امنیت هاست و امنیت برنامه دو لایه مرتبط اما متفاوت‌اند. میزبان می‌تواند زیرساخت را مدیریت کند، ولی افزونه آسیب‌پذیر، رمز لو‌رفته مدیر یا کد اختصاصی ناامن همچنان سایت را در معرض خطر می‌گذارد. محدوده مسئولیت باید متناسب با نوع سرویس و قرارداد روشن باشد؛ عبارت «هاست امن» جای فهرست تعهدها و مسیر پاسخ به رخداد را نمی‌گیرد.
در سرویس شما چه کسی مسئول است؟
| موضوع | آنچه باید روشن شود |
|---|---|
| سیستم‌عامل و وب‌سرور | مسئول وصله، پایان عمر و پایش سرویس |
| هسته و افزونه سایت | مسئول آزمون سازگاری و نصب به‌روزرسانی |
| بکاپ | دامنه داده، زمان نگهداری، محل مستقل و آزمون restore |
| رخداد امنیتی | روش تماس، حفظ شواهد و اختیار محدودسازی |
حساب‌هایی فراتر از پیشخوان
ایمیل بازیابی، پنل میزبانی، ثبت‌کننده دامنه و DNS را هم حفاظت کنید. نفوذ به یکی از این مسیرها می‌تواند کنترل سایت را بدون ورود مستقیم وردپرس تغییر دهد. حساب مشترک مدیر ایجاد نکنید و MFA و دسترسی تفویضی محدود را در سرویس‌های پشتیبانی‌کننده بررسی کنید. کلید API و رمز دیتابیس نباید در تیکت عمومی یا screenshot دیده شود.
داده و فایل حساس
- بکاپ دیتابیس و تنظیمات دارای رمز را در document root قابل دانلود نگذارید.
- برای چند سایت، جداسازی حساب و سطح دسترسی را متناسب با سرویس اجرا کنید.
- انتقال فایل را با SFTP یا روش رمزگذاری‌شده معتبر انجام دهید؛ نام FTP به‌تنهایی تضمین رمزگذاری نیست.
- مجوز 777 و خاموش‌کردن عمومی حفاظت، راه استاندارد رفع خطای permission نیست.
پیش از تحویل یا مهاجرت
- فهرست مدیرها، مسیرهای مدیریت و اشخاص دارای دسترسی را ثبت کنید.
- نسخه برنامه و runtime و تاریخ پایان پشتیبانی را کنترل کنید.
- یک restore واقعی در محیط مستقل و یک آزمون هشدار انجام دهید.
- URLهای مهم، HTTPS، فرم و ارسال ایمیل را از بیرون کنترل کنید.
- دسترسی آزمایشی، فایل تشخیصی و نسخه بکاپ عمومی را پس از تحویل جمع کنید.
اگر احتمال نفوذ وجود دارد
صرف تغییر رمز یا نصب اسکنر اثبات پاک‌سازی نیست. زمان رخداد، تغییرات فایل و حساب‌ها را حفظ و دسترسی درگیر را محدود کنید. اعتبارنامه‌های افشاشده از یک دستگاه سالم تعویض و علت اولیه رفع شود. برای داده مشتری یا پرداخت، پاسخ سازمانی و الزامات مربوط باید توسط مسئول همان حوزه بررسی شود؛ شواهد را برای تمیزشدن ظاهر پنل پاک نکنید.
مطالعه مرتبط
منابع و مستندات
بازبینی محتوا و منابع: ۲۶ مهر ۱۴۰۵.
