كيفية تأمين موقع ووردبريس؟ الدليل النهائي

يعد WordPress أحد أكثر البرامج مفتوحة المصدر استخدامًا في العالم. لذلك من المهم توخي اليقظة وحمايتها قدر الإمكان.

يمكن للمتسلل استخدام البيانات كيفما يريد! اعلم أن WordPress هو أحد أشهر أنظمة إدارة المحتوى في العالم! تم تثبيته أكثر من 76.5 مليون مرة.

حلول السلامة الأساسية POUR VOTRE SITE WORDPRESS

1. حافظ على تحديث WordPress الخاص بك

سيسمح لك هذا بتأمين WordPress بشكل فعال، صدقني! ونعم، يبدو الأمر بسيطًا، لكن 22% فقط من مواقع WordPress تستخدم الإصدار الأحدث! من منا لم يتكاسل أبدًا في عدم تحديث موقعه؟ إذا كنت تريد أن يكون لديك موقع ويب نظيف وخالي من الفيروسات، فهذا أمر لا بد منه!

قام WordPress بدمج التحديث التلقائي في الإصدار 3.7، ومع ذلك، فهو يعمل فقط مع التحديثات الأمنية الصغيرة. لذلك، يجب إجراء التحديثات الرئيسية يدويًا لتأمين WordPress!

2. استخدم معلومات تسجيل دخول أقل شيوعًا

هل تستخدم admin كاسم مستخدم مسؤول WordPress؟ إذا كانت إجابتك بنعم، فاعلم أنه سيكون من الأسهل اختراقك. لذا قم الآن بتغيير اسم المستخدم! (اقرأ هذا الدليل -باللغة الإنجليزية- إذا كنت لا تعرف كيفية القيام بذلك) يمكنك أيضًا إنشاء حساب مسؤول جديد باسم مستخدم مختلف وحذف الحساب القديم. إذا كنت تفضل هذه الطريقة، اتبع هذه الخطوات البسيطة:

1. الوصول إلى لوحة تحكم ووردبريس
2. انتقل إلى قسم المستخدمين واضغط على أضف.

1. أنشئ مستخدمًا جديدًا وقم بتعيين دور المسؤول له.

1. أعد تسجيل الدخول إلى WordPress باستخدام اسم المستخدم الجديد الخاص بك.
2. ارجع إلى قسم المستخدمين واحذف المستخدم المسؤول.

كلمة المرور الجيدة هي المفتاح لتأمين WordPress بشكل فعال. من الصعب جدًا فرض كلمة مرور تتكون من أرقام وأحرف كبيرة وصغيرة وأحرف خاصة. أدوات مثل لاست باس و 1كلمة المرور يمكن أن يساعدك في إنشاء كلمات المرور المعقدة وإدارتها بشكل خاص!

3. تمكين المصادقة المكونة من خطوتين

يتيح لك التحقق بخطوتين الحفاظ على أمان WordPress قدر الإمكان. كما يوحي الاسم، فهو يضيف خطوة أخرى ستحتاج إلى إكمالها لتسجيل الدخول. ومن المحتمل جدًا أنك تستخدمه بالفعل للوصول إلى رسائل البريد الإلكتروني الخاصة بك أو البنك الذي تتعامل معه أو أي حساب آخر يحتوي على معلومات حساسة. فلماذا لا تستخدمه على WordPress؟

على الرغم من أن الأمر قد يبدو معقدًا، إلا أنه توجد اليوم حلول بسيطة لاستخدام هذا التحقق المكون من خطوتين. كل ما عليك فعله هو تثبيت تطبيق المصادقة بخطوتين (على هاتفك على سبيل المثال) وتهيئة WordPress. ستجد دليلاً تفصيليًا حول تمكين مصادقة WordPress المكونة من خطوتين هنا -باللغة الإنجليزية-.

4. تعطيل الإبلاغ عن أخطاء PHP

يمكن أن يكون الإبلاغ عن أخطاء PHP مفيدًا إذا كنت مطور ويب وتريد التأكد من أن كل شيء يعمل بشكل صحيح. ومع ذلك، فإن إظهار الأخطاء علنًا يعد بمثابة خرق أمني كبير!

تحتاج إلى إصلاح هذا في أسرع وقت ممكن! لا تقلق، لست بحاجة إلى أن تكون مبرمجًا لتعطيل الإبلاغ عن أخطاء PHP في WordPress! سيقدم لك العديد من موفري خدمات الاستضافة خيار تعطيل الإبلاغ عن الأخطاء في لوحة التحكم. إذا لم يقدموه، فما عليك سوى إضافة الأسطر التالية إلى ملف wp-config.php الخاص بك. يمكنك استخدام عميل FTP أو مدير الملفات -باللغة الإنجليزية- للتحرير wp-config.php.

error_reporting(0);
@ini_set(‘display_errors’, 0);

هذا كل شيء! تم الآن تعطيل الإبلاغ عن الأخطاء

5. لا تستخدم مكونات WordPress الإضافية المتصدعة

"إذا كان مجانيًا، فأنت المنتج" وينطبق الشيء نفسه على غالبية البرامج المقرصنة! إذا كنت تريد تأمين WordPress واستخدامه خصيصًا للأغراض المهنية، فاستخدم ما تدفع مقابله!

هناك الآلاف من المكونات الإضافية والموضوعات المقرصنة على الإنترنت. يمكن للمستخدمين تنزيلها مجانًا من مواقع Warez أو torrent المختلفة. ولسوء الحظ، فإن معظمهم مصابون بروابط ضارة أو Blackhat SEO.

إذا كنت تريد موقعًا صحيًا، فتوقف عن تنزيل المكونات الإضافية المكسورة لأنك ستدفع في النهاية مبلغًا أكبر مقابل مطور متمرس لتنظيف موقع الويب الخاص بك!

6. قم بمسح WordPress باستخدام برنامج مكافحة الفيروسات

غالبًا ما يستخدم المتسللون نقاط الضعف في السمات أو المكونات الإضافية لإصابة WordPress بالبرامج الضارة. لذلك، من الضروري فحص مدونتك بشكل متكرر لتأمين WordPress! هناك العديد من المكونات الإضافية جيدة الترميز لهذا الاستخدام! وردفينس هو البرنامج المساعد الذي يبرز. إنه سهل الاستخدام وكامل! فهو يوفر خيارات المسح اليدوي والآلي بالإضافة إلى العديد من الإعدادات المختلفة. يمكنك أيضًا استعادة الملفات المعدلة/المصابة ببضع نقرات فقط. علاوة على ذلك، فهو مجاني ومفتوح المصدر. لذلك، عجلوا وتثبيت هذا البرنامج المساعد! 

ملحقات أمان WordPress الشائعة الأخرى:

• الأمن المضاد للرصاص - على عكس WordFence الذي وصفناه سابقًا، لن يقوم BulletProof بفحص ملفاتك، ولكنه سيوفر لك بشكل أساسي جدار حماية وأمانًا إضافيًا لقاعدة البيانات. والشيء الجيد في هذا البرنامج المساعد هو أنه سيتم تهيئته وتثبيته ببضع نقرات فقط!
• سوكوري للأمن - سيحميك هذا البرنامج الإضافي من هجمات DDoS، وسيحتفظ بقائمة سوداء، ويفحص موقع الويب الخاص بك ويتحكم في جدار الحماية الخاص بك. إذا اكتشف شيئًا ما، فسوف يخطرك عبر البريد الإلكتروني. Google وNorton وMcAfee – تم تضمين كل هذه المحركات في هذا البرنامج الإضافي ليمنحك أقصى قدر من الأمان.

7. قم بترحيل موقع WordPress الخاص بك إلى استضافة أكثر أمانًا

قد تبدو هذه نصيحة غريبة، لكن الإحصائيات تشير إلى أن أكثر من 40% من مواقع WordPress قد تم اختراقها بسبب ثغرات أمنية في حسابات الاستضافة نفسها! هذه أيضًا نصيحة مهمة جدًا إذا كنت تريد تأمين WordPress! من المفترض أن تجعلك هذه الإحصائية تعيد النظر في اختيار الاستضافة الحالي الخاص بك وترحيل موقع WordPress الخاص بك إلى استضافة أكثر أمانًا. هناك بعض الحقائق الأساسية التي يجب مراعاتها عند البحث عن سكن جديد:

• إذا كانت استضافة مشتركة، فتأكد من عزل حسابك عن المستخدمين الآخرين وأنه لا يوجد خطر من إصابة موقع واحد فقط من مواقع الويب بجميع المواقع الأخرى الموجودة على الخادم.
• يجب أن تقوم بعمل نسخ احتياطية تلقائية.
• ويجب أن يحتوي على جدار حماية من جانب الخادم وبرنامج مكافحة فيروسات.

8. قم بعمل نسخة احتياطية كلما أمكن ذلك

حتى أكبر مواقع الويب يتم اختراقها يوميًا على الرغم من أن أصحابها ينفقون الآلاف لتأمين WordPress.

حتى لو كانت لديك عادات جيدة واستكملت النصائح الأخرى في هذه المقالة، فلا يزال من الضروري عمل نسخة احتياطية لموقعك بانتظام.

هناك عدة طرق لإنشاء نسخة احتياطية. على سبيل المثال، يمكنك تحميل ملفات WordPress يدويًا وتصدير قاعدة البيانات أو استخدام أداة النسخ الاحتياطي الخاصة بمضيفك. ولكن يمكنك أيضًا استخدام المكونات الإضافية الاحتياطية. أشهر ملحقات النسخ الاحتياطي في WordPress هي:

• فولتبريس
• النسخ الاحتياطي ووردبريس
• BackupGuard

يمكنك أيضًا أتمتة عملية النسخ الاحتياطي وتخزين النسخ الاحتياطية لـ WordPress في Dropbox.

9. تعطيل تحرير الملفات

كما تعلم، يحتوي WordPress على محرر ملفات مدمج يسمح بتحرير ملفات PHP. على الرغم من أن هذه الميزة مفيدة جدًا للمطورين، إلا أنها قد تكون قاتلة أيضًا! إذا تمكن المهاجم من الوصول إلى لوحة الإدارة الخاصة بك، فإن أول شيء سيبحث عنه هو نفس المحرر. سيؤدي ذلك إلى حذف جميع ملفاتك وستكون نهاية موقعك. يقوم بعض الأشخاص (مثلنا) بتعطيل هذه الميزة تمامًا لتأمين WordPress. يمكنها أن تكون كذلك معطل عن طريق تحرير ملف wp-config.php بما في ذلك السطر التالي من التعليمات البرمجية:

define( 'DISALLOW_FILE_EDIT', true )

نعم، كما ترون، مع بضعة أسطر فقط من التعليمات البرمجية، يمكننا تأمين WordPress بشكل أفضل! 

هام إذا كنت تريد إعادة تمكين هذه الوظيفة، فاستخدم عميل FTP أو مدير الملفات الخاص بمضيفك وقم بإزالة نفس الرمز من ملف wp-config.php.

10. قم بإزالة السمات والمكونات الإضافية غير المستخدمة

للحصول على أمان أفضل على WordPress، قم بتنظيف موقع WordPress الخاص بك وإزالة جميع المكونات الإضافية والموضوعات غير المستخدمة. غالبًا ما يبحث المتسللون عن السمات والمكونات الإضافية المعطلة والقديمة (حتى الرسمية منها!) ويستخدمونها للوصول إلى لوحة التحكم الخاصة بك أو إرسال ملفات ضارة إلى خادمك. من خلال إزالة المكونات الإضافية والموضوعات التي توقفت عن استخدامها (وربما نسيت تحديثها)، ستقلل من خطر اختراق WordPress.

11. استخدم htaccess بكامل إمكاناته

يعد ملف .htaccess ضروريًا لكي تعمل روابط WordPress بشكل صحيح. بدون القواعد الصحيحة في نفس ملف .htaccess، سوف تحصل على الكثير من الأخطاء 404. قد يبدو هذا معقدًا، أعترف بذلك. ولكن كن مطمئنا، لقد تم القيام بكل شيء من أجلك!

قليل من المستخدمين يعرفون أنه يمكن استخدام .htaccess لتأمين WordPress. على سبيل المثال، باستخدام htaccess، يمكنك منع وصول PHP إلى مجلدات معينة. توضح الأمثلة أدناه كيفية استخدام .htaccess لتأمين WordPress

هام: قبل إجراء أي تغييرات، يوصى بشدة بعمل نسخة احتياطية من ملف .htaccess والاحتفاظ بنسخة، فقط في حالة حدوث ذلك. يمكنك استخدام عميل FTP أو مدير الملفات لهذا الغرض.
منع الوصول إلى منطقة مسؤول WordPress

سيسمح الكود أدناه بالوصول إلى منطقة الإدارة لعناوين IP معينة فقط (عناوينك؟).

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "WordPress Admin Access Control"
AuthType Basic

order deny,allow
deny from all
allow from xx.xx.xx.xxx
allow from xx.xx.xx.xxx

تحتاج إلى تعديل XX.XX.XX.XXX واستبداله بعنوان IP الخاص بك. يمكنك استخدام هذا الموقع لمعرفة IP الحالي الخاص بك. إذا كنت تستخدم أكثر من اتصال واحد لإدارة موقع WordPress الخاص بك، فتأكد من تضمين أي عناوين IP أخرى تستخدمها (لا تتردد في إضافة أي عدد تريده من الأسطر). ومع ذلك، لا تستخدم هذا الرمز إذا كان لديك عنوان IP ديناميكي.

تعطيل تنفيذ PHP في مجلدات معينة

يحب المتسللون تحميل البرامج النصية الخلفية إلى مجلد تنزيل WordPress. افتراضيًا، يتم استخدام هذا المجلد لتنزيل ملفات الوسائط فقط. لذلك يجب ألا يحتوي على ملفات PHP. يمكنك بسهولة تعطيل تنفيذ PHP عن طريق إنشاء ملف .htaccess جديد /wp-content/uploads/ مع هذه القواعد:

deny from all

قم بحماية ملف wp-config.php

يحتوي ملف wp-config.php على إعدادات WordPress الأساسية وتفاصيل قاعدة بيانات MySQL. ولذلك فهو أهم ملف ووردبريس. هذا هو السبب في أنه الهدف الرئيسي لجميع قراصنة WordPress. ومع ذلك، يمكنك بسهولة حماية هذا الملف باستخدام قواعد .htaccess:

order allow,deny
deny from all

مع هذه السطور القليلة، قمت بتحسين أمان WordPress بشكل ملحوظ!

12. قم بتغيير بادئة قاعدة بيانات WordPress الافتراضية لتجنب حقن SQL

تحتوي قاعدة بيانات SQL على كافة المعلومات التي يحتاجها موقعك للعمل وتخزنها. ونتيجة لذلك، يصبح هدفًا رئيسيًا للمتسللين ومرسلي البريد العشوائي الذين يقومون بعد ذلك بتنفيذ تعليمات برمجية آلية وإجراء عمليات حقن SQL. عند تثبيت WordPress، لا يهتم معظم الأشخاص بتغيير بادئة قاعدة البيانات الافتراضية وهي wp_ . وفق وردفينس ، 1 من كل 5 حالات اختراق لـ WordPress ترجع إلى عمليات حقن SQL. منذ wp_ هو المعلمة بشكل افتراضي، المتسللين سوف تختار لاستهداف هذه القيمة أولاً. في هذه الخطوة، سنشرح بإيجاز كيف يمكنك تأمين WordPress ضد مثل هذه الهجمات.

تغيير بادئة الجدول لموقع WordPress موجود

مهم! بما أننا نتحدث عن أمان WordPress، تأكد من عمل نسخة احتياطية لقاعدة بيانات MySQL قبل المتابعة.

الجزء 1 – تغيير البادئة باستخدام wp-config.php

باستخدام عميل FTP أو مدير الملفات -باللغة الإنجليزية- افتح ملف wp-config.php وابحث عن قيمة $table_prefix.

يمكنك إضافة أرقام أو أحرف أو واصلات. احفظ تغييراتك وانتقل إلى الخطوة التالية. في هذا البرنامج التعليمي، سوف نستخدم wp_1securite2_ كبادئة الجدول الجديد.

في الملف الخاص بك wp-config.php ، ابحث أيضًا عن اسم قاعدة البيانات الخاصة بك، حتى تعرف قاعدة البيانات التي تحتاج إلى تعديلها. تعريف('DB_NAME'

الجزء 2 - تحديث كافة جداول قاعدة البيانات

ستحتاج الآن إلى تحديث جميع الإدخالات في قاعدة البيانات الخاصة بك لتأمين WordPress. للقيام بذلك سوف نستخدم phpMyAdmin!

انتقل إلى قاعدة البيانات التي بحثت عنها في الجزء الأول.

يحتوي تثبيت WordPress النموذجي على 12 جدولًا. يجب تحديث كل منها. اعلم أنه يمكنك القيام بذلك بسرعة في القسم SQL من PHPMyadmin.

سوف نستخدم استعلامات SQL لتسريع العملية. في الواقع، أنت مثلي لا تريد قضاء ساعات في تحديث الجداول يدويًا! استخدم بناء الجملة التالي لتحديث كافة الجداول في قاعدة البيانات الخاصة بك.

RENAME table `wp_commentmeta` TO `wp_1securite2_commentmeta`;
RENAME table `wp_comments` TO `wp_1securite2_comments`;
RENAME table `wp_links` TO `wp_1securite2_links`;
RENAME table `wp_options` TO `wp_1securite2_options`;
RENAME table `wp_postmeta` TO `wp_1securite2_postmeta`;
RENAME table `wp_posts` TO `wp_1securite2_posts`;
RENAME table `wp_terms` TO `wp_1securite2_terms`;
RENAME table `wp_termmeta` TO `wp_1securite2_termmeta`;
RENAME table `wp_term_relationships` TO `wp_1securite2_term_relationships`;
RENAME table `wp_term_taxonomy` TO `wp_1securite2_term_taxonomy`;
RENAME table `wp_usermeta` TO `wp_1securite2_usermeta`;
RENAME table `wp_users` TO `wp_1securite2_users`;

قد تقوم بعض سمات WordPress أو المكونات الإضافية بإنشاء جداول إضافية في قاعدة البيانات. في حالة وجود أكثر من 12 جدولًا في قاعدة بيانات MySQL، أضف الباقي إلى استعلامات SQL يدويًا وقم بتشغيلها.

على سبيل المثال :

RENAME table `wp_tabledevotreplugin` TO `wp_1securite2_tabledevotreplugin`;

حيث ستستبدل جدول المكون الإضافي الخاص بك بـ... الجدول الذي تم إنشاؤه بواسطته!

الجزء 3 – خيارات التحقق وجداول usermeta

اعتمادًا على عدد المكونات الإضافية المثبتة ونوعها، ستحتاج بعض القيم في قاعدة بياناتك إلى التحديث يدويًا. لهذا سوف تضطر إلى تنفيذ استعلامات SQL للبحث هذه القيم في الجدول wp_1securite2_خيارات والجدول wp_1securite2_com.usermeta .

بالنسبة لجدول خيارات ، سوف تحتاج إلى تنفيذ:

SELECT * FROM `wp_1securite2_options` WHERE `option_name` LIKE '%wp_%';

للجدول com.usermeta ، سوف تحتاج إلى تنفيذ:

SELECT * FROM `wp_1securite2_usermeta` WHERE `meta_key` LIKE '%wp_%'

عندما تحصل على نتائج استعلام SQL، تحتاج ببساطة إلى تحديث كافة قيم wp_ à wp_1security2_ (في مثالنا) وسيتم الانتهاء منه. في الجدول com.usermeta ، سوف تحتاج إلى تغيير القيمة meta_key ، بينما في خيارات القيمة option_name سوف تحتاج إلى تعديل.

تغيير بادئة الجدول لموقع WordPress جديد

إذا كنت تخطط لتثبيت مواقع جديدة ضمن WordPress، فلن تكون هناك حاجة لتنفيذ هذه العملية الشاقة. يمكنك ببساطة تغيير بادئة الجدول الخاص بك لتأمين WordPress أثناء التثبيت:

تهانينا! لقد نجحت في زيادة أمان قاعدة بيانات WordPress!