تصور کنید یک قفل ضد سرقت گران‌قیمت روی درب ورودی خانه‌تان نصب کرده‌اید، اما کلید خانه را زیر پادری گذاشته‌اید یا تمام پنجره‌ها را باز رها کرده‌اید. در دنیای وردپرس، نصب یک افزونه امنیتی مثل Solid Security (که قبلاً با نام iThemes Security شناخته می‌شد) درست مثل نصب آن قفل است؛ اما اگر ندانید چطور از ابزارهای داخلی آن برای بستن «درهای پشتی» استفاده کنید، سایت شما همچنان در معرض خطر است.

بسیاری از متخصصان سئو و مدیران سایت، امنیت را صرفاً در لایه‌های ظاهری می‌بینند، اما واقعیت این است که امنیت زیرساختی، تاثیر مستقیمی بر پایداری سئو و اعتبار سایت شما نزد گوگل دارد. یک نفوذ ساده می‌تواند ماه‌ها تلاش شما برای رتبه گرفتن را با تزریق کدهای مخرب یا ریدایرکت‌های ناخواسته نابود کند.

در این مطلب، قرار است به عمق ابزارهای کاربردی افزونه Solid Security برویم؛ جایی که فراتر از تنظیمات ساده، با ساختار دیتابیس، فایل‌های سیستمی و هویت کاربران سر و کار داریم.

امنیت از قلب دیتابیس شروع می‌شود

هکرها معمولاً از روش‌های تکراری و قابل پیش‌بینی استفاده می‌کنند. آن‌ها می‌دانند که وردپرس به صورت پیش‌فرض، اولین کاربری که ساخته می‌شود را با آیدی یک (ID: 1) می‌شناسد. این یعنی ۵۰ درصد راه برای آن‌ها طی شده است؛ چون نام کاربری یا آیدی را می‌دانند و فقط باید روی پیدا کردن رمز عبور تمرکز کنند.

یکی از کلیدی‌ترین کارهایی که در بخش ابزارهای این افزونه انجام می‌دهیم، تغییر یوزر آیدی مدیر است. افزونه به صورت خودکار آیدی یک را غیرفعال کرده و یک عدد رندم و غیرقابل حدس به آن اختصاص می‌دهد. با این کار، حتی اگر اسکریپت مخربی به دیتابیس شما دسترسی پیدا کند، نمی‌تواند به راحتی با هدف قرار دادن آیدی شماره یک، دسترسی مدیریت را تصاحب کند.

موضوع بعدی، پیشوند جداول دیتابیس (Table Prefix) است. به طور پیش‌فرض، تمام جداول وردپرس با wp_ شروع می‌شوند (مثل wp_options). این یک استاندارد است و هر چیزی که استاندارد و عمومی باشد، برای هکرها یک میان‌بر محسوب می‌شود. ابزار تغییر پیشوند جداول، این پیشوند ساده را به یک عبارت پیچیده و نامنظم مثل sbcn_wa26_ تبدیل می‌کند. این تغییر کوچک، مثل این است که نام تمام پوشه‌های مهم خود را به زبانی رمزگذاری شده تغییر دهید که هیچ غریبه‌ای معنای آن را نمی‌فهمد.

مدیریت هوشمند فایل‌های سیستمی و دسترسی‌ها

گاهی اوقات امنیت به معنای «بستن دسترسی‌ها» است، حتی دسترسی‌هایی که به نظر مفید می‌رسند. در بخش ابزارها، ما با دو مفهوم حیاتی روبرو هستیم:

بررسی سطح دسترسی فایل‌ها (File Permissions): افزونه به شما می‌گوید که کدام فایل‌ها «بیش از حد باز» هستند. مثلاً فایل حیاتی wp-config.php نباید اجازه ویرایش آزادانه داشته باشد. تغییر سطح دسترسی به اعدادی مثل ۴۴۴ باعث می‌شود فایل قفل شود. اما مراقب باشید! این کار یک چالش دارد: اگر فایل را کاملاً قفل کنید، افزونه‌های دیگری مثل WP Rocket یا Yoast SEO که نیاز دارند تنظیماتی را در این فایل‌ها بنویسند، دچار مشکل می‌شوند. پس این بخش را باید با احتیاط و بر اساس نیاز سایت مدیریت کرد.

پیکربندی سرور و کدهای دستی: همیشه همه چیز اتوماتیک پیش نمی‌رود. اگر در تنظیمات افزونه، اجازه ویرایش مستقیم فایل‌ها را نداده باشید، افزونه نمی‌تواند کدهای امنیتی را در فایل .htaccess یا wp-config.php بنویسد. در این حالت، ابزارهای افزونه لیست دقیق کدها را به شما می‌دهند تا خودتان به صورت دستی آن‌ها را در جای درست کپی کنید. این یعنی کنترل کامل بر روی آنچه در زیرساخت سایتتان اتفاق می‌افتد.

مفاهیم پیشرفته: از MU-Plugins تا کلیدهای امنیتی

بیایید کمی عمیق‌تر شویم. آیا می‌دانستید راهی وجود دارد که افزونه‌های حیاتی شما تحت هیچ شرایطی (حتی توسط مدیران دیگر) غیرفعال نشوند؟

  • افزونه‌های ضروری (MU-Plugins): عبارت MU مخفف Must-Use است. این افزونه‌ها در پوشه‌ای خاص قرار می‌گیرند و در پیشخوان وردپرس دکمه «غیرفعال‌سازی» ندارند. ابزار اختصاصی Solid Security می‌تواند لودر این افزونه‌ها را مدیریت کند. این کار امنیت را به حداکثر می‌رساند، اما یادتان باشد که این افزونه‌ها دیگر به صورت خودکار آپدیت نمی‌شوند و باید به صورت دستی مراقب به‌روز بودن آن‌ها باشید.
  • کلیدهای امنیتی (WordPress Salts): این کلیدها مسئول رمزنگاری سشن‌ها و کوکی‌های کاربران هستند. اگر زمانی حس کردید سایت شما مورد حمله قرار گرفته یا مشکوک به نفوذ هستید، یکی از هوشمندانه‌ترین کارها، به‌روزرسانی کلیدهای امنیتی است. با این کار، تمام کاربرانی که لاگین هستند (از جمله هکر احتمالی که سشن را دزدیده است) بلافاصله از سایت خارج می‌شوند و تمام کوکی‌های قبلی بی‌اعتبار می‌گردد. این یک «دکمه ریست» امنیتی برای تمام دسترسی‌های فعال است.

ابزارهایی برای تعامل با دنیای بیرون

در نهایت، بخش ابزارها به شما کمک می‌کند تا با سرویس‌های دیگر همگام شوید. برای مثال، اگر بخواهید درگاه بانکی تهیه کنید، بانک از شما آی‌پی سرور را می‌خواهد. به جای گشتن در پنل‌های پیچیده هاست، می‌توانید مستقیماً از داخل ابزارهای افزونه، آی‌پی دقیق سرور خود را بردارید و در لیست سفید (Whitelist) درگاه یا سایر سرویس‌ها قرار دهید.

امنیت یک مسیر است، نه یک مقصد

استفاده از ابزارهای Solid Security مثل تنظیم کردن لایه‌های مختلف یک پناهگاه است. از تغییر آیدی کاربران و پیشوند جداول گرفته تا مدیریت سخت‌گیرانه فایل‌های سیستمی، همگی به این دلیل انجام می‌شوند که سایت شما برای ربات‌ها و اسکریپت‌های مخرب، به یک هدف «سخت» و «غیرقابل پیش‌بینی» تبدیل شود.

فراموش نکنید که امنیت کامل وجود ندارد، اما با برداشتن این قدم‌های فنی و زیربنایی، ریسک موفقیت حملات را به حداقل می‌رسانید و محیطی امن برای کاربران و البته نتایج سئوی خود فراهم می‌کنید.