8 نکته امنیتی برای امنیت وردپرس
امنیت وبسایت نگرانی بزرگ هر مدیر وبسایت و وبلاگنویس است. وبلاگهایی که روی هاست شخصی هستند از وبلاگهای میزبانی شده در سرویسهایی مانند بلاگر آسیپ پذیرترند. برای راه اندازی و مدیریت سایت و وبلاگ روی هاست های شخصی، معمولا از برنامه های مدیریت محتوا یا CMS استفاده می شود. سیستم های مدیریت محتوا، نرم افزارهای تحت وبی هستند که همزمان کار ادیتور متن، دیتابیس و مدیریت مطالب و محتوای یک سایت را بر عهده دارند. وردپرس یکی از پر کاربردترین سیستمهای مدیریت محتوا است. بنابراین این سیستم مدیریت محتوا مبدل به هدف اصلی حملات به وبسایت*ها شده است. اگر وب*سایت شما ترافیک بالایی دارد، هکرها چنین سایت*هایی را در نظر می*گیرند تا اطلاعات شخصی حساس را سرقت کنند.
بنابراین به عنوان مدیر یا سردبیر یک وبلاگ وردپرسی، بسیار ضروری است تا نکات امنیتی لازم را دانسته و با استفاده از آن، دست هکرها را از اطلاعات تان کوتاه کنید. اینجا نکاتی وجود دارد که شما می*توانید با استفاده از آنها از وبلاگ*تان در برابر هکرها حفاظت کنید. این نکات امنیت 100% را برای تان به ارمغان نمی آورند. اما می*توانند کمک بسیاری در دور نگه داشتن یک هکر ایفا نموده و کار آنها را برای نفوذ به حریم خصوصی*تان سخت*تر کنند.
1. وردپرس را به آخرین نسخه آن به*روزرسانی نمایید
به محض اینکه نسخه* جدیدی انتشار یافت، وبلاگ*تان را ارتقا دهید. شما می*توانید از پلاگین Wordpress Automatic Upgrade برای ارتقا به نسخه آخر استفاده کنید. معمولا مسائل و باگ های امنیتی بزرگ در نسخه های ارتقا داده شده، برطرف می*شوند.
2. پلاگین*های*تان را پس از بررسی روند تغییرات آن به*روزرسانی نمایید
پلاگین*هایی که شما استفاده می*کنید تماما توسط دیگر برنامه*نویس*ها تهیه و توسعه داده می*شوند. بنابراین پلاگین*ها در برابر هک،ا بیشتر از خود وردپرس آسیپ*پذیرند. توصیه می*شود که پیش از اینکه از یک پلاگین استفاده کنید، صفحه مربوط به آن را با دقت بررسی کرده و نظرات و آمارها را بخوانید. همچنین، پلاگین*های*تان را به شکل منظم به*روزرسانی نمایید.
3. همانند پشتیبان*گیری کامل از وب*سایت، به طور کامل و منظم از پایگاه*داده*تان (database) پشتیبان*گیری کنید
احتمالا این مهمترین نکته است. از سایت*تان به صورت منظم پشتیبان*گیری نموده و آن را در مکانی امن ذخیره نمایید. این رفتار باعث می شود که اگر حتی وب*سایت*تان به خطر بیافتد، بتوانید سریعا آن را به آخرین نسخه پشتیبان سالم برگردانید. بدون پشتیبان*گیری، شما همه چیز را از دست خواهید داد.
برای اطلاعات بیشتر در خصوص پشتیبان گیری، در دوره «مبانی پشتیبان گیری از اطلاعات» سایت درسنامه شرکت کنید.
4. نام پیش*فرض کاربر مدیر (Admin) را حذف کرده یا تغییر دهید.
به صورت پیش*فرض، تمام وردپرس های نصب شده، با یک کاربر ادمین همراه است. این موضوع اولین چیزی است که یک هکر هنگام حمله به سایت شما، دنبال آن خواهد بود. شما باید این کاربر را حذف نمایید. ابتدا یک کاربر جدید با نام کاربری منحصر به فرد و سطح دسترسی کامل ایجاد کنید. سپس با استفاده از کاربر جدید لاگین نموده و آنگاه کاربر مدیر را حذف نمایید. هکر اکنون بایستی هر دوی نام کاربری و رمز عبورتان را کشف کند.
5. از رمزعبور امن استفاده کنید
این یک نکته امنیتی اساسی است: از نام یا تاریخ تولدتان به عنوان رمزعبور استفاده نکنید. این باعث آسان شدن کشف رمز می*شود. از ترکیبی از حروف بزرگ، حروف کوچک، اعداد و نشانه*ها در رمزعبور استفاده کنید و اطمینان حاصل نمایید که آن رمزعبور منحصر به فرد است.
6. پلاگین*های امنیتی نصب نمایید
پلاگین*های امنیتی بسیاری وجود دارد که شما می*توانید با نصب آنها سایت*تان را امن نگاه دارید. مانند WP Security Scan و WP Exploit Scanner. همچنین می*توانید از WP Firewall یا WP Antivirus استفاده کنید.
7. پوسته*های*تان (theme) را بررسی و به*روزرسانی نمایید
اگر خودتان پوسته را ساخته*اید، پیش از استفاده از قالب، ایرادهای امنیتی معمول و حفره*های امنیتی PHP آن را بررسی کنید. برای این منظور می*توانید از پلاگین WP Theme Scanner استفاده کنید. پوسته*های*تان را به*روزرسانی نمایید، مخصوصا برای پوسته*های مجانی به محض اینکه به*روز*رسانی توسط توسعه*دهنده در دسترس قرار گرفت این کار را انجام دهید.
8. از پوشه WP Admin حفاظت کنید
شاید بهتر باشد که فایل .htaccess را به پوشه WP admin تان بیافزایید؛ با این کار با مسدودسازی تمام آدرس*های IP به جز آی*پی خودتان، دسترسی به این پوشه و بخش مدیریت سایت را محدود خواهید ساخت. در زیر، کد .htaccess برای این کار وجود دارد. اطمینان حاصل نمایید که فایل .htaccess را در پوشه وردپرس*تان می*افزایید. اگر این فایل را در پوشه ریشه وبلاگ وردپرس*تان قرار دهید در این صورت تنها شما قادر به دسترسی به سایت هستید. بنابراین در سر و کار داشتن با دستورات htaccess مراقب باشید.
اجازه دهید پوشه WP Admin تنها توسط یک آی*پی خاص قابل دسترس باشد
Order deny,allow
deny from all
allow from 1.1.1.1
آدرس آی*پی 1.1.1.1 را به آدرس آی*پی کامپیوتر خودتان تغییر دهید. اگر وبلاگ*تان گروهی است، یا چندین مالک دارد، در این صورت دستور allow دیگر با آی*پی وبلاگ*نویس میهمان یا همکار*تان اضافه نمایید. من می*دانم بسیاری از کاربران آی*پی دینامیک و متغیری دارند. بنابراین اگر شما اجازه دسترسی به آی*پی ثابت فعلی*تان را دهید، پس از اینکه دوباره متصل شده و سعی به دسترسی به وبلاگ*تان داشته باشید، دسترسی شما قطع خواهد شد.
برای اجتناب از چنین موقعیتی لازم است به آی*پی*های دینامیک هم اجازه دسترسی دهید. اما این می*تواند بدین معنا باشد که برخی افراد همراه با شما می*توانند به پوشه WP Admin دسترسی داشته باشند.
اجازه دسترسی به یک مجموعه آی*پی پویا یا دینامیک
Order deny,allow
deny from all
allow from 1.1.1.*
ما در اینجا از کاراکتر * استفاده کردیم. این بدین معنا است که هرشخصی با آی*پی 1.1.1.0 تا 1.1.1.225 می*تواند به پوشه WP Admin دسترسی یابد.
دیگر راه برای محافظت از پوشه WP Admin رمزدار کردن خود پوشه است. اغلب سرویس های هاستینگ یا میزبانی، امکان Password Protect Directories را دورن سی*پنل برای تان فراهم مینمایند.
پاسخ با نقل قول
علاقه مندی ها (بوک مارک ها)