مخفی کردن مسیرهای وردپرس با WP Hide؛ آموزش کامل و امن

اگه می‌خواید ربات‌ها و ابزارهای خودکار به همین راحتی ساختار سایت وردپرسی شما رو تشخیص ندن، افزونه WP Hide & Security Enhancer کمکتون می‌کنه نشانی‌های قابل‌مشاهده‌ای مثل wp-content، wp-includes و wp-login.php رو بازنویسی کنید. البته پوشه‌های اصلی واقعاً جابه‌جا یا تغییرنام داده نمی‌شن؛ افزونه فقط نشانی متفاوتی رو به بازدیدکننده نشون می‌ده.

توی این راهنما، نصب افزونه، تنظیمات General / Html، بخش Rewrite و تغییر آدرس ورود رو با هم قدم‌به‌قدم جلو می‌بریم. فقط قبل از شروع یادتون باشه که مخفی کردن مسیرها به‌تنهایی جلوی هک رو نمی‌گیره. به‌روزرسانی وردپرس، انتخاب رمز قوی، احراز هویت دومرحله‌ای، پشتیبان‌گیری و فایروال همچنان پایه‌های اصلی امنیت سایتتون هستن. برای آشنایی با راهکارهای بیشتر، می‌تونید مطالب بخش امنیت وردپرس در میهن وردپرس رو هم بخونید.

مخفی کردن مسیرهای وردپرس چه فایده‌ای داره؟

کد HTML و نشانی فایل‌های سایت ممکنه اطلاعاتی درباره سیستم مدیریت محتوا، قالب و افزونه‌ها لو بدن. وقتی مسیرهای قابل‌مشاهده رو تغییر می‌دید، پیدا کردن این سرنخ‌ها برای بعضی ربات‌های ساده سخت‌تر می‌شه. این کار حتی ممکنه تعداد درخواست‌های خودکاری رو که به آدرس ورود پیش‌فرض می‌رسن کمتر کنه.

بااین‌حال، این روش هیچ آسیب‌پذیری‌ای رو در وردپرس، قالب یا افزونه‌ها برطرف نمی‌کنه. ممکنه مهاجم از نشانه‌های دیگه هم بفهمه سایتتون وردپرسه. پس WP Hide رو یک لایه کمکی در نظر بگیرید، نه جایگزین به‌روزرسانی، پشتیبان‌گیری یا تنظیمات اصلی امنیت. راهنمای رسمی امن‌سازی وردپرس هم روی دفاع چندلایه تأکید می‌کنه.

معرفی افزونه WP Hide & Security Enhancer

WP Hide & Security Enhancer یک افزونه وردپرس برای بازنویسی مسیرهای قابل‌مشاهده و کم‌کردن بعضی نشانه‌های وردپرسه. با کمکش می‌تونید برای مسیر قالب، افزونه‌ها، فایل‌های آپلودی، wp-content، wp-includes و صفحه ورود، نشانی تازه‌ای انتخاب کنید.

نسخه‌های جدید افزونه ابزارهای امنیتی بیشتری مثل اسکن امنیتی، احراز هویت دومرحله‌ای، کپچا، هدرهای امنیتی و کنترل بعضی قابلیت‌های REST API دارن. REST API راهیه که وردپرس و برنامه‌های دیگه با کمکش داده ردوبدل می‌کنن. چون اسم و جای بعضی گزینه‌ها ممکنه بین نسخه‌های مختلف عوض بشه، بهتره توضیح کنار هر گزینه رو هم در نسخه‌ای که نصب کردید بخونید.

کارهای مهمی که افزونه انجام می‌ده

• تعریف یک نشانی تازه برای صفحه ورود و مدیریت وردپرس
• بستن دسترسی به بعضی نشانی‌های پیش‌فرض بعد از آزمایش مسیر تازه
• بازنویسی مسیرهای wp-content، wp-includes، plugins، themes و uploads
• کم‌کردن بعضی نشانه‌های وردپرس در کد HTML
• کنترل بعضی لینک‌ها و اطلاعات اضافه‌شده به سربرگ صفحه
• ارائه ابزارهای امنیتی تکمیلی که با توجه به نسخه و نوع مجوز فرق دارن

قبل از تغییر مسیرها چه کارهایی انجام بدیم؟

تغییر مسیرها ممکنه با کش، قالب، افزونه امنیتی، شبکه توزیع محتوا یا تنظیمات سرور تداخل داشته باشه. پس قبل از دست‌زدن به تنظیمات، یک نسخه پشتیبان کامل از فایل‌ها و پایگاه داده بگیرید. اگه سایت مهم یا فروشگاهی دارید، بهتره اول همه‌چیز رو روی یک سایت آزمایشی امتحان کنید.

1. یک نسخه پشتیبان کامل بگیرید و مطمئن بشید قابل‌بازیابیه.
2. کش سایت، سرور و شبکه توزیع محتوا رو موقتاً پاک کنید.
3. آدرس ورود فعلی رو در جای امنی نگه دارید.
4. هر بار فقط یک مسیر رو تغییر بدید و نتیجه رو آزمایش کنید.
5. برای مسیرهای تازه، عبارت‌های کوتاه و انگلیسیِ بدون فاصله انتخاب کنید.

یادتون نره که استفاده هم‌زمان از چند افزونه برای تغییر آدرس ورود یا بازنویسی مسیرها ممکنه دردسر درست کنه. اگه فقط می‌خواید آدرس ورود رو عوض کنید و کاری با بقیه مسیرها ندارید، آموزش تغییر آدرس پنل مدیریت وردپرس با WPS Hide Login راه ساده‌تری رو نشونتون می‌ده.

نصب افزونه WP Hide & Security Enhancer

توی پیشخوان وردپرس به «افزونه‌ها ← افزودن افزونه تازه» برید. WP Hide & Security Enhancer رو جست‌وجو کنید، دکمه نصب رو بزنید و بعد افزونه رو فعال کنید. راه دیگه اینه که افزونه رو از مخزن رسمی وردپرس بگیرید. اگه این مراحل براتون ناآشناست، اول آموزش نصب افزونه در وردپرس رو ببینید.

بعد از فعال‌سازی، منوی WP Hide به پیشخوان اضافه می‌شه. ممکنه اسم دقیق زیرمنوها در نسخه‌های مختلف افزونه کمی فرق داشته باشه.

قبل از اینکه گزینه‌ای رو روشن کنید، یک دور بخش‌های اصلی افزونه رو ببینید. تنظیمات حذف نشانه‌های HTML معمولاً در General / Html هستن. بخش Rewrite برای بازنویسی مسیرهاست و گزینه‌های مربوط به ورود و مدیریت رو هم در Admin پیدا می‌کنید.

تنظیمات General / Html

این بخش بعضی نشانه‌ها و لینک‌هایی رو کنترل می‌کنه که در کد HTML صفحه ساخته می‌شن. حذف هرکدوم از این موارد لزوماً امنیت سایت رو بیشتر نمی‌کنه. بعضی گزینه‌ها حتی ممکنه روی سرویس‌های متصل به سایت اثر بذارن، پس فقط چیزی رو فعال کنید که کاربردش رو می‌دونید.

Remove WordPress Generator Meta: تگ Generator رو از کد HTML برمی‌داره. این تگ ممکنه اطلاعاتی درباره سیستم سازنده صفحه نشون بده، ولی با حذفش نمی‌تونید وردپرسی بودن سایت رو کاملاً پنهان کنید.

Remove Other Generator Meta: اطلاعات Generator ساخته‌شده به‌وسیله بعضی ابزارهای دیگه رو حذف می‌کنه. بعد از فعال‌کردنش، سورس چند صفحه رو ببینید و مطمئن بشید مشکلی پیش نیومده.

Remove Shortlink Meta: لینک کوتاه وردپرس رو از سربرگ HTML برمی‌داره. این گزینه شورت‌کدهای داخل نوشته‌ها رو غیرفعال نمی‌کنه. شورت‌کد یک قطعه کوتاه در محتواست که خروجی مشخصی می‌سازه.

Remove DNS Prefetch: بعضی راهنمایی‌های DNS Prefetch رو حذف می‌کنه. DNS Prefetch یعنی مرورگر نشانی یک دامنه رو زودتر پیدا می‌کنه تا اتصال بعدی سریع‌تر شروع بشه. اگه این مورد رو بدون دلیل حذف کنید، ممکنه سرعت سایت کمتر بشه.

Remove Resource Hints: راهنمایی‌های مربوط به بارگذاری منابع رو از سربرگ صفحه برمی‌داره. این راهنمایی‌ها ممکنه به عملکرد بهتر سایت کمک کنن، پس بهتره بدون آزمایش حذفشون نکنید.

Disable Output the REST API Link Tag Into Page Header: فقط لینک معرفی REST API رو از سربرگ HTML حذف می‌کنه. روشن‌کردن این گزینه لزوماً خود REST API رو از کار نمی‌اندازه.

Remove rsd_link Meta: لینک RSD رو از سربرگ برمی‌داره. RSD یک روش قدیمی برای معرفی قابلیت انتشار از راه دور و اتصال بعضی ابزارها به سایته.

Remove adjacent_posts_rel Meta: لینک‌های مربوط به نوشته قبلی و بعدی رو از سربرگ HTML حذف می‌کنه. معمولاً لینک‌هایی که داخل قالب می‌بینید با این گزینه حذف نمی‌شن.

Remove Profile Link: لینک پروفایل رو از سربرگ HTML برمی‌داره. بعد از فعال‌کردنش، صفحه نویسنده و ابزارهایی رو که با پروفایل کار می‌کنن آزمایش کنید.

تغییر مسیرها از بخش Rewrite

از منوی WP Hide وارد Rewrite بشید. اینجا می‌تونید برای مسیرهای قابل‌مشاهده‌ای مثل theme، wp-content، wp-includes، plugins و uploads اسم تازه‌ای بذارید. برای مثال، گزینه New Content Path یک نشانی نمایشی تازه برای محتوای wp-content می‌سازه.

برای شروع فقط یک مسیر کم‌ریسک رو تغییر بدید و تنظیمات رو ذخیره کنید. بعد صفحه اصلی، چند نوشته، تصاویر، فرم‌ها و بخش مدیریت رو در پنجره ناشناس مرورگر باز کنید. اگه همه‌چیز درست کار کرد، برید سراغ مسیر بعدی. وقتی چند گزینه رو با هم تغییر می‌دید، پیدا کردن علت خطا خیلی سخت‌تر می‌شه.

در تب Plugins ممکنه گزینه‌ای برای تعریف مسیر تازه افزونه‌ها ببینید. این تغییر گاهی با افزونه‌هایی که نشانی فایل‌ها رو به‌صورت ثابت ذخیره می‌کنن سازگار نیست. بعد از ذخیره تنظیمات، فایل‌های CSS و JavaScript، فرم‌ها، فروشگاه و صفحه پرداخت رو هم بررسی کنید. CSS ظاهر صفحه رو می‌سازه و JavaScript خیلی از بخش‌های تعاملی مثل منوها و پنجره‌ها رو کنترل می‌کنه.

تغییر آدرس ورود و مدیریت وردپرس

برای تغییر مسیر ورود، وارد بخش Admin بشید و برای wp-login.php یا مسیر مدیریت، یک نشانی تازه بنویسید. قبل از بستن صفحه، این نشانی رو در پنجره ناشناس آزمایش کنید. تا وقتی مطمئن نشدید مسیر تازه درست کار می‌کنه، آدرس پیش‌فرض رو نبندید.

آدرس تازه رو در مدیر رمز عبور یا جای امن دیگه‌ای ذخیره کنید. اگه مسیر رو فراموش کنید، شاید برای ورود دوباره مجبور بشید افزونه رو از راه هاست غیرفعال کنید. تغییر آدرس ورود فقط درخواست‌های خودکار به wp-login.php رو کمتر می‌کنه و جای رمز قوی، کپچا یا احراز هویت دومرحله‌ای رو نمی‌گیره.

قابلیت‌های امنیتی تکمیلی افزونه

با توجه به نسخه افزونه و امکاناتی که فعال کردید، ممکنه بخش‌هایی برای اسکن امنیتی، کپچا، احراز هویت دومرحله‌ای و هدرهای امنیتی ببینید. احراز هویت دومرحله‌ای یعنی برای ورود، علاوه بر رمز به یک کد یا تأیید دوم هم نیاز دارید. هدر امنیتی هم دستور کوتاهیه که سرور می‌فرسته تا بعضی رفتارهای مرورگر رو کنترل کنه.

همه گزینه‌ها رو یک‌دفعه روشن نکنید. مثلاً تنظیم اشتباه هدرهای امنیتی ممکنه جلوی نمایش فونت یا تصویر رو بگیره یا درگاه پرداخت و ابزارهای آماری رو مسدود کنه. هر قابلیت رو جداگانه فعال کنید، نتیجه رو ببینید و فقط تنظیماتی رو نگه دارید که با سایتتون سازگارن.

روش آزمایش تغییرات و حل مشکلات

1. کش افزونه، مرورگر، سرور و شبکه توزیع محتوا رو پاک کنید.
2. صفحه اصلی و چند نوشته رو در پنجره ناشناس باز کنید.
3. تصاویر، فونت‌ها، منوها، فرم‌ها و فایل‌های دانلودی رو بررسی کنید.
4. ورود، خروج و بازیابی رمز عبور رو آزمایش کنید.
5. اگه فروشگاه دارید، سبد خرید و یک پرداخت آزمایشی رو هم بررسی کنید.
6. بعد از هر تغییر، گزارش خطای سرور و کنسول مرورگر رو ببینید.

اگه ظاهر سایت به‌هم ریخت یا بعضی فایل‌ها باز نشدن، آخرین تغییری رو که انجام دادید برگردونید و دوباره کش رو پاک کنید. اگه حتی بعد از اصلاح تنظیمات هم نتیجه رو نمی‌بینید، راهنمای حل مشکل کش وردپرس می‌تونه کمکتون کنه. برای مشکل‌های جدی، افزونه رو موقتاً از مدیریت فایل هاست غیرفعال کنید و نسخه پشتیبان رو هم آماده نگه دارید.

جمع‌بندی

WP Hide & Security Enhancer برای بازنویسی مسیرهای قابل‌مشاهده وردپرس و کم‌کردن بعضی نشانه‌های قابل‌شناسایی به کار میاد. برای اینکه به مشکل نخورید، تغییرات رو یکی‌یکی انجام بدید و بعد از هر مرحله، بخش‌های مهم سایت رو کامل آزمایش کنید. مهم‌تر از همه، این افزونه رو فقط یکی از لایه‌های امنیتی سایتتون بدونید.

تیم تولید محتوا

ما در تیم تولید محتوای میهن وردپرس در تلاش هستیم تا بهترین مقالات آموزشی در زمینه وردپرس و کسب‌و‌کارهای اینترنتی را تهیه کنیم. صحت محتوای این صفحه توسط رضا راد بررسی خواهد شد.