امنیت و رفع هک وردپرس

رفع هک وردپرس یکی از مسائل مهمی است که هر مدیر وب‌سایت وردپرسی باید به آن توجه کند. امروزه بیشتر به علت محبوبیت بالای وردپرس و استفاده گسترده از آن هک صورت میگیرد. البته استفاده از افزونه های نامناسب یا برخی از  نرم افزار های کرک شده یا غیر فعال نکردن ویژگی XML-RPC، در صورتی که از آن استفاده ای نمیشود و… میتواند باعث هک شدن سایت وردپرسی شما شود. در اینجا چند مرحله کلیدی برای بهبود امنیت و رفع مشکلات هک وردپرس آورده شده است:

1. به‌روزرسانی‌ها

• وردپرس:  همیشه از آخرین نسخه وردپرس استفاده کنید. به‌روزرسانی‌های جدید اغلب شامل اصلاحات امنیتی هستند.
• افزونه‌ها و قالب‌ها:  افزونه‌ها و قالب‌ها را به‌طور منظم به‌روز کنید.

2. انتخاب افزونه‌ها و قالب‌های امن

• افزونه‌ها و قالب‌های معتبر:  فقط از افزونه‌ها و قالب‌های معتبر و با امتیاز بالا استفاده کنید.
• پشتیبان‌گیری منظم:  از وب‌سایت خود به‌طور منظم بک آپ یا پشتیبان‌گیری کنید تا در صورت هک شدن بتوانید به سرعت اطلاعات را بازیابی کنید.

3. استفاده از رمزهای عبور قوی

• رمز عبور پیچیده:  برای حساب‌های کاربری خود رمزهای عبور پیچیده و منحصر به فرد انتخاب کنید.
• تغییر دوره‌ای رمز عبور:  بهتر است که رمزهای عبور خود را به صورت دوره‌ای تغییر دهید.

4. استفاده از افزونه‌های امنیتی

• Wordfence Security : این افزونه به شما کمک می‌کند تا تهدیدهای امنیتی را شناسایی و مسدود کنید.
• iThemes Security :  این پلاگین نیز گزینه‌های امنیتی متعددی را برای محافظت از سایت شما ارائه می‌دهد.

در جدول زیر چند افزونه پرقدرت و کاربردی برای امنیت و رفع هک وردپرس آمده است:

نام پلاگین	قابلیت ها	ویژگی ها	درجه سختی
افزونه Wordfence Security	فایروال، اسکن بدافزار، بلاک IP، بررسی امنیت فایل‌ها	داشبورد کامل و گزارش‌های دقیق	متوسط
افزونه iThemes Security Pro	حفاظت در برابر Brute Force ، اسکن آسیب‌پذیری، قفل کردن کاربران مشکوک	تنظیمات پیشرفته و نیاز به کمی دانش فنی	سخت
افزونه Sucuri Security	مانیتورینگ فعالیت‌ها، فایروال، اسکن بدافزار	مناسب سایت‌های هک‌شده برای بررسی تغییرات فایل‌ها	آسان
افزونه BBQ Firewall	جلوگیری از درخواست‌های مخرب (bad requests)، بلاک کردن URLهای مشکوک و..	بدون تنظیمات پیچیده، بسیار سبک و سریع، مناسب برای مدیران مبتدی	آسان
افزونه WP Cerber Security	دفاع در برابر حملات Brute Force، مانیتور لاگین، بلاک آی‌پی	کنترل قوی روی فعالیت کاربران و تلاش‌های لاگین	متوسط
افزونه Shield Security Pro	لاگین دو مرحله‌ای، فایروال، ضد اسپم، جلوگیری از ربات‌ها	طراحی شده برای افراد غیرمتخصص	آسان
افزونه MalCare Security	اسکن خودکار، پاک‌سازی یک کلیکی بدافزار، فایروال	بدون کاهش سرعت سایت	آسان
افزونه SecuPress	فایروال، ضد بدافزار، جلوگیری از اسکن ربات‌ها	رابط گرافیکی حرفه‌ای و قابل درک	آسان
افزونه BulletProof Security	حفاظت htaccess، پشتیبان‌گیری دیتابیس، فایروال	برای کاربران حرفه‌ای مناسب است	سخت
افزونه Astra Security Suite	فایروال، اسکن بدافزار، ضد اسپم، حفاظت فرم‌ها	گزینه‌ای مناسب برای فروشگاه‌های آنلاین	آسان
افزونه All In One WP Security and Firewall	حفظ امنیت حساب کاربران و بخش ورود به سایت، امنیت htaccess. و wp-config.phpو…	مناسب افراد نیمه حرفه ای و نسخه پیشرفته آن مناسب مدیران کاربلد	متوسط
افزونه WP Hide & Security Enhancer Pro	فایروال برنامه کاربردی، وصله آسیب‌پذیری‌ها	برای جلوگیری از شناسایی ساختار وردپرس	آسان
افزونه Jetpack	مانیتور آفلاین شدن، پشتیبان‌گیری، اسکن امنیتی	مناسب مبتدی‌ها و سایت‌های کم‌ریسک	آسان
افزونه Ninja Firewall	فایروال مستقل، محافظت پیشرفته از فایل‌ها و فرم‌ها	حتی قبل از بارگذاری وردپرس اجرا می‌شود	متوسط
افزونه WP Activity Log Premium	مانیتورینگ دقیق تغییرات کاربران، شناسایی فعالیت مشکوک	مکمل برای سایر افزونه‌های امنیتی	آسان

اگر بخواهیم به چند نمونه از شرکت هایی که در چند سال اخیر دچار حمله سایبری شده اند اشاره کنیم میتوان به:

5. تنظیمات امنیتی در هاست

•  :SSL استفاده از گواهی SSL برای رمزنگاری اطلاعات بین کاربران و سرور.
• تغییر پیشوند جداول دیتابیس:  تغییر پیشوند پیش‌فرض جداول دیتابیس از  wp_ به چیزی منحصربه‌فرد.

6. محدود کردن دسترسی‌ها

• تعیین نقش‌ها و مجوزها:  دسترسی کاربران به بخش‌های مختلف سایت را محدود کنید.
• دسترسی به پنل مدیریت:  دسترسی به پنل مدیریت را به IP‌های خاص محدود کنید.

7. بررسی فایل‌ها و اسکن سایت

• اسکن برای بدافزارها:  از افزونه‌های مناسب یا سرویس‌های آنلاین برای اسکن سایت خود استفاده کنید.
• بررسی فایل‌ها:  فایل‌های مشکوک را بررسی و در صورت لزوم حذف کنید.

برای بازیابی و رفع هک وردپرس نیاز است که:

1. تغییر رمزهای عبور:  تمامی رمزهای عبور را تغییر دهید.
2. بازیابی از پشتیبان:  در صورت لزوم، سایت را از نسخه پشتیبان بازیابی کنید.
3. بررسی فایل‌ها و پایگاه‌داده:  فایل‌ها و جداول پایگاه‌داده را بررسی و بدافزارها را حذف کنید.

با اجرای این مراحل، می‌توانید امنیت سایت وردپرسی خود را بهبود بخشیده و در صورت هک شدن، به سرعت آن را بازیابی کنید.

نکات اصولی برای امنیت و رفع هک وردپرس

وردپرس به دلیل محبوبیت بالای خود، هدف اصلی بسیاری از حملات سایبری قرار گرفته است. اگرچه استفاده از به‌روزرسانی‌های منظم، افزونه‌های معتبر و رمزهای قوی از اقدامات پایه امنیتی هستند، اما برای امنیت حداکثری وب‌سایت وردپرسی، باید به نکات پیشرفته‌تری نیز توجه داشت.

– غیرفعال‌سازی ویرایش فایل‌ها از پنل مدیریت

یکی از راه‌های نفوذ مهاجمان پس از دسترسی به داشبورد، استفاده از ویرایشگر داخلی وردپرس برای دستکاری فایل‌های قالب و افزونه است. با افزودن قطعه کد زیر به فایل wp-config.php می‌توان این قابلیت را غیرفعال کرد: define(‘DISALLOW_FILE_EDIT’, true) ; این کار احتمال تزریق کد مخرب به قالب یا افزونه‌های سایت شما را کاهش می‌دهد.

– محدود کردن تلاش‌های ورود  (Login Attempts)

بسیاری از حملات به‌صورت Brute Force انجام می‌شوند، یعنی هکرها با آزمون و خطای سریع سعی در حدس زدن رمز عبور دارند. با افزونه‌هایی مثل Limit Login Attempts Reloaded  یا قابلیت مشابه در Wordfence می‌توان تعداد دفعات ورود ناموفق را محدود و آدرس IP حمله‌کننده را مسدود کرد.

– تغییر مسیر ورود پیش‌فرض وردپرس

هکرها معمولاً از آدرس‌های پیش‌فرض مانند wp-login.php  یاwp-admin/  برای حمله استفاده می‌کنند. با کمک افزونه‌هایی مثل WPS Hide Login  می‌توان آدرس ورود را به یک مسیر دلخواه و خاص تغییر داد و از حملات خودکار جلوگیری کرد.

–  مانیتورینگ فعالیت کاربران و مدیران

در سایت‌هایی با چند کاربر، مخصوصاً فروشگاهی یا سازمانی، نظارت بر فعالیت کاربران اهمیت زیادی دارد. افزونه‌هایی مانند WP Activity Log  یا Simple History  به شما این امکان را می‌دهند که فعالیت‌هایی مثل ورود، تغییر تنظیمات یا نصب افزونه را رصد کنید.

–  استفاده از فایروال‌های تحت وب (WAF)

فایروال‌های تحت وب مانند Sucuri Firewall  یا Cloudflare WAF  در سطح شبکه فعالیت می‌کنند و پیش از رسیدن درخواست به هاست شما، آن را فیلتر می‌کنند. این ابزارها حملات معمول مانند:  SQL Injection، XSS، و فایل‌های مخرب را مسدود می‌کنند.

–  تنظیم صحیح سطح دسترسی فایل‌ها و پوشه‌ها

میزان دسترسی فایل‌ها و پوشه‌ها در وردپرس باید محدود باشد تا در صورت نفوذ هکر، امکان تغییر آن‌ها را نداشته باشد. تنظیمات پیشنهادی به‌صورت زیر است: فایل‌ها< 644پوشه‌ها< 755فایل wp-config.php  : تا حد ممکن محدود مثلاً 400))

–  استفاده از سیستم احراز هویت دو مرحله‌ای (2FA)

فعال‌سازی ورود دو مرحله‌ای با استفاده از ابزارهایی مانند Google Authenticator یا افزونه‌های امنیتی، یک لایه‌ی اضافی امنیتی ایجاد می‌کند. حتی اگر رمز عبور لو برود، هکر بدون کد دوم نمی‌تواند وارد شود.

–  بررسی و حذف کاربران مشکوک

گاهی اوقات هکرها پس از نفوذ، یک کاربر با سطح دسترسی بالا به صورت پنهانی ایجاد می‌کنند. بررسی دوره‌ای لیست کاربران و حذف اکانت‌های ناشناس یا مشکوک می‌تواند از سوء استفاده‌های بعدی جلوگیری کند.

–  چک و پاکسازی بدافزارها پس از هک

اگر سایت شما هک شده باشد، تنها بازیابی نسخه پشتیبان کافی نیست. باید مطمئن شوید که بدافزارها در قالب، افزونه، فایل‌های اصلی وردپرس یا دیتابیس باقی نمانده‌ باشند. افزونه‌هایی مثل MalCare  یا Wordfence می‌توانند سایت را اسکن کرده و فایل‌های آلوده را شناسایی کنند. امنیت وردپرس یک فرآیند مستمر است، نه اقدامی یک‌باره. همیشه توصیه می‌شود که برنامه‌ای منظم برای بررسی فایل‌ها، اسکن بدافزار و بک آپ ‌گیری داشته باشید. همچنین با آموزش تیم خود یا ادمین ها، می‌توان از خطاهای انسانی که یکی از شایع‌ترین دلایل هک است، جلوگیری کرد. برخلاف تصور عمومی، بسیاری از نفوذها به‌دلیل بی‌توجهی‌ به چیزهای ساده‌ای مانند، انتخاب رمز ضعیف یا استفاده از افزونه‌های ناشناس رخ می‌دهد. بنابراین با رعایت و ترکیب اقدامات پایه، روش‌های پیشرفته‌تر و یک برنامه منظم پشتیبان‌گیری و پایش امنیت، می‌توانید امنیت سایت خود را به‌طور چشم‌گیری افزایش داده و در صورت بروز حمله سایبری، سریع‌تر و مؤثرتر واکنش نشان دهید. در انتها امیدوار هستیم که با ارائه روش های شناسایی و جلوگیری ما از حمله هکرها بتوانید سایت خود را همیشه در وضعیت امنیتی سالم نگه دارید.