چگونه از هک شدن سایت وردپرسی جلوگیری کنیم

تأمین امنیت وردپرس یک اقدام یک‌باره نیست، بلکه فرآیندی مداوم از ایمن‌سازی لایه‌های مختلف از سرور تا مرورگر کاربر است. برای مصون نگه‌داشتن سایت در برابر نفوذ هکرها، باید حفره‌های امنیتی ساختاری را در سطح کد، هاست و مدیریت دسترسی‌ها مسدود کنید. در این مقاله جامع، تمامی راهکارهای عملی و فنی مورد نیاز برای سخت‌سازی (Hardening) وردپرس را بدون نیاز به دانش پیچیده برنامه‌نویسی بررسی می‌کنیم.

چرا سایت‌های وردپرسی هک می‌شوند؟ (تحلیل بردار‌های حمله)

بر خلاف تصور عمومی، اکثر حملات سایبری سایت‌های کوچک و متوسط را شخصاً هدف قرار نمی‌دهند؛ بلکه اسکریپت‌های خودکار (Botnet) وب را برای یافتن سایت‌های دارای آسیب‌پذیری مشخص اسکن می‌کنند. بر اساس آمارهای منتشرشده از موسسات امنیتی، حدود ۸۵ درصد از نفوذها به وردپرس از طریق چهار بردار حمله زیر رخ می‌دهد:

• افزونه‌ها و تم‌های غیرمعتبر یا نال‌شده (Nulled): کدهای رایگان‌شده ابزارهای پرمیوم غالباً حاوی درهای پشتی (Backdoors) هستند که دسترسی کامل به هاست را به مهاجم می‌دهند.
• حملات Brute Force روی صفحه ورود و XML-RPC: آزمایش هزاران ترکیبات نام کاربری و کلمه عبور در هر دقیقه توسط ربات‌ها.
• عدم به‌روزرسانی هسته وردپرس و افزونه‌ها: استفاده از نسخه‌های دارای آسیب‌پذیری افشا شده (Known Vulnerabilities).
• پیکربندی نادرست هاست و دسترسی فایل‌ها: مجوزهای سست مانند `777` که امکان تزریق کد (Code Injection) را فراهم می‌سازند.

اقدامات حیاتی در سطح سرور و سطح دسترسی فایل‌ها

اولین خط دفاعی سایت شما، پیکربندی صحیح فایل سیستم در هاست است. اگر مجوزهای دسترسی به اشتباه تنظیم شده باشند، حتی امن‌ترین افزونه‌ها نیز نمی‌توانند از نفوذ جلوگیری کنند.

۱. تنظیم دقیق File Permissions

هیچ‌گاه و تحت هیچ شرایطی سطح دسترسی هیچ فایل یا پوشه‌ای را روی `777` قرار ندهید. این کار به هر کاربری روی سرور اجازه ویرایش و اجرا می‌دهد. استاندارد امنیتی وردپرس به شرح زیر است:

• تمامی پوشه‌ها: 755 یا 750
• تمامی فایل‌ها: 644 یا 640
• فایل wp-config.php: 400 یا 440

۲. جلوگیری از اجرای PHP در پوشه Uploads

مهاجمان پس از یافتن یک فرم آپلود آسیب‌پذیر، تلاش می‌کنند اسکریپت شل (Shell) با پسوند `.php` را وارد پوشه `/wp-content/uploads/` کنند. با قرار دادن یک فایل `.htaccess` اختصاصی در این پوشه، امکان اجرای هرگونه فایل PHP را سلب کنید:

سخت‌سازی فایل wp-config.php و پیکربندی‌های اصلی

فایل wp-config.php مغز متفکر پیکربندی وردپرس است. با تغییر چند خط کد ساده در این فایل، امنیت سایت به شدت ارتقا می‌یابد. اگر به دنبال کدهای بیشتر برای بهینه‌سازی هستید، بخش اسنیپت‌های وردپرس گزینه‌های کاربردی متعددی را در اختیار شما قرار می‌دهد.

کدهای زیر را قبل از خط /* That's all, stop editing! Happy publishing. */ اضافه کنید:

تغییر پیشوند پیش‌فرض جداول دیتابیس

پیش‌فرض جداول وردپرس با wp_ شروع می‌شود. این موضوع کار را برای حملات SQL Injection بسیار آسان می‌کند. موقع نصب وردپرس یا با استفاده از افزونه‌های امنیتی، این پیشوند را به چیزی غیرقابل پیش‌بینی مانند wp_7k9a_ تغییر دهید.

امنیت لایه ورود و مدیریت احراز هویت کاربران

درگاه ورود ورود وردپرس (wp-login.php) هدف شماره یک حملات brute force است. برای حفاظت از این بخش اقدامات زیر الزام‌آور هستند:

1. تغییر آدرس wp-admin و wp-login.php: با استفاده از افزونه‌هایی مانند WPS Hide Login آدرس ورود را به مسیری اختصاصی مثل /my-custom-login/ تغییر دهید.
2. فعال‌سازی احراز هویت دو مرحله‌ای (2FA): الزام به وارد کردن کد یک‌بارمصرف از برنامه‌هایی مانند Google Authenticator احتمال نفوذ از طریق فاش شدن رمز عبور را به صفر نزدیک می‌کند.
3. حذف نام کاربری admin: هرگز از نام‌های کاربری پیش‌فرض مثل admin، administrator یا نام دامنه سایت برای نقش مدیر کل استفاده نکنید.
4. محدود کردن تلاش‌های ناموفق ورود (Limit Login Attempts): پس از ۳ یا ۵ بار تلاش اشتباه، آی‌پی متخلف را به مدت چند ساعت مسدود کنید.

غیرفعال‌سازی قابلیت‌های غیرضروری و روزنه‌های نفوذ

وردپرس دارای قابلیت‌های قدیمی یا عمومی است که اکثر سایت‌های معمولی به آن‌ها نیازی ندارند اما خطرات امنیتی جدی ایجاد می‌کنند.

مسدودسازی کامل XML-RPC

فایل xmlrpc.php برای اتصال اپلیکیشن‌های موبایل قدیمی یا انتشار از راه دور استفاده می‌شد. امروزه این فایل بیشتر ابزار دست هکرها برای اجرای حملات Amplified Brute Force است. می‌توانید آن را از طریق فایل .htaccess کاملاً مسدود کنید:

همچنین جهت غیرفعال کردن نمایش اطلاعات کاربران و جلوگیری از جمع‌آوری نام‌های کاربری از طریق REST API (User Enumeration)، می‌توانید تغییرات کدی در سمت فرانت‌اند اعمال کنید. برای درک بهتر ساختار صفحه و قالب‌بندی می‌توانید از اسنیپت‌های HTML برای طراحی فرم‌های امن و استاندارد الهام بگیرید. همچنین در صورت نیاز به بهینه‌سازی ظاهری صفحات خطا، بخش اسنیپت‌های CSS راهنمای شما خواهد بود.

جدول مقایسه پیکربندی پیش‌فرض با پیکربندی امن (Hardened)

جدول زیر تفاوت‌های کلیدی میان یک وضعیت خام و استاندارد وردپرس با یک سایت امن‌سازی‌شده را نشان می‌دهد:

استراتژی به‌روزرسانی، پشتیبان‌گیری و افزونه‌های امنیتی

هیچ سیستمی ۱۰۰٪ غیرقابل نفوذ نیست. به همین دلیل، داشتن استراتژی پشتیبان‌گیری و نظارت مستمر ضروری است. برای مدیریت تعاملات و فرآیندهای اتوماتیک در سمت سرور یا کلاینت، می‌توانید از اسنیپت‌های جاوااسکریپت و کدهای آماده برای بهینه‌سازی تجربه کاربری استفاده کنید.

قانون ۳-۲-۱ در بک‌آپ‌گیری

همواره ۳ نسخه از پشتیبان داشته باشید، روی ۲ رسانه مختلف ذخیره کنید، و ۱ نسخه را کاملاً خارج از سرور اصلی (مثلاً روی Google Drive یا Amazon S3) نگهداری کنید. افزونه‌هایی مانند UpdraftPlus این کار را به‌صورت خودکار انجام می‌دهند.

انتخاب افزونه امنیتی مناسب

تنها نصب یک افزونه امنیتی فوق‌العاده مانند Wordfence Security، Solid Security (iThemes Security سابق) یا Sucuri Security کافی است. هرگز دو افزونه امنیتی سنگین را همزمان فعال نکنید؛ چرا که تداخل ایجاد کرده و سرعت سایت را کاهش می‌دهند. جهت دستیابی به راهکارهای توسعه سفارشی و کدهای بهینه‌سازی، آرشیو اسنیپت‌های برنامه‌نویسی منابع ارزشمندی ارائه می‌دهد.

پرسش‌های متداول درباره امنیت وردپرس

عیب‌یابی سریع: حل مشکلات رایج امنیتی