چک لیست امنیت وردپرس در ۲۰۲۵

چرا امنیت وردپرس در بلوهاست مهم‌تر از همیشه است؟

وردپرس محبوب‌ترین سیستم مدیریت محتوا در ایران و جهان است، اما همین محبوبیت باعث شده به هدف اول هکرها تبدیل شود. در سال ۲۰۲۵، حملات سایبری پیچیده‌تر، هدفمندتر و مخرب‌تر شده‌اند. امنیت دیگر یک گزینه نیست، بلکه ضرورت مطلق است.

اگر شما از سرویس‌های هاست وردپرسی بلوهاست استفاده می‌کنید، خوشحال باشید! زیرا زیرساخت‌های این برند ایرانی به‌طور اختصاصی برای امنیت وردپرس طراحی شده‌اند. اما حتی بهترین هاست‌ها هم نیازمند پیکربندی صحیح و رعایت استانداردهای امنیتی در سطح سایت هستند.

استفاده از رمز عبور قوی و احراز هویت دو مرحله‌ای (2FA)

بیش از ۸۰٪ حملات موفق در وردپرس به دلیل استفاده از رمزهای ساده یا تکراری است. اولین قدم برای حفظ امنیت، رمز عبور قوی و استفاده از احراز هویت دو مرحله‌ای است.

چکار باید بکنید؟

• از ابزارهایی مانند LastPass یا Bitwarden برای تولید و ذخیره رمزهای پیچیده استفاده کنید.
• افزونه‌هایی مثل "Two Factor Authentication" یا "WP 2FA" را نصب و فعال کنید.
• تنظیمات 2FA را برای همه حساب‌های مدیر فعال نگه دارید.

بروزرسانی وردپرس، قالب و افزونه‌ها

وردپرس، پلاگین‌ها و قالب‌ها هر هفته باگ‌ها و مشکلات امنیتی جدیدی را شناسایی و برطرف می‌کنند. اگر نسخه‌ها به‌روز نباشند، سایت شما به راحتی آسیب‌پذیر خواهد شد.

اقدامات مهم:

• از پنل هاستینگ بلوهاست یا داشبورد وردپرس، بروزرسانی خودکار را فعال کنید.
• پلاگین‌هایی را که بیش از ۶ ماه بروزرسانی نشده‌اند، حذف یا جایگزین کنید.
• قالب‌های نال‌شده یا نامعتبر را هرگز نصب نکنید.

نصب افزونه‌های امنیتی معتبر

افزونه‌های امنیتی مانند محافظان دیجیتالی دائمی عمل می‌کنند. آن‌ها ورودهای مشکوک، بدافزارها و رفتارهای غیرعادی را شناسایی می‌کنند و جلوی بسیاری از تهدیدات را می‌گیرند.

بهترین انتخاب‌ها برای کاربران بلوهاست:

1. Wordfence – دارای اسکنر بدافزار، فایروال و نظارت لحظه‌ای.
2. iThemes Security – امکانات حرفه‌ای مانند تغییر مسیر ورود، پنهان‌سازی نسخه وردپرس و محدودسازی نقش کاربران.

استفاده از SSL و HTTPS در تمام صفحات سایت

HTTPS نه‌تنها امنیت داده‌های کاربران را تضمین می‌کند، بلکه در سئوی سایت نیز تأثیر مثبت دارد. سرویس بلوهاست گواهی SSL رایگان برای همه دامنه‌ها فعال می‌کند.

مراحل اجرا:

• از پنل بلوهاست، SSL را با یک کلیک فعال کنید.
• با افزونه‌هایی مانند "Really Simple SSL" ریدایرکت خودکار از HTTP به HTTPS را انجام دهید.
• از ابزارهای آنلاین مثل SSL Labs وضعیت نصب SSL خود را بررسی کنید.

تنظیم محدودیت تلاش‌های ورود (Login Attempts)

بیشتر حملات هکری با استفاده از تلاش‌های بی‌نهایت برای حدس رمز عبور انجام می‌شود. برای مقابله با این تهدید، باید تعداد دفعات تلاش ورود را محدود کرد.

پیشنهاد افزونه:

• افزونه Limit Login Attempts Reloaded را نصب و تنظیم کنید تا بعد از ۳ تلاش ناموفق، IP را برای مدت مشخصی مسدود کند.

پنهان کردن صفحه ورود وردپرس (wp-login.php)

صفحه پیش‌فرض ورود وردپرس در دسترس عموم است. با تغییر آدرس این صفحه، می‌توانید یک لایه امنیتی دیگر اضافه کنید.

• از افزونه WPS Hide Login استفاده کنید.
• آدرس جدید را فقط به مدیران اصلی اطلاع دهید.
• سعی کنید آدرس ورود، ساده و قابل حدس نباشد.

غیرفعال کردن ویرایش فایل از پنل مدیریت

ویرایش فایل‌های قالب و پلاگین از طریق پنل وردپرس، یک خطر بالقوه است. در صورت نفوذ هکر، به‌راحتی می‌تواند فایل‌ها را تغییر دهد.

مراحل انجام کار:

در فایل wp-config.php کد زیر را قرار دهید:

define('DISALLOW_FILE_EDIT', true);

تهیه نسخه پشتیبان منظم و خودکار

هیچ چیز بدتر از این نیست که سایت شما هک شود و بکاپی نداشته باشید! خوشبختانه بلوهاست از ابزارهای بکاپ‌گیری حرفه‌ای پشتیبانی می‌کند.

دو راه برای تهیه بکاپ:

1. استفاده از بکاپ‌های خودکار در پنل هاستینگ بلوهاست.
2. استفاده از افزونه‌هایی مانند UpdraftPlus برای ذخیره‌سازی بکاپ در فضای ابری.

استفاده از فایروال (WAF) و CDN

بلوهاست امکان اتصال سایت وردپرسی به CDN و فایروال ابری را فراهم می‌کند. فایروال‌ها از سایت در برابر حملات DDoS، اسپم و کراولرهای مخرب محافظت می‌کنند.

• Cloudflare را با دامنه خود یکپارچه کنید.
• قوانین امنیتی WAF را در پنل مدیریت بلوهاست فعال کنید.
• از قابلیت Rate-Limiting برای کنترل تعداد درخواست‌ها استفاده کنید.

غیرفعال‌سازی Directory Indexing برای امنیت بیشتر

وقتی Directory Indexing فعال باشد، هر کاربری می‌تواند محتوای دایرکتوری‌های شما (مانند پوشه پلاگین‌ها، آپلودها و قالب‌ها) را ببیند. این اطلاعات می‌توانند برای هکرها بسیار مفید باشند.

روش غیرفعال‌سازی:

در فایل .htaccess این کد را اضافه کنید:

Options -Indexes

کنترل سطح دسترسی کاربران (User Roles)

یکی از رایج‌ترین اشتباهات امنیتی، دادن دسترسی مدیریت به کاربرانی است که به آن نیاز ندارند.

پیشنهادها:

• فقط به افراد مورد اعتماد نقش مدیریت بدهید.
• از افزونه‌هایی مانند User Role Editor برای تعریف نقش‌های سفارشی استفاده کنید.
• دسترسی افزونه‌ها، صفحات خاص یا تنظیمات حساس را محدود کنید.

اسکن منظم برای یافتن بدافزار و فایل‌های مخرب

بلوهاست از سیستم اسکن درون‌ساخت برای شناسایی فایل‌های مشکوک استفاده می‌کند، اما بهتر است از داخل وردپرس نیز اسکن انجام دهید.

افزونه‌های پیشنهادی:

• Wordfence: اسکن بدافزار، فایل‌های تغییر یافته، کدهای آلوده.
• MalCare: اسکن سریع، پاک‌سازی خودکار.

محافظت از دیتابیس و فایل‌های سیستمی

پیش‌فرض پایگاه داده وردپرس wp_ است که برای هکرها بسیار شناخته شده است. تغییر آن باعث افزایش امنیت می‌شود.

اقدامات پیشنهادی:

• هنگام نصب وردپرس، پیشوند جدول را تغییر دهید.
• در wp-config.php، دسترسی‌ها را محدود کرده و از تعریف کلیدهای امنیتی استفاده کنید.
• به هیچ کاربری غیر ضروری دسترسی مستقیم به پایگاه داده ندهید.

بررسی لاگ‌های فعالیت و ورودها

ردیابی فعالیت‌ها به شما کمک می‌کند هرگونه رفتار مشکوک را زودتر شناسایی کنید.

ابزارهای پیشنهادی:

• WP Activity Log
• مشاهده لاگ‌ها از پنل بلوهاست
• اطلاع‌رسانی خودکار از طریق ایمیل در صورت ورود مشکوک

مقابله با حملات DDoS

حملات انکار سرویس (DDoS) در سال ۲۰۲۵ افزایش چشمگیری داشته‌اند. استفاده از هاستی مثل بلوهاست که دارای فایروال لایه DNS و WAF حرفه‌ای است، نقش بسیار مهمی در جلوگیری از این نوع حملات دارد.

اقدامات پیشگیرانه:

• اتصال سایت به CDN (مانند Cloudflare)
• محدودسازی درخواست‌ها با Rate-Limiting
• استفاده از لود بالانسر در شرایط ترافیک بالا

غیرفعال‌سازی XML-RPC

پروتکل XML-RPC در وردپرس به‌ندرت استفاده می‌شود و بیشتر هدف حملات brute-force قرار می‌گیرد.

روش غیرفعال‌سازی:

افزونه‌هایی مانند Disable XML-RPC را نصب کنید یا در .htaccess این کد را وارد کنید:

<Files xmlrpc.php>
    Order Allow,Deny
    Deny from all
</Files>

مانیتورینگ ۲۴ ساعته سایت با ابزارهای هوشمند

سایت شما باید دائماً در حال پایش باشد. چه از نظر آپ‌تایم، چه از نظر تغییرات مشکوک.

ابزارهای پیشنهادی:

• Jetpack Security
• UptimeRobot
• ابزار مانیتورینگ داخلی بلوهاست
• 
  

استفاده از قالب‌ها و افزونه‌های معتبر

فایل‌های نال شده، قالب‌ها و پلاگین‌های کرک شده، عامل اصلی ورود کدهای مخرب هستند.

توصیه اکید:

• فقط از مخزن رسمی وردپرس یا مارکت‌های معتبر ایرانی استفاده کنید.
• نسخه اورجینال قالب‌ها و پلاگین‌ها را خریداری کنید.
• هر افزونه‌ای که در عملکرد سایت تأثیر نمی‌گذارد، حذف شود.