راهنمای جامع و پیکربندی تخصصی افزونه امنیتی Wordfence در وردپرس

فهرست مطالب

• Wordfence چیست و چگونه کار می‌کند؟
• آموزش فعال‌سازی دیوار آتش (WAF) در حالت Extended Protection
• تنظیمات کلیدی برای جلوگیری از حملات Brute Force
• بهینه‌سازی اسکنر و کاهش فشار بر سرور و دیتابیس
• جدول تنظیمات پیشنهادی دیوار آتش و اسکنر
• فعال‌سازی ورود دو مرحله‌ای (2FA) و امنیت فرم لاگین
• مدیریت ترافیک زنده (Live Traffic) و بلاک IP
• عیب‌یابی سریع و رفع مشکلات رایج
• پرسش‌های متداول

امنیت سایت‌های وردپرسی تنها با نصب یک افزونه تأمین نمی‌شود، اما تنظیم صحیح افزونه Wordfence می‌تواند بیش از نیمی از مسیر ایمن‌سازی را طی کند. در این آموزش تخصصی، گام‌به‌گام نحوه پیکربندی دیوار آتش، بهینه‌سازی اسکنر، جلوگیری از فشار بر منابع سرور و اجرای ورود دو مرحله‌ای را بررسی می‌کنیم تا سایت شما بدون افت سرعت، به بالاترین سطح ایمنی برسد.

Wordfence چیست و چگونه کار می‌کند؟

پاسخ کوتاه: Wordfence یک افزونه جامع امنیتی برای وردپرس است که شامل دیوار آتش (WAF) در سطح نقطه پایانی (Endpoint)، اسکنر بدافزار، سیستم بازرسی ترافیک و ابزار احراز هویت دو مرحله‌ای می‌شود. این افزونه درخواست‌های ورودی به سایت را قبل از اجرای کامل وردپرس تحلیل کرده و رفتارهای مشکوک را مسدود می‌کند.

برخلاف دیوار‌های آتش ابری (مانند Cloudflare) که ترافیک را در سطح DNS فیلتر می‌کنند، Wordfence یک WAF در سطح برنامه (Application Level) است. این موضوع به افزونه اجازه می‌دهد هویت کاربران را در سطح جلسه (Session) بررسی کند، نقش‌های کاربری وردپرس را تشخیص دهد و داده‌های رمزنگاری‌شده را پیش از پردازش نهایی در دیتابیس ارزیابی کند.

ساختار معماری Wordfence بر پایه دو هسته اصلی است: Threat Defense Feed که قوانین جدیدترین کدهای مخرب را دریافت می‌کند و موتور اسکن محلی که فایل‌های core وردپرس، قالب‌ها و افزونه‌ها را با مخزن رسمی مقایسه می‌نماید. اگر نیازمند اصلاح ساختاری در فایل‌های سایت هستید، بررسی تکه کدهای تخصصی وردپرس به شما کمک می‌کند کدهای سفارشی امن‌تری بنویسید.

آموزش فعال‌سازی دیوار آتش (WAF) در حالت Extended Protection

پاسخ کوتاه: برای حداکثر امنیت، دیوار آتش Wordfence باید در حالت Extended Protection اجرا شود. در این حالت، افزونه از طریق دستور auto_prepend_file در فایل .htaccess یا user.ini، پیش از بارگذاری هسته وردپرس اجرا شده و درخواست‌های مخرب را پیش از پردازش توسط PHP مسدود می‌کند.

به طور پیش‌فرض، زمانی که Wordfence را نصب می‌کنید، دیوار آتش آن به عنوان یک افزونه معمولی بارگذاری می‌شود. این یعنی اگر یک درخواست مخرب به سایت ارسال شود، ابتدا هسته وردپرس و سایر افزونه‌ها بارگذاری می‌شوند و سپس Wordfence درخواست را بررسی می‌کند. این فرایند منابع سرور را هدر می‌دهد.

برای فعال‌سازی حالت پیشرفته (Extended Protection) مراحل زیر را دنبال کنید:

1. از منوی مدیریت وردپرس وارد بخش Wordfence > Firewall شوید.
2. روی دکمه Optimize The Wordfence Firewall کلیک کنید.
3. افزونه به صورت اتوماتیک نوع وب‌سرور شما (Apache، Nginx یا LiteSpeed) را تشخیص می‌دهد.
4. حتماً فایل پشتیبان از .htaccess یا user.ini را دانلود کنید.
5. روی گزینه Continue کلیک کنید تا دستورات لازم در ابتدای فایل تنظیمات سرور قرار گیرند.

در وب‌سرور Nginx، متغیر auto_prepend_file باید درون فایل تنظیمات اصلی بلوک PHP در سرور (php.ini یا php-fpm) تنظیم شود؛ زیرا Nginx فایل‌های .htaccess را خوانش نمی‌کند.

تنظیمات کلیدی برای جلوگیری از حملات Brute Force

حملات Brute Force شامل تلاش‌های متوالی ربات‌ها برای حدس زدن رمز عبور مدیر سایت است. Wordfence ابزار قدرتمندی برای شناسایی و مسدودسازی آنی این تلاش‌ها دارد.

تنظیمات پیشنهادی در مسیر Wordfence > Firewall > All Firewall Options > Brute Force Protection:

• Lock out after how many login failures: روی ۵ تلاش تنظیم شود.
• Lock out after how many forgot password attempts: روی ۳ تلاش تنظیم شود.
• Count failures over what time period: روی ۳۰ دقیقه تنظیم شود.
• Amount of time a user is locked out: روی ۲ ساعت یا ۱ روز تنظیم شود.
• Immediately lock out invalid usernames: نام‌های کاربری شایع مانند admin، administrator و نام دامنه سایت را در این بخش وارد کنید تا بلافاصله پس از اولین تلاش مسدود شوند.

علاوه بر این، فعال کردن گزینه Prevent users from registering when 'admin' is in their username مانع ساخت حساب‌های کاربری فریبنده توسط نفوذگران می‌شود.

بهینه‌سازی اسکنر و کاهش فشار بر سرور و دیتابیس

پاسخ کوتاه: اسکنر Wordfence تمام فایل‌ها و دیتابیس را برای کدهای مخرب بررسی می‌کند. در هاست‌های اشتراکی، اجرای اسکن با حساسیت بالا (High Sensitivity) می‌تواند باعث کُندی شدید یا خطای 504 شود؛ بنابراین تنظیم اسکن بر روی حالت Standard و محدود کردن حافظه مصرفی ضروری است.

برای جلوگیری از اختلال در عملکرد سایت هنگام اسکن، وارد مسیر Wordfence > Scan > Scan Options and Scheduling شوید.

در صورتی که قصد دارید تغییرات ساختاری در کدهای فرانت‌اند ایجاد کنید یا استایل‌های وب‌سایت را بهینه‌سازی نمایید، دسترسی به مجموعه استایل‌های سفارشی CSS و سایر بخش‌های برنامه‌نویسی می‌تواند فرایند توسعه را سرعت ببخشد.

جدول تنظیمات پیشنهادی دیوار آتش و اسکنر

جدول زیر تعادل بهینه‌ای میان امنیت حداکثری و حفظ سرعت سرور ارائه می‌دهد:

فعال‌سازی ورود دو مرحله‌ای (2FA) و امنیت فرم لاگین

رمز عبور به تنهایی نفوذپذیر است. سیستم احراز هویت دو مرحله‌ای (Two-Factor Authentication) در Wordfence یکی از قابل‌اعتمادترین روش‌ها برای محافظت از حساب‌های مدیریتی است.

1. به مسیر Wordfence > Login Security بروید.
2. کد QR نمایش داده شده را با برنامه‌هایی مانند Google Authenticator یا Microsoft Authenticator اسکن کنید.
3. کد ۶ رقمی تولید شده در نرم‌افزار را وارد کرده و دکمه Activate را بزنید.
4. کدهای پشتیبان (Recovery Codes) را حتماً دانلود و در جای امن ذخیره کنید. اگر گوشی خود را گم کنید، این کدها تنها راه ورود به سایت خواهند بود.

همچنین در تب Settings همین بخش، می‌توانید گزینه Enable reCAPTCHA v3 را فعال کنید تا فرم‌های لاگین و ثبت‌نام با بررسی رفتار کاربر بدون نیاز به حل کپچاهای متنی، در برابر ربات‌ها ایمن شوند.

مدیریت ترافیک زنده (Live Traffic) و مسدودسازی آی‌پي‌ها

قابلیت Live Traffic تمامی درخواست‌های ورودی به سایت (کاربران، ربات‌های گوگل، ربات‌های مهاجم) را لحظه‌به‌لحظه ثبت می‌کند. این داده‌ها در جدول wp_wfHits در دیتابیس ذخیره می‌شوند.

اگر سایت شما پرترافیک است، ثبت مداوم تمامی بازدیدها باعث حجیم شدن دیتابیس و کندی دستورات SQL می‌شود. راهکار بهینه این است که در مسیر Wordfence > Options > Live Traffic Options حالت ثبت را روی Security Only بگذارید تا فقط درخواست‌های مسدودشده و مشکوک ذخیره شوند.

جهت پیاده‌سازی ابزارها یا کدهای سفارشی بیشتر در پروژه خود، می‌توانید از مجموعه کدهای کاربردی برنامه‌نویسی استفاده نمایید.

عیب‌یابی سریع و رفع مشکلات رایج

پرسش‌های متداول