آیا وردپرس امن است؟ جواب ساده برای تازه‌کارها

اگه می‌خواید یک سایت شخصی، شرکتی یا فروشگاهی راه بندازید، احتمالا از خودتون می‌پرسید آیا وردپرس امن است یا نه. جواب ساده اینه: هسته وردپرس، اگه درست نگهداری بشه، می‌تونه بستر امنی برای سایتتون باشه. ولی امنیت سایت فقط به وردپرس بستگی نداره. هاست، رمزهای عبور، قالب‌ها، افزونه‌ها، دسترسی کاربران و نسخه‌های پشتیبان هم روی نتیجه اثر می‌ذارن.

توی این مقاله اول خیلی ساده می‌بینیم وردپرس چطور کار می‌کنه و چرا بعضی سایت‌های وردپرسی هک می‌شن. بعد سراغ لایه‌های اصلی امنیت، کاربرد افزونه All-In-One Security یا AIOS و تفاوت نسخه رایگان و Premium اون می‌ریم. در آخر هم یک چک‌لیست قدم‌به‌قدم دارید که می‌تونید از همین امروز روی سایتتون اجراش کنید.

آیا وردپرس امن است؟ جواب کوتاه و روشن

بله، وردپرس می‌تونه امن باشه؛ البته اگه اون رو به‌روز نگه دارید و تنظیمات پایه امنیتی رو جدی بگیرید. تیم امنیت وردپرس برای هسته این نرم‌افزار به‌روزرسانی منتشر می‌کنه، ولی نصب این اصلاحات روی سایت به عهده شماست.

هیچ سایت یا سیستم مدیریت محتوایی امنیت صددرصدی نداره. حتی یک سایت اختصاصی ممکنه به‌خاطر رمز ضعیف، کد آسیب‌پذیر، تنظیم اشتباه سرور یا لو رفتن اطلاعات ورود هک بشه. کارهای امنیتی احتمال نفوذ رو کمتر می‌کنن، نشانه‌های حمله رو زودتر جلوی چشمتون میارن و بازیابی سایت رو آسون‌تر می‌کنن.

در عمل، چند عامل کنار هم امنیت سایتتون رو می‌سازن: نرم‌افزارهای به‌روز، قالب و افزونه معتبر، هاست مناسب، رمزهای قوی، دسترسی حساب‌شده کاربران، بررسی اتفاق‌های مشکوک و نسخه پشتیبان سالم. اگه یکی از این بخش‌ها ضعف جدی داشته باشه، ممکنه بقیه لایه‌ها هم نتونن به‌خوبی از سایت محافظت کنن.

سیستم مدیریت محتوا چیه و وردپرس چطور کار می‌کنه؟

سیستم مدیریت محتوا یا CMS ابزاریه که کمک می‌کنه بدون ساختن همه‌چیز از صفر، سایتتون رو مدیریت کنید. CMS کوتاه‌شده Content Management System هست. با کمک اون می‌تونید نوشته منتشر کنید، برگه بسازید، تصویر بارگذاری کنید و کاربران سایتتون رو مدیریت کنید.

بیشتر کارهای روزمره در وردپرس از داخل پیشخوان انجام می‌شن. مثلا برای انتشار مطلب به بخش «نوشته‌ها» می‌رید و برای تغییر ظاهر سایت از بخش‌های مربوط به نمایش استفاده می‌کنید. اگه هنوز سایتتون رو نساختید، راهنمای طراحی سایت با وردپرس بدون کدنویسی مسیر شروع رو قدم‌به‌قدم نشونتون می‌ده.

برای اینکه امنیت وردپرس رو بهتر بفهمید، باید فرق سه بخش رو بدونید. هسته وردپرس نرم‌افزار اصلی سایت هست. قالب، ظاهر و چیدمان سایت رو مشخص می‌کنه و افزونه قابلیتی مثل فرم تماس یا فروشگاه به اون اضافه می‌کنه. امن‌بودن هسته به این معنی نیست که هر قالب یا افزونه‌ای هم امنه. هرکدوم از این بخش‌ها باید جداگانه معتبر، سازگار و به‌روز باشن.

چرا بعضی سایت‌های وردپرسی هک می‌شن؟

هک‌شدن یک سایت معمولا نتیجه یک مشکل واحد نیست. مهاجم دنبال ساده‌ترین راه ورود می‌گرده؛ این راه ممکنه یک افزونه قدیمی، رمز تکراری یا حساب کاربری اضافی باشه. موارد زیر جزو مهم‌ترین خطرهایی هستن که بهتره توی سایتتون بررسی کنید:

• نسخه‌های قدیمی: اگه وردپرس، قالب یا افزونه رو به‌روز نکنید، اصلاحات امنیتی تازه هم روی سایتتون نصب نمی‌شن.
• رمز ضعیف یا تکراری: اگه رمز یکی از سرویس‌های دیگه لو بره و همون رمز رو برای وردپرس هم گذاشته باشید، حساب سایتتون در معرض خطر قرار می‌گیره.
• منابع نامعتبر: یک قالب یا افزونه دست‌کاری‌شده ممکنه کد مخرب یا راه ورود پنهان داشته باشه. برای اطلاعات بیشتر می‌تونید راهنمای خرید نسخه اصلی قالب و افزونه وردپرس رو بخونید.
• هاست ناامن یا تنظیم اشتباه: نرم‌افزارهای قدیمی سرور، مجوزهای نادرست فایل‌ها و تنظیمات ضعیف، خطر نفوذ رو بیشتر می‌کنن.
• دسترسی بیشتر از نیاز: هر حساب مدیرکل یک راه حساس برای ورود به سایت هست. پس لازم نیست همه کاربران بالاترین سطح دسترسی رو داشته باشن.
• نبود پشتیبان سالم: نسخه پشتیبان مانع نفوذ نمی‌شه، ولی اگه مشکلی پیش بیاد، کمک می‌کنه سایتتون رو سریع‌تر برگردونید.

آیا محبوب‌بودن وردپرس اون رو ناامن‌تر می‌کنه؟

چون سایت‌های زیادی با وردپرس ساخته شدن، مهاجمان هم توجه بیشتری به اون‌ها دارن. ابزارهای خودکار می‌تونن تعداد زیادی سایت رو برای پیداکردن نسخه‌های قدیمی یا رمزهای ضعیف بررسی کنن. بااین‌حال، این موضوع به‌تنهایی نشون نمی‌ده که هسته وردپرس ناامنه.

جامعه بزرگ وردپرس از طرف دیگه یک امتیاز امنیتی مهمه. توسعه‌دهنده‌ها و پژوهشگران زیادی هسته، قالب‌ها و افزونه‌ها رو بررسی می‌کنن؛ پس مشکلات گزارش‌شده می‌تونن زودتر دیده بشن. البته انتشار اصلاحیه فقط نصف ماجراست و شما هم باید به‌روزرسانی رو روی سایتتون نصب کنید.

وقتی خبری درباره یک آسیب‌پذیری وردپرس می‌بینید، اول مشخص کنید مشکل دقیقا به کدوم بخش مربوطه. گاهی ایراد از هسته هست، ولی در خیلی از موارد یک قالب، افزونه یا تنظیم مدیریتی ضعیف عامل اصلیه. دونستن این تفاوت کمک می‌کنه به‌جای نگرانی بی‌هدف، کار درست رو انجام بدید.

امنیت وردپرس با چه لایه‌هایی ساخته می‌شه؟

راهنمای رسمی امن‌سازی WordPress امنیت رو یک فرایند چندلایه می‌دونه. یعنی قرار نیست فقط به یک افزونه تکیه کنید؛ چند کار مکمل باید در کنار هم انجام بشن.

به‌روزرسانی هسته، قالب‌ها و افزونه‌ها

اول یک نسخه پشتیبان از سایتتون بگیرید و بعد به‌روزرسانی‌ها رو انجام بدید. در بخش «پیشخوان ← به‌روزرسانی‌ها» می‌تونید وضعیت هسته، قالب‌ها و افزونه‌ها رو ببینید. برای قالب‌ها و افزونه‌های مهم هم بهتره قبل از نصب نسخه تازه، سازگاری اون رو بررسی کنید.

انتخاب هاست مناسب و فعال‌کردن HTTPS

یک هاست مناسب نرم‌افزارهای سرور رو به‌روز نگه می‌داره، امکان تهیه نسخه پشتیبان رو فراهم می‌کنه و موقع مشکل‌های فنی پاسخ‌گوست. HTTPS هم ارتباط بین مرورگر و سایت رو رمزنگاری می‌کنه. برای فعال‌کردن اون به گواهی SSL و تنظیم درست آدرس‌های سایت نیاز دارید.

رمز قوی و ورود دومرحله‌ای

برای حساب مدیر یک رمز بلند، تصادفی و منحصربه‌فرد بسازید. ورود دومرحله‌ای یا 2FA یعنی بعد از واردکردن رمز، باید یک کد موقت دیگه هم وارد کنید. این لایه جلوی همه حمله‌ها رو نمی‌گیره، ولی احتمال ورود با یک رمز لو‌رفته رو کمتر می‌کنه.

محدودکردن سطح دسترسی کاربران

به هر کاربر فقط دسترسی موردنیازش رو بدید. مثلا نویسنده‌ای که فقط مطلب آماده می‌کنه، معمولا نیازی به نقش مدیرکل نداره. حساب‌های قدیمی و بدون استفاده رو هم بررسی کنید تا یک راه ورود اضافه روی سایت باقی نمونه.

پشتیبان‌گیری منظم و آزمایش بازیابی

نسخه پشتیبان باید هم فایل‌ها و هم پایگاه داده رو پوشش بده. پایگاه داده بخشی از سایت هست که اطلاعاتی مثل نوشته‌ها و تنظیمات داخلش ذخیره می‌شن. حداقل یک کپی رو بیرون از هاست اصلی نگه دارید و هر چند وقت یک‌بار بررسی کنید که واقعا قابل بازیابیه.

پایش ورودها، فایل‌ها و رویدادهای مشکوک

ثبت تلاش‌های ورود و تغییر فایل‌ها کمک می‌کنه اتفاق‌های غیرعادی رو زودتر ببینید. ولی یادتون باشه هر هشدار به معنی یک حمله موفق نیست. اول زمان رویداد، حساب کاربری، نشانی IP و نوع تغییر رو بررسی کنید و بعد تصمیم بگیرید.

آیا برای امنیت وردپرس به افزونه امنیتی نیاز دارید؟

استفاده از افزونه امنیتی برای همه سایت‌ها از نظر فنی اجباری نیست، ولی می‌تونه بعضی کارها رو برای تازه‌کارها راحت‌تر کنه. محدودکردن تلاش‌های ورود، ثبت رویدادها، بررسی تغییر فایل‌ها و فعال‌کردن بعضی قوانین فایروال از جمله همین کارها هستن. فایروال یعنی مجموعه‌ای از قانون‌ها که بعضی درخواست‌های مشکوک رو پیش از رسیدن به قسمت‌های حساس سایت مسدود می‌کنه.

بااین‌حال، افزونه امنیتی نمی‌تونه هاست ضعیف رو درست کنه، جلوی سوءاستفاده از رمز لو‌رفته رو در همه شرایط بگیره یا جای نسخه پشتیبان سالم رو پر کنه. نصب هم‌زمان چند افزونه امنیتی هم ممکنه قانون‌های تکراری، هشدارهای زیاد، مصرف بیشتر منابع یا حتی قطع دسترسی ایجاد کنه. معمولا بهتره یک ابزار اصلی داشته باشید و فقط قابلیت‌هایی رو روشن کنید که واقعا بهشون نیاز دارید.

قبل از فعال‌کردن هر قابلیت، توضیح اون رو بخونید و از سایت نسخه پشتیبان بگیرید. هر تغییر رو جداگانه انجام بدید و بعد ورود مدیر، فرم‌ها، فروشگاه و بخش‌های مهم سایت رو امتحان کنید. اگه مشکلی پیش بیاد، با این روش راحت‌تر می‌فهمید کدوم تنظیم عامل اون بوده.

افزونه All-In-One Security یا AIOS چیه؟

All-In-One Security (AIOS) – Security and Firewall یک افزونه امنیتی برای WordPress هست. این افزونه ابزارهایی برای محافظت از صفحه ورود، محدودکردن تلاش‌های ناموفق، ثبت بعضی رویدادها، بررسی تغییر فایل‌ها و تنظیم قوانین فایروال در اختیارتون می‌ذاره.

AIOS برای سایت‌های شخصی، وبلاگ‌ها و کسب‌وکارهایی که یک پنل یکپارچه برای تنظیمات پایه امنیتی می‌خوان، می‌تونه گزینه مناسبی باشه. البته این انتخاب به هاست، افزونه‌های دیگه و نیازهای سایتتون بستگی داره. قبل از نصب، صفحه رسمی افزونه رو باز کنید و حداقل نسخه لازم WordPress، نسخه PHP، سازگاری و سابقه به‌روزرسانی اون رو ببینید.

قبل از دست‌زدن به تنظیمات حساس، حتما از سایت نسخه پشتیبان بگیرید. قابلیت‌ها رو هم یکی‌یکی روشن کنید. به‌خصوص تغییر آدرس ورود، قوانین فایروال و محدودیت‌های ورود، اگه درست تنظیم نشن، ممکنه دسترسی خودتون یا کاربران واقعی رو مختل کنن.

تفاوت نسخه رایگان و Premium افزونه AIOS

نسخه رایگان چه امکاناتی در اختیارتون می‌ذاره؟

نسخه رایگان AIOS از مخزن رسمی WordPress نصب می‌شه و ابزارهای پایه‌ای برای امنیت ورود، فایروال و پایش سایت داره. چون جزئیات قابلیت‌ها ممکنه با انتشار نسخه‌های تازه تغییر کنن، بهتره فهرست دقیق امکانات رو در صفحه رسمی افزونه ببینید.

نسخه Premium برای چه نیازهایی ساخته شده؟

AIOS Premium برای سایت‌هایی ساخته شده که امکانات تکمیلی یا پشتیبانی مستقیم می‌خوان. بعضی قابلیت‌های پیشرفته مربوط به ورود دومرحله‌ای، اسکن، گزارش‌گیری یا مسدودسازی ممکنه فقط در پلن‌های پولی در دسترس باشن. قیمت، تعداد سایت‌های قابل استفاده و هزینه تمدید ثابت نیستن؛ پس بهتره قبل از خرید، این موارد رو در سایت رسمی بررسی کنید.

برای سایتتون کدوم نسخه انتخاب مناسب‌تریه؟

برای یک وبلاگ یا سایت شخصی ساده، نسخه رایگان می‌تونه شروع خوبی باشه. اگه فروشگاه دارید یا سایتتون اطلاعات حساس‌تر، چند مدیر یا نیاز به پشتیبانی مستقیم داره، بهتره امکانات Premium رو هم با نیاز واقعی خودتون مقایسه کنید. خرید نسخه پولی سایت رو خودکار امن نمی‌کنه و هنوز باید به‌روزرسانی‌ها، هاست، دسترسی‌ها و پشتیبان‌گیری رو مدیریت کنید.

• اول نوع سایت و میزان حساسیت اطلاعات کاربران رو مشخص کنید.
• قیمت خرید، مبلغ تمدید، تعداد مجوزها، سازگاری و نوع پشتیبانی رو در سایت رسمی ببینید.
• قابلیت‌ها رو کم‌کم فعال کنید و بعد از هر تغییر، ورود و قسمت‌های اصلی سایت رو آزمایش کنید.

چک‌لیست قدم‌به‌قدم افزایش امنیت وردپرس

1. نسخه پشتیبان کامل بگیرید. بررسی کنید که هم فایل‌ها و هم پایگاه داده داخل نسخه پشتیبان باشن.
2. وردپرس، قالب‌ها و افزونه‌ها رو به‌روز کنید. قبل از تغییرهای بزرگ، سازگاری اجزا و امکان بازیابی سایت رو بررسی کنید.
3. موارد بلااستفاده رو حذف کنید. قالب یا افزونه غیرفعال هم ممکنه کد قدیمی و آسیب‌پذیر داشته باشه.
4. برای مدیر سایت رمز منحصربه‌فرد بسازید. همون رمز رو در سایت یا سرویس دیگه‌ای به کار نبرید.
5. ورود دومرحله‌ای رو فعال کنید. بهتره اول این قابلیت رو برای مدیران و حساب‌های حساس روشن کنید.
6. تلاش‌های ورود رو محدود کنید. تعداد تلاش مجاز و زمان مسدودی رو طوری انتخاب کنید که کاربران واقعی بی‌دلیل قفل نشن.
7. سطح دسترسی کاربران رو بررسی کنید. حساب‌های ناشناس یا قدیمی رو حذف کنید و دسترسی‌های اضافه رو پس بگیرید.
8. HTTPS رو درست تنظیم کنید. بعد از فعال‌کردن SSL، مطمئن بشید نسخه HTTPS باز می‌شه و خطای محتوای ناامن ندارید.
9. قالب و افزونه رو فقط از منبع معتبر بگیرید. سراغ نسخه‌های نال‌شده یا فایل‌هایی که منبع مشخصی ندارن نرید.
10. پشتیبان‌ها رو بیرون از هاست اصلی نگه دارید. این‌طوری اگه کل هاست از دسترس خارج بشه، هنوز یک کپی جداگانه دارید.
11. بازیابی پشتیبان رو آزمایش کنید. فقط داشتن فایل کافی نیست و باید مطمئن بشید اون فایل واقعا سالم و قابل بازیابیه.
12. هشدارها و تغییرات مشکوک رو بررسی کنید. ورود مدیران، نصب افزونه‌ها و تغییر فایل‌های مهم رو زیر نظر داشته باشید.

اشتباه‌های رایج تازه‌کارها در امنیت وردپرس

• اعتماد کامل به یک افزونه امنیتی: افزونه فقط یکی از لایه‌های امنیت هست و نمی‌تونه جای نگهداری درست سایت رو بگیره.
• استفاده از قالب یا افزونه نال‌شده: قیمت پایین یک فایل ناشناس، ارزش به‌خطرافتادن اطلاعات سایت و کاربرانتون رو نداره.
• دادن دسترسی مدیرکل به همه: هر حساب اضافه با این نقش، یک مسیر حساس دیگه به سایتتون اضافه می‌کنه.
• نگهداری پشتیبان فقط روی همون هاست: خرابی یا نفوذ به هاست ممکنه سایت اصلی و نسخه پشتیبان رو با هم از دسترس خارج کنه.
• فعال‌کردن ناآگاهانه فایروال: بعضی قانون‌ها ممکنه فرم ورود، درخواست‌های فروشگاه یا ابزارهای ضروری سایت رو مسدود کنن.
• نادیده‌گرفتن یا بزرگ‌کردن هشدارها: هر هشدار رو بررسی کنید، ولی بدون مدرک اون رو نشونه یک حمله موفق ندونید.

اگه سایت وردپرسی هک شد چه کار کنید؟

اگه با نشانه‌هایی مثل کاربر ناشناس، تغییر فایل، انتقال به صفحه‌های عجیب یا ارسال هرزنامه روبه‌رو شدید، عجولانه همه‌چیز رو پاک نکنید. این مراحل کمک می‌کنن وضعیت رو با نظم بیشتری مدیریت کنید:

1. آرامشتون رو حفظ کنید و زمان، نشانه‌ها، پیام‌های خطا و تغییرهایی رو که دیدید ثبت کنید.
2. با کمک هاست یا متخصص امنیت، دسترسی‌های مشکوک رو محدود کنید؛ ولی شواهدی رو که برای بررسی لازم هستن از بین نبرید.
3. از یک دستگاه سالم، رمز حساب‌های مدیریتی، هاست، پایگاه داده و سرویس‌های مرتبط رو عوض کنید. کلیدهای امنیتی WordPress رو هم تازه کنید.
4. فایل‌ها، پایگاه داده، کاربران مدیر و کارهای زمان‌بندی‌شده رو بررسی کنید تا تغییرهای ناشناس رو پیدا کنید.
5. اگه لازم بود، سایت رو از یک نسخه سالم برگردونید و بعد همه اجزای اون رو به‌روز کنید.
6. راه نفوذ رو پیدا و مسدود کنید؛ وگرنه برگردوندن نسخه پشتیبان به‌تنهایی ممکنه باعث بشه مشکل دوباره تکرار بشه.

اگه تجربه فنی کافی ندارید، از پشتیبانی هاست یا یک متخصص پاک‌سازی کمک بگیرید. راهنمای پاکسازی سایت وردپرسی ویروسی هم مرحله‌های اصلی بررسی و بازیابی سایت رو توضیح می‌ده.

جمع‌بندی: وردپرس چقدر برای سایت شما امنه؟

پس آیا وردپرس امن است؟ برای سایت‌های شخصی، شرکتی و فروشگاهی، وردپرس می‌تونه انتخاب امنی باشه؛ اگه با اون مثل یک سیستم زنده که به نگهداری نیاز داره رفتار کنید. نوع سایت هم میزان مراقبت لازم رو مشخص می‌کنه. مثلا فروشگاهی که اطلاعات مشتری‌ها و سفارش‌ها رو نگه می‌داره، نسبت به یک وبلاگ آزمایشی به پایش و برنامه بازیابی دقیق‌تری نیاز داره.

لازم نیست همه تنظیمات پیچیده رو همون روز اول انجام بدید. برای شروع، همین امروز یک نسخه پشتیبان کامل بگیرید، همه اجزا رو به‌روز کنید، رمز مدیر رو عوض کنید، ورود دومرحله‌ای رو روشن کنید و حساب‌های اضافه رو ببندید. همین چند کار ساده جلوی بخش بزرگی از خطاهای رایج رو می‌گیرن.

سؤالات متداول درباره امنیت وردپرس

تیم تولید محتوا

ما در تیم تولید محتوای میهن وردپرس در تلاش هستیم تا بهترین مقالات آموزشی در زمینه وردپرس و کسب‌و‌کارهای اینترنتی را تهیه کنیم. صحت محتوای این صفحه توسط رضا راد بررسی خواهد شد.