای و با فشار دکمه یه هکر نیست و نابود میشین.

چرا هکر ها به وبسایت شما حمله میکنند ؟

1. می تونه به خاطر رقابت تجاری باشه ، رقیب شما با استخدام هکر سعی می کنه وب سایت شما رو هک کنه،
2. می تونه برای باج گیری باشه ف در ازای گرفتن مبلغی دست از سر سایت شما بر میدارن
3. می تونه به خاطر تست یه هکر روی سایت شما باشه،
4. سوم، برای قرار دادن بدافزار های مخرب در سایت وردپرسی شما.
5. می تونه به خاطر دزدیدن اطلاعات حساس تجارت شما باشه.
6. می تونه به خاطر اهداف سئو باشه، که بهش سئو کلاه سیاه میگن و باعث بالا رفتن رتبه وب سایت هکر میشه.

چطوری چند سایت وردپرسی با هم هک شدن؟

روزی روزگاری چند سایت وردپرسی که روی یه هاست بودن هک شدن، عجیبه! با بررسی هایی که انجام شد ، مشخص شد که سایت ها مشکل امنیتی نداشتن و هکر ها به به سرور هاست نفوذ کردن و اینجوری تمامی سایت های روی سرور هک شدن. در انتخاب یه هاست امن دقت کنید.

تکنیک هکر ها برای هک سایت های وردپرسی

اولین تکنیک حکلات بروت فورس (Broute force) برای حدس زدن ناام کاربری و رمز عبور هستش.

دومین تکنیک حملات نفوذ به دیتابیس سایت هست ، که اگر از سایت خودتون بکاپ نداشته باشین کارتون تمومه.

سومین تکنیک وجود باگ ، خطای نرم افزاری در پلاگین ها و قالب سایت های وردپرسی هست که باعث دسترسی هکر به سایت شما میشه.

حمله به چوپان گله ،هسته وردپرس

هکر های خبره و کاربلد با پیدا کردن حفره های نفوذ در خود وردپرس به سایت شما نفوذ می کنن در این حد اعلائ از هک سایت شما هر چقدر هم امن باشه هک میشه چون مشکل از شما نیست از خود وردپرس هست، و ما امید واریم اینجور حفره ها رو هر چه سریعتر تیم توسعه دهنده وردپرس برطرف کنه، البته تیم توسعه هنده وردپرس قوی هست و کمتر از این جور مشکلات پیش میاد پس نگران نباشید.

با سلطان اروم، اروم قدم بزنید تا وردپرس رو امن کنیم!

1. همیشه وردپرس خودتون رو به روز کنید.
2. همیشه روزانه یا هفتگی از سایت بکاپ بگیرید.
3. از نام کاربری قابل حدس استفاده نکنید.
4. استفاده از رمز عبور قوی
5. از قالب و افزونه های مطمئن استفاده کنید.
6. انتخاب هاست امن برای وردپرس
7. دادن دسترسی سایت به افراد مورد اعتماد
8. تغییر دوره‌ای رمز کلیه کاربران در وردپرس
9. افزایش امنیت صفحه ورود به وردپرس
10. استفاده از افزونه امنیت وردپرس
11. بررسی فعالیت کاربران در وردپرس
12. استفاده از SSL در وردپرس
13. تغییر پیشوند جداول وردپرس
14. غیرفعال کردن مشاهده پوشه‌های هاست
15. غیرفعال کردن ویرایشگر قالب و افزونه
16. غیرفعال کردن اجرای فایل PHP در وردپرس
17. غیرفعال کردن XML-RPC
18. افزایش امنیت فایل wp-config.php
19. افزایش امنیت فایل htaccess.
20. افزایش امنیت پوشه wp-admin
21. محدود کردن دسترسی به پوشه های هاست
22. افزایش امنیت پوشه wp-includes
23. استفاده از کلیدهای امنیتی وردپرس برای احراز هویت استفاده کنید.

1- همیشه وردپرس خودتون رو به روز کنید

بیش از ۶۳% از تمامی سیستم های مدیریتی وردپرس فعال در دنیای وب، نسخه ۴٫۰٫۰ و به پایین هستند.نکته ایی که هکر ها هرگز از ان غافل نشده اند.

پس راه دیگر افزایش امنیت وردپرس، استفاده از آخرین نسخه ی وردپرس یا بروز رسانی وردپرس های قدیمی است.راهی که باعث ایمن بودن هسته ی وردپرس در برابر حمله های هکرها میشود. همیشه تیم توسعه دهنده وردپرس حفره های نرم افزاری رو در نسخه های جدید بر طرف می کنه و این به معنی هک شدن سایت شما در صورت اپدیت نکردن هستش.

2- همیشه روزانه یا هفتگی از سایت بکاپ بگیرید

با بکاپ روزانه یا هفتگی از اطلاعات حساس خودتون محافظت کنید، هکر هایی وجود دارن که با سرقت دیتابیس سایت شما از شما در خواست باج می کنن ومعلوم نیست که اطلاعات رو بر گردونن ، پس با گرفتن بکاپ دست باج گیر ها رو کم کنید. به غیر از هکر ها اتفاقات زیاد دیگه ای هم می تونه باعث نابودی اطلاعات حساس شما بشه پس بکاپ بگیر دوست من.

3- از نام کاربری قابل حدس استفاده نکنید

از نام های کاربری قابل حدس برای هکر ها استفاده نکنید مثله ، admin , modir , administrator استفاده از این نام های کاربری باعث میشه هکر نام کاربری شما رو حدس بزنه و با حملات بروت فورس رمز شما رو پیدا کنه و اونوقته که سایت شما دیگه هک شده. از نام های ترکیبی استفاده کنید.

4- استفاده از رمز عبور قوی

استفاده از رمز عبور ضعیف مثله عدد خالی یا حروف خالی باعث راحت تر هک شدن سایت شما میشه، از پسورد های ترکیبی استفاده کنید، هکر های با استفاده از برنامه های مخصوصی پسورد های ضعیف رو در کمتر از یک ساعت حدس میزنن.

5- از قالب و افزونه های مطمئن استفاده کنید

از قالب و افزونه ای که نصب می کنید باید مطمئن باشید ، هکر ها می تونن با دستکاری کد های قالب یا افزونه یه راه نفوذ یا در پشتی برای خودشون بذارن و صد ها بار سایت شما رو هک کنن و شما هم نمیتونی بفهمی چطوری، یه افزونه یا قالب الوده می تونه دودمان شما رو به باد بده.

6- انتخاب هاست امن برای وردپرس

همیشه ایراد از وردپرس ،قالبف افزونه و یا تنظیمات امنیتی سایت شما نیست، در این مرحله هاستینگ ها با رعایت نکردن موارد امنیتی با عث به خطر افتادن سایت شما میشن ، هکر ها بعد از نفوذ به سرور هاست شما عملا کنترل کامل سایت شما رو در دست میگیرن و با یه دکمه خداحافظ، در انتخاب هاست دقت کنید.

7- دادن دسترسی سایت به افراد مورد اعتماد

اگه سایت وردپرسی شما چند مدیر و نویسنده داره شما باید دسترسی این افراد رو محدود کنید، اگه دسترسی این افراد محدود نشه هر کدوم از این افراد با کمی اطلاعات می تونن اقدام به هک سایت وردپرسی شما کنن، پس در این مورد کمی حساس باشید و دسترسی افزاد رو به کمک افزونه  Advanced Access Manager محدود کنید تا خیالیتون از بابت خودی ها راحت باشه و روی غریبه ها تمرکز کنید.

8- تغییر دوره‌ای رمز کلیه کاربران در وردپرس

رمز کاربران سایت شما به روش های مختلفی میتونه هک بشه و به دست هکر های بیفته، حالا معلوم نیست اون کاربر مدیره یا نویسنده و یا ..... هر کدوم با سطح دسترسی های مختلف می تونه خطر ناک باشه ، با اجباری کردن تغیر رمز عبور دوره ای از شر این مشکلات خلاص بشید. با استفاده از افزونه Expire Passwords می تونید تنظیم کنید کاربران به صورت دوره ای در مدت معینی مثلا هر دو ماه رمز خودشون رو عوض کنن.

9- افزایش امنیت صفحه ورود به وردپرس

یکی از قسمت های مهم امنیت وردپرس تنظیمات مربوط به صفحات وروده که اگر درست تنظیم بشه شما بازی رو بردین و اگر درست تنظیم نشه 6 - 0 به هکر باختین. تنظیماتی که می تونین برای صفحه ورود انجام بدین ، ایجاد سوال و پاسخ هستش یا رمز دو مرحله و ....

تغییر آدرس صفحه ورود به وردپرس

وردپرس به صورت پیشفرض از آدرس wp-login.php برای صفحه ورود استفاده میکنه که با مراجعه کردن به آدرس wp-admin هم به صورت خودکار به این صفحه هدایت خواهید شد. بنابراین اگر شخصی نام کاربری و رمز شما را بدونه به راحتی میتونه وارد پیشخوان وردپرس شده و کارهایی را در اون انجام بده.

برای همین میتونید این آدرس و آدرس wp-admin را تغییر داده و از آدرس دلخواه استفاده کنید . این کار رو می تونید با افزونه های امنیتی وردپرس به راحتی انجام بدید.

محدودیت در تعداد دفعات ورود به وردپرس

وردپرس به صورت پیشفرض هیچ محدودیتی برای تعداد دفعات تلاش برای ورود در سایت قرار نداده و این فرصت این رو به هکر میده تا با استفاده از تکنیک بروت فورس یوزر وپس سایت شما رو پیدا کنه. پس با محدود کردن تعداد دفعات ورود در وردپرس این امکان رو از هکر ها بگیرید تا نتونن یوزر و پس سایت شما رو حدس بزنن. این کار رو می تونید با استفاده از افزونه های امنیتی وردپرس به راحتی انجام بدید.

محدودیت در ورود با ایمیل در وردپرس

از نسخه 3 به بعد وردپرس قابلیتی به این سیستم مدیریت محتوا اضافه شد که علاوه بر نام کاربری بتونید با ایمیلی که دارید هم در وردپرس وارد شوید. بنابراین از اونجایی که با ایمیل استفاده شده با بسیاری از افراد در ارتباط هستید پس امکان نفوذ در سایت به ندونستن نام کاربری فراهم خواهد بود. برای غیرفعال کردن این قابلیت وارد هاست خودتون شده و سپس به مسیر /public_html/wp-content/themes/ مراجعه کنید. حالا وارد پوشه قالبی که ازش استفاده می‌کنید شده و قطعه کد زیر را در فایل فانکشن(functions.php) قالب قرار داده و ذخیره کنید.

remove_filter( ‘authenticate’,’wp_authenticate_email_password’, 20 );

بعد از قرار دادن کد بالا دیگه امکان ورود با ایمیل در وردپرس را نخواهید داشت و فقط با استفاده از نام کاربری میتونید وارد وردپرس شوید.

استفاده از کپچا وردپرس

یکی از موارد تو مخی ارسال پیام های اسپم به شماست که علاوه بر شلوغ شدن داشبورد مدیریتی شما با عث لود بالای سی پی یو و رم هاست شما میشه و امان داره که سایت شما از دسترس خارج بشه، بیشتر این اسپم ها رو روبات ها ارسال می کنن ، شما با قرار دادن یه کپچا ساده می تونید این نوع حملات هکر ها رو هم رفع کنید. شما با استفاده از افزونه Google Captcha به راحتی می تونید برای سایت وردپرسی خودتون کپچا بزارید.

ورود دو مرحله‌ای گوگل در وردپرس

تقریبا دو سالی هست که گوگل برنامه Google Authenticator را برای فراهم کردن قابلیت ورود دو مرحله‌ای فراهم کرده است. در این پروژه دیگه نیازی نیست که حتما کد تایید برای ورود به اکانت را از طریق SMS روی شماره دریافت کنید، بلکه میتونید برنامه مخصوص اندروید و IOS را روی گوشی خودتون نصب کرده و کدهایی که به صورت خودکار در این برنامه تولید میشه را برای کد ورود استفاده کنید. این سیستم محدود به محصولات گوگل نیست و با استفاده از این قابلیت میتونید امکان ورود دو مرحله‌ای گوگل در وردپرس را هم فراهم کنید.

سوال امنیتی در صفحه ورود وردپرس

یکی دیگه از موارد که باعث افزایش امنیت سایت های وردپرسی میشه سوال های امنیتی هست و تا وقتی که کاربر به این سوال پاسخ نده نمیتوه وارد پنل خودش بشه. شما با استفاده از افزونه WP Security Question می تونید برای سایت وردپرسی خودتون سوال های امنیتی بذارین.

غیرفعال کردن پیغام خطاهای وردپرس

هنگام ورود به وردپرس اگه دقت کرده باشین ، وقتی یوزر یا پس رو اشتباه می زنید وردپرس به شما اخطار میده که کدوم اشتباهه و هکر با استفاده از همین ارور یک قدم به هک یوزر و پس شما نزدیکتر میشه.

برای غیرفعال کردن این قابلیت کد بالا را در فایل فانکشن(functions.php) قالب خودتون قرار داده و ذخیره کنید.

// Remove error message on login screen

add_filter('login_errors', create_function('$a', 'return null;'));

10- استفاده از افزونه امنیت وردپرس

افزونه‌های امنیتی مختلفی برای وردپرس ساخته شده‌اند که امکان فراهم کردن قابلیت‌های امنیتی را در وردپرس به شما خواهند داد. افزونه wordfence وردپرس یکی از پرطرفدارترین افزونه‌های امنیتی در وردپرس هست که به شما امکان افزایش امنیت وردپرس و جلوگیری از هک سایت را خواهد داد. با استفاده از این افزونه میتونید بیشتر راهکارهایی که در بالا به معرفی اونها پرداختیم را فقط با این افزونه فراهم کنید.

یکی دیگه از افزونه‌های امنیتی در وردپرس افزونه امنیت وردپرس iThemes Security هست که امکاناتی مثل بک آپ گیری خودکار از دیتابیس وردپرس را به شما میده که هر زمان سایت مورد حمله قرار گرفته بود بتونید با استفاده از نسخه پشتیبان وردپرس مشکلات را برطرف کنید.

11- بررسی فعالیت کاربران در وردپرس

یکی از روش های هکر ها، هک سایت شما در قالب یه یوزر سایت هست، اونها با ساختن یه یوزر ساده و ارتقا سطح دسترسیشون راحت تر میتونن نقاط ضعف سایت وردپرسی شما رو پیدا کنن و سایت شما رو هک کنن. با استفاده از افزونه Audit Trail شما می تونید بر روی فعالیت هایی مثله، آپلود فایل، تغییر و ویرایش مطالب، کارهایی که بر روی افزونه‌ها انجام میگیره و.. را مشاهده و کاربری که چنین فعالیت‌هایی را انجام داده است را شناسایی کنید و در صورت مشاهده فعالیت مشکوک یوزر هکر رو ببندید.

12- استفاده از SSL در وردپرس

استفاده از SSL هم باعث بالا رفتن رنک سئو سایت امنیت وب سایت شما خواهد شد، SSL مثله فیلتر شکن با رمزنکاری داده های ارسالی و دریافتی بین کاربر و سایت مانع از این میشه که هکر این اطلاعات رو شنود کنه و به رمز های ورود دست پیدا کنه. از شرکتی که هاست گرفتین در خواست SSL کنید، دو نوع داره رایگان و پریمیوم که سالانه بین 200 تا 300 هزار تومن هستش. پیشنهاد من استفاده از نسخه پریمیوم هست.

13- تغییر پیشوند جداول وردپرس

در حالت پیش‌فرض، وردپرس از _wp به‌عنوان پیشوند جداول در پایگاه داده وردپرس استفاده می‌کنه. حالا در صورتی که هنگام نصب وردپرس اقدام به تغییر دادن آن نکرده باشید امنیت سایت شما از بخش دیتابیس کاهش پیدا خواهد کرد که لازمه اقدام به تغییر پیشوند جداول بکنید.

14- غیرفعال کردن مشاهده پوشه‌های هاست

با استفاده از دستور زیر اجازه دیددن محتویات پوشه های وب سایت خودتون رو به هکر ندین، هکر می تونه با دیدن محتویات پوشه ها فایل های شما رو به راحتی دانلود کنه ، فرض کنید شما یه سایت اموزشی دارین یا فروش فایل ،ببینید در صورت انجام ندادن همچین تنظیمات ساده ای چه بلایی سر کاسبی شما میاد.

1. وارد هاست خود شده و به مسیر public_html مراجعه کنید.
2. فایل htaccess. را در ریشه وب سایت خود جستجو کرده و سپس برای ویرایش آن اقدام کنید.
3. دستور Options -Indexes را در انتهای فایل .htaccess اضافه کنید.
4. در نهایت فایل را ذخیره کنید.

15- غیرفعال کردن ویرایشگر قالب و افزونه

یکی از قابلیت‌های وردپرس استفاده از ویرایشگر کد در پیشخوان وردپرس هست که در منوهای نمایش و افزونه‌ها قرار داره و با استفاده از این دو منو به ترتیب میتونید به کلیه فایل‌های قالب وردپرس و افزونه وردپرس دسترسی داشته و آنها را ویرایش کنید. اگر شخصی بتونه وارد پیشخوان وردپرس بشه به راحتی میتونه با وارد کردن کدهای مخرب کارهای خراب کارانه در سایتتون ایجاد بکنه که برای غیرفعال کردن این قابلیت میتونید به ترتیب زیر عمل کنید.

1. وارد هاست خود شده و به مسیر public_html مراجعه کنید.
2. فایل wp-config.php را که در ریشه هاست قرار دارد را انتخاب کرده و به صفحه ویرایش فایل مراجعه کنید.
3. حالا قطعه کد زیر را در بخش define این فایل قرار داده و ذخیره کنید.

// Disallow file edit

define( 'DISALLOW_FILE_EDIT', true );

بعد از قرار دادن کد بالا امکان ویرایش فایل‌های قالب و افزونه از طریق ویرایشگر پیشخوان وردپرس غیرفعال خواهد شد.

16- غیرفعال کردن اجرای فایل PHP در وردپرس

اگه هکر به پوشه اپلود سایت شما دسترسی پیدا کنه با اجرای یک دستور ساده PHP می تونه سایت شما رو هک کنه، بنابر این ما باید اجرای دستورات PHP رو در پوشه اپلود وردپرس ممنوع کنیم، پوشه اپلود فقط برای اپلود فایل های شما به کار میره و استفاده دی گه ای نداره ، پس بنابر این منطقی هست برای حفظ امنیت اجرای دستورات PHP رو در این پوشه ببندیم.

1. وارد هاست خود شده و به مسیر public_html/wp-content/uploads مراجعه کنید.
2. یک فایل با نام htaccess. بسازید و کدهای زیر را در آن قرار دهید.

<Files *.php>

deny from all

</Files>

بعد از قرار دادن کد بالا در فایل htaccess. که در این پوشه قرار داره به صورت کلی امکان اجرای PHP در این مسیر غیرفعال خواهد شد.

17-غیرفعال کردن XML-RPC

فایل XML-RPC وردپرس امکان مدیریت از راه دور را در وردپرس خواهد داد که از جمله این موارد میشه به امکان استفاده از برنامه اندروید، برنامه ویندوز وردپرس یا سرویس‌هایی مثل IFTTT اشاره کرد. با استفاده از تابع system.multicall هکر میتونه همزمان 20 درخواست را به سایت ارسال کرده و اقدام به پیدا کردن رمز ورود در وردپرس بکنه که علاوه بر این امکان حملات DDOS هم از این طریق فراهم هست. با استفاده از افزونه Disable XML-RPC وردپرس می تونید این قابلیت وردپرس رو غیر فعال کنید.

18- افزایش امنیت فایل wp-config.php

فایل wp-config.php یکی از مهم‌ترین فایل‌های هر سایت وردپرسی است که اطلاعات دیتابیس در این فایل قرار دارد. بنابراین در حفظ اطلاعات این فایل باید دقت کافی را داشته باشید و با استفاده از هر ترفندی که میدونید دسترسی به این فایل را محدود کنید تا کسی جز خود شما قادر به مشاهده این فایل نباشد.

1. ابتدا وارد هاست خود شده و سپس روی گزینه File manager کلیک کنید تا به مسیر مدیریت فایل‌ها در هاست هدایت شوید.
2. سپس وارد مسیر public_html شده و دنبال فایل wp-config.php بگردید.
3. روی فایل راست کلیک کرده و گزینه Move را انتخاب کنید.
4. مسیر مورد نظر برای انتقال فایل را انتخاب کنید و سپس فایل را انتقال دهید.
5. با کلیک روی دکمه New File در هاست خود یک فایل جدید با نام wp-config.php در مسیر public_html بسازید و کدهای زیر را در آن قرار دهید.

define('ABSPATH', dirname(__FILE__) . '/');

require_once(ABSPATH . '../path/to/wp-config.php');

حالا همونطور که در کد بالا میبینید به جای ../path/to/wp-config.php مسیری که فایل اصلی wp-config.php را به اون منتقل کردید را وارد کرده و فایل را ذخیره کنید.

امنیت فایل wp-config.php را به کمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:

<files wp-config.php>
order allow,deny
deny from all
</files>

19- افزایش امنیت فایل htaccess.

یکی دیگه از فایل‌های مهم در وردپرس htaccess. هست که با استفاده از اون میشه کارهای مختلفی را روی هر سایت اعمال کرد. این فایل با استفاده از دستوراتی که میتونه اجرا کنه در محافظت از فایل‌ها و پوشه‌های وردپرس نقش به‌سزایی را داره که میتونید با استفاده کردن از دستورات فایل htaccess. امنیت سایت را افزایش دهید.

20- افزایش امنیت پوشه wp-admin

پوشه wp-admin هم یکی از مهم‌ترین پوشه‌های وردپرس هست که همونطور که از اسم این پوشه مشخصه کارهای مربوط به مدیریت پیشخوان وردپرس را به عهده داره که با دسترسی به این پوشه میشه به راحتی با تزریق کدهایی در فایل‌های موجود در این پوشه به صورت کلی پیشخوان وردپرس را به هم ریخت. برای افزایش امنیت این پوشه میتونید از کارهایی مثل رمزگذاری روی پوشه wp-admin در هاست سی پنل استفاده کنید.

21- محدود کردن دسترسی به پوشه های هاست

سطح دسترسی پوشه های زیر در هاست را روی 755 (user account) قرار دهید :

سطح دسترسی فایلهای داخل آنها بر روی 644 قرار گیرد.

/wp-admin/
/wp-includes/
/wp-content/
/wp-content/themes/
/wp-content/plugins/

22- افزایش امنیت پوشه wp-includes

امنیت پوشه wp-includes را به کمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:

# Block the include-only files.
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]

23- استفاده از کلیدهای امنیتی وردپرس برای احراز هویت استفاده کنید.

کلید‌های امنیتی وردپرس و احراز هویت در یک همکاری قدرتمند برای محافظت از کوکی‌ها و رمزهای عبور در بین مرورگر و وب‌سرور فعالیت می‌کنند. لطفا کلیدهای احراز هویت را با پسوردهای رندوم اشتباه نگیرید. این کلیدها وظیفه حفاظت و بهبود امنیت در برابر کوکی‌ها را برعهده دارند.
برای این منظور باید تغییراتی را در wp-config.php به کمک کلیدهای امنیتی انجام داد.