امنیت وردپرس را قبل از هک جدی بگیرید؛ چک‌لیستی فراتر از نصب یک افزونه

اغلب سایت‌ها یک روز بعد از حادثه امنیت را جدی می‌گیرند: صفحه اصلی تغییر کرده، ایمیل اسپم رفته یا مدیر ناشناخته‌ای ساخته شده است. در آن لحظه نصب یک افزونه دیگر پاسخ کامل نیست. باید نقطه ورود، دامنه تغییر و نسخه سالم را پیدا کرد.

امنیت وردپرس محصولی نیست که نصب و فراموش شود. هسته، افزونه، قالب، سرور، حساب مدیر و حتی لپ‌تاپی که با آن وارد می‌شویم یک زنجیره‌اند. ضعف یک حلقه می‌تواند از کنار قوی‌ترین افزونه عبور کند.

کم‌کردن، گاهی بهترین دفاع است

قالب و افزونه بلااستفاده را حذف کنید، نه اینکه فقط غیرفعال بماند. برای هر فرد حساب جدا و کمترین دسترسی لازم بسازید. حساب مشترک admin هم ردگیری را از بین می‌برد و هم خروج یک همکار را به ریسک تبدیل می‌کند. این کارهای ساده معمولاً بیش از تنظیمات نمایشی امنیت اثر دارند.

سطح حمله را کوچک کنید

افزونه و قالب بلااستفاده را حذف کنید، نه اینکه فقط غیرفعال بماند. منبع دانلود باید معتبر باشد و حساب‌های مدیر به تعداد واقعاً لازم محدود شوند.

برای هر فرد حساب جدا، رمز قوی و احراز هویت دومرحله‌ای داشته باشید. اشتراک حساب admin هم ردگیری را از بین می‌برد و هم خروج یک همکار را پرریسک می‌کند.

آپدیت امن، فرایند دارد

قبل از تغییر بکاپ بگیرید، در staging یا یک پنجره کم‌ریسک تست کنید و بعد مسیرهای کلیدی را کنترل کنید. عقب‌ماندن طولانی آسیب‌پذیری را باز می‌گذارد؛ آپدیت بی‌آزمایش هم می‌تواند سرویس را قطع کند.

تغییر فایل، ورود ناموفق، ساخت مدیر و تغییر افزونه‌ها باید لاگ و هشدار داشته باشد. بدون مشاهده‌پذیری، فاصله نفوذ تا کشف طولانی می‌شود.

برای روز حادثه آماده باشید

نسخه سالم خارج از سرور، فهرست دسترسی‌ها و راهنمای قطع نشست‌ها را آماده کنید. در حادثه اول محدوده را مهار کنید، سپس شواهد را حفظ و علت ورود را پیدا کنید؛ بازگرداندن نسخه بدون بستن راه نفوذ فقط زمان می‌خرد.

امنیت متناسب با ریسک است. فروشگاه و سایت عضویت کنترل سخت‌تری از یک بروشور کم‌تغییر می‌خواهند، اما هیچ سایتی از بکاپ و مدیریت دسترسی بی‌نیاز نیست.

چک‌لیست ماهانه

• هسته، قالب و افزونه‌ها بازبینی شده‌اند.
• حساب‌های مدیر و دسترسی‌ها ضروری‌اند.
• بکاپ سالم و ری‌استورشدنی است.
• لاگ و هشدار ورود و تغییر فایل فعال است.
• فرم‌ها، آپلود و API از نظر سوءاستفاده بررسی می‌شوند.

منبع رسمی: راهنمای Hardening WordPress