امنیت کامل وردپرس با افزونه All In One WP Security & Firewall (بخش اول)

امنیت کامل وردپرس احتمالا مهمترین خواسته تمام مالکان وبسایت های وردپرسی است. وردپرس یک پلتفرم متن باز بوده، بنابراین وجود حفره های امنیتی در هسته، افزونه ها و قالب های آن کاملا قابل تصور است. این موضوع زمانی تشدید می شود که با بی دقتی کاربران یا مالکان وبسایت ها روبرو شوید.

پیکربندی ضعیف هاست، استفاده از نام کاربری و یا رمز عبور نامناسب، عدم به روز رسانی هسته، قالب و افزونه ها و یا استفاده از افزونه های ناامن، همه و همه خطراتی هستند که وبسایت شما را تهدید می کنند.

راهکارهای بسیاری برای حفظ امنیت یک وبسایت وردپرسی وجود دارد که مهمترین آن استفاده از یک افزونه تمام عیار امنیتی است. افزونه ای که با اسکن سایت، مشکلات و رخنه های امنیتی سایت شما را نشان دهد، مهمترین اقدامات امنیتی برای حفظ امنیت وبسایت را در دسترس قرار دهد و دائما به روز بوده و جدیدترین متدهای امنیتی را برای وبسایت شما فراهم نماید.

افزونه های رایگان و پولی بسیار زیادی چه در مخزن و چه در مارکت های وردپرسی وجود دارد. اما برای حفظ امنیت وردپرس نیاز به هیچ گونه هزینه ای نیست، چرا که با افزونه All In One WP Security & Firewall می توانید وبسایت خودتان را کاملا ایمن کنید.

این افزونه دارای یک سیستم امتیازدهی امنیتی منحصر به فرد است که در کمتر افزونه ای شاهد آن خواهید بود. به عبارتی با هر تنظیم امنیتی، یک امتیاز به مجموع امتیازهای امنیتی وبسایت شما اضافه خواهد شد. امتیاز بالاتر به معنای امنیت بیشتر است. در این مطلب با ما همراه باشید تا با آموزش کامل این افزونه آشنا شوید.

اطلاعات افزونه امنیت کامل وردپرس

آموزش نصب افزونه امنیت کامل وردپرس

برای نصب افزونه کافیست وارد پیشخوان وبسایت وردپرسی خود شوید. سپس از منوی سمت راست از قسمت افزونه>افزودن افزونه وارد قسمت نصب افزونه های جدید شوید. در قسمت جست و جو، عبارت All in one security را تایپ کنید. افزونه امنیت کامل وردپرس را در بین گزینه های پیشنهادی پیدا کنید و بر روی دکمه نصب کلیک کنید.

پس از کلیک بر روی نصب، افزونه را فعال کنید. پس از فعال سازی افزونه امنیت کامل وردپرس به صفحه افزونه های وردپرس هدایت می شوید.

در منوی سمت راست پیشخوان، گزینه ای با عنوان امنیت کامل وردپرس اضافه خواهد شد. بر روی آن کلیک کنید تا منوی افزونه باز شود. در این آموزش تمام بخش های اینافزونه امنیت کامل وردپرس آموزش داده خواهد شد.

در ادامه به معرفی و آموزش هر یک از اجزای این افزونه خواهیم پرداخت.

بخش 1: داشبورد

در این صفحه 4 تب مجزا وجود دارد.

• داشبورد: ویجت هایی برای نمایش میزان امنیت سایت، تفکیک امتیازهای امنیتی، توسعه افزونه امنیت کامل وردپرس، اطلاعات توسعه دهندگان افزونه، وضعیت مهمترین ویژگی های امنیتی، آخرین کاربران وارد شده به سایت، وضعیت حالت تعمیر، کاربران وارد شده و آدرس های آی پی قفل شده وجود دارد.
• آدرس آی پی های قفل شده: در این قسمت لیستی از تمام آی پی های قفل شده به همراه اطلاعات کامل قرار دارد.
• لیست سیاه همیشگی: این قسمت لیستی از آدرس آی پی های مسدود شده دائمی را نمایش می دهد.
• Logs: آخرین لاگ ها و گزارش های امنیتی افزونه در این قسمت لیست خواهد شد.

بخش 1-1: داشبورد

اولین ویجت در این قسمت، ویجت مربوط به “نشانگر میزان امنیت” است.

تمام ویژگی های امنیتی این افزونه دارای یک امتیاز به خصوص هستند. به این صورت که هرچه یک ویژگی امنیتی، دارای اهمیت بیشتری باشد، امتیاز بالاتری خواهد داشت.

در صورتی که یک ویژگی امنیتی در وبسایت شما تامین شود، امتیاز آن به شما تعلق خواهد گرفت. در ادامه آموزش با تکمیل ویژگی های امنیتی، مجموع امتیاز های کسب شده افزایش خواهد یافت. هرچه این مقدار به عدد 515 نزدیک تر شود، نشانگر (عقربه) امنیت بالاتر رفته و در نتیجه وبسایت شما امن تر خواهد شد.

دومین ویجت، ویجت “تفکیک امتیازهای امنیتی” خواهد بود. در این قسمت، به صورت یک نمودار دایره ای کیکی، مشخص می شود که بخش اعظیم امتیازهای امنیتی شما مربوط به کدام ویژگی یا ویژگی های امنیتی خواهد بود تا بتوانید تاثیر آیتم های مختلف در امنیت وبسایت خودتان را بسنجید.

سومین و چهارمین ویجت چندان کاربردی برای ما نداشته و بیشتر به بحث برندینگ افزونه مربوط است. این ویجت ها با نام “گسترس این افزونه” و ” در مورد توسعه دهندگان” نمایش داده شده است.

ویجت پنجم، مهمترین ویجت است. در این ویجت مهمترین و با اولویت ترین آیتم های امنیتی نمایش داده شده است. هر ویژگی با یک دکمه ON/OFF نشان داده شده و گزینه های روشن با رنگ سبز و خاموش ها با رنگ قرمز نشان داده شده اند.

این موارد، جزو مهمترین موارد امنیتی است که باید فعال باشند تا حداقل امنیت در وبسایت شما برقرار باشد. به همین دلیل به صورت دسترسی سریع در این بخش قرار دارند تا بلافاصله توسط شما فعال شوند. لذا می توانید از همین قسمت آن ها را فعال کنید یا در قسمت های بعدی با جزئیات و تنظیمات بیشتری آن ها را فعال نمائید.

ویجت ششم، ویجت ” آخرین 5 وارد شده” است. در این قسمت آخرین ورود کاربرانی که به پیشخوان وبسایت شما وارد شده اند لیست شده است. به عبارتی می توانید ببینید آخرین 5 ورودی که به وبسایت شما (پیشخوان کاربری)انجام شده توسط کدام کاربران در چه تارخ و با چه آی پی بوده.

ویجت هفتم، ویجت “وضعیت حالت تعمیر” است. این وضعیت حالتی است که در صورت فعال بودن آن، هیچ یک از صفحات شما به کاربران نمایش داده نمی شود. بلکه تنها یک پیغام مبنی بر اینکه سایت در حال تعمیر است به آن ها نمایش داده می شود و فقط شما که به سایت لاگین کرده اید قابلیت مشاهده صفحات را دارید. در صورتی که سایت شما در دست تعمیر یا تغییرات است و قصد دارید تا وبسایت خود را از دید عموم مخفی کنید، این قابلیت را فعال نمائید.

ویجت هشتم، ویجتی با عنوان “کاربران وارد شده” است. این ویجت به شما نشان می دهد که اکنون و در حال حاضر چند کاربر در سایت شما لاگین کرده اند و به به پیشخوان وارد شده اند.

برای مثال در حال حاضر علاوه بر من، یک کاربر دیگر هم در سایت حضور دارد.
ویجت آخر، ویجت”آدرس ای پی های قفل شده” است. در صورتی که تحت شرایطی آی پی کاربری به دلایل مختلف قفل شود، در این قسمت نمایش داده خواهد شد.

همانطور که در تصویر میبینید 1 آی پی به صورت موقت قفل شده که بعد از مدت مشخصی که قابل تغییر است به صورت خودکار آزاد می شود و یا می توانید آن را برای همیشه قفل کنید.

نکته آخر این که با فعال سازی قابلیت های جدید تر، ویجت های بیشتری به این صفحه افزوده خواهد شد.

 بخش 1-2: آدرس آی پی های قفل شده

در این قسمت آی پی های قفل شده با جزئیات و با قابلت حذف یا آزاد سازی لیست می شود.

در این قسمت می توانید آی پی کاربر، شناسه کاربری که آی پی او قفل شده، نام کاربری او، دلیل قفل شدن آی پی (در این تصویر دلیل ورود رمز اشتباه به دفعات است)، تاریخ قفل آیپی به همراه ساعت دقیق نمایش داده شده است. می توانید با زدن گزینه delete این آی پی را از لیست مسدودی ها حذف کنید یا با زدن دکمه unlock بدون حذف آی پی از لیست، او را آزاد نمائید.

دو بخش بعدی یعنی لیست سیاه همیشگی و Logs در ادامه آموزش در بخش مربوطه پوشش داده خواهند شد.

بخش 2: تنظیمات

در این قسمت تنظیمات افزونه قرار دارند. این بخش خود دارای 5 بخش مختلف است.

• تنظیمات عمومی: تنظیمات عمومی و کلی افزونه امنیت کامل وردپرس در این بخش قرار دارد. این قسمت شامل پشتیبان گیری های قبل از تنظیم ویژگی های امنیتی، بخشی برای از کار انداختن ویژگی های امنیتی، بخشی برای از کار انداختن همه دستورهای دیواره آتس، بازنشانی یا Reset کردن تمامی تنظیمات، تنظیمات مربوط به دیباگ کردن و رفع باگ افزونه می باشد.
• فایل htaccess: در این قسمت می توانید از فایل httaccess بک آپ یا همان نسخه پشتیبان تهیه نمائید و یا در صورت نیاز نسخه پشتیبان را بازگردانی کنید.
• فایل wp-config.php: در این بخش می توانید از فایل wp-config.php نسخه پشتیبان تهیه کنید یا نسخه پشتیبان را بازیابی کنید.
• مشخصات نسخه وردپرس: در این بخش می توانید متادیتاهای تولیدی وردپرس را از تگ <head> وبسایت حذف نمائید.
• درون ریزی/برون ریزی: در این قسمت می توانید از تمام تنظیمات و ویژگی های امنیتی تنظیم شده یک نسخه پشتیبان تهیه نمائید و یا در صورت نیاز نسخه پشتیبان تنظیمات را بازگردانی نمائید.

بخش 2-1: تنظیمات عمومی

در اولین بخش از این قسمت، جعبه ای قرار داد که شامل 3 لینک مهم است.

• پشتیبان گیری از پایگاه داده: یک نسخه پشتیبان از دیتابیس سایت شما ایجاد و در هاست و در پوشه به خصوصی ذخیره می کند.
• پشتیبان گیری از فایل htaccess: نسخه ای فایل htaccess فعلی شما ایجاد و آن را در هاست ذخیره می نماید.
• پشتیبان گیری از فایل wp-config.php: نسخه ای فایل تنظیمات وردپرس را در پوشه ای خاص به عنوان پشتیبان ذخیره می نماید.

در قسمت دوم، بخشی با عنوان “از کار انداختن ویژگی های امنیتی” قرار دارد. در توضیحات این بخش نوشته شده:

اگر فکر می‌کنید که یکی از ویژگی‌های امنیتی این افزونه باعث اختلال در کارکرد سایت شما شده است با استفاده از گزینه زیر می‌توانید همه ویژگی‌های امنیتی این افزونه را از کار بیندازید.

معمولا زمانی که تنظیمات امنیتی موجب مشکل و تداخلی در عملکرد سایر قسمت های سایت، قالب یا افزونه امنیت کامل وردپرسمی شوند، این ویژگی می تواند به صورت موقف مشکلات را برطرف نماید.

بخش بعدی، با عنوان “از کار انداختن همه دستورهای فایروال” می تواند تمام تنظیمات مربوط به فایروال یا همان دیواره آتش را غیرفعال نماید. در تنظیمات افزونه امنیت کامل وردپرس نوشته شده :

این ویژگی همه دستورهای دیوارآتش را که هم اکنون فعال است، از کار می‌اندازد و همچنین این دستورها را از فایل htaccess. شما پاک می‌کند. اگر فکر می‌کنید یکی از دستورهای دیوارآتش باعث بروز مشکل در سایت شما شده، از این ویژگی استفاده کنید.

قسمت بعدی، مروبط به بازنشانی تمامی تنظیمات است. در این قسمت با کلیک بر روی دکمه Reset Settings، افرونه و تمامی تنظیمات آن به روز اول (زمان نصب اولیه افزونه) بر خواهد گشت. پیشنهاد میکنم پیش از این کار، از قسمت درون ریزی / برون ریزی، یک نسخه از تنظیمات خودتان را بک آپ بگیرید.

بخش آخر، مروبط به “تنظیمات رفع باگ” است. این تنظیمات فعال / غیر فعال کردن اشکال زدایی برای افزونه امنیت کامل وردپرس را اجازه می دهد. با زدن تیک این ویژگی، در صورت وجود هر گونه مشکلی، یکی سری اطلاعات و لاگ های مربوط به عملکرد افزونه امنیت کامل وردپرس در یک فایل log ذخیره می شود که پیش تر درباره آن صحبت کردیم.

پیشنهاد می کنم تنها زمانی این تیک را بزنید که قصد عیب یابی دارید.

بخش 2-2: فایل htaccess

Htaccess مخفف عبارت Hypertext Access است این فایل، یک فایل پیکربندی مربوط به وب سرورهای مبتنی بر آپاچی است. با این فایل می توانید تنظیمات وب سرور خود را تغییر دهید.

این فایل در عملکرد سرور، تنظیمات امنیتی آن، تغییر مسیر های وبسایت و بسیاری از پارامترهای مربوط به وردپرس و PHP تاثیرگذار است. این فایل در واقع یک فایل بدون نام با پسوند .htaccess است! در سرورهای آپاچی به صورت پیش فرض این فایل مخفی است که باید با انجام تنظیمات مربوطه آن را نمایان کنید.

در این بخش از تنظمات افزونه امنیت کامل وردپرس چنین متنی نوشته شده است:

9 درصد تخفیف ویژه با کد معرف زیر
mwh-683cc

فایل “htaccess.” شما یک جزء کلیدی در امنیت سایت شماست که می‌توان با ویرایش آن ساز‌و‌کار‌های مختلف امنیتی را به سایت اضافه کرد.
این ویژگی به شما امکان پشتیبان‌گیری و ذخیره فایل htaccess. فعلی را می‌دهد که اگر در آینده لازم شد بتوانید دوباره از این فایل استفاده کنید.
شما همچنین می‌توانید تنظیمات htaccess. سایتتان را با استفاده از یک فایل پشتیبان بازگردانی کنید.

پس از توضیحات فوق دو جعبه تنظیمات تعبیه شده است.

جعبه اول با عنوان “ذخیره فایل httacess. کنونی” برای تهیه نسخه پشتیبان است. با کلیک بر روی دکمه آبی رنگ پشتیبان گیری از فایل htaacess.، یک نسخه پشتیبان تهیه و در این مشیر قرار خواهد گرفت.

Wp-content/aiowps_backups

نتیجه این یک فایل با فرمت متنی خواهد بود.

در قسمت دوم، بخشی با عنوان “بازگردانی از یک فایل پشتیبان htaacess.” قرار دارد.

مطابق تصویر فوق، دو روش برای بازگردانی وجود دارد.

1. روش اول با کلیک بر روی دکمه “پرونده htaccess خود را انتخاب نمائید”، می توانید با آپلود فایل htaccess پشتیبان، عمل بازگردانی را انجام دهید.
2. در روش دوم، با کپی کردن محتویات فایل htaacess پشتیبان و paste کردن آن در باکس مشخص شده در شکل، و سپس  کلیک بر روی دکمه ابی رنگ، عمل بازنشانی را انجام دهید.

بخش 2-3: فایل wp-config.php

فایل wp-config.php یکی از مهمترین فایل های وردپرس است که مهمترین تنظیمات وردپرس به خصوص تنظیمات مروبوط به پایگاه داده در آن قرار دارد.

در توضیحات این بخش از افزونه امنیت کامل وردپرس نوشته شده است:

پنل پیامکی پیشرفته

فایل “wp-config.php” یکی از مهم‌ترین فایل‌های وردپرس است. این فایل یک پرونده پیکربندی اصلی است که شامل جزییات مهمی درباره پایگاه‌داده شما و دیگر بخش‌های مهم وردپرس می‌باشد. این ویژگی به شما اجازه می‌دهد که از فایل wp-config.php کنونی خود پشتیبان تهیه کنید تا در صورت نیاز در آینده بتوانید از آن استفاده کنید. همچنین شما می‌توانید با استفاده از یک پشتیبان که قبلا از این فایل تهیه کرده اید، تنظیمات wp-config.php سایت خود را بازگردانی کنید.

در این قسمت مانند قسمت قبلی، یک بخش مروبوط به پشتیبان گیری و یک بخش برای بازگردانی از فایل پشتیبان wp-config.php قرار دارد.

با کلیک بر روی دکمه “پشتیبان گیری از فایل wp-config.php” یک نسخه پشتیبان در همان پوشه aiowps_backups ذخیره می شود. همچنین یک فایل wp-config-backup.txt نیز برای دانلود در اختیار شما قرار می گیرد که به صورت خودکار دانلود می شود.

جهت بازگردانی نسخه پشتیبان درست مانند روش htaacess می توانید بازگردانی نسخه پشتیبان را انجام دهید.

بخش 2-4: مشخصات وردپرس

خوب مشخص است که بهتر است تا این تیک را فعال کنید و متادیتای وردپرسی را از قسمت head وبسایت خودتان حذف کنید.

در این بخش یک جعبه با عنوان “سازنده فراداده” قرار دارد. هر یک از تنظیمات امنیتی افزونه امنیت کامل وردپرس دارای دو مولفه است.

مولفه اول میزان سختی یا آسانی این تنظیم است. یعنی فعال سازی این تنظیم و کار با آن برای کاربران با چه سطحی مناسب است. در کل 3 سطح آسان، میانه و پیشرفته در نظر گرفته شده است.

گزینه آسان تقریبا هیچ مشکلی در وبسایت شما ایجاد نمی کند. لذا هر کاربری با هر سطح مهارتی می تواند آن را فعال کند.

گزینه های پیشرفته ممکن است نیاز به اقداماتی از جانب مالک سایت داشته باشد یا مشکلاتی در سایت ایجاد نماید که کاربر تازه کار از پس آن بر نیاید.

مولفه دوم امتیاز است. به عبارتی با فعال سازی این ویژگی، چه مقدار امتیاز دریافت می کنید؟ هر چقدر این امتیاز بالاتر باشد، تاثیر آن در امنیت وبسایت بیشتر است و زودتر به امتیاز کلی 515 خواهید رسید.

با تیک زدن گزینه پاک کردن فرارداده ها و ذخیره تنظیمات، تیک مروبوط به امتیاز این بخش تکمیل شده و به مجموع امتیازات شما افزوده خواهد شد.

بخش 2-5: برون ریزی/درون ریزی امنیت کامل وردپرس

قسمت آخر از بخش تنظیمات، مربوط به درون ریزی و برون ریزی افزونه امنیت کامل وردپرس است. در توضیحات این بخش نوشته:

جهت Export یا برون بری تنظیمات و یا درون ریزی آن می توانید از این بخش استفاده کنید.

درون ریزی تنظیمات

بخش 3: حساب های کاربری

در بخش بعدی از تنظیمات، به منوی “حساب های کاربری” می رسیم. در این بخش تنظیمات مرتبط با کاربران و حساب های کابری قرار دارد. این بخش دارای 3 تب مجزا است.

• نام کابری وردپرس: نکات و تنظیمات امنیتی مرتبط با نام کاربری کاربران
• نام نمایشی: تنظیمات امنیتی مرتبط با نام نمایشی کاربران در وبسایت شما
• کلمه عبور: تنظیمات مربوط به کلمه عبور و قدرت آن

بخش 3-1: نام کاربری وردپرس

در این بخش یک ویژگی امنیتی قرار دارد که در دو جعبه متفاوت قرار گرفته است.

در جعبه اول با عنوان “فهرست حساب های کاربری مدیران”، لیستی از تمامی نام های کاربری که دارای نقش مدیریت (administrator) هستند قرار دارد.

اگر یکی از مدیران دارای نام کاربری admin باشد، در این قسمت با رنگ قرمز نشان داده خواهد شد.

نمی توانید با کلیک بر روی ویرایش کاربر، نام کاربری وی را تغییر دهید. برای تغییر، لازم است به جعبه پائینی تحت عنوان تغییر نام کاربری مدیر مراجعه کنید.

این بخش درجه بندی آسان با امتیاز 15 دارد. یعنی تنظیم آن برای هر فردی با هر سطحی قابل انجام بوده اما با داشتن امتیاز 15، دارای تاثیر بسیاری خواهد بود.

کافیست نام جدیدی در جعبه متنی قرار دهید. برای مثال من عبارت mehdi_tr را انتخاب می کنم.

حال بر روی تغییر نام کاربری کلیک می کنم. نام کاربری admin به mehdi_tr تغییر خواهد نمود.

بخش 3-2: نام نمایشی

پس به شما سفارش می‌شود برای امن‌تر کردن سایتتان، لقب و نمایش عمومی نام خود را، به چیزی متفاوت از نام کاربری تغییر دهید.

وردپرس برای نمایش نام کاربر به صورت عمومی، از مقداری تحت عنوان لقب یا nickname استفاده می کند. به صورتی خودکار مقدار آن برابر نام کاربری کاربر است. به لحاظ امنیتی نیمی از اطلاعات لازم برای ورود کاربر را لو می دهد. نیمه دیگر رمز عبور است.

برای جلوگیری از چنین مشکلی، باید به صفحه ویرایش کاربر بروید و نام نمایشی کاربرتان را تغییر دهید. در این بخش لیستی از تمامی کابرانی که نام کاربری و نمایشی یکسانی دارند، قرار ارائه شده است.

پس از تغییر نام نمایشی، با ورود به این بخش خواهید دید امتیاز این بخش برایتان ثبت می شود.

بخش 3-3: کلمه عبور

هرچه گذرواژه طولانی‌تر و پیچیده‌تر باشد، شکستن یا کرک کردن آن سخت‌تر می‌شود؛ زیرا گذرواژه پیچیده‌تر زمان و قدرت پردازشی بیشتری نیاز دارد.

این بخش دارای یک ابزار کاربردی قدرت گذرواژه است که می‌توانید با استفاده از آن بفهمید که گذواژه‌تان چقدر قوی است.

در این بخش یک جعبه جالب قرار دارد. شما می توانید رمز مورد نظرتان را در این جعبه بنویسید و بلافاصله به صورت تخمینی مدت زمان لازم برای هک رمز شما نمایش داده خواهد شد. حتما رمز عبور قدرتمند انتخاب نمائید.

ادامه این آموزش را در بخش دوم بخوانید.

آموزش امنیت کامل و دیواره آتش وردپرس (بخش دوم)

آموزش امنیت کامل و دیواره آتش وردپرس (بخش سوم)

مطالعه سایر آموزش های امنیتی را در مقالات امنیت دوناوب بخوانید.