چطور امنیت سایت وردپرسی رو تضمین کنیم

وردپرس به‌دلیل محبوبیت بالا، هدف مکرر حملات خودکار و اسکن‌های آسیب‌پذیری قرار می‌گیرد. در این مطلب لایه‌های امنیتی اصلی و اقدامات فنی لازم برای محافظت از سایت وردپرسی را بررسی می‌کنیم.

۱. به‌روزرسانی مداوم هسته، قالب و افزونه‌ها

بیشتر آسیب‌پذیری‌های شناخته‌شده در وردپرس مربوط به نسخه‌های قدیمی هسته، قالب یا افزونه‌هاست.

اقدامات فنی:

• فعال‌سازی به‌روزرسانی خودکار نسخه‌های Minor هستهٔ وردپرس (define('WP_AUTO_UPDATE_CORE', 'minor') در wp-config.php)
• حذف افزونه‌ها و قالب‌های غیرفعال و استفاده‌نشده به‌جای صرفاً غیرفعال کردن آن‌ها
• بررسی دورهٔ Changelog افزونه‌ها پیش از به‌روزرسانی روی محیط Production

۲. مدیریت احراز هویت و دسترسی

نقطهٔ ورود اصلی حملات Brute Force صفحهٔ ورود (wp-login.php) است.

راهکارهای فنی:

• فعال‌سازی احراز هویت دو مرحله‌ای (۲FA) برای همهٔ حساب‌های مدیریتی
• محدودسازی تعداد تلاش ورود ناموفق (Login Lockdown)
• تغییر آدرس پیش‌فرض صفحهٔ ورود از /wp-login.php به یک مسیر سفارشی
• حذف حساب‌های کاربری با نام‌کاربری admin و استفاده از نام‌های غیرقابل‌حدس

۳. پیکربندی صحیح فایل‌ها و دسترسی‌ها

تنظیم نادرست مجوز فایل‌ها (File Permissions) می‌تواند مسیر نفوذ ایجاد کند.

مقادیر استاندارد پیشنهادی:

• فایل‌ها: 644
• پوشه‌ها: 755
• فایل wp-config.php: 600 (محدودتر، چون اطلاعات اتصال دیتابیس را نگه می‌دارد)

همچنین غیرفعال‌سازی ویرایش فایل از پنل مدیریت با افزودن define('DISALLOW_FILE_EDIT', true); در wp-config.php از دسترسی مهاجم در صورت نفوذ به پنل جلوگیری می‌کند.

۴. فایروال برنامهٔ وب (WAF)

فایروال درخواست‌های مخرب را پیش از رسیدن به وردپرس فیلتر می‌کند.

دو رویکرد رایج:

• WAF سطح افزونه (مثل Wordfence): درخواست‌ها را در سطح PHP بررسی می‌کند
• WAF سطح شبکه/CDN (مثل Cloudflare): درخواست‌ها را پیش از رسیدن به سرور فیلتر می‌کند و بار پردازشی کمتری روی هاست ایجاد می‌کند

ترکیب هر دو لایه معمولاً بهترین پوشش را ایجاد می‌کند.

۵. رمزنگاری ارتباط (SSL/TLS)

استفاده از HTTPS در سراسر سایت (نه فقط صفحهٔ پرداخت) الزامی است.

نکات فنی:

• اطمینان از عدم وجود Mixed Content (بارگذاری منابع HTTP در صفحهٔ HTTPS)
• تنظیم Redirect ۳۰۱ از HTTP به HTTPS در سطح سرور یا .htaccess
• فعال‌سازی HSTS (Strict-Transport-Security header) برای اجبار مرورگر به استفاده از HTTPS

۶. پشتیبان‌گیری منظم و مستقل

در صورت وقوع نفوذ، پشتیبان‌گیری معتبر تنها راه بازگشت سریع است.

اصول فنی:

• ذخیرهٔ نسخه‌های پشتیبان روی سروری جدا از هاست اصلی
• تست دورهٔ فرآیند Restore (پشتیبانی که تست نشده، قابل‌اتکا نیست)
• نگهداری حداقل چند نسخهٔ تاریخی (نه فقط آخرین نسخه) برای مواجهه با نفوذهایی که مدتی قبل از کشف رخ داده‌اند

۷. مانیتورینگ و لاگ‌گیری

شناسایی زودهنگام فعالیت مشکوک، آسیب را محدود می‌کند.

ابزارها و اقدامات:

• فعال‌سازی لاگ تغییرات فایل (File Integrity Monitoring) برای شناسایی تغییرات غیرمجاز در فایل‌های Core
• بررسی دورهٔ لاگ‌های دسترسی سرور برای الگوهای غیرعادی (مثل درخواست‌های مکرر به wp-admin)
• اتصال به سرویس‌های هشدار (Email/Slack) برای اطلاع فوری از فعالیت‌های حساس مثل تغییر رمز عبور یا افزودن کاربر جدید

جمع‌بندی

امنیت وردپرس یک اقدام یک‌باره نیست بلکه فرآیندی مداوم است. ترکیب به‌روزرسانی منظم، کنترل دسترسی، فایروال، رمزنگاری، پشتیبان‌گیری و مانیتورینگ لایه‌های دفاعی مکملی می‌سازند که ریسک نفوذ را به‌طور چشمگیری کاهش می‌دهند.