مقایسه Wordfence و All in One WP Security؛ کدام بهتر است؟

اگه بین Wordfence و All-In-One Security (AIOS) مردد هستید، خبر خوب اینه که هر دوتاشون نسخهٔ رایگانِ قابل‌اعتمادی دارن و هر دو هم فارسی شدن. انتخاب درست بستگی داره به اینکه سایت‌تون بیشتر به چی نیاز داره. اگه اسکن بدافزار رایگان براتون مهمه، Wordfence انتخاب بهتریه. ولی اگه دنبال محافظت از صفحهٔ ورود و ایمن‌سازی ساده هستید، ما AIOS رو پیشنهاد می‌کنیم.

برای اینکه یه تصوری از محبوبیت این دوتا افزونه داشته باشید: طبق مخزن رسمی وردپرس، Wordfence بیش از ۵ میلیون نصب فعال داره و AIOS بیش از یه میلیون. اگه اسم iThemes Security رو هم شنیدید، بدونید که این افزونه از سال ۲۰۲۳ با اسم Solid Security شناخته می‌شه.

قبل از اینکه بریم سراغ ادامه، چندتا نکته دربارهٔ اسم AIOS که ممکنه گیج‌تون کنه:

• اسم قبلیش All in One WP Security & Firewall بود که تو فارسی به «امنیت فراگیر وردپرس» معروفه.
• الان Team Updraft، یعنی همون تیمی که UpdraftPlus رو ساخته، داره توسعه‌ش می‌ده.
• منوش تو پیشخوان وردپرس هم دیگه «WP Security» نیست و اسمش شده «AIOS».

وردپرس خودش چه چیزهایی داره؟

قبل از اینکه برید سراغ افزونه، خوبه بدونید وردپرس تو این چند سال خودش چندتا قابلیت امنیتی مهم اضافه کرده. برای این‌ها دیگه لازم نیست افزونه نصب کنید. ولی چیزهایی مثل محدودکردن تلاش ورود، ورود دومرحله‌ای و کپچا هنوز تو خود وردپرس نیستن و باید از افزونه کمک بگیرید.

یه نکته دربارهٔ عوض‌کردن آدرس صفحهٔ ورود: راهنمای رسمی وردپرس می‌گه این کار فقط تعداد تلاش‌های مزاحم رو کم می‌کنه. پس کنار بقیهٔ روش‌ها ازش استفاده کنید، نه به‌جای اون‌ها.

فایروال: جلوگیری از حمله قبل از رسیدن به وردپرس

هر سروری یه ظرفیت مشخص داره. فرض کنید سرورتون برای ۵۰ کاربر همزمان آماده شده و یهو ۵۰ هزار درخواست بهش می‌رسه. معلومه چی می‌شه: سرور از دسترس خارج می‌شه. درست مثل کامیونی که برای ۵ تن بار ساخته شده و شما ۵۰ تن روش بذارید. به این اتفاق می‌گن حملهٔ DoS و اگه از چندتا منبع همزمان انجام بشه، می‌شه DDoS.

نکتهٔ مهم اینه که هر افزونهٔ امنیتی داخل PHP و وردپرس اجرا می‌شه. یعنی وقتی حمله سنگین باشه، خود افزونه هم برای بررسی درخواست‌ها از منابع سرور استفاده می‌کنه. واسه همین راهنمای رسمی وردپرس توصیه می‌کنه جلوی درخواست‌های مزاحم تا جای ممکن تو لبهٔ شبکه (CDN یا WAF میزبان) یا روی خود وب‌سرور گرفته بشه. افزونهٔ امنیتی لایهٔ دوم دفاعه، نه جایگزین لایهٔ اول.

اگه سرور مجازی یا اختصاصی دارید، این گزینه‌های رایگان رو در نظر بگیرید:

• CSF (ConfigServer Security & Firewall): شرکت سازنده‌ش ۳۱ اوت ۲۰۲۵ تعطیل شد و سرورهای به‌روزرسانی اصلی‌ش هم از کار افتادن. البته قبل از تعطیلی، کدش تحت مجوز GPLv3 منتشر شد و الان cPanel یه انشعاب عمومی ازش رو برای رفع مشکلات امنیتی نگه می‌داره. اگه هنوز از CSF استفاده می‌کنید، مطمئن بشید به‌روزرسانی‌ها از یه انشعاب معتبر میاد، نه از سرورهای قدیمی.
• firewalld یا UFW همراه با fail2ban: یه عده از مدیرای سرور برای نصب‌های جدید رفتن سراغ این ترکیب. fail2ban تو راهنمای رسمی وردپرس هم برای مسدودکردن موقت IPهای مهاجم پیشنهاد شده.

اگه هاست اشتراکی دارید، این بخش عملاً دست شما نیست. کافیه از میزبان‌تون بپرسید چه فایروالی جلوی سرور فعاله.

افزونهٔ Wordfence (نسخهٔ رایگان)

چیزی که Wordfence رو از بقیه جدا می‌کنه، اسکنر بدافزار و فایروالیه که مخصوص وردپرس ساخته شده. این فایروال داخل خود سایت‌تون اجرا می‌شه و درخواست‌های بازدیدکننده‌ها رو به سرور دیگه‌ای نمی‌فرسته. تنها چیزی که از بیرون میاد، قوانین فایروال و امضاهای بدافزاره که از فید تهدیدات Wordfence دریافت می‌شه.

تو نسخهٔ رایگان این امکانات رو دارید:

• فایروال وب (WAF)، با قوانینی که ۳۰ روز دیرتر از نسخهٔ پولی می‌رسن
• اسکنر بدافزار که فایل‌های هسته، قالب‌ها و افزونه‌ها رو با نسخهٔ اصلی مقایسه می‌کنه و فایل‌های دست‌خورده رو تعمیر می‌کنه
• هشدار دربارهٔ افزونه‌ها و قالب‌هایی که آسیب‌پذیری شناخته‌شده دارن
• محدودکردن تلاش‌های ناموفق ورود (Brute Force Protection)
• ورود دومرحله‌ای با اپلیکیشن‌های TOTP و همین‌طور Passkey (از نسخهٔ ۹٫۰ تو اوت ۲۰۲۶)
• کپچای Google reCAPTCHA v3 تو صفحهٔ ورود و ثبت‌نام، که کلید گوگل لازم داره
• نمای زندهٔ ترافیک سایت و امکان مسدودکردن دستی IP
• رابط کاربری فارسی

بعضی امکانات هم فقط تو نسخهٔ پولی هستن: قوانین و امضاهای لحظه‌ای، فهرست سیاه لحظه‌ای IP و مسدودسازی کشوری. یه چیز دیگه هم اینکه Wordfence گزینه‌ای برای عوض‌کردن آدرس صفحهٔ ورود نداره.

تنظیمات Wordfence نسبتاً پرجزئیاته. برای ورود دومرحله‌ای و کپچا برید به مسیر Wordfence » Login Security » Settings. اگه هنوز از ورود دومرحله‌ای با پیامک (SMS) استفاده می‌کنید، بدونید که این روش قدیمی حدود تیر ۲۰۲۶ کنار گذاشته شد؛ کاربرها رو ببرید سراغ TOTP.

افزونهٔ All-In-One Security یا AIOS (نسخهٔ رایگان)

قوت اصلی AIOS تو امنیت صفحهٔ ورود و ایمن‌سازی (Hardening) وردپرسه. هر قابلیت با برچسب پایه، متوسط یا پیشرفته مشخص شده و با روشن‌کردن هرکدوم، امتیاز امنیتی سایت بالا می‌ره. از ژانویهٔ ۲۰۲۶ هم موقع فعال‌سازی یه ویزارد راه‌اندازی باز می‌شه. پس قابلیت‌ها خودبه‌خود روشن نیستن، ولی تنظیم‌شون ساده‌ست و افزونه قدم‌به‌قدم راهنمایی‌تون می‌کنه.

تو نسخهٔ رایگان این امکانات رو دارید:

• قفل‌کردن IP بعد از چندتا تلاش ناموفق ورود
• عوض‌کردن آدرس صفحهٔ ورود به هر آدرسی که بخواید
• کپچا تو فرم‌های ورود، ثبت‌نام و فراموشی رمز، از جمله Cloudflare Turnstile
• ورود دومرحله‌ای (2FA) با اپلیکیشن‌هایی مثل Google Authenticator
• جلوگیری از دیدگاه‌های اسپم رباتی و مسدودکردن IP اسپمرها
• قوانین فایروال PHP و .htaccess و قوانین 6G، که به جلوگیری از حملات XSS هم کمک می‌کنن
• اسکنر تغییر فایل‌ها و بررسی مجوزهای ناامن فایل
• غیرفعال‌کردن ویرایشگر فایل PHP تو پیشخوان
• لاگ رویدادها (Audit log)
• رابط کاربری فارسی

اسکن بدافزار، مسدودسازی کشوری، مسدودسازی هوشمند بر اساس خطای 404 و تنظیمات پیشرفتهٔ 2FA فقط تو نسخهٔ پولی هستن.

یه نکتهٔ فنی: قوانینی که از فایل .htaccess استفاده می‌کنن روی وب‌سرورهای Nginx و IIS کار نمی‌کنن، ولی قوانین PHP روی همهٔ سرورها اجرا می‌شن.

مقایسهٔ نسخه‌های رایگان

اگه بخوایم خلاصه بگیم، فرق اصلی نسخه‌های رایگان تو دو چیزه: اسکن بدافزار رو فقط Wordfence رایگان می‌ده و عوض‌کردن آدرس صفحهٔ ورود رو فقط AIOS. بقیهٔ فرق‌ها رو تو جدول پایین می‌بینید.

چون هر دوتا افزونه فایروال و قفل ورود دارن، نصب همزمان‌شون فقط تداخل درست می‌کنه. یکی رو انتخاب کنید و همون رو فعال نگه دارید.

آموزش گام‌به‌گام ایمن‌سازی با AIOS رایگان

تو این هشت قدم، مهم‌ترین چیزهایی رو که وردپرس خودش نداره با نسخهٔ رایگان AIOS فعال می‌کنیم. قبل از شروع حتماً از فایل‌ها و دیتابیس سایت‌تون نسخهٔ پشتیبان بگیرید، چون بعضی از این تنظیمات فایل .htaccess رو تغییر می‌دن.

1. نصب: برید به افزونه‌ها » افزودن، عبارت All-In-One Security رو جستجو کنید و افزونه رو نصب و فعال کنید. منوی AIOS به پیشخوان اضافه می‌شه و ویزارد راه‌اندازی باز می‌شه. اگه Wordfence یا افزونهٔ امنیتی دیگه‌ای فعال دارید، قبل از ادامه غیرفعالش کنید.
2. قفل ورود: برید به AIOS » User Security » Login lockout و این قابلیت رو روشن کنید. تیم سازنده سه تلاش ناموفق و یه ساعت مسدودی رو مثال می‌زنه. IP خودتون رو هم تو فهرست سفید همین صفحه وارد کنید که خودتون پشت در نمونید.
3. عوض‌کردن آدرس ورود: تو AIOS » Brute Force » Rename Login Page گزینهٔ Enable Rename Login Page Feature رو روشن کنید و یه آدرس دلخواه بنویسید. آدرس جدید رو همون لحظه یه جا ذخیره کنید، چون بدونش دیگه نمی‌تونید وارد بشید.
4. کپچا: تو AIOS » Brute Force » CAPTCHA settings نوع کپچا رو انتخاب کنید و مشخص کنید تو کدوم فرم‌ها نشون داده بشه: ورود، ثبت‌نام یا فراموشی رمز. اگه Turnstile یا reCAPTCHA رو انتخاب کنید، باید کلیدش رو از سرویس‌دهنده‌ش بگیرید.
5. ورود دومرحله‌ای: تو AIOS » Two-Factor Authentication، بخش Settings، ورود دومرحله‌ای رو دست‌کم برای مدیرها روشن کنید. بعد هر مدیر کد رو با اپلیکیشنی مثل Google Authenticator اسکن می‌کنه. کدهای پشتیبان رو هم یه جای امن نگه دارید.
6. اسپم دیدگاه: اول یه سر به تنظیمات خود وردپرس تو تنظیمات » گفت‌وگو بزنید؛ مثلاً تأیید دستی دیدگاه‌ها یا فهرست کلمات ممنوع. بعد تو منوی AIOS » Spam Prevention مسدودکردن دیدگاه‌های رباتی رو روشن کنید.
7. فایروال: تو AIOS » Firewall اول سربرگ PHP rules رو باز کنید و قوانین 6G، محافظت از XML-RPC و مسدودکردن ربات‌های جعلی گوگل رو روشن کنید. اگه سرورتون Apache هست، تو سربرگ .htaccess rules گزینهٔ Basic Firewall Protection رو هم روشن کنید. اگه از XML-RPC استفاده می‌کنید، مثلاً برای اپلیکیشن موبایل وردپرس، کامل خاموشش نکنید.
8. بستن ویرایشگر فایل: تو AIOS » Filesystem Security » File Protection ویرایش فایل‌های PHP از پیشخوان رو غیرفعال کنید. معمولاً اولین کاری که مهاجم بعد از ورود می‌کنه، اجرای کد از همین ویرایشگره.

آخر سر هم همهٔ افزونه‌ها رو به‌روز نگه دارید. خود AIOS هم سپتامبر ۲۰۲۶ (نسخهٔ ۵٫۴٫۱۰) یه وصلهٔ امنیتی منتشر کرد.

جمع‌بندی

• AIOS رو انتخاب کنید اگه می‌خواید با یه ابزار ساده و فارسی از صفحهٔ ورود محافظت کنید، آدرسش رو عوض کنید و جلوی اسپم دیدگاه رو بگیرید. ما برای بیشتر سایت‌های وردپرسی، از جمله میهن وردپرس، همین گزینه رو پیشنهاد می‌کنیم.
• Wordfence رو انتخاب کنید اگه اسکن رایگان بدافزار و بررسی سلامت فایل‌ها براتون مهم‌تره؛ مثلاً سایتی که کلی افزونه داره یا قبلاً هک شده.
• هرکدوم رو انتخاب کردید، فقط یکی‌شون رو نگه دارید و لایهٔ سرور یا CDN رو هم جدی بگیرید. یادتون باشه هیچ افزونه‌ای جای به‌روزرسانی، رمز قوی و نسخهٔ پشتیبان رو نمی‌گیره.

اگه می‌خواید امنیت سایت‌تون رو جدی‌تر دنبال کنید، دورهٔ «سایت برتر» برای شماست. تو این دوره یاد می‌گیرید سایت‌تون رو ایمن کنید و از کسب‌وکارتون محافظت کنید.

موفق باشید.

سوالات متداول

تیم تولید محتوا

ما در تیم تولید محتوای میهن وردپرس در تلاش هستیم تا بهترین مقالات آموزشی در زمینه وردپرس و کسب‌و‌کارهای اینترنتی را تهیه کنیم. صحت محتوای این صفحه توسط رضا راد بررسی خواهد شد.