از روز اول امنیت وردپرس رو جدی بگیر؛ کارهای حداقلی برای جلوگیری از هک و افزایش ایمنی سایت
👋 اگه بخوام خیلی خودمونی بگم: وردپرس خودش بد نیست، ولی چون محبوبه، بیشتر از بقیه زیر ذره‌بین هکرهاست. یعنی چی؟ یعنی اگر سایتت رو همون روز اول با چند کار ساده محکم‌کاری نکنی، احتمال اینکه بعداً با پیام‌هایی مثل «سایت بالا نمیاد»، «پاپ‌آپ عجیب اومده»، «کاربرا می‌گن لینک‌ها تغییر کرده» روبه‌رو بشی خیلی بالاتر می‌ره.
🎯 این مقاله دقیقاً برای همون لحظه‌ایه که تازه سایت رو بالا آوردی و می‌خوای با کمترین هزینه و بدون ترسوندن کارفرما، یک بسته امنیت پایه و منطقی ببندی. نه شعار می‌دم، نه کارهای عجیب و پیچیده؛ فقط چیزهایی که واقعاً از روز اول باید انجام بشه تا جلوی ۸۰٪ دردسرها گرفته بشه.
🧠 یادت باشه امنیت «یک دکمه روشن/خاموش» نیست؛ یک روندِ مراقبتِ همیشگیه. ولی خبر خوب اینه که با چند حرکت درست، می‌تونی سطح حمله رو خیلی کم کنی و سایت رو برای حملههای معمولی تبدیل کنی به یک هدف سخت و بی‌صرفه.
🧭 دسترسی سریع به بخش‌های مهم
۱ ساعت اول بعد از نصب وردپرس: ۶ کار که نباید عقب بیفته
⏱️ اگر همین الان وردپرس رو نصب کردی، این ۶ کار رو تو همون یک ساعت اول انجام بده. چون بعضی حمله‌ها دقیقاً سایتهای تازه راه افتاده رو شکار می‌کنن (به خاطر تنظیمات پیش‌فرض و پسوردهای ضعیف).
🔒 ۱) رمزهای قوی بساز و روی همه دسترسی‌ها اعمال کن: ورود وردپرس، هاست، دیتابیس، ایمیل ادمین. رمز قوی یعنی طول بالا + ترکیب حروف و عدد و کاراکتر. رمزهای تکراری و ساده رو همین اول کار دفن کن.
👤 ۲) یوزر admin نداشته باش. اگر هست، یک مدیر جدید با نام متفاوت بساز، بعد admin رو یا حذف کن یا سطح دسترسی‌اش رو بیار پایین. این کار خیلی ساده‌ست ولی جلوی خیلی از حدس‌زدن‌های ورود رو می‌گیره.
🧩 ۳) افزونه‌ها رو از همون اول کنترل کن. هر چیزی نصب شدنی نیست. افزونه‌های نال‌شده یا ناشناس مثل دعوتنامه‌ی رسمی برای بدافزارن. اگر قراره سایت رشد کنه، از همون روز اول یک استاندارد برای افزونه‌ها داشته باش: کم، معتبر، بهروز.
🛡️ ۴) یک افزونه امنیتی سبک یا حداقل لایه محافظ ورود فعال کن (مثل محدود کردن تلاش‌های ورود + کپچا/تایید دو مرحله‌ای). این‌ها دقیقاً جلوی حملههای روتین و رباتی رو می‌گیرن.
🔁 ۵) آپدیت‌ها رو روشن و برنامه‌دار کن: وردپرس، قالب، افزونه‌ها. بیشتر هک‌ها از «حفره‌های قدیمی» میاد، نه هک هالیوودی. یعنی یک آپدیت ساده که انجام نشده، می‌تونه درِ سایت رو باز بذاره.
💾 ۶) بک‌آپ‌گیری رو از روز اول راه بنداز. چون اگر روزی سایت خراب شد، مهم‌ترین چیز اینه که «برگرده». امنیت بدون بکآپ، نصفه‌کاره‌ست.
یوزر و پسورد: ساده‌ترین نقطه برای ورود مهاجم
🔑 تو ۹۰٪ حملههای معمولی، مهاجم اول می‌ره سراغ ورود. چرا؟ چون از بیرون قابل دسترسه و ساده‌ترین راهه. پس تو هم باید همونجا رو سخت کنی: رمز قوی، نام کاربری غیر قابل حدس، و دو مرحله‌ای.
📲 تایید دو مرحله‌ای (2FA) واقعاً نجات‌دهنده‌ست. حتی اگر رمز لو رفت، بدون کد دوم ورود انجام نمی‌شه. برای سایت‌هایی که چند مدیر دارن یا کارفرما خودش گاهی وارد می‌شه، 2FA از واجباته.
🧑🤝🧑 نقش‌ها رو درست تعریف کن. یعنی هر کسی ادمین نشه. نویسنده، ویرایشگر، مدیر فروشگاه، همگی نقش‌های جدا دارن. کمترین دسترسی لازم رو بده تا اگر یک اکانت لو رفت، کل سایت نره روی هوا.
آپدیت‌ها: دشمن اصلی سایتهای “ولش کن بعداً”
🧯 خیلی از هک‌ها با یک چیز ساده شروع می‌شن: یک افزونه/قالب قدیمی که آپدیت نشده. چون آسیب‌پذیریش عمومی شده و ربات‌ها دنبال همین می‌گردن. پس آپدیت یعنی بستن درِ ورودی‌های معروف.
🧪 اگر می‌ترسی آپدیت سایت رو خراب کنه (ترس طبیعی هم هست)، راه‌حل این نیست که آپدیت نکنی؛ راه‌حل اینه که روال درست داشته باشی: بکآپ قبل از آپدیت، آپدیت مرحله‌ای، و تست روی چند صفحه کلیدی. همین.
افزونه‌ها و قالب‌ها: جایی که بیشترین ریسک قایم شده
🧩 هر افزونه یعنی یک تکه کد اضافی. پس قانون طلایی: «هر چی کمتر، بهتر». افزونه‌هایی که نصب می‌کنی باید واقعاً لازم باشن، از منبع معتبر بیان، و مرتب آپدیت بشن.
🚫 این یکی رو خیلی جدی بگیر: افزونه یا قالب نال‌شده مثل اینه که کلید خونه رو بدی دست غریبه و بگی لطفاً دزدی نکن! ممکنه امروز مشکلی نبینی، ولی خیلی وقت‌ها کدهای مخربشون دیرتر فعال می‌شه یا یک درِ پشتی می‌ذارن.
🧹 افزونه‌های غیر ضروری رو فقط غیرفعال نکن؛ اگر مطمئنی لازم نیست، حذفشون کن. افزونه غیرفعال هم می‌تونه گاهی فایل‌هاش باقی بمونه و در بعضی سناریوها دردسر بسازه.
امنیت صفحه ورود: جلوی ربات‌ها رو همون دم در بگیر
🚪 صفحه ورود وردپرس همیشه یک هدف ثابت برای ربات‌هاست. پس چند کار ساده ولی خیلی اثرگذار داریم: محدود کردن تلاش ورود، کپچا، و هشدار ورودهای مشکوک.
🧱 اگر کسی ۲۰ بار رمز اشتباه زد، باید قفل بشه. همین یک مورد جلوی brute force رو می‌گیره. خیلی از افزونه‌های امنیتی اینو با یک تیک فعال می‌کنن.
🕶️ تغییر آدرس ورود (مثلاً عوض کردن /wp-admin یا /wp-login) بعضی وقت‌ها کمک می‌کنه حملههای رباتی کمتر بخورن به درِ سایت. ولی حواست باشه این رو به‌عنوان «امنیت اصلی» نبین؛ بیشتر مثل کم کردن سروصداست، نه قفل کردن در.
SSL و HTTPS: امنیت و اعتماد، با هم
🔐 اگر هنوز سایتت روی http هست، یعنی اطلاعات بین کاربر و سایت رمزنگاری نشده. امروز تقریباً یک استاندارد بدیهیه که سایت با HTTPS بالا بیاد. مخصوصاً اگر فرم داری، ورود کاربر داری، یا حتی فقط می‌خوای اعتماد بسازی.
➡️ بعد از فعال شدن SSL، مطمئن شو همه نسخه‌ها (www و بدون www، http و https) به یک نسخه اصلی با ریدایرکت 301 هدایت می‌شن. این هم امنیتی مهمه هم برای سئو تکنیکال لازم می‌شه.
بکآپ: بیمه‌ای که اگر نداشته باشی، می‌فهمی چقدر لازم بود
💾 بکآپ فقط «گرفتن فایل» نیست؛ بکآپ یعنی قابل بازگردانی بودن. یعنی اگر فردا سایت پرید، تو واقعاً بتونی برش گردونی، نه اینکه یک فایل داشته باشی و ندونی چطوری باید برگرده.
🗓️ برنامه پیشنهادی ساده: بکآپ روزانه برای دیتابیس، هفتگی برای کل سایت (فایل‌ها + دیتابیس). اگر سایت خیلی فعال نیست، هفتگی هم می‌تونه کافی باشه. مهم اینه که «مرتب» باشه و در جای امن نگهداری بشه.
☁️ بکآپ رو فقط روی همون هاست نگه ندار. چون اگر هاست مشکل پیدا کنه، بکآپ هم همراهش می‌پره. حداقل یک نسخه خارج از هاست داشته باش (فضای ابری یا ذخیره امن).
فایروال و اسکن: یک لایه محافظ اضافه، بدون پیچیدگی
🛡️ یک افزونه امنیتی خوب معمولاً دو کار مهم می‌کنه: فایروال (جلوگیری از درخواست‌های مشکوک) و اسکن (پیدا کردن فایل‌های عجیب و دستکاری‌ها). تو لازم نیست تبدیل به متخصص امنیت شی؛ همین که این لایه فعال باشه خیلی کمک می‌کنه.
🔔 هشدارها رو جدی بگیر ولی ازشون نترس. اگر افزونه امنیتی می‌گه یک فایل تغییر کرده، اول بررسی کن آیا خودت آپدیت انجام دادی یا نه. خیلی وقت‌ها تغییر طبیعی و مربوط به آپدیت‌هاست، ولی گاهی هم واقعاً هشدار درست می‌ده.
یک سری کارهای کوچک ولی طلایی (که خیلی‌ها یادشون می‌ره)
✨ این چندتا نکته ساده هم می‌تونه سطح امنیتت رو چند پله بالا ببره: محدود کردن دسترسی به فایل‌های حساس، غیرفعال کردن ویرایش فایل از داخل پیشخوان (اگر لازم نیست)، حذف قالب‌ها و افزونه‌های اضافه، و استفاده از ایمیل مدیریتی امن.
🔗 راستی امنیت با سئو تکنیکال هم رفیقه! چون اگر سایت هک بشه، ممکنه صفحات اسپمی ساخته بشه، ریدایرکت مخفی بخوری، یا تو سرچ کنسول کلی ارور عجیب ببینی. برای تکمیل این مسیر، این لینک‌ها هم می‌تونن کمک کنن:
آرشیو مقالات طراحی سایت
چک لیست سئو تکنیکال قبل از تحویل سایت
خطاهای رایج سرچ کنسول و معنی هرکدام
جدول چک‌لیست امنیت وردپرس از روز اول
| کار | چرا مهمه؟ | سطح اولویت |
|---|---|---|
| رمز قوی + 2FA | جلوگیری از ورود غیرمجاز و حدس رمز | خیلی بالا |
| حذف یوزر admin | کاهش احتمال حملههای حدسی | بالا |
| آپدیت منظم وردپرس/افزونه/قالب | بستن حفره‌های امنیتی شناخته‌شده | خیلی بالا |
| محدود کردن تلاش ورود + کپچا | جلوگیری از حملههای رباتی | بالا |
| SSL و یکپارچه‌سازی HTTPS | امنیت ارتباط و افزایش اعتماد | متوسط رو به بالا |
| بکآپ منظم + نگهداری خارج از هاست | بازگشت سریع در بحران | خیلی بالا |
| فایروال و اسکن دوره‌ای | تشخیص و جلوگیری از فعالیت مشکوک | متوسط |
پرسش و پاسخ (FAQ) درباره امنیت وردپرس
❓ اگر از روز اول افزونه امنیتی نصب نکنم، حتماً هک میشم؟
✅ نه حتماً، ولی ریسک بالا می‌ره. حداقل کار اینه که رمز قوی، 2FA، محدودیت تلاش ورود و آپدیت منظم رو انجام بدی. افزونه امنیتی فقط یک لایه محافظ اضافه‌ست.
❓ کدوم خطرناک‌تره: افزونه زیاد یا افزونه نال؟
✅ افزونه نال معمولاً خطرناک‌تره چون ممکنه درِ پشتی داشته باشه. افزونه زیاد هم سایت رو سنگین و مدیریت رو سخت می‌کنه. بهترین حالت: افزونه کم + معتبر + بهروز.
❓ بهترین برنامه بکآپ برای سایتهای شرکتی چیه؟
✅ معمولاً دیتابیس روزانه و کل سایت هفتگی کافیه. اگر سایتت محتوا و تغییرات زیاد داره، بکآپ روزانه کامل بهتره. مهمتر از همه اینه که بکآپ بیرون از هاست هم ذخیره بشه.
❓ تغییر آدرس ورود وردپرس واقعاً امنیت حساب می‌شه؟
✅ بیشتر مثل کم کردن حملههای رباتیه، نه امنیت اصلی. امنیت اصلی با رمز قوی، 2FA، محدودیت ورود و آپدیت منظم ساخته می‌شه.
