برای محدود کردن ورود هم‌زمان یک حساب در وردپرس، باید تعداد نشست‌های فعال را مدیریت کنید، نه صرفاً IP کاربران را. وردپرس امکان مدیریت نشست دارد، اما تعیین یک سقف عمومی برای همه حساب‌ها معمولاً به افزونه سازگار یا توسعه اختصاصی نیاز دارد. این محدودیت می‌تواند اشتراک رمز را سخت‌تر کند، ولی مانع کامل آن نیست.
نشست با دستگاه و IP یکسان نیست
دو مرورگر روی یک لپ‌تاپ ممکن است دو نشست بسازند. چند کاربر پشت اینترنت سازمانی می‌توانند IP مشترک داشته باشند و یک کاربر موبایل هم ممکن است IP عوض کند. به همین دلیل، مسدودکردن بر اساس IP جای سیاست نشست را نمی‌گیرد. ورود یکپارچه، Application Passwords و اپ موبایل هم ممکن است مسیر احراز هویت متفاوتی از کوکی مرورگر داشته باشند.
قبل از نصب ابزار، سیاست را مشخص کنید
- حداکثر نشست برای هر نقش یا طرح عضویت چند مورد باشد؟
- وقتی سقف پر شد، ورود تازه رد شود یا قدیمی‌ترین نشست خاتمه یابد؟
- آیا کاربر می‌تواند نشست‌های خود را مشاهده و خارج کند؟
- برای پشتیبانی و مدیر، چه استثنای محدود و مستندی لازم است؟
- کاربر چه پیام روشنی در صورت محدودیت می‌بیند؟
سقف یک نشست برای همه ممکن است کاربران واقعی را بین موبایل و رایانه جابه‌جا و از کار خارج کند. سیاست را با ماهیت خدمت و شرایط استفاده هماهنگ کنید؛ نه فقط با هدف کاهش تعداد ورود.
استفاده از افزونه معتبر مدیریت نشست
برای نمونه، Loggedin در مخزن رسمی وردپرس برای کنترل ورود هم‌زمان و خروج نشست‌ها ارائه شده است. قبل از انتخاب، سازگاری نسخه فعلی، شیوه شمارش نشست و سیاست رسیدن به سقف را در مستندات همان نسخه بررسی کنید. در staging نصب و با حساب آزمایشی تنظیم کنید؛ نام منو و امکانات ممکن است در نسخه‌های مختلف تفاوت کند. انتخاب یک نام در مقاله به معنی تضمین سازگاری با تمام افزونه‌های عضویت نیست.
کدهای نامشخصی که شناسه کاربران را بدون بررسی نقش یا شرایط در فهرست مجاز می‌گذارند کپی نکنید. توسعه اختصاصی باید از API نشست وردپرس استفاده کند و توکن یا کوکی را در لاگ عمومی ذخیره نکند.
سناریوی آزمون قبل از اعمال روی کاربران
- با یک کاربر آزمایشی در مرورگر اول وارد شوید و یک کار واقعی انجام دهید.
- در مرورگر دوم یا نمایه مستقل وارد شوید و رفتار رسیدن به سقف را بررسی کنید.
- در مرورگر اول، وضعیت ورود، سبد خرید و فرم در حال تکمیل را کنترل کنید.
- خروج دستی، پایان نشست و گزینه «مرا به خاطر بسپار» را آزمایش کنید.
- عضویت، SSO و اپ موبایل را اگر وجود دارند جدا تست کنید.
صفحات حساب و خطای نشست نباید در کش عمومی ذخیره شوند. در شبکه چندسایته، دامنه کوکی و رفتار احراز هویت شبکه نیازمند بررسی جداست.
امنیت و بازگشت
محدودیت نشست جای رمز قوی، احراز هویت دومرحله‌ای و کنترل تلاش ورود را نمی‌گیرد. قبل از تغییر، راه دسترسی مدیریتی مجاز و نسخه پشتیبان داشته باشید تا خودتان قفل نشوید. اگر ورود مشتریان مختل شد، سیاست قبلی را برگردانید و لاگ پالایش‌شده و سناریوی بازتولید را بررسی کنید. برای کاربران درباره تعداد نشست مجاز شفاف باشید و داده شناسایی دستگاه را بیش از نیاز نگه ندارید.
منابع و دامنه راهنما
این راهنما بر پایه مستندات رسمی زیر بازبینی شده است. نام گزینه‌ها و امکانات ممکن است با نسخه نرم‌افزار یا سطح دسترسی سرویس شما تفاوت داشته باشد.
