امنیت وردپرس با نصب یک افزونه یا تغییر نام صفحه ورود کامل نمی‌شود. یک برنامه قابل اجرا باید احتمال نفوذ را کم کند، دامنه آسیب را محدود نگه دارد و مسیر بازیابی داشته باشد. برای سایت خدمات میزبانی، حساب‌های مدیریتی، فرم‌ها و داده مشتری نیز بخشی از همین برنامه‌اند؛ امنیت مسئولیت مشترک سایت و میزبان است.
اولویت اول: کاهش سطح حمله
هسته، قالب، افزونه و PHP را در نسخه پشتیبانی‌شده نگه دارید و منبع دریافت را تأیید کنید. افزونه بلااستفاده را پس از بررسی وابستگی از نصب حذف کنید، نه اینکه فقط نامش را عوض کنید. پیش از تغییر بزرگ، کپی آزمایشی و بکاپ قابل بازگردانی داشته باشید. بسته کرک‌شده یا فایل با منبع نامعلوم می‌تواند از ابتدا زنجیره اعتماد را بشکند.
حساب و نشست را کنترل کنید
- برای هر همکار حساب مستقل و حداقل نقش لازم تعریف کنید.
- برای مدیران از رمز یکتا، مدیر رمز و MFA سازگار استفاده کنید و روش بازیابی آن را امن نگه دارید.
- حساب‌های ترک‌کارکرده، توکن‌ها و Application Passwordهای بلااستفاده را بازبینی کنید.
- دسترسی مدیریتی موقت باید مالک، هدف و زمان پایان داشته باشد؛ مخفی‌بودن username مانع قطعی حمله نیست.
فایل، شبکه و اجرای کد
مدیریت فایل را با انتقال رمزگذاری‌شده انجام دهید و مجوز نوشتن را فقط به مسیر و حساب لازم بدهید. کد آپلودشده توسط کاربران نباید قابل اجرای سرور باشد. اگر نیازی به ویرایشگر فایل پیشخوان ندارید، ثابت DISALLOW_FILE_EDIT می‌تواند آن امکان را ببندد، اما جای وصله و کنترل دسترسی را نمی‌گیرد. تغییر پیکربندی باید با امکان بازیابی فایل انجام شود.
حفاظت در برابر درخواست مخرب
محدودسازی تلاش ورود، WAF و کنترل bot را با ترافیک واقعی تنظیم کنید. مسدودکردن کلی REST API، admin-ajax یا همه درخواست‌های یک کشور می‌تواند کاربر و امکانات سایت را هم قطع کند. قانون خطای مثبت را از شناسه و لاگ همان رخداد تشخیص دهید و استثنا را به حداقل مسیر و نیاز محدود کنید.
بکاپ و تشخیص رخداد
- بکاپ فایل و دیتابیس را خارج از همان فضای در معرض خطر نگه دارید.
- بازیابی را روی محیط جدا آزمایش و زمان قابل قبول بازگشت را ثبت کنید.
- تغییر حساب مدیر، نصب افزونه و فایل غیرمنتظره را پایش کنید.
- برای رخداد، مسئول تماس، حفظ شواهد، محدودسازی دسترسی و بازگردانی نسخه سالم را از پیش مشخص کنید.
بازبینی دوره‌ای چه خروجی‌ای دارد؟
یک فهرست کوتاه از نسخه‌های پشتیبانی‌شده، مدیرهای مجاز، آخرین آزمون بازیابی و هشدارهای رسیدگی‌نشده داشته باشید. تعداد افزونه امنیتی یا نمره یک اسکن، جای این شواهد عملی را نمی‌گیرد.
مطالعه مرتبط
منابع و مستندات
بازبینی محتوا و منابع: ۲۶ مهر ۱۴۰۵.
