امنیت وردپرس یکی از مهم ترین دغدغه ها در بین مدیران وب سایت های وردپرسی می باشد . مدیرانی که همه تلاش خود را می کنند که امنیت وردپرس خود را افزایش داده و مانع خراب کاری هکرها شوند . گاهی دیده می شود که هیچ کدام از این تلاش ها کاربرد نداشته و در نهایت یک هکر وب سایت آن ها را هک می کند . در این گونه مواقع اولین سوالی که هر کس از خود می پرسد این است که “از کجا هک شده ام ؟” این جاست که پس از بررسی متوجه می شوند که عدم رعایت یک نکنه کوچک باعث بروز این همه دردسر شده است…
وردپرس هم مانند کلیه سیستم های مدیریت محتوا روی امنیت خود سرمایه گذاری زیادی کرده است و هر چند وقت یکبار یک آپدیت امنیتی ارائه می کند . اما شاید ندانید که هکرها حتی از فهمیدن ورژن وردپرس یک سایت می توانند آن را هک کنند ! در این مطلب ۱۴ راه آسان را به شما معرفی می کنیم که با رعایت کردن آن ها می توانید به راحتی مانع بخش عظیمی از دسترسی های غیر مجاز به وب سایت خود شده و امنیت وردپرس خود را تا حد زیادی افزایش دهید . در ادامه مطلب همراه ما باشید .
۱۴ راه آسان برای افزایش امنیت وردپرس
انتقال فایل wp-config.php به یک پوشه بالاتر:
اگر هاست شما اجازه دسترسی به پوشه های غیر عمومی روی سرور را به شما می دهد ، خیلی راحت فایل wp-config.php را از ریشه وردپرس کات کرده و آن را در یک پوشه بالاتر قرار دهید . وردپرس برای این قابلیت به صورت پیش فرض برنامه ریزی شده و سایت شما دچار مشکل نخواهد شد . اما اگر به دلایلی مشکلی برای سایت پیش آمد کافی است فایل را به جای قبلی خود بازگردانید . این روش باعث می شود که هکر ها به سختی بتوانند به این فایل حیاتی دسترسی پیدا کنند ، فراموش نکنید که فایل wp-config.php اطلاعات مربوط به دیتابیس را در خود ذخیره کرده است .
پیغام های خطا هنگام ورود به وردپرس را تغییر دهید:
به صورت پیش فرض هنگامی که یک کاربر قصد ورود به وردپرس را دارد در صورت اشتباه وارد کردن نام کاربری یا رمز عبور ، وردپرس دقیقا یک پیغام نمایش می دهد که مشخص می کند که کدام یک اشتباه وارد شده است . این اطلاعات ظاهرا بی ارزش برای هکر ها حکم کلید ورود به سایت شما را دارند ، برای تغییر این پیغام به پیغام جایگزین و بهتر کد زیر را به فایل functions.php قالب اضافه کنید :
[php]
function wrong_login() {
return ‘نام کاربری یا رمز عبور اشتباه است.’;
}
add_filter(‘login_errors’, ‘wrong_login’);
[/php]
از هر نام کاربری غیر از admin برای مدیر استفاده کنید:
در چند سال اولی که وردپرس شروع به کار کرد این کلمه به صورت پیش فرض به عنوان نام کاربری مدیر انتخاب می شد و کاربر نمی توانست آن را تغییر دهد ! هکر ها هم این را می دانند و همچنین می دانند که بسیاری از کاربران تازه کار همچنان از این نام کاربری استفاده می کنند ، بنابراین اولین کلمه ای که برای هک سایت شما انتخاب می کنند همین کلمه admin می باشد . پس هرگز از این نام کاربری استفاده نکنید .
ویرایشگر فایل وردپرس را غیر فعال کنید:
اگر از ویرایشگر فایل ها در وردپرس استفاده نمی کنید ، پیشنهاد خوبی است که این بخش را غیر فعال کرده و جلوی دسترسی به آن را بگیرید . زیرا ممکن است یک هکر وارد وردپرس شما شود و از این بخش سو استفاده کند و کدهای مخرب خود را در پوسته ها و افزونه های شما وارد کند . برای غیر فعال کردن این بخش کد زیر را در فایل functions.php قالب وارد کنید .
[php]
// Disable the theme / plugin text editor in Admin
define(‘DISALLOW_FILE_EDIT’, true);
[/php]
فایل readme.html را حذف کنید و یا نام آن را تغییر دهید:
فایل readme.html در وردپرس اطلاعاتی از قبیل ورژن فعلی وردپرس را در خود نگه می دارد ، این هم یعنی یک چراغ سبز برای هکر ها . پس این فایل را با خیال راحت حذف کرده و یا نام آن را تغییر دهید . این فایل در ریشه وردپرس جایی که فایل wp-config.php وجود دارد یافت می شود .
فایل install.php را حذف کنید و یا نام آن را تغییر دهید:
فایل install.php در پوشه wp-admin قرار دارد ، این فایل پس از نصب وردپرس هیچ کارایی برای شما ندارد . هکرها ممکن است از این فایل برای تزریق کدهای آلوده به دیتابیس و هک سایت شما استفاده کنند . پس این فایل را نیز با خیال راحت حذف کرده و یا نام آن را تغییر دهید .
فایل upgrade.php را حذف کنید و یا نام آن را تغییر دهید:
شرایط فایل upgrade.php چه از نظر مکان قرارگیری و چه از نظر خطر آن برای وب سایت شما دقیقا مشابه فایل install.php می باشد ، پس این فایل را نیز حذف کرده و یا نام آن را تغییر دهید .
حذف ورژن فعلی وردپرس از سورس صفحات سایت:
اگر همین الان سورس وب سایت خود را مشاهده کنید ، به احتمال زیر خط زیر را پیدا خواهید کرد :
[php]
<meta name="generator" content="WordPress 4.0" />
[/php]
برای حذف کردن این خط از سورس صفحات سایت کد زیر را به فایل functions.php قالب اضافه کنید :
[php]
function remove_version() {
return ”;
}
add_filter(‘the_generator’, ‘remove_version’);
[/php]
کاربر با شناسه “۱” را حذف کنید:
داشتن یک کاربر با دسترسی ادمین و شناسه کاربری “۱” در بعضی شرایط نادر راهنمای هکرها برای هک کردن وب سایت شما محسوب می شود . اگر نمی خواهید در این شرایط نادر گیر کنید ، به راحتی یک کاربر جدید با دسترسی ادمین ایجاد کنید و توسط آن وارد سایت شوید ، سپس از بخش کاربران ، کاربر با شناسه “۱” را حذف کنید .
گزینه “هر کسی می‌تواند نام‌نویسی کند” را غیر فعال کنید:
اگر احتیاجی ندارید که کاربران در وب سایت شما عضو شوند ، گزینه “هر کسی می‌تواند نام‌نویسی کند” را غیر فعال کنید . این گزینه در بخش تنظیمات > همگانی قابل دسترسی است .
از پیشوند “wp_” برای جداول دیتابیس استفاده نکنید:
تغییر این پیشوند پس از نصب وردپرس یک مقدار وقت گیر و سخت می باشد ، پس به شما توصیه می کنیم که هنگام نصب وردپرس از یک پیشوند دیگر به جای “wp_” برای جداول وردپرس در دیتابیس استفاده کنید . مثلا می توانید از پیشوند “w0rd_” استفاده کنید .
مطمئن شوید قابلیت خطایاب وردپرس غیر فعال باشد:
خطایاب وردپرس علاوه بر اینکه باعث کند شدن وب سایت شما می گردد ، باعث گیج شدن کاربران و ارائه اطلاعات مهم به هکر ها نیز می شود . پس مطمئن شوید که این قابلیت کاربردی در مواقعی که از آن استفاده نمی کنید غیر فعال باشد . برای این کار فایل wp-config.php را برای ویرایش باز کنید و خط زیر را در آن پیدا کرده و مطمئن شوید که مقدار آن برابر false باشد .
[php]
define(‘WP_DEBUG’, false);
[/php]
همچنین در این فایل خطایاب جاوا اسکریپت را نیز چک کنید و مطمئن شوید که مقدار آن نیز برابر false باشد :
[php]
define(‘SCRIPT_DEBUG’, false);
[/php]
پوسته ها و افزونه های بدون استفاده را حذف کنید:
اگر از آن استفاده نمی کنید ، حذفش کنید ! رها کردن این فایل ها برای هکر ها شرایط مفیدی را ایجاد می کند ، بعضا دیده شده که این پوسته ها و افزونه های بدون استفاده ، باعث آلوده شده قالب اصلی و افزونه های سالم شده اند .
مطمئن باشید که همه چیز به روز باشد:
آخرین نکته این مطلب هم به نکته ای مهم اشاره می کند : همیشه همه چیز (مثل هسته وردپرس ، قالب ها و افزونه ها) را به روز نگه دارید .
اگر با هر نوع مشکلی در این زمینه مواجه شدید می توانید از طریق فرم ارسال دیدگاه این مطلب پاسخ تان را دریافت کنید!
همچنین اگر راه های دیگری برای افزایش امنیت وردپرس سراغ دارید به ما و سایر دوستان در همین بخش دیدگاه ها معرفی کنید 🙂
