امنیت سایت وردپرس بیشتر از هر چیز به چند عادت ساده بستگی دارد: به‌روز نگه داشتن هسته و افزونه‌ها، رمزهای قوی با ورود دومرحله‌ای، بکاپ منظم بیرون از سرور و حذف هر چیزی که استفاده نمی‌شود. بیشتر سایت‌های وردپرسی که هک می‌شوند قربانی حمله‌ی هدفمند نیستند؛ ربات‌ها به‌صورت خودکار دنبال افزونه‌ی قدیمی یا رمز ضعیف می‌گردند و هر سایتی را که پیدا کنند آلوده می‌کنند.
در این مقاله اول می‌گوییم امنیت سایت چیست، بعد ۱۵ کار دفاعی را به ترتیب اهمیت می‌آوریم و در آخر می‌گوییم اگر سایت وردپرسی هک شده است، چه کار کنید.
امنیت سایت چیست؟
امنیت سایت یعنی سه چیز را حفظ کنید:
- محرمانگی: اطلاعات مشتری‌ها و پنل مدیریت دست کسی نیفتد.
- درستی: کسی نتواند محتوا، لینک‌ها یا کد سایت را بی‌اجازه تغییر دهد.
- دسترس‌پذیری: سایت بالا بماند و اگر مشکلی پیش آمد، سریع برگردد.
هک شدن فقط به معنی صفحه‌ی سیاه با پیام هکر نیست. گاهی سایت ظاهراً سالم است ولی لینک‌های مخفی تبلیغاتی در آن تزریق شده یا کاربران گوشی را به سایت دیگری می‌فرستد. این نوع آلودگی معمولاً دیرتر کشف می‌شود و به اعتبار سایت در گوگل آسیب می‌زند.
۱۵ کار ضروری برای امنیت سایت وردپرس
۱. هسته‌ی وردپرس را به‌روز نگه دارید
به‌روزرسانی‌های امنیتی برای بستن حفره‌های شناخته‌شده منتشر می‌شوند. سایتی که ماه‌ها به‌روز نشده، حفره‌هایش عمومی شده است.
۲. افزونه‌ها و قالب را به‌روز کنید
بیشتر نفوذها از افزونه‌ها و قالب‌های قدیمی است، نه از خود وردپرس. قبل از به‌روزرسانی بکاپ بگیرید و بعد از آن سایت را چک کنید.
۳. افزونه‌ها و قالب‌های بلااستفاده را حذف کنید
افزونه‌ی غیرفعال هم روی سرور است و ممکن است آسیب‌پذیر باشد. هر چه استفاده نمی‌کنید پاک کنید.
۴. هرگز افزونه یا قالب نال (کرک‌شده) نصب نکنید
نسخه‌های کرک‌شده‌ی افزونه‌های پولی یکی از رایج‌ترین راه‌های ورود کد مخرب به سایت‌اند. فقط از منبع رسمی یا فروشنده‌ی اصلی نصب کنید.
۵. رمز عبور قوی و یکتا
برای هر حساب مدیر یک رمز طولانی و یکتا بسازید و آن را در یک مدیر رمز عبور نگه دارید. رمزی که در جای دیگری هم استفاده کرده‌اید، برای پنل سایت مناسب نیست.
۶. ورود دومرحله‌ای را فعال کنید
با ورود دومرحله‌ای، حتی اگر رمز لو برود، ورود به پنل بدون کد دوم ممکن نیست.
۷. تعداد تلاش‌های ورود را محدود کنید
با محدود کردن تلاش ناموفق و در صورت امکان کپچا روی فرم ورود، حمله‌های حدس رمز بی‌اثر می‌شوند.
۸. نام کاربری admin را کنار بگذارید
نام کاربری پیش‌فرض اولین حدس ربات‌هاست. یک حساب مدیر با نام دیگر بسازید و حساب قدیمی را حذف کنید.
۹. دسترسی‌ها را حداقلی کنید
نویسنده‌ی محتوا به نقش مدیر کل نیاز ندارد. به هر نفر فقط همان سطحی را بدهید که کارش لازم دارد و حساب کسانی را که دیگر همکاری نمی‌کنند غیرفعال کنید.
۱۰. بکاپ خودکار بیرون از سرور
بکاپ روزانه یا هفتگی از فایل‌ها و دیتابیس بگیرید و جایی غیر از همان سرور نگه دارید. بکاپی که روی سرور هک‌شده است، ممکن است خودش آلوده یا پاک شده باشد. هر چند وقت یک‌بار بازگردانی بکاپ را تست کنید.
۱۱. SSL و HTTPS اجباری
همه‌ی صفحه‌ها را روی HTTPS ببرید تا رمز و اطلاعات فرم‌ها رمزنگاری‌شده منتقل شوند.
۱۲. فایروال وب و محدودیت دسترسی
یک فایروال وب در سطح هاست یا سرور، بسیاری از درخواست‌های مخرب را قبل از رسیدن به وردپرس می‌گیرد. اگر امکانش هست، دسترسی به پنل مدیریت را به آی‌پی‌های مشخص محدود کنید.
۱۳. ویرایش فایل از داخل پیشخوان را ببندید
وردپرس اجازه می‌دهد کد قالب و افزونه را از داخل پنل ویرایش کنید. این امکان را در تنظیمات غیرفعال کنید تا اگر کسی به پنل رسید، نتواند مستقیم کد بنویسد.
۱۴. هاست و سرور امن
نسخه‌ی PHP به‌روز، جداسازی سایت‌ها روی هاست اشتراکی و دسترسی درست به فایل‌ها، بخشی از امنیت سایت است که دست میزبان است. هاست ارزان و قدیمی می‌تواند همه‌ی تلاش‌های شما را بی‌اثر کند.
۱۵. پایش و گزارش منظم
اسکن دوره‌ای فایل‌ها، بررسی کاربران جدید و نگاه به هشدارهای سرچ کنسول گوگل کمک می‌کند آلودگی را زود ببینید. هر چه زودتر کشف شود، رفع هک سایت ساده‌تر است.
نشانه‌های سایت وردپرسی هک شده
- کاربران از ریدایرکت به سایت‌های ناشناس، به‌خصوص روی موبایل، خبر می‌دهند.
- در نتایج گوگل عنوان‌ها یا صفحه‌هایی می‌بینید که خودتان نساخته‌اید.
- کاربر مدیر ناشناس در پنل اضافه شده است.
- سایت ناگهان کند شده یا مصرف منابع هاست بالا رفته است.
- مرورگر یا گوگل هشدار سایت خطرناک نشان می‌دهد.
- هاست به‌خاطر ارسال اسپم یا فایل مشکوک اخطار داده است.
اگر سایت وردپرسی هک شده است، اول چه کنیم؟
- آرام بمانید و چیزی را عجولانه پاک نکنید؛ ممکن است شواهد لازم برای پیدا کردن راه نفوذ از بین برود.
- رمز همه‌ی حساب‌ها را عوض کنید: پنل وردپرس، هاست، FTP، دیتابیس و ایمیل مرتبط.
- کاربران ناشناس را غیرفعال کنید و فهرست مدیران را بررسی کنید.
- به هاست اطلاع دهید؛ گاهی آن‌ها لاگ و بکاپ سالم‌تری دارند.
- اگر بکاپ سالم قبل از آلودگی دارید، بازگردانی را بررسی کنید، اما بدون بستن راه نفوذ، سایت دوباره آلوده می‌شود.
- بعد از پاک‌سازی، همه چیز را به‌روز کنید و از سرچ کنسول بررسی مجدد بخواهید.
رفع هک سایت فقط پاک کردن فایل‌های آلوده نیست؛ باید راهی که مهاجم از آن آمده پیدا و بسته شود. اگر این کار برایتان سخت است، خدمت امنیت سایت و رفع آسیب‌پذیری برای همین طراحی شده است.
پشتیبانی وردپرس؛ امنیت یک کار ماهانه است
بیشتر کارهای بالا یک‌بار انجام نمی‌شوند؛ به‌روزرسانی، بکاپ و پایش باید ماهانه تکرار شوند. اگر کسی در مجموعه‌ی شما مسئول این کارها نیست، یک قرارداد پشتیبانی سایت در نظر بگیرید. پشتیبانی سایت در تولیدی محتوا در آبان ۱۴۰۵ از ۱٬۹۰۰٬۰۰۰ تومان در ماه است و قیمت به‌روز در همان صفحه آمده است.
سؤالات رایج
آیا وردپرس ذاتاً ناامن است؟
نه. هسته‌ی وردپرس مرتب بررسی و به‌روز می‌شود. مشکل معمولاً افزونه‌های قدیمی، رمزهای ضعیف و نبودن بکاپ است.
یک افزونه‌ی امنیتی کافی است؟
کمک می‌کند، اما جای به‌روزرسانی، رمز قوی و بکاپ را نمی‌گیرد. امنیت سایت مجموعه‌ای از عادت‌هاست.
هر چند وقت یک‌بار بکاپ بگیرم؟
به تعداد تغییرات سایت بستگی دارد. فروشگاهی که روزانه سفارش دارد، بکاپ روزانه لازم دارد.
جمع‌بندی
امنیت سایت وردپرس با چند کار ساده‌ی تکراری به دست می‌آید: به‌روزرسانی، رمز قوی و ورود دومرحله‌ای، بکاپ بیرون از سرور و حذف چیزهای اضافه. اگر می‌خواهید وضعیت سایتتان بررسی و سخت‌سازی شود یا سایت هک‌شده‌ای دارید، جزئیات را در صفحه‌ی خدمات امنیت سایت ببینید.