امنیت سایت وردپرس؛ ۱۰ اقدام ضروری برای جلوگیری از هک

امنیت سایت وردپرس فقط دغدغه‌ی برنامه‌نویس‌ها نیست؛ اولین خط دفاع از اعتبار و درآمد کسب‌وکار شماست.

وردپرس محبوب‌ترین سیستم مدیریت محتوا است و دقیقاً به همین دلیل، هدف همیشگی ربات‌ها و هکرها هم هست. یک سایت هک‌شده یعنی توقف فروش، افت رتبه در گوگل و از دست رفتن اعتماد مشتری.

خبر خوب این است که بیشتر حمله‌ها با چند اقدام ساده و منظم قابل پیشگیری است. در این راهنمای عملی، ۱۰ اقدام ضروری را قدم‌به‌قدم مرور می‌کنیم؛ مناسب صاحبان کسب‌وکار در دبی و امارات که می‌خواهند سایتشان همیشه آنلاین و ایمن بماند.

چرا امنیت سایت وردپرس این‌قدر مهم است؟

هکرها معمولاً سایت خاصی را هدف نمی‌گیرند. ابزارهای خودکار هزاران سایت را اسکن می‌کنند و سراغ سایت‌هایی می‌روند که به‌روزرسانی نشده‌اند یا رمز ضعیف دارند.

پیامدهای هک شدن وردپرس فقط فنی نیست:

• نمایش پیام یا تبلیغات ناخواسته به بازدیدکننده
• هدایت کاربران به سایت‌های مخرب
• هشدار «این سایت ناامن است» در مرورگر و گوگل
• سرقت اطلاعات مشتریان
• افت شدید ترافیک و رتبه سئو

پیشگیری همیشه ارزان‌تر از ترمیم است. هزینه‌ی امنیت سایت وردپرس در مقایسه با خسارت یک حمله ناچیز است. پس بیایید از اقدام اول شروع کنیم.

اقدام ۱: هسته، قالب و افزونه‌ها را به‌روز نگه دارید

بیشتر نفوذها از آسیب‌پذیری‌های شناخته‌شده در نسخه‌های قدیمی وارد می‌شوند. به‌روزرسانی ساده‌ترین راه برای تقویت امنیت سایت وردپرس است. توسعه‌دهندگان با هر به‌روزرسانی، همین حفره‌ها را می‌بندند.

• هسته‌ی وردپرس را همیشه به آخرین نسخه برسانید.
• افزونه‌ها و قالب‌ها را هفته‌ای یک بار بررسی کنید.
• قبل از به‌روزرسانی بزرگ، نسخه‌ی پشتیبان بگیرید.
• از افزونه‌ها و قالب‌های نال‌شده (کرک‌شده) استفاده نکنید؛ اغلب حاوی بدافزارند.

اقدام ۲: رمز عبور قوی و احراز هویت دومرحله‌ای

رمز ضعیف، ساده‌ترین در ورود برای مهاجم است و امنیت سایت وردپرس را از همان ابتدا تضعیف می‌کند. رمز مدیر سایت باید طولانی، یکتا و ترکیبی از حروف، عدد و نماد باشد.

• نام کاربری «admin» را حذف یا تغییر دهید.
• یک رمز یکتا برای هر سرویس بگذارید و از مدیر رمز عبور (Password Manager) استفاده کنید.
• احراز هویت دومرحله‌ای (2FA) را برای همه‌ی مدیران فعال کنید.
• رمز کاربران قدیمی یا همکاران سابق را فوراً غیرفعال کنید.

اقدام ۳: یک افزونه امنیت وردپرس معتبر نصب کنید

یک افزونه امنیت وردپرس خوب چند کار را یک‌جا انجام می‌دهد: فایروال، اسکن بدافزار، محدودیت ورود و گزارش رویدادها.

هنگام انتخاب افزونه به این موارد دقت کنید:

• به‌روزرسانی مداوم و پشتیبانی فعال توسعه‌دهنده
• نظرات و امتیاز کاربران در مخزن رسمی وردپرس
• سبک بودن و تأثیر کم روی سرعت سایت

یادتان باشد فقط یک افزونه امنیتی فعال کنید. چند افزونه‌ی هم‌نقش با هم تداخل پیدا می‌کنند و سایت را کند می‌کنند.

اقدام ۴: بک‌آپ منظم؛ بیمه‌ی واقعی سایت شما

هیچ سیستم امنیتی صددرصد نیست و امنیت سایت وردپرس بدون پشتیبان کامل نیست. اگر روزی اتفاقی افتاد، یک بک‌آپ منظم و سالم شما را در چند دقیقه به حالت قبل برمی‌گرداند.

• فایل‌ها و دیتابیس را هر دو پشتیبان بگیرید.
• سایت‌های پربازدید یا فروشگاهی: بک‌آپ روزانه. سایت‌های معرفی: هفتگی.
• نسخه‌ها را در جایی خارج از هاست اصلی (فضای ابری یا سرور دیگر) نگه دارید.
• هر چند وقت یک بار، بازیابی بک‌آپ را روی یک نسخه‌ی آزمایشی تست کنید.

اقدام ۵: گواهی SSL و اجبار به HTTPS

گواهی SSL ارتباط بین مرورگر کاربر و سایت را رمزنگاری می‌کند. بدون آن، اطلاعات فرم‌ها و ورود می‌تواند در مسیر شنود شود.

پس از نصب گواهی، مطمئن شوید همه‌ی آدرس‌ها به نسخه‌ی HTTPS هدایت می‌شوند و در صفحات، محتوای ناامن (Mixed Content) وجود ندارد. HTTPS برای اعتماد کاربر و سئو هم مفید است.

اقدام ۶: ورود به پنل را محدود و محافظت کنید

در بحث امنیت سایت وردپرس، صفحه‌ی ورود وردپرس همیشه زیر حمله‌ی حدس رمز (Brute Force) است. چند تنظیم ساده خطر را بسیار کم می‌کند:

• تعداد تلاش ناموفق ورود را محدود کنید (مثلاً ۵ بار).
• برای فرم ورود، کپچا یا چالش امنیتی بگذارید.
• در صورت امکان، آدرس پیش‌فرض wp-admin را تغییر دهید یا با فهرست IP محدود کنید.
• ویرایشگر فایل داخل پیشخوان را غیرفعال کنید.

اقدام ۷: افزونه‌ها و قالب‌های بلااستفاده را حذف کنید

برای حفظ امنیت سایت وردپرس، فقط کدهایی را نگه دارید که واقعاً لازم دارید. افزونه‌ی غیرفعال هم می‌تواند آسیب‌پذیر باشد. هر کد اضافه یعنی یک در پشتی بالقوه.

• افزونه‌ها و قالب‌هایی که استفاده نمی‌کنید را کامل حذف کنید، نه فقط غیرفعال.
• فقط از منابع معتبر مثل مخزن رسمی وردپرس یا سایت توسعه‌دهنده دانلود کنید.
• افزونه‌هایی که سال‌هاست به‌روزرسانی نشده‌اند را با گزینه‌ی بهتر جایگزین کنید.

اقدام ۸: دسترسی فایل‌ها و نقش کاربران را درست تنظیم کنید

اصل «حداقل دسترسی» در امنیت سایت وردپرس بسیار مهم است. هر کاربر فقط به چیزی که لازم دارد دسترسی داشته باشد.

• نویسنده‌ها و ویراستارها نباید نقش مدیر کل داشته باشند.
• مجوز فایل‌ها معمولاً ۶۴۴ و پوشه‌ها ۷۵۵ باشد.
• فایل wp-config.php را با تنظیمات سرور محافظت کنید.
• پیشوند جدول‌های دیتابیس را از حالت پیش‌فرض تغییر دهید (در نصب جدید).

اقدام ۹: فایروال و اسکن بدافزار را فعال کنید

فایروال برنامه‌های وب (WAF) درخواست‌های مشکوک را قبل از رسیدن به سایت شما مسدود می‌کند. اسکن دوره‌ای هم فایل‌های تغییریافته و کدهای مخرب را پیدا می‌کند.

اگر هاست شما فایروال سطح سرور دارد، حتماً آن را فعال کنید. می‌توانید به‌جای ساختن همه‌چیز از صفر، راهنمای رسمی وردپرس درباره‌ی سخت‌سازی امنیتی وردپرس (Hardening) را هم مرور کنید.

اقدام ۱۰: تست امنیت سایت و پایش مداوم

امنیت یک کار یک‌باره نیست. تست امنیت سایت باید بخشی از برنامه‌ی منظم نگهداری باشد.

• گزارش ورودها و تغییر فایل‌ها را به‌طور دوره‌ای مرور کنید.
• ماهی یک بار اسکن آسیب‌پذیری انجام دهید.
• در Google Search Console به پیام‌های «مسائل امنیتی» دقت کنید.
• برای تغییرات مشکوک، هشدار ایمیلی فعال کنید.

اگر وقت یا تخصص کافی ندارید، می‌توانید این بخش را به متخصص بسپارید. تیم وب‌سیتی در خدمات امنیت وردپرس تست، پایش و مقاوم‌سازی سایت شما را انجام می‌دهد.

اگر هک شدن وردپرس اتفاق افتاد چه کنیم؟

خونسردی خود را حفظ کنید و به ترتیب این مراحل را انجام دهید:

1. سایت را موقتاً در حالت تعمیر قرار دهید تا بازدیدکننده آسیب نبیند.
2. رمز مدیر وردپرس، هاست، FTP و دیتابیس را عوض کنید.
3. با اسکن کامل، فایل‌های آلوده و کاربران ناشناس را پیدا و پاک کنید.
4. در صورت نیاز، آخرین بک‌آپ سالم را بازیابی کنید.
5. هسته، قالب و افزونه‌ها را به‌روز کنید و راه نفوذ را ببندید.
6. اگر گوگل سایت را ناامن علامت زده، درخواست بازبینی ثبت کنید.

برای هک‌های پیچیده بهتر است سراغ متخصص بروید. داشتن پلن پشتیبانی سایت هم باعث می‌شود در چنین لحظه‌ای یک تیم آماده کنار شما باشد.

در ضمن، پایش، به‌روزرسانی و بک‌آپ منظم از وظایف ثابت خدمات پشتیبانی سایت است.

چک‌لیست سریع امنیت سایت وردپرس

اگر وقت کمی دارید، این چک‌لیست کوتاه را امروز اجرا کنید. هر مورد یک لایه به امنیت سایت وردپرس شما اضافه می‌کند:

• آخرین نسخه‌ی هسته، قالب و افزونه‌ها نصب شده است.
• رمز مدیر قوی است و احراز هویت دومرحله‌ای روشن است.
• یک افزونه امنیت وردپرس معتبر فعال و تنظیم شده است.
• بک‌آپ منظم گرفته می‌شود و یک نسخه خارج از هاست دارید.
• گواهی SSL فعال است و همه‌ی صفحات روی HTTPS باز می‌شوند.
• تعداد تلاش ناموفق ورود محدود شده است.
• افزونه‌ها و کاربران بلااستفاده حذف شده‌اند.
• فایروال و اسکن بدافزار فعال است و گزارش‌ها بررسی می‌شود.

اگر حتی دو یا سه مورد از این فهرست را نمی‌توانید تیک بزنید، وقت آن است که تست امنیت سایت را جدی بگیرید. بسیاری از کسب‌وکارها فقط بعد از اولین حمله سراغ امنیت سایت وردپرس می‌روند؛ شما می‌توانید پیش از آن اقدام کنید.

سوالات متداول درباره امنیت سایت وردپرس

جمع‌بندی

امنیت سایت وردپرس با یک تنظیم ساده ساخته نمی‌شود؛ حاصل چند عادت درست و منظم است: به‌روزرسانی، رمز قوی، بک‌آپ منظم، فایروال و تست دوره‌ای.

اگر این ۱۰ اقدام را اجرا کنید، احتمال هک شدن وردپرس به‌شدت کم می‌شود و در صورت بروز مشکل، سریع به حالت عادی برمی‌گردید.

کار امنیتی را به تعویق نیندازید. یک ساعت وقت امروز می‌تواند از هفته‌ها توقف کسب‌وکار جلوگیری کند.