امنیت وردپرس مجموعه‌ای از کارهای مستمر برای کم‌کردن احتمال نفوذ و محدودکردن خسارت است. نصب یک افزونه یا تغییر نام ورود، جای به‌روزرسانی و کنترل حساب‌ها را نمی‌گیرد. برنامهٔ مناسب باید با امکانات سایت، نقش کاربران و قابلیت‌های لازم مثل فروشگاه و ارتباط‌های بیرونی هماهنگ باشد.
اولویت‌های امنیت وردپرس
ابتدا فهرست هسته، قالب‌ها و افزونه‌های فعال را تهیه کنید. نسخه‌های پشتیبانی‌شده را نگه دارید، تغییر مهم را در محیط آزمایشی بسنجید و راه برگشت داشته باشید. ابزار بلااستفاده را پس از بررسی وابستگی حذف کنید. بسته‌ها را از مخزن رسمی WordPress.org یا سازندهٔ معتبر بگیرید؛ رایگان‌بودن به‌تنهایی نشانهٔ ناامن‌بودن نیست.
حساب مدیر و ورود دومرحله‌ای
برای هر شخص حساب جدا با حداقل دسترسی لازم بسازید. رمز طولانی و یکتا را با مدیر رمز تولید و نگهداری کنید؛ رمز نمونهٔ داخل آموزش را استفاده نکنید. ایمیل بازیابی و حساب هاست نیز باید محافظت شوند، چون مسیر بازگشت به سایت هستند.
برای حساب‌های حساس، احراز هویت دومرحله‌ای سازگار با سایت فعال کنید و کدهای بازیابی را امن و جدا نگه دارید. افزونهٔ Two Factor یکی از گزینه‌های مخزن است. هر افزونه‌ای که نام Google Authenticator دارد الزاماً ساختهٔ گوگل نیست؛ سازنده و روش بازیابی را بررسی کنید.
کنترل تلاش ورود و فرم‌ها
محدودیت نرخ و هشدار تلاش ورود می‌تواند سوءاستفاده را کاهش دهد، اما احتمال نفوذ را صفر نمی‌کند. تنظیم بیش‌ازحد سخت ممکن است کاربران واقعی را قفل کند. پشت پروکسی، IP مبدأ باید درست تشخیص داده شود.
کپچا را بر اساس نوع سوءاستفاده و تجربهٔ کاربر انتخاب کنید. نبود کپچا به معنی نفوذ قطعی نیست. reCAPTCHA v3 نمرهٔ ریسک می‌دهد؛ برنامه باید پاسخ و action را سمت سرور بررسی و رفتار مناسب تعیین کند. افزودن اسکریپت آن به‌تنهایی کل سایت را ایمن نمی‌کند. secret key را در تصویر یا کد عمومی قرار ندهید.
بازبینی کاربران بدون حذف کورکورانه
از بخش کاربران پیشخوان، نقش، ایمیل و نیاز کاری هر حساب را بررسی کنید. قبل از حذف حساب اضافی، مالکیت نوشته‌ها و داده‌های وابسته را تعیین تکلیف کنید. حذف مستقیم ردیف از جدول users می‌تواند اطلاعات وابسته را باقی بگذارد و جای جریان صحیح مدیریت کاربران نیست. نام پیشوند دیتابیس نیز برای همه wp_ نیست.
فایل‌ها، ارتباط‌ها و فایروال
فایل پیکربندی، خروجی SQL و بسته‌های نصب یا مهاجرت نباید از وب قابل دریافت باشند. پاک‌سازی فایل‌های موقت را مطابق ابزار سازنده انجام دهید؛ هر فایل همنام را بدون شناخت حذف نکنید. نام غیرقابل حدس دیتابیس، مجوز دسترسی نامناسب را جبران نمی‌کند.
نیاز XML-RPC، API و admin-ajax.php را پیش از محدودسازی مشخص کنید. حفاظت کامل پوشهٔ مدیریت می‌تواند AJAX عمومی یا ارتباط مجاز را بشکند. مصرف بالای admin-ajax الزاماً حمله نیست؛ درخواست و افزونهٔ ایجادکننده باید شناسایی شود.
انتخاب ابزار امنیتی و پایش
یک مجموعهٔ سازگار از ابزارها انتخاب کنید؛ چند افزونه با قواعد مشابه ممکن است تداخل ایجاد کنند. نام افزونه‌ها تغییر می‌کند: صفحهٔ رسمی ابزار قدیمی iThemes Security اکنون با عنوان Kadence Security ارائه می‌شود. امکانات هر نسخه را از همان صفحه بخوانید و همهٔ گزینه‌ها را بدون بررسی فعال نکنید.
لاگ ورود و تغییر فایل‌ها را نگه دارید و برای هشدارها مسئول مشخص داشته باشید. نسخهٔ پشتیبان جدا از هاست همراه با آزمون بازیابی، خسارت رخداد را کاهش می‌دهد. اگر نشانهٔ نفوذ وجود دارد، حفظ شواهد، بستن مسیر ورود، بررسی فایل و حساب و تعویض اعتبارنامه‌های درگیر باید هماهنگ انجام شوند؛ تغییر رمز به‌تنهایی پاک‌سازی کامل نیست.
منابع تکمیلی: امن‌سازی وردپرس، مدیریت کاربران، رفتار reCAPTCHA v3 و محدودکردن تلاش ورود.
مطالعهٔ مرتبط
بازبینی فنی: ۱۳ آبان ۱۴۰۵. تاریخ انتشار اولیه و نشانی قبلی حفظ شده‌اند.
