۱۴ نکته حیاتی برای محافظت از ناحیه مدیریت وردپرس (به روز شده)

آیا شاهد حملات زیادی به ناحیه مدیریت وردپرس خود هستید؟ محافظت از ناحیه مدیریت از دسترسی غیرمجاز به شما امکان می دهد بسیاری از تهدیدات امنیتی رایج را مسدود کنید.

در این مقاله از ایوسی، برخی از نکات و هک های حیاتی برای محافظت از ناحیه مدیریت وردپرس را به شما نشان خواهیم داد.

۱. از فایروال برنامه وب سایت استفاده کنید

فایروال برنامه وب سایت یا WAF ترافیک وب سایت را کنترل می کند و درخواست های مشکوک را از رسیدن به وب سایت شما مسدود می کند.

در حالی که چندین افزونه فایروال وردپرس وجود دارد، توصیه می کنیم از Sucuri استفاده کنید. این یک سرویس امنیت و نظارت وب سایت است که یک WAF مبتنی بر ابر را برای محافظت از وب سایت شما ارائه می دهد.

تمام ترافیک وب سایت شما ابتدا از طریق پروکسی ابری آنها می رود، جایی که آنها هر درخواست را تجزیه و تحلیل می کنند و مانع از رسیدن درخواست های مشکوک به وب سایت شما می شوند. این وب سایت شما را از تلاش های احتمالی هک، فیشینگ، بدافزار و سایر فعالیت های مخرب جلوگیری می کند.

برای جزئیات بیشتر، ببینید چگونه Sucuri به ما کمک کرد تا ۴۵۰۰۰۰ حمله را در یک ماه مسدود کنیم.

۲. حفاظت از رمز عبور دایرکتوری مدیریت وردپرس

منطقه مدیریت وردپرس شما قبلاً توسط رمز عبور وردپرس شما محافظت می شود. با این حال، افزودن محافظت از رمز عبور به فهرست مدیریت وردپرس، لایه دیگری از امنیت را به وب سایت شما اضافه می کند.

ابتدا وارد داشبورد cPanel میزبانی وردپرس خود شوید و سپس بر روی نماد ‘Password Protect Directories’ یا ‘Directory Privacy’ کلیک کنید.

در مرحله بعد، باید پوشه wp-admin خود را انتخاب کنید، که معمولاً در پوشه /public_html/ قرار دارد.

در صفحه بعدی، باید کادر کنار گزینه «Password protect this directory» را علامت بزنید و یک نام برای دایرکتوری محافظت شده ارائه دهید.

پس از آن، روی دکمه ذخیره کلیک کنید تا مجوزها را تنظیم کنید.

در مرحله بعد، باید دکمه بازگشت را فشار دهید و سپس یک کاربر ایجاد کنید. از شما خواسته می شود نام کاربری / رمز عبور را وارد کنید و سپس روی دکمه ذخیره کلیک کنید.

اکنون هنگامی که شخصی سعی می کند از فهرست مدیریت وردپرس یا دایرکتوری wp-admin در وب سایت شما بازدید کند، از او خواسته می شود نام کاربری و رمز عبور را وارد کند.

برای دستورالعمل‌های دقیق‌تر، به راهنمای ما در مورد نحوه محافظت با رمز عبور دایرکتوری مدیریت وردپرس (wp-admin) مراجعه کنید.

۳. همیشه از رمزهای عبور قوی استفاده کنید

همیشه از رمزهای عبور قوی برای تمام حساب های آنلاین خود از جمله سایت وردپرس خود استفاده کنید. توصیه می کنیم از ترکیبی از حروف، اعداد و کاراکترهای خاص در رمزهای عبور خود استفاده کنید. این امر باعث می شود هکرها نتوانند رمز عبور شما را حدس بزنند.

اغلب افراد مبتدی از ما می پرسند که چگونه همه آن رمزهای عبور را به خاطر بسپاریم. ساده ترین پاسخ این است که شما نیازی به این کار ندارید. برخی از برنامه های مدیریت رمز عبور واقعا عالی وجود دارد که می توانید آنها را روی رایانه و تلفن خود نصب کنید.

برای اطلاعات بیشتر در مورد این موضوع، راهنمای ما در مورد بهترین راه برای مدیریت رمزهای عبور برای مبتدیان وردپرس را ببینید.

۴. از تایید دو مرحله ای برای ورود به صفحه وردپرس استفاده کنید

تأیید دو مرحله ای یک لایه امنیتی دیگر به رمزهای عبور شما اضافه می کند. به جای استفاده از رمز عبور به تنهایی، از شما می‌خواهد یک کد تأیید ایجاد شده توسط برنامه Google Authenticator را در تلفن خود وارد کنید.

حتی اگر کسی بتواند رمز عبور وردپرس شما را حدس بزند، همچنان برای ورود به کد Google Authenticator نیاز دارد.

برای دستورالعمل های گام به گام دقیق، راهنمای ما در مورد نحوه تنظیم تأیید صحت ۲ مرحله ای در وردپرس با استفاده از Google Authenticator را ببینید.

۵. محدود کردن تلاش برای ورود

به طور پیش فرض، وردپرس به کاربران اجازه می دهد تا هر چند بار که می خواهند رمز عبور را وارد کنند. این بدان معناست که شخصی می‌تواند با وارد کردن ترکیب‌های مختلف، رمز عبور وردپرس شما را حدس بزند. همچنین به هکرها اجازه می دهد تا از اسکریپت های خودکار برای شکستن رمزهای عبور استفاده کنند.

برای رفع این مشکل باید افزونه Login LockDown را نصب و فعال کنید. پس از فعال سازی، برای پیکربندی تنظیمات افزونه، به صفحه تنظیمات » Login LockDown مراجعه کنید.

برای دستورالعمل‌های دقیق، به راهنمای ما در مورد اینکه چرا باید تلاش‌های ورود در وردپرس را محدود کنید، مراجعه کنید .

۶. دسترسی ورود به آدرس IP را محدود کنید

یکی دیگر از راه های عالی برای ایمن کردن ورود به وردپرس، محدود کردن دسترسی به آدرس های IP خاص است. این نکته به ویژه در صورتی مفید است که شما یا فقط چند کاربر مورد اعتماد نیاز به دسترسی به بخش مدیریت داشته باشید.

به سادگی این کد را به فایل .htaccess خود اضافه کنید.

فراموش نکنید که مقادیر xx را با آدرس IP خود جایگزین کنید. اگر از بیش از یک آدرس IP برای دسترسی به اینترنت استفاده می کنید، مطمئن شوید که آنها را نیز اضافه کنید.

برای دستورالعمل‌های دقیق، به راهنمای ما در مورد نحوه محدود کردن دسترسی به مدیر وردپرس با استفاده از htaccess مراجعه کنید.

۷. نکات ورود را غیر فعال کنید

در یک تلاش ناموفق برای ورود به سیستم، وردپرس خطاهایی را نشان می دهد که به کاربران می گوید نام کاربری آنها نادرست بوده یا رمز عبور. این نکات ورود می تواند توسط شخصی برای تلاش های مخرب استفاده شود.

شما به راحتی می توانید این نکات ورود به سیستم را با افزودن این کد به فایل functions.php تم خود یا یک افزونه خاص سایت مخفی کنید .

۸. کاربران را ملزم به استفاده از رمزهای عبور قوی کنید

اگر یک سایت وردپرسی با چند نویسنده را اجرا می کنید، آن کاربران می توانند نمایه خود را ویرایش کنند و از یک رمز عبور ضعیف استفاده کنند. این پسوردها می توانند شکسته شوند و به افراد اجازه دسترسی به بخش مدیریت وردپرس را بدهند.

برای رفع این مشکل می توانید افزونه Force Strong Passwords را نصب و فعال کنید. خارج از جعبه کار می کند و هیچ تنظیماتی برای پیکربندی وجود ندارد. پس از فعال شدن، کاربران را از ذخیره گذرواژه‌های ضعیف‌تر باز می‌دارد.

قدرت رمز عبور حساب های کاربری موجود را بررسی نمی کند. اگر کاربری در حال حاضر از رمز عبور ضعیف استفاده می کند، می تواند به استفاده از رمز عبور خود ادامه دهد.

۹. بازنشانی رمز عبور برای همه کاربران

آیا نگران امنیت رمز عبور در سایت وردپرس چند کاربره خود هستید؟ شما به راحتی می توانید از همه کاربران خود بخواهید رمز عبور خود را بازنشانی کنند.

ابتدا باید افزونه Emergency Password Reset را نصب و فعال کنید. پس از فعال سازی، به صفحه Users » Emergency Password Reset بروید و روی دکمه «Reset All Passwords» کلیک کنید.

برای دستورالعمل های دقیق، به راهنمای ما در مورد نحوه بازنشانی رمز عبور برای همه کاربران در وردپرس مراجعه کنید

۱۰. وردپرس را به روز نگه دارید

وردپرس اغلب نسخه های جدیدی از نرم افزار را منتشر می کند. هر نسخه جدید وردپرس شامل رفع اشکالات مهم، ویژگی های جدید و رفع امنیتی است.

استفاده از نسخه قدیمی وردپرس در سایت شما را در معرض سوء استفاده های شناخته شده و آسیب پذیری های احتمالی قرار می دهد. برای رفع این مشکل، باید مطمئن شوید که از آخرین نسخه وردپرس استفاده می کنید. برای اطلاعات بیشتر در مورد این موضوع، راهنمای ما در مورد اینکه چرا باید همیشه از آخرین نسخه وردپرس استفاده کنید را ببینید.

به طور مشابه، افزونه های وردپرس نیز اغلب برای معرفی ویژگی های جدید یا رفع مشکلات امنیتی و سایر موارد به روز می شوند. مطمئن شوید که افزونه های وردپرس شما نیز به روز هستند.

۱۱. صفحات ورود و ثبت نام سفارشی ایجاد کنید

بسیاری از سایت های وردپرسی کاربران را ملزم به ثبت نام می کنند. برای مثال، سایت‌های عضویت ، سایت‌های مدیریت یادگیری یا فروشگاه‌های آنلاین به کاربران نیاز دارند تا حساب کاربری ایجاد کنند.

با این حال، این کاربران می توانند از حساب های خود برای ورود به بخش مدیریت وردپرس استفاده کنند. این مشکل بزرگی نیست، زیرا آنها فقط می توانند کارهایی را انجام دهند که به واسطه نقش کاربری و قابلیت هایشان مجاز است. با این حال، شما را از محدود کردن صحیح دسترسی به صفحات ورود و ثبت نام باز می دارد زیرا برای ثبت نام، مدیریت نمایه و ورود کاربران به آن صفحات نیاز دارید.

راه آسان برای رفع این مشکل، ایجاد صفحات ورود و ثبت نام سفارشی است، به طوری که کاربران می توانند مستقیماً از وب سایت شما ثبت نام و وارد شوند.

برای دستورالعمل های گام به گام دقیق، راهنمای ما در مورد نحوه ایجاد صفحات ورود و ثبت نام سفارشی در وردپرس را ببینید.

۱۲. درباره نقش ها و مجوزهای کاربر وردپرس بیاموزید

وردپرس با یک سیستم مدیریت کاربر قدرتمند با نقش‌ها و قابلیت‌های کاربری متفاوت عرضه می‌شود. هنگامی که یک کاربر جدید به سایت وردپرس خود اضافه می کنید، می توانید یک نقش کاربری برای آنها انتخاب کنید. این نقش کاربری مشخص می کند که آنها چه کاری می توانند در سایت وردپرس شما انجام دهند.

تخصیص نقش نادرست کاربر می تواند به افراد توانایی های بیشتری نسبت به نیازشان بدهد. برای جلوگیری از این امر، باید بدانید که چه قابلیت هایی با نقش های مختلف کاربر در وردپرس همراه است. برای اطلاعات بیشتر در مورد این موضوع، راهنمای مبتدیان ما در مورد نقش‌ها و مجوزهای کاربر وردپرس را ببینید.

۱۳. دسترسی به داشبورد را محدود کنید

برخی از سایت های وردپرسی کاربران خاصی دارند که نیاز به دسترسی به داشبورد دارند و برخی کاربرانی که به داشبورد دسترسی ندارند. با این حال، به طور پیش فرض همه آنها می توانند به بخش مدیریت دسترسی داشته باشند.

برای رفع این مشکل، باید افزونه Remove Dashboard Access را نصب و فعال کنید. پس از فعال‌سازی، به تنظیمات » صفحه دسترسی داشبورد بروید و نقش‌های کاربران را انتخاب کنید که به قسمت مدیریت سایت شما دسترسی داشته باشند.

برای دستورالعمل های دقیق تر، راهنمای ما در مورد نحوه محدود کردن دسترسی به داشبورد در وردپرس را ببینید.

۱۴. از سیستم کاربران بیکار خارج شوید

وردپرس به طور خودکار کاربران را تا زمانی که به صراحت از سیستم خارج نشوند یا پنجره مرورگر خود را نبندند از سیستم خارج نمی کند. این می تواند برای سایت های وردپرسی با اطلاعات حساس نگران کننده باشد. به همین دلیل است که وب‌سایت‌ها و برنامه‌های مؤسسات مالی در صورتی که کاربران فعال نبوده باشند، به‌طور خودکار از سیستم خارج می‌شوند.

برای رفع این مشکل می توانید افزونه Idle User Logout را نصب و فعال کنید. پس از فعال سازی، به تنظیمات » صفحه خروج کاربر بیکار بروید و زمانی را وارد کنید که پس از آن می خواهید کاربران به طور خودکار از سیستم خارج شوند.

برای جزئیات بیشتر، به مقاله ما در مورد نحوه خروج خودکار کاربران بیکار در وردپرس مراجعه کنید.

امیدواریم این مقاله به شما کمک کند تا نکات و هک های جدیدی را برای محافظت از ناحیه مدیریت وردپرس خود بیاموزید. همچنین ممکن است بخواهید راهنمای امنیتی گام به گام نهایی وردپرس ما را برای مبتدیان ببینید.