نکاتی برای افزایش امنیت وردپرس

وردپرس یه مدیریت محتوای کاربرپسند و دوست داشتنیه، اما تا زمانی که با افت سرعت یا مسائل امنیتیش گریبان‌گیر نشده باشیم. در این تاپیک قصد داریم به یه سری نکات امنیتی در خصوص این مدیریت محتوا بپردازیم و قدم به قدم اطلاعاتمون رو برای افزایش نکات امنیتی به اشتراک بزاریم.

رمزگذاری فولدر wp-admin »

مرحله‌ی اول (برای cPanelـی‌ها) :
- در cPanel بر روی فولدر wp-admin کلیک راست کرده و Password Protect رو انتخاب می‌کنیم
- در صفحه ی تازه چک‌باکس Password protect this directory رو تیک زده و مقابل Name the protected directory می‌نویسیم wp-admin
- روی ذخیره کلیک می‌کنیم
- در کادر Create User یک User و Password برای دسترسی به فولدر مذکور انتخاب کرده و روی add/modify authorized user کلیک می‌کنیم


مرحله‌ی اول (برای DirectAdminـی‌ها) :
- در فایل منیجر DirectAdmin مقابل فولدر wp-admin نوشته شده Protect ؛ کلیک ‌می‌کنیم
- مقابل Protected Directory Prompt می‌نویسیم wp-admin
- در مقابل Set/Update User یک نام کاربری درج می‌کنیم
- پسورد مورد نظر را انتخاب کرده و چک‌باکس Activate protection را علامت می‌زنیم
- روی ذخیره کلیک می‌کنیم


مرحله‌ی دوم :
- به public_html/.htaccess رجوع کرده و کد زیر رو به انتهاش اضافه می‌کنیم :

ErrorDocument 401 default
RewriteEngine On
RewriteCond %{QUERY_STRING} act= [OR]
RewriteCond %{QUERY_STRING} sw= [OR]
RewriteCond %{QUERY_STRING} act [OR]
RewriteCond %{QUERY_STRING} sw [OR]
RewriteCond %{QUERY_STRING} 0x3a [OR]
RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [OR]
RewriteCond %{QUERY_STRING} (\|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(;||�|�|\)|%0A|%0D|%22|%27|%3C|%3E|).*(/\*|union|concat).* [NC]
#RewriteRule .* - [L,F] 

- به public_html/wp-admin/.htaccess رجوع کرده و کد زیر رو به انتهاش اضافه می‌کنیم :

Order allow,deny
Allow from all
Satisfy any 

تمام.

جلوگیری از آپلود پلاگین از طریق بخش مدیریت وردپرس »


به public_html/wp-admin/includes/plugin-install.php رجوع کرده و کد زیر رو جایگزین کنید : [لینک]

افزایش امنیت فولدر uploads »


به public_html/addons/wp-content/uploads رجوع کرده و فایلی با نام .htaccess ساخته، محتویات زیر را در آن قرار دهید :
[لینک]

سطوح دسترسی فایلها و فولدرها »

فایلها و فولدرها معمولاً باید از سطح دسترسی 755 برخوردار باشند
- هرگز سطح دسترسی 777 را برای فایلها و فولدرها تعیین نکنید
- بعد از تکمیل مراحل نصب، دسترسی فایل wp-config.php را به 400 تغییر دهید

سطوح دسترسی :
htaccess : 404.
wp-config.php : 400
index.php : 400
wp-blog-header.php : 400
root folder : 705
wp-admin: 705
wp-includes : 705
wp-content : 705

ترجیحاً XML-RPC را غیرفعال کنید » به functions.php از فولدر قالب خود رفته و کد زیر را اضافه کنید :

add_filter('xmlrpc_enabled', '__return_false');

پلاگین مرتبط : [لینک]

از نمایش نسخه‎ی وردپرس جلوگیری کنید »

به functions.php از فولدر قالب خود رجوع کرده و کد زیر را اضافه کننید :

remove_action('wp_head', 'wp_generator');

فولدر wp-content را امن کنید »

- فایلی با نام .htaccess در مسیر public_html/wp-content ایجاد کرده و محتویات زیر را در آن قرار دهید :
[لینک]

امکان ویرایش فایل پلاگین و قالب را از طریق بخش مدیریت غیرفعال کنید »
کد زیر را به wp-config.php اضافه کنید :

define(‘DISALLOW_FILE_EDIT’,true);

- وردپرس خود را همیشه بروز نگاه دارید
- همیشه از دیتابیس و فایلهای خود بکاپ تهیه کنید
- پلاگینهای خود را همیشه بروز نگاه داشته و از پلاگین‌های قدیمی یا نامعتبر استفاده ننمایید
- پلاگینها را از طریق wordpress.org/plugins تهیه کنید
- توجه داشته باشید که فایل wp-config-sample.php ، install.php و readme.html بر روی هاست شما وجود نداشته باشد
- از نام کاربری admin یا رمزهای عبور ساده استفاده ننمایید
- از prefix غیرمعمول استفاده نمایید، نه دیفالت : wp_