آیا می‌دانید که چرا متخصصان امنیت وردپرس توصیه می‌کنند افزونه All In One Security را حتما روی وردپرس خود نصب داشته باشید؟ امنیت وردپرس یکی از مهم‌ترین موضوعاتی است که ذهن مدیران وب سایت‌های وردپرسی را به خود مشغول کرده است؛ چرا که در صورت هک شدن، اعتبار آن‌ها یک شبه از بین می‌رود و خساراتی جبران ناپذیر به بار می‌آید. به طور کلی می‌توان گفت که وردپرس یک پلتفرم امن است، چرا که همواره توسط متخصصان بسیاری بازبینی می‌شود و در نسخه‌های جدید، اشکالات آن رفع می‌شود. اما سوال اینجاست که چرا هنوز هم سایت‌های وردپرسی بسیاری مورد حمله و نفوذ قرار می‌گیرند؟

متخصصان وردپرس بر این باور هستند که وردپرس به خودی خود مشکلی ندارد و مدیران سایت‌های وردپرسی با رعایت نکاتی ساده و نصب و پیکربندی یک افزونه امنیت وردپرس همچون All In One Security، می‌توانند امنیت سایت خود را تا حد زیادی افزایش داده و مانع از نفوذ ربات‌ها و افراد ناشناس شوند.

افزونه امنیت وردپرس All in One Security یک افزونه امنیتی جامع و رایگان می‌باشد که طیف گسترده ای از ویژگی‌ها از جمله فایروال داخلی، محافظت Brute Force و سیستم امتیازدهی امنیتی را در اختیار شما قرار می‌دهد. All in One Security یک راهکار کامل و یک روش عالی برای ارتقاء امنیت وردپرس شما است. در ادامه شما را با نحوه ی نصب و پیکربندی این افزونه آشنا می‌کنیم، با ما همراه باشید.

آموزش افزونه All in One Security

ابتدا وارد داشبورد وردپرس خود شوید و بر روی Add New Plugins کلیک کنید.

در بخش جستجو، "All in One Security" را وارد کنید. سپس این افزونه را نصب (Install Now) و فعال سازی (Activate) کنید.

در منوی سمت چپ بر روی "WP Security" کلیک کنید.

اکنون که افزونه نصب شده است، تنظیمات قسمت‌های مختلف این افزونه را بررسی می‌کنیم. توصیه می‌شود که تا پایان روند، اجازه ی دسترسی به فایل htaccess. را بدهید زیرا در غیر این صورت، برخی از قوانین فایروال را نمی‌توان تنظیم کرد.

با اجرای قوانین امنیتی در هر بخش، امتیاز امنیتی شما در داشبورد افزایش می‌یابد. در ضمن، ممکن است انجام همه ی کارها ممکن نباشد؛ زیرا همه ی میزبانان وب به شما امکان دسترسی کامل به محیط سرور خود را نمی‌دهند.

نکته: توصیه می‌کنیم مقاله ی جامع "آموزش افزایش امنیت وردپرس" را برای آشنایی با سایر روش هایی که برای ایمن‌تر ساختن وردپرس استفاده می‌شود، از دست ندهید.

امنیت حساب کاربری

برای تنظیم امنیت حساب کاربری، روی "User Accounts" در سمت چپ کلیک کنید. در این صفحه 3 تب وجود دارد که عبارتند از: "WP Username"، "Display Name" و "Password".

این افزونه در تب "WP Username" بررسی می‌کند که آیا نام کاربری مدیر را به طور پیش فرض "admin" (یا "مدیر") تنظیم کرده اید یا خیر. داشتن یک کاربر با نام کاربری "admin" امنیت شما را به خطر می‌اندازد.

این افزونه در تب "Display Name" بررسی می‌کند که آیا نام نمایشی هر کاربر هنگام ارسال پست با نام کاربری وی یکسان است یا خیر. در صورتی که چنین باشد، باعث ایجاد ناامنی در وب سایت می‌شود زیرا به مهاجمان اجازه می‌دهد تا رمز عبور آن‌ها را حدس بزنند.

تب "Password"، قدرت و استحکام رمزهای عبور را ارزیابی می‌کند.

ورود کاربر

گزینه ی User Login در منو به شما امکان دسترسی به 5 تب مختلف را می‌دهد. تنظیمات امنیتی تب‌های "Login Lockdown" و "Force Logout" باید پیکربندی شوند. 3 تب دیگر نیز حاوی گزارشات و اطلاعات مربوط به ورود به سیستم هستند.

تب "Login Lockdown" به شما امکان می‌دهد برای ورود به سیستم محدودیت تعیین کنید. قوانینی که می‌توانید در اینجا تنظیم کنید، از سایت وردپرس شما در برابر تلاش‌های بروت فورس برای ورود به سیستم محافظت می‌کند. قوانین پیش فرض افزونه در این بخش، برای جلوگیری از دسترسی ربات‌ها به پنل مدیریت شما کافی هستند. "Enable Login Lockdown Feature" را علامت بزنید و بر روی "Save Settings" کلیک کنید.

تب "Force Logout" به شما امکان می‌دهد سایت وردپرس خود را به گونه ای تنظیم کنید که پس از مدت زمان مشخصی، به طور خودکار کاربر را از سیستم خارج کند. این کار از حضور طولانی مدت کاربران در سایت، به خصوص اگر مشکوک باشند، جلوگیری می‌کند. برای فعال کردن این ویژگی روی چک باکس "Enable Force WP User Logout" و سپس "Save Settings" کلیک کنید.

ثبت نام کاربر

گزینه ی "User Registration" در منوی سمت چپ، دارای سه تب مختلف است. "Manual Approval"، "Registration Captcha" و "Registration Honeypot". این تب عمدتا برای سایت هایی است که امکان ثبت نام کاربر در آن‌ها وجود دارد. اگر سایت شما این گونه نیست، نیازی به پیکربندی تنظیمات موجود در این بخش ندارید.

تب "Manual Approval" جایی است که می‌توانید تمامی ثبت نام‌های کاربران را مجبور کنید تا به صورت دستی تأیید شوند. این نوع تائید، امن‌تر از ثبت نام خودکار است زیرا از ایجاد حساب توسط ربات‌ها جلوگیری می‌کند. روی چک باکس "Enable manual approval of new registrations" و سپس "Save Settings" کلیک کنید.

تب "Registration Captcha" به شما امکان می‌دهد تا در صفحه ی ثبت نام کاربر، کد کپچا قرار دهید. این کار، یک لایه ی امنیتی دیگر برای جلوگیری از ثبت نام ربات ها، به سایت شما اضافه می‌کند. روی چک باکس "Enable Captcha On Registration Page" و سپس "Save Settings" کلیک کنید.

تب "Registration Honeypot" به شما امکان می‌دهد چندین قسمت ورودی مخفی را به صفحه ی ثبت نام خود اضافه کنید که فقط ربات‌ها بتوانند آن‌ها را ببینند و پر کنند. این کار به شما امکان می‌دهد ربات‌ها را شناسایی کرده و از ایجاد حساب کاربری برای آن‌ها جلوگیری کنید. روی چک باکس "Enable Honeypot On Registration Page" و سپس "Save Settings" کلیک کنید.

امنیت پایگاه داده

گزینه ی Database Security menu در سمت چپ دارای دو تب "DB Prefix" و "DB Backup" می‌باشد.

قبل از استفاده از تب "DB Prefix"، باید بر روی تب "DB Backup" کلیک کنید تا قبل از انجام تغییرات بیشتر، از پایگاه داده ی خود نسخه ی پشتیبان یا بک آپ تهیه کنید. سپس بر روی "Create DB Backup Now" برای ایجاد نسخه ی پشتیبان فوری و "Enable Automated Scheduled Backups" کلیک کنید. شما می‌توانید برنامه ی زمانی دلخواه خود را برای تهیه ی نسخه‌های پشتیبان تنظیم کنید اما ما پیشنهاد می‌کنیم که تا حد ممکن هر چه بیشتر این کار را انجام دهید. پس از اتمام، بر روی "Save Settings" کلیک کنید.

اکنون تب "DB Prefix" را باز کنید. در اینجا می‌توانید پیشوند جدول پایگاه داده که توسط WordPress در پایگاه داده ی شما استفاده می‌شود را تغییر دهید. تغییر پیشوند جدول پایگاه داده باعث افزایش امنیت وب سایت می‌شود زیرا هدف قرار دادن آن از طریق حملات تزریق SQL توسط هکرها دشوارتر می‌شود. برای استفاده از این ویژگی، چک باکس تأیید "Generate New DB Table Prefix" را علامت بزنید (یا یک پیشوند وارد کنید) و سپس بر روی "Change DB Prefix" کلیک کنید.

مدیر لیست سیاه

در گزینه ی "Blacklist Manager" موجود در منوی سمت چپ، می‌توانید لیست‌های سیاه IP یا User Agent را تنظیم کنید. روی چک باکس "Enable IP or User Agent Blacklisting" و سپس روی "Save Settings" کلیک کنید. برای افزودن آدرس‌های IP که می‌خواهید مسدود کنید، باید از این قسمت تب استفاده کنید.

بروت فورس

در گزینه ی "Brute Force" موجود در منوی سمت چپ، می‌توانید تنظیمات صفحه ی ورود به سیستم را پیکربندی کنید. 5 تب در این صفحه وجود دارد. به طور پیش فرض توصیه می‌کنیم تب‌های "Rename Login Page" و "Login Honeypot" را تنظیم کنید. توجه داشته باشید که گزینه‌های موجود در تب‌های "Cookie based Brute Force Prevention" ،"Login Captcha" و "Login Whitelist" باید به صورت انتخابی مورد استفاده قرار گیرند؛ زیرا برخی از آن‌ها برای پلتفرم‌های خاص مانند WooCommerce هستند یا در صورت استفاده ی نادرست می‌توانند مانع از دسترسی شما به پنل مدیریت تان شوند.

در تب "Rename Login Page" چک باکس "Enable Rename Login Page Feature" را علامت بزنید و سپس URL جدید صفحه ی ورود را وارد کنید و در نهایت بر روی " Save Settings" کلیک کنید. تغییر URL ورود به سیستم، نسبت به استفاده از آدرس پیش فرض، ایمن‌تر است زیرا اکثر ربات‌ها نمی‌دانند از کجا باید وارد سیستم شوند.

نکته: مسیر ورود جدید را به خاطر بسپارید.

در تب "Honeypot" چک باکس "Enable Honeypot On Login Page" را علامت بزنید و روی "Save Settings" کلیک کنید. honeypot فیلدهای جعلی ورودی ایجاد می‌کند که فقط یک ربات می‌تواند آن‌ها را پر کند. اگر صفحه ی ورود به سیستم از این فیلدهای ورودی دریافت کند، وردپرس متوجه حضور ربات می‌شود و او را نادیده می‌گیرد.

پیشگیری از هرزنامه (اسپم)

برای افزایش امنیت وردپرس با فیلتر کردن comment spam، از گزینه ی "SPAM Prevention" در سمت چپ استفاده کنید. در اینجا چند تب مختلف وجود دارد که شما در درجه ی اول به "Comment Spam" و "Comment SPAM IP Monitoring" نیاز دارید. تب‌های "BBPress" و "BuddyPress" نیز تنها در صورت استفاده از این افزونه ها، باید تنظیم شوند.

در تب "Comment SPAM" هر دو چک باکس را علامت بزنید و روی "Save Settings" کلیک کنید. اگر کسی در سایت شما نظر دهد، قبل از ارسال نظر باید کد کپچا را به درستی وارد کند، در غیر این صورت، ربات اسپم شناخته شده و مسدود می‌شود.

اکنون در تب "Comment SPAM IP Monitoring" گزینه ی "Enable Auto Block of SPAM Comment IPs" را علامت بزنید، سپس روی "Save Settings" کلیک کنید. در اینجا می‌توانید حداقل تعداد نظرات اسپم را پیش از مسدودیت دائم تنظیم کنید.

اسکنر

اگر روی گزینه ی Scanner در منوی سمت چپ کلیک کنید، به اسکنر بدافزار All in One منتقل می‌شوید. از اینجا می‌توانید اسکن دستی انجام دهید و سیستم خود را طوری تنظیم کنید که از فایل‌های اصلی WordPress اسکن خودکار دوره ای انجام دهد.

"Enable Automated File Change Detection Scan" را علامت بزنید و سپس بر روی " Save Settings" کلیک کنید.

با کلیک بر روی "Perform Scan Now" می‌توانید اسکن دستی انجام دهید.

فایروال

گزینه ی "Firewall" در منوی سمت چپ دارای تعدادی ویژگی است که می‌توانید به طور پیش فرض از آن‌ها استفاده کنید. هر تب در این بخش گزینه هایی دارد که می‌توانید آن‌ها را خارج از تب "Custom Rules" پیکربندی کنید. توجه داشته باشید که افزونه ی All in One نمی‌تواند قوانین فایروال را بدون دسترسی نوشتن در فایل htaccess. موجود در فولدر وردپرس پیکربندی کند.

در تب "Basic Firewall Rules" سه چک باکس وجود دارد که باید علامت بزنید. ابتدا "Enable Basic Firewall Protection" را علامت بزنید. با این کار فایروال اصلی روشن می‌شود و از دسترسی به چند قسمت از سیستم فایل وردپرس جلوگیری می‌کند.

سپس "Disable Pingback Functionality From XMLRPC" را علامت بزنید، زیرا برخی از افزونه‌ها به قابلیت XMLRPC نیاز دارند و توصیه نمی‌شود دسترسی به این مورد را به طور کامل مسدود کنید. گزینه ی "Block Access to debug.log File" را علامت بزنید و سپس بر روی "Save Settings" کلیک کنید.

در تب "Additional Firewall Rules" باید تیک تمام گزینه‌های موجود را بزنید و سپس روی دکمه ی "Save Additional Firewall Settings" در پایین کلیک کنید.

در تب "6G Blacklist Firewall Rules" باید هر دو گزینه ی "Enable 6G Firewall Protection" و "Enable legacy 5G Firewall Protection" را علامت بزنید تا لیست‌های سیاه وردپرس را از سایت perishablepress.com به فایروال خود اضافه کنید. پس از اتمام، بر روی "Save 5G/6G Firewall Settings" کلیک کنید.

در تب "Internet Bots" چک باکس "Block Fake Googlebots" را انتخاب کرده و بر روی دکمه ی "Save Internet Bot Settings" در پایین کلیک کنید.

با کمک تنظیمات تب "Prevent Hotlinking" می‌توانید از هات لینک‌های سایت‌های دیگر به تصاویر میزبانی شده ی خود جلوگیری کنید. این کار هم محتوا و هم پهنای باند شما را حفظ می‌کند. چک باکس "Prevent Image Hotlinking" را انتخاب کرده و بر روی "Save Settings" کلیک کنید.

در تب "404 Detection" می‌توانید افزونه All In One Security را به گونه ای تنظیم کنید تا IPهایی که به دفعات بالا برای دسترسی به صفحات ناموجود در سایت شما تلاش می‌کنند را مسدود کند. گزینه ی "Enable 404 IP Detection and Lockout" را علامت بزنید و سپس بر روی " Save Settings" کلیک کنید.

File System Security

آخرین بخشی که باید بررسی کنید، گزینه ی "File System Security" در منوی سمت چپ است. در این قسمت تمام بخش‌های مهم وردپرس و مجوزهای فایل پیشنهادی ذکر شده است. اگر دکمه ی "Set Recommended Permissions" موجود در کنار هر گزینه کار نکرد، برای این کار از برنامه ی FTP یا chmod استفاده کنید.

سپس بر روی تب "WP File Access" و "Prevent Access to WP Default Install Files" و بعد بر روی "Save Settings" کلیک کنید. این کار از دسترسی به چند فایل که ممکن است اطلاعات نصب وردپرس را به مهاجم ارائه دهند، جلوگیری می‌کند.

پس از انجام تمامی این مراحل، گام قابل توجهی در جهت ایمن سازی وب سایت وردپرسی خود برداشته اید. شما باید همواره از وب سایت خود نسخه‌های پشتیبان تهیه کنید، به طور مرتب تمامی افزونه‌های خود را به روز کنید و همچنین به هشدارها و هر چیزی که اسکن بدافزار این افزونه برای شما ارسال می‌کند، توجه کنید. ما در این مقاله از همه ی ویژگی‌های این افزونه استفاده نکردیم و تنها از تنظیماتی استفاده کردیم که با اکثر قالب‌ها و افزونه‌ها سازگار هستند. اکنون اگر به داشبورد بروید باید نمره ی امنیتی را به رنگ سبز مشاهده کنید:

جمع بندی:

امنیت وردپرس با توجه به استفاده ی بالا و محبوبیت فراوان این پلتفرم، روز به روز اهمیت بیشتری پیدا می‌کند. ما در این مقاله به نحوه ی پیکربندی افزونه All In One Security پرداختیم. شما تنها با انجام تنظیمات این افزونه می‌توانید لایه‌های امنیتی قدرتمندی را به وب سایت خود اضافه کنید. اگر تمایل دارید با سایر افزونه‌های امنیتی وردپرس نیز آشنا شوید، مقاله ی آشنایی با بهترین افزونه‌های امنیتی وردپرس را به شما توصیه می‌کنیم.

تجربه ی شما از کار با افزونه‌های امنیتی وردپرس چیست و کدام یک را ترجیح می‌دهید؟ خوشحال می‌شویم نظرات خود را با ما و سایر کاربران در میان بگذارید.

اگر به یادگیری بیشتر در زمینه ی وردپرس علاقه داری، شرکت در دوره پلاگین نویسی وردپرس را پیشنهاد می‌کنیم، با شرکت در این دوره، در کمتر از یکسال به یک متخصص وردپرس همه فن حریف تبدیل می‌شوی که آماده استخدام، دریافت پروژه و پیاده سازی قالب و پلاگین‌های وردپرسی هستی.