یکی از چالشهایی که باعث ایجاد مشکلات زیاد در وبسایتها میشود، خطر هکشدن است. این در حالیست که اگر بعد از راهاندازی سایت اقدام به نصب و قالب افزونهها نموده و روشهای پیشگیری از هکشدن سایت در برابر هکرها را نیز رعایت کنید، تا حد قابلتوجهی وبسایت شما با این مشکل مواجه نخواهد شد. برای جلوگیری از گزینههای احتمالی حملات به بخش مدیریت وردپرسی، میتوانید با امن کردن این بخش از دسترسیهای غیرمجاز از بسیاری از تهدیدات امنیتی رایج پیشگیری نمایید. باتوجهبه اهمیت بالای مراقبت از سایتها در برابر هکرها، قصد داریم در ادامه مقاله به راهکارهای موفق پیشگیری از این چالش در سایت وردپرسی بپردازیم.
مراقبت از سایت
یکی از راهکارهای موفقیت یک سایت و جلوگیری از چالشهایی که بسیاری از وبسایتها را تهدید میکند، انجام گزینه های مراقبتی بعد از راهاندازی سایت است. روشهای پیشگیری از هکشدن سایت در برابر هکرها یکی از موضوعات بسیار مهم در همه جوامع بوده که در صورت بیتوجهی، موجب بروز آسیبهای جدی در سایتها خواهد شد. مراقبت از سایت و ایجاد سیستم دفاعی برای جلوگیری از خطرات احتمالی نیاز به تخصص برنامهنویسی و یا دانش خاصی ندارد، تنها کافیست به موارد و نکاتی که باعث محافظت از وبسایت در برابر هکرها میشود اشراف داشته و با ایجاد سیستمهای دفاعی خوب مانع از حملات مخرب آنها شد.
راهکارهای پیشگیری از هکشدن سایتها توسط هکرها
شاید برخی از مدیران وبسایتها بر این باور باشند که وبسایتشان چیز با ارزشی برای هکشدن ندارد که یک طرز فکر کاملا اشتباه است. چرا که همه وبسایتها در معرض خطر هکشدن دادهها، بههمریختن طرحبندی و ظاهر وبسایت هستند؛ اما چیزی که باید نسبت به آن نگران بود و با استفاده از روشهای پیشگیری از هکشدن سایت در برابر هکرها مانع این کار شد ایجاد بکلینک در سایت، ایجاد ترافیک در سایت، استفاده از هرزنامه برای ارسال ایمیل و… است. علاوه بر این بسیاری از هکرها با ماهیت غیرقانونی اقدام به سوءاستفاده از سایتها مینمایند. استفاده از سرورهای سایت به عنوان بخشی از یک بات نت یا استخراج بیتکوین جزو این موارد غیرقانونی است که با پیگیریهای قضایی وبسایتها همراه خواهد بود. همین عوامل باعث شده برای جلوگیری از سوءاستفاده برنامهریزیهای اسکریپ های خودکار و اجرای آن توسط هکرها و برنامهنویسان برای انجام مقاصد شوم، اقدام به بالابردن امنیت سایت خود نمایید. راهکارهای بسیاری برای جلوگیری از حملات هکری به وبسایت وردپرسی وجود دارد که در ادامه به بیان گزینه های مهم در این زمینه خواهیم پرداخت:
آپدیت کردن دورهای و منظم قالب و افزونههای سایت وردپرس
یک راهکار ساده اما بسیار مهم و کاربردی در این زمینه آپدیت منظم قالب، افزونهها و سیستم مدیریت محتوای سایت برای جلوگیری از ایجاد حفرههای امنیتی در وبسایت توسط هکرها است. آپلود آخرین ورژن وردپرسی و یا سیستم مدیریت محتوا، تهیه افزونههای مورداستفاده از سایتهای معتبر و بهروزرسانی منظم یکی از روشهای پیشگیری از هکشدن سایت در برابر هکرها شناخته میشود. علاوه بر این اگر در سایت از افزونههای رایگان استفاده مینمایید، میبایست نسبت به تعداد نصب، بهروز بودن آن و میزان محبوبیت آن نیز توجه داشته باشید. چرا که بسیاری از این افزونهها مدتها بهروزرسانی نمیشوند که همین امر احتمال هکشدن وبسایت را بالا خواهد برد.
از اعتبارات پیشفرض استفاده نکنید
یکی از گزینههایی که مدیران وبسایت میتوانند برای جلوگیری از هکشدن انجام دهند، ایجاد رمزهای عبور پیشفرض پیچیده و رمزگشایی پیچیدهتر است. رمز عبور به عنوان اولین دفاع شما در برابر حملات هکری شناخته میشود. چرا که هکرها بر این باورند که مدیران وبسایت رمز عبور و کاربری را استفاده میکنند که ساده و قابل حدس باشد. پس میتوانید با یک راهکار ساده مانع از بروز چنین اختلالی در وبسایت وردپرسی خود شوید.
استفاده از شرکت هاستینگ معتبر
همانطور که میدانید یکی از المانهای امنیتی موفق در سایت وردپرسی، انتخاب درست میزبان وبسایت یا همان هاست است. یک شرکت هاستینگ معتبر به منظور حفاظت و امنیت سرور خود اقدام به ایجاد لایههای مختلفی از امنیت مینماید. پس با انتخاب یک هاست معتبر گام مهمی در افزایش امنیت سایت وردپرسی خود برمیدارید.
ایجاد امنیت در وبسایت با استفاده از SSL
یکی از روشهای پیشگیری از هکشدن سایت در برابر هکرها با ایجاد گواهینامه ssl در وبسایت مدیریتی خود میتوانید تضمینی امن برای انتقال داده بین مرورگر و سرور فراهم و مانع از دسترسی هکرها به اطلاعات وبسایت وردپرسی خود شوید.
افزایش امنیت صفحه وردپرسی
باتوجهبه اهمیت بالای امنیت صفحه وردپرسی سایت و ممانعت از حملات DDOS و هک وردپرس، میبایست با انجام راهکارهای زیر اقدام به افزایش امنیت در این صفحه سایت نمود:
تغییر آدرس ورود به وردپرس (- wp admin)
از دیگر روشهای پیشگیری از هکشدن سایت در برابر هکرها تغییر آدرس ورود به سایت وردپرسی است. در حالت پیشفرض آدرس ورود به مدیریت وردپرسی، Yoursite.com/wp-admin یا Yoursite.com/wp- است. در صورت عدم تغییر این آدرس، امکان دسترسی ساده و آسان برای هکرها فراهم میشود. تحت این شرایط هکرها با واردکردن نام کاربری و پسوردهای مختلف به منظور ورود به پیشخوان سایت شما تلاش میکنند. به همین منظور برای افزایش امنیت سایت وردپرسی حتماً اقدام به تغییر آدرس صفحه ورود نمایید.
محدودکردن ورود کاربران با تعداد تلاش ناموفق
بسیاری از کاربران برای ورود به سایت شاید بینهایت بار تلاش کرده و رمز و نام کاربری اشتباه را وارد کند. در چنین مواردی موقعیت مناسب برای هکرها فراهم شده تا با استفاده از ربات، حملات brute force را روی وبسایتها اعمال نمایند. به بیان ساده آنقدر اطلاعات مختلف را امتحان میکنند تا موفق به ورود به وبسایت شما شوند. یکی از روشهای پیشگیری از هکشدن سایت در برابر هکرها برای ممانعت از این امر محدودکردن تعداد دفعات تلاش ناموفق برای ورود به سایت است. بهعنوانمثال میتوانید بعد از ۵ بار تکرار ناموفق در واردکردن رمز، کاربر را به مدت چند ساعت محروم از ورود به سایت نمایید. Limit Login Attempts یکی از افزونههایی است که میتوانید اقدام به اعمال محدودیت کاربر در چنین شرایطی نمایید. ضمن اینکه میتوانید اگر به فعالیت یک کاربر و تعداد تلاشهای ناموفق او برای ورود به وبسایت مشکوک شدید، IP آن کاربر را مسدود نمایید.
غیرفعالکردن امکان ورود به وردپرسی با ایمیل
در کنار ورود هکرها با نام کاربری و رمز عبور، امکان ایجاد اختلال هکرها در وبسایت با ورود به پیشخوان وردپرسی به کمک ایمیل نیز وجود دارد. باتوجهبه اینکه افراد زیادی میتوانند آدرس ایمیل شما را داشته باشند و همین مورد نیز باعث کاهش امنیت وبسایت شما شود، بهتر است امکان ورود با ایمیل به سایت وردپرسی را با افزونه یا بدون افزونه لغو نمایید.
استفاده از Captcha در صفحه ورود به وردپرسی
یکی از مواردی که منابع سرور سایت شما را درگیر و باعث میشود سایت از دسترسی خارج شود، تلاشهای مکرر برای ورود با ارسال کامنت اسپم است. یکی از روشهای پیشگیری از هکشدن سایت در برابر هکرها در چنین مواردی استفاده از Captcha است. ضمن اینکه از این گزینه علاوه بر صفحه ورود میتوان در بخشهای نظرات و فرمهای مختلف نیز استفاده نمود. برای این منظور میتوانید از افزونهها reCaptcha by BestWebSoft و WordPress ReCaptcha Integration در این شرایط استفاده کنید.
استفاده از ورود دومرحلهای گوگل در وردپرس
با استفاده از این آپشن در سایت ورد پرسی خود قادر با ایجاد یکلایه امنیتی دیگر با ایجاد رمزهای عبور اضافه خواهید بود تحت این شرایط بهجای استفاده از رمز عبور تنها، از کاربر خواسته میشود که یک کد تایید ایجاد شده توسط برنامه Google Authenticator را در تلفن همراه خود در کادر موردنظر وارد نمایید. تحت این شرایط چنانچه هکری موفق به پیداکردن رمز عبور وردپرسی شما شود همچنان برای ورود به Google Authenticator نیازمند است.
استفاده از سوال امنیتی در صفحه ورود وردپرسی
از دیگر مواردی که به عنوان روشهای پیشگیری از هکشدن سایت در برابر هکرها می توان به آن اشاره کرد این گزینه خواهد بود. تحت این شرایط با نصب افزونه میتوانید برای ورود به صفحه وردپرسی یک سوال امنیتی اضافه کنید. بهاینترتیب تنها کاربران قادر به ورود به سایت شما خواهند بود که جواب صحیح را بهصورت کاملاً دقیق بدانند.
استفاده از سطحبندی برای دسترسی کاربران
باتوجهبه اینکه در وبسایتها یک تیم چندنفره مسئول انجام وظایف خاصی بوده که به ارتقا وبسایت و بالارفتن رتبه سئو در موتورهای جستجو کمک میکند، امکان دسترسی مدیریت به همه اعضای تیم داده میشود. درست است که این تیم حرفهای از سئوکار، تولیدکننده محتوا، طراح سایت و… تشکیل شده که هر کدام موارد امنیتی را رعایت میکنند؛ اما اگر به هر دلیلی یکی از این اعضا مرتکب اشتباه شده و به درستی از پسورد محافظت نکند کل وبسایت را دچار چالش خواهند کرد. ازاینرو بهتر است تنها طراح سایت به عنوان نقش مدیرکل امکان دسترسی به صفحه وردپرسی را داشته باشد و بقیه اعضای تیم با نقشهای مرتبط مثل نویسنده، ویرایشگر و… سطحبندی شوند.
مخفیکردن ورژن وردپرسی
یکی از روشهای پیشگیری از هکشدن سایت در برابر هکرها با یک راهکار بسیار ساده امکانپذیر است. ازآنجاکه پیداکردن نسخه وردپرسی سایت برای هکرها با استفاده از باگهای نسخه کار بسیار سادهای است، بهراحتی میتوانند به وبسایتهای مختلف نفوذ نمایند. به همین دلیل و برای ممانعت از خطرات احتمالی هکرها به وبسایت اقدام به مخفیکردن نسخه وردپرسی سایت خود نموده و باعث امنیت وبسایت وردپرسی خود شوید.
استفاده از افزونه امنیتی سایت وردپرستی
افزونههای امنیتی وردپرسی به دلیل حساسیت بالا در امنیت وبسایتها، همیشه فعال بوده و در طول ۲۴ ساعت شبانهروز در حال رصد سایت هستند. این چک ۲۴ ساعته باعث میشود حملات و بدافزارها را بهراحتی شناسایی نماید. افزونههای ورد فنس، آیتمز سکیوریتی، All In One WP Security & Firewall جزو گزینههای معروف افزونههای امنیتی هستند که میتوانید اقدام به نصب و استفاده از آن به منظور امنیت بیشتر و جلوگیری از حملات هکری نمایید.
بکاپ گیری از سایت
همانطور که میدانید بکاپ گیری، تهیه یک نسخه از اطلاعات سایت است که در صورت مواجه با مشکلات امنیتی برای بازیابی مجدد اطلاعات وبسایت به آن نیاز دارید. درست است که یکی از وظایف شرکت میزبان انجام بکاپ گیری منظم و دورهای از وبسایت است، اما تنها به این گزینه اکتفا نکرده و بهصورت مستمر و در تایمهای منظم و کوتاه اقدام به بکاپ گیری از اطلاعات سایت خود نمایید. این گزینه به عنوان یکی دیگر از روشهای پیشگیری از هکشدن سایت در برابر هکرها شناخته میشود. برای انجام بکاپ گیری از سایت راهکارهای بسیاری وجود دارد که شما میتوانید با انجام مشاوره از مجموعه دایری لن بهراحتی و بدون نیاز به تخصص خاص این فرایند را انجام دهید.
حذف قالب و افزونههای اضافه
چنان در صفحه وردپرس قالب و افزونههایی نصب است که از آن استفاده نمیکنید، در اولین فرصت اقدام به حذف همه آنها نمایید. با این ترفند ساده باعث افزایش امنیت سایت وردپرسی خود و ممانعت از حملات هکری خواهید شد.
ایجاد محدودیت دسترسی به فایل wp-config.php
همانطور که میدانید رمز عبور و یوزر به عنوان اطلاعات دیتابیس در فایل wp-config.php قرار دارد که جزو اطلاعات بسیار مهم وبسایت است. همین امر باعث میشود نکات امنیتی را در مورد این اطلاعات با حساسیت بیشتری انجام دهید. یکی از روشهای پیشگیری از سایت در برابر هکرها در این شرایط محدودکردن دسترسی به این فایل است. راهکارهای مختلفی در این زمینه وجود دارد که میبایست توسط افراد متخصص و با تجربه انجام شود، ولی نکته مهمی که باید قبل از هر فرایندی آن را انجام دهید بکاپ گرفتن از اطلاعات سایت است. از جمله گزینههای امنیتی در چنین شرایطی میتوان به موارد زیر اشاره نمود:
- در پوشههای هاست فایل wp-config.php
را در یک فولدر بالاتر از public-html قرار دهید.
- در فایل wp-config.php اقدام بهقرار دادن کد <Files wp-config. Php > order allow,deny deny from all </Files> نمایند.
غیرفعالکردن ویرایشگر قالب و افزونهها در پیشخوان وردپرسی
در نسخه پیشفرض در صفحه پیشخوان وردپرسی، ویرایشگر Editor وجود دارد که در بخش نمایش و افزونهها میتوانید این گزینه را شاهد باشید. با استفاده از این ویرایشگر تمامی کدهای قالب و افزونهها در دسترس بوده و میتوانید بهراحتی آن را تغییر دهید. یکی از روشهای پیشگیری از هکشدن سایت در برابر هکرها با این روش امکانپذیر است. ازاینرو درصورتیکه هکری به پیشخوان وردپرسی شما نفوذ نماید، بهراحتی میتواند با ارسال کدهای مخرب به این گزینهها باعث اختلال در سایت وردپرسی شما شود. به منظور جلوگیری از این چالش میتوانید با ورود به هاست و کلیک بر روی گزینه Public html فایل wp-config را پیدا و به فایل ویرایش آن دسترسی پیدا کنید. با اضافهکردن و ذخیره کد Disallow fill edit define(DISALLOW_FILE _EDIT ‘,true) ;// در بخش defin باعث غیرفعالشدن امکان ویرایش فایل در پیشخوان وردپرسی خواهید شد که در نهایت با افزایش امنیت سایت در برابر حملات هکری همراه خواهد بود
غیرفعالکردن دسترسی به پوشهها در هاست
از دیگر مواردی که بهصورت پیشفرض در هاست فعال است، قابلیت directory browsing است. این فایل شامل اطلاعات سایت شما مثل قالبها و افزونههای فعال است که در صورت نفوذ هکرها بهراحتی قابلمشاهده است. به منظور امنیت بیشتر سایت وردپرسی میبایست اقدام به غیرفعالکردن این پوشهها در هاست نمود. با ورود به هاست و کلید بر روی گزینه Public html وارد فایل htaccess شده و در بخش انتها کد options Indexes را ذخیره نمایید.
غیرفعالکردن CML-RPC
وجود این فایل در سایت وردپرسی امکان دسترسی از راه دور و اعمال تغییرات بدون نیاز به ورود به وردپرسی را برای مدیران سایت فراهم میکند. امکان ترکیبات مختلف مثل نام کاربری و رمز عبور با استفاده از این فایل فراهم است. ضمن اینکه وجود این فایل باعث حملات DDOS به سایت نیز خواهد شد. همین امر باعث شده که یکی از راههای نفوذ هکرها استفاده از این گزینه باشد. با غیرفعالکردن این فایل میتوانید یکی از روشهای پیشگیری از هکشدن سایت در برابر هکرها را انجام دهید. برای این منظور می بایست وارد هاست شده و با قرارگرفتن در مسیر wp-content/themes میبایست کد add _filter(‘xmlrpc_enabled ‘,’_return _false ‘) ; را در فایل functions php اضافه کنید.
حذف پیغامهای خطا در صفحه ورود به سایت وردپرس
در بسیاری از اوقات با ورود به صفحه وردپرسی درصورتیکه نام کاربری صحیح وارد شود؛ ولی رمز اشتباه باشد، پیامی مبنی بر رمز وارد شده برای نام کاربری اشتباه است نمایش داده میشود. چنانچه ورود به سایت در این شرایط توسط هکرها انجام شده باشد با این پیغام مطمئن خواهند شد که نام کاربری درست است و باید برای پیداکردن پسورد سعی نماید. به منظور پیشگیری از هکشدن در چنین شرایطی میبایست اقدام به حذفکردن این پیام در سایت وردپرس نمود. برای این منظور میبایست کد //Remove error message on login screen
Add_filter (‘login _errors’,create_functions(‘$a’,”return null;)) ; را به فایل Functions.php اضافه نمود.
نصب فایروال
باتوجهبه اینکه مدیر یک سایت میبایست به طور روزانه و مرتب با استفاده از کامپیوتر اقدام به چک وبسایت خود نماید، به منظور افزایش امنیت کامپیوتر و ممانعت از نفوذ دیگران میبایست اقدام به نصب فایروال نماید. یکی از روشهای پیشگیری از هکشدن سایت در برابر هکرها با نصب این برنامه انجام میشود. این روند باید از طرف شرکت هاستینگ نیز روی هاست ایجاد شود. نصب این برنامه از وبسایت شما در برابر ویروسها، بدافزارها، حملات هکرها و… محافظت میکند. درصورتیکه از افزونههای مختلف امنیت وردپرسی استفاده میکنید، این بدین معناست که این فایلها روی سایت شما نصب است. افزونههای Wordfence، NinjaFirewall و Sucuri و iThemes Security و … مواردی هستند که به عنوان بهترین پلاگینهای امنیتی در این زمینه میتوانید از آنها استفاده نمایید.
تغییر نمایش عمومی نام
به منظور عدم دسترسی نام کاربری مدیر سایت برای هکرها که بهصورت پیشفرض در نوشتههای وردپرسی به نمایش در میآید، می بایست اقدام به تغییر نام آن نمایید. برای این منظور با ورود به بخش شناسنامه وردپرسی در بخش نمایش عمومی، میتوانید این تغییرات را لحاظ نموده و به همین سادگی مانع از نفوذ هکرها به سایت وردپرسی خود و ایجاد اختلال شوید.
حفاظت پیشخوان وردپرستی با htaccess
از دیگر روشهای پیشگیری از هکشدن سایت در برابر هکرها، افزایش امنیت در فایل htaccess به عنوان یکی از فایلهای مهم وردپرسی با اضافهکردن کد s <File .htaccess> order allow ‘deny deny from all </Files> است.
حذف شماره نسخه وردپرسی
یکی دیگر از راههایی که هکرها با آن قادر به هک وبسایتهای مختلف هستند، استفاده از شماره نسخه وردپرسی وبسایتی است که همیشه در نمای منبع وبسایتها در دسترس است. به همین منظور و برای پیشگیری از این چالش قبل بعد از راهاندازی سایت وردپرسی از حذف شماره نسخه وبسایت خود اطمینان حاصل نمایید. به این نکته نیز توجه داشته باشید که این فرآیند حذف شماره نسخه باید در همه نقطه از وبسایت انجام شود.
جلوگیری از آپلود هر نوع فایل
درصورتیکه امکان آپلود هر نوع فایل برای کاربر فراهم باشد، بهراحتی امکان بهخطرافتادن سایت و امنیت آن نیز وجود دارد. با اعمال تغییرات و مجاز نکردن آپلود هر نوع فایل بهراحتی قادر به بالابردن امنیت وبسایت خود خواهید شد.
سفارشیسازی صفحات ورود و ثبتنام
در حال حاضر بسیاری از سایتهای وردپرسی کاربران خود را ملزم به ثبتنام میکنند. تحت این شرایط کاربران در هنگام ورود به سایت از حسابهای خود استفاده میکنند. ازآنجاکه اعمال این گزینه به عنوان یکی از روشهای پیشگیری از هکشدن سایت در برابر هکرها ممکن است با چالشهای خاصی همراه باشد، میبایست اقدام به ایجاد صفحات ورود و ثبتنام سفارشی نمایید. بهاینترتیب کاربران میتوانند به طور مستقیم از وبسایت شما برای ثبتنام و واردشدن اقدام نمایند.
خروج کاربران غیرفعال از سایت
از دیگر گزینههایی که میتوان برای جلوگیری از هکشدن وبسایتها اعمال نمود، خارجکردن کاربران غیرفعال از سایت است. سایت وردپرسی به طور خودکار اجازه حذف و خروج کاربران از سیستم یا پنجره مرورگر را ندارد. همین امر امکان آسیب از این بخش به وبسایت را افزایش میدهد. برای جلوگیری از این مشکل میتوانید با نصب و فعالکردن افزونه Idle User Logout اقدام نمایید. بعد از فعالسازی به بخش تنظیمات رفته و یک مدتزمان مشخص را تعیین نموده تا سیستم بتواند به طور خودکار اقدام به خروج کاربران غیرفعال نماید.
جمعبندی
یکی از نکات بسیار مهم برای مدیران وبسایتهای مختلف، انجام اقدامات مختلف برای بالابردن امنیت در وبسایت است. توجه به این مسئله در مورد همه وبسایتها حتی وبسایتهای بهظاهر ساده که شاید گزینه خاصی برای هککردن نداشته باشند نیز مهم و ضروری است. روشهای پیشگیری از هکشدن سایت در برابر هکرها وجود دارد که بااطلاع از آن قادر به ایمنی بیشتر وبسایتتان خواهید شد که در طی مقاله در حد توان به همه موارد در این زمینه پرداخته شد؛ اما ازآنجاکه ممکن است اعمال این روشها برای بسیاری از افراد امکانپذیر نباشد، میتوانید با تماس با مشاورین دایری لن به عنوان یکی از وبسایتهای خدماتی در این زمینه بهراحتی اقدام به بالابردن و افزایش امنیت سایت وردپرسی خود شوید.