WordPress هو نظام إدارة المحتوى الأكثر شيوعًا (CMS). تعد مشكلات أمان WordPress جزءًا أساسيًا من مستخدمي WordPress. لكن هذه الشعبية تأتي بثمن. يمكن أن تكون مواقع الويب غير الآمنة في WordPress هدفًا سهلاً للمتسللين الذين يتطلعون إلى الاستفادة من نقاط الضعف المعروفة لصالحهم.
بعد التثبيت الجديد ، أصبح WordPress آمنًا بنسبة 99.99999٪. ولكن قد يصبح عرضة للخطر مع مرور الوقت وعندما تقوم بتوسيع نطاق موقع الويب الخاص بك من خلال استخدام المكونات الإضافية أو السمات وخفض حركة المرور.
لاحظ أن أمان WordPress هو كل شيء عن الحد من المخاطر ، وليس القضاء على المخاطر. نظرًا لأن المخاطرة لن تختفي أبدًا ، فإن الحفاظ على أمان موقع WordPress الخاص بك سيحتاج دائمًا إلى تقييم منتظم لطرق الهجوم والمخاطر المحتملة.
في هذه المقالة ، سنناقش خصوصيات وعموميات قضايا أمان WordPress والإرشادات حول الخطوات التي يمكنك اتخاذها لحماية موقعك وحركة المرور الخاصة بك من المتسللين والبرامج الضارة.
لماذا يعتبر أمان ووردبريس مهمًا؟
إذا كنت ترغب في الحفاظ على أمان مواقع الويب الخاصة بك ، فأنت بحاجة إلى حمايتها من البرامج الضارة والتصيد الاحتيالي وهجمات DDoS. قد يعاني دخل وسمعة شركتك بشكل كبير من موقع ويب ووردبريس المخترق. يمكن للمتسللين تثبيت برامج خطيرة ونشر البرامج الضارة للمستخدمين وسرقة كلمات المرور ومعلومات المستخدم.
والأسوأ من ذلك ، قد تضطر إلى تعويض المجرمين عن برامج الفدية الخاصة بهم للعودة إلى موقع الويب الخاص بك. بالإضافة إلى ذلك ، تدرج Google في القوائم السوداء حوالي 20000 موقع ويب أسبوعيًا للبرامج الضارة وأكثر من 50000 للتصيد الاحتيالي. أمان WordPress هو شيء يجب أن تهتم به بشكل إضافي إذا كان موقع الويب الخاص بك نشاطًا تجاريًا.
بصفتك مالكًا تجاريًا عبر الإنترنت ، يجب عليك حماية موقع شركتك ، في نفس الوقت مثل أصحاب المتاجر الفعلية يجب على أصحاب المتاجر حماية مؤسساتهم.
ما مدى أمان ووردبريس أمن؟
يتفق معظم الناس على أن WordPress هو نظام إدارة محتوى آمن. ولكن تمامًا مثل CMS الأخرى ، إذا كنت لا تستثمر لتأمين موقع الويب الخاص بك ، فقد يكون مفتوحًا للهجمات. ليس هناك من تجنب حقيقة أن مواقع الويب التي تعمل بنظام WordPress غالبًا ما تكون هدفًا للاختراقات.
أوقفت خدمة جدار الحماية تسمى Wordfence طلبًا مذهلاً يبلغ 18.5 مليار كلمة مرور على مواقع WordPress ، وفقًا لتقرير أمان WordPress الخاص بها.
تذكر أن WordPress أنشأ 43٪ من الإنترنت. حتى مع احتساب حصة WordPress في السوق ، لا تزال ما يقرب من عشرين مليار هجوم كبيرة.
الآن بعد أن أصبحت على دراية بالتفاصيل ، فلنعد قليلاً. ضع في اعتبارك أن هذه الأرقام ليست خطأ WordPress قبل حذف حساب WordPress الخاص بك. بدلاً من ذلك ، لنكون أكثر دقة ، هناك مشكلة في برنامج WordPress.
نتيجة لذلك ، هناك إجراءات قد تتخذها ، كمستخدم مسؤول ، لدعم مبادرات أمان WordPress. لدى WordPress فريق أمني كبير من النخبة الباحثين والمهندسين الذين يبحثون عن نقاط ضعف في نظامه. حتى يتمكنوا من معالجة أي مشاكل قبل أن يتمكن المتسلل من الوصول إليها.
بالإضافة إلى ذلك ، يقوم فريق الأمان بتحديث برامجهم بانتظام باستخدام تصحيحات الأمان. قد تتسبب الطريقة التي يجعل WordPress بها للمستخدمين في حدوث مشكلات في مواقع WordPress. يتمتع استخدام البرامج مفتوحة المصدر بالعديد من المزايا ، بما في ذلك القدرة على تحسينه والتخصيص اللانهائي وإمكانية الوصول لجميع المستخدمين. وبالتالي ، أنتج عشرات الآلاف من المطورين سمات ومكونات إضافية توسع بشكل كبير من قدرة هذه المنصة.
ما هي بعض مشاكل أمان WordPress الشائعة؟
إذن ماذا يحدث إذا لم تتخذ أي إجراء لتأمين موقع WordPress الخاص بك وتجاهلت الإحصائيات؟ اتضح أن الكثير ممكن. هذه بعض من أكثر أنواع الهجمات الإلكترونية شيوعًا التي تستهدف مواقع WordPress.
محاولات تسجيل الدخول إلى القوة الغاشمة
هذا النوع من الهجوم هو من بين أكثر الأنواع مباشرة. يحدث ذلك عندما يدخل نظام آلي بسرعة العديد من مجموعات كلمة مرور اسم المستخدم لتخمين بيانات الاعتماد الصحيحة. ليس فقط تسجيل الدخول ولكن يمكن الوصول إلى أي بيانات محمية بكلمة مرور باستخدام قرصنة القوة الغاشمة.
البرمجة النصية عبر المواقع (XSS)
هجوم XSS يأتي بعد ذلك. يحدث هذا النوع من الهجوم عندما يقوم أحد المتسللين "بإدخال" رمز ضار في الواجهة الخلفية لموقع الويب المستهدف لسرقة البيانات وإعاقة وظائف الموقع بشدة.
يمكنك إضافة الكود إلى الواجهة الخلفية بمزيد من التعقيد. أو يمكن للمستخدم إرسالها كإجابة مباشرة على نموذج مرئي. كن حذرا من هذا.
حقن قاعدة البيانات
يُعرف هذا النوع من الهجوم أيضًا باسم حقن SQL. يحدث ذلك عندما يستخدم المتسلل إدخال المستخدم مثل نموذج اتصال لتحميل سلسلة من التعليمات البرمجية الضارة في موقع ويب.
بعد ذلك ، يحتفظ الموقع بالشفرة في قاعدة البيانات الخاصة به. على غرار هجوم XSS ، ينفذ موقع الويب التعليمات البرمجية الضارة للحصول على البيانات الخاصة المخزنة أو الاختراق في قاعدة بيانات.
أبواب خلفية
تقنية الهجوم الشائعة هي أيضًا باب خلفي. يحتوي على رمز يسمح للمتسلل بتجاوز عملية تسجيل الدخول القياسية في WordPress والوصول إلى موقع الويب الخاص بك وقتما يريد.
عادةً ما يتم إخفاء الأبواب الخلفية بين ملفات مصدر WordPress الأخرى من قبل المهاجمين ، مما يجعل من الصعب على المستخدمين المبتدئين تحديد موقعهم. يمكن للمهاجمين إنشاء إصدارات جديدة من هذا الباب الخلفي واستخدامهم للالتفاف على تسجيل الدخول حتى بعد إلغاء تنشيطه.
رفض الخدمة (DOS)
هجمات مع رفض الخدمة (DOS) النوع التالي من الاعتداء هو نوع شائع يسمى هجوم رفض الخدمة. لا يستطيع الأشخاص المصرح لهم الوصول إلى مواقع ويب معينة بسبب هذه الهجمات.
الطريقة الأكثر شيوعًا لحدوث هجمات DOS هي عندما يكون الخادم مثقلًا بحركة المرور ، مما يؤدي إلى حدوث تعطل. عندما تطلق العديد من الآلات هجومًا موزعًا على رفض الخدمة (DDoS) في وقت واحد ، تتفاقم العواقب.
تصيد
التصيد هو مصطلح قد تكون على دراية به بالفعل. يحدث ذلك عندما يتواصل أحد المتسللين مع هدف من خلال التظاهر بأنه عمل أو خدمة جديرة بالثقة. محاولات التصيد عادة ما تطلب من الضحية تنزيل البرامج.
يوفر معلومات شخصية ، أو حتى زيارة موقع ويب محفوف بالمخاطر قد يتلف أجهزة الكمبيوتر الخاصة بهم. قد يخطط المهاجم حتى لاعتداءات التصيد على عملائك من خلال انتحال شخصيتك إذا تمكن من الوصول إلى حساب WordPress الخاص بك. إنه ليس ممتازًا لسمعة شركتك ، كما يمكنك أن تفهم على الأرجح.
ربط ساخن
الارتباط الساخن هو ممارسة وجود محتوى (عادةً صورة) موجود على موقع الويب الخاص بك. يظهر على موقع ويب آخر دون إذن ، مما يعطي الانطباع بأن المحتوى أصلي.
عادةً ما يضع الارتباط السريع غير قانوني الضحية في موقف صعب لأنه يتعين عليهم الدفع في كل مرة يتم فيها نسخ المحتوى من خادمهم وعرضه على موقع ويب آخر. إنها تشبه السرقة أكثر من الاعتداء الخطير.
الإضافات
معظم الناس أمان ووردبريس الثغرات هي نتيجة الإضافات التابعة لجهات خارجية. لا يجب أن تتجاهل أيًا منها ، على الرغم من أنها تقدم بعض الإضافات الرائعة التي تعمل على تحسين عمل موقع الويب الخاص بك.
تعد المكونات الإضافية طريقة نموذجية للمتسللين للتدخل في تشغيل موقع الويب الخاص بك لأن الأطراف الثالثة تقوم بتطويرها وتوفر لهم الوصول إلى الواجهة الخلفية.
إصدار وورد بريس قديم
تصدر WordPress أحيانًا إصدارات جديدة من برامجها لتصحيح الثغرات الأمنية. عندما تظهر الإصلاحات ، تصبح الثغرات الأمنية معرفة عامة وغالبًا ما يتم استهداف مشاكل الإصدارات القديمة من WordPress من قبل المتسللين. يمكنك تجنب هذه المشكلة من خلال تحديث موقعك.
صفحة تسجيل الدخول
صفحة تسجيل الدخول الخلفية لأي موقع ويب WordPress ، بشكل افتراضي ، هي عنوان URL الرئيسي للموقع مع إضافة "/wp-admin" أو "/wp-login.php" إلى النهاية.
يمكن للمهاجمين العثور بسهولة على هذه الصفحة ومحاولة دخول القوة الغاشمة. من خلال الحفاظ على كلمات المرور الخاصة بك متنوعة ومعقدة ، يمكنك تجنب الاحتمالات التي سيخمنها المتسلل بدقة.
مواضيع قديمة
يمكن لموضوع WordPress الخاص بك فتح موقعك على الهجمات الإلكترونية. قد تكون السمات القديمة غير متوافقة مع أحدث إصدار من WordPress ، مما يتيح سهولة الوصول إلى ملفاتك المصدر.
أيضًا ، لا تتبع العديد من سمات الطرف الثالث معايير WordPress للكود ، مما يتسبب في مشكلات التوافق ونقاط الضعف المماثلة. مرة أخرى ، ابحث قبل إضافة سمة إلى موقعك.
أفضل ممارسة لأمن ووردبريس: 15 مشكلة أمان ووردبريس تحتاج إلى الاهتمام بها:
1. تأمين إجراءات تسجيل الدخول الخاصة بك
نظرًا لأنه يلعب دورًا رئيسيًا في الحفاظ على أمان موقع الويب الخاص بك ، فهذه هي الخطوة الأولى. يعد الحفاظ على أمان حساباتك من محاولات تسجيل الدخول غير المصرح بها الخطوة الأولى والأكثر أهمية في أمان موقع الويب.
2. استخدم كلمات مرور قوية
على الرغم من أننا اعتقدنا أن السيارات ستطير في المستقبل ، إلا أن الناس ما زالوا يستخدمون "123456" ككلمة مرور هذا العام. يُطلب من جميع المستخدمين الذين لديهم حق الوصول إلى الواجهة الخلفية لموقع WordPress الخاص بك تسجيل الدخول بكلمات مرور آمنة.
بالنسبة لجميع المستخدمين الآخرين ، قد تكون كلمة المرور الضعيفة واحدة مشكلة. لإنشاء كلمات مرور آمنة وإدارتها نيابة عنك، قد ترغب في استخدام أحد مديري كلمات المرور التي نقترحها.
3. تمكين المصادقة الثنائية
يجب على المستخدمين الذين يستخدمون المصادقة ثنائية العامل (2FA) استخدام جهاز ثانٍ لتأكيد تسجيل دخولهم. هذه واحدة من أسهل التقنيات وأقوىها لحماية تسجيل الدخول الخاص بك ، وهي تؤدي الحيلة.
4. الحد من محاولات تسجيل الدخول
أنت تحمي موقع الويب الخاص بك عن طريق تحديد عدد المرات التي يمكن للمستخدم فيها إدخال بيانات اعتماد غير صحيحة. سيقوم نظام إدارة المحتوى بإغلاق المستخدمين إذا حاولوا تسجيل الدخول بشكل متكرر ، مما يمنع محاولات تسجيل الدخول إلى القوة الغاشمة. للتعامل مع هذا الواجب، يمكنك تثبيت مكون إضافي مثل الحد من محاولات تسجيل الدخول. ومع ذلك ، قد تتعامل معها بعض خدمات الاستضافة وجدران الحماية.
5. أضف captcha
إذا كان هذا يبدو مألوفًا ، فربما يرجع ذلك إلى أن العديد من مواقع الويب الأخرى استخدمت ميزة الأمان هذه. من خلال التحقق من هويتك كفرد مباشر ، فإنهم يعززون أمان تسجيل الدخول الخاص بك. يمكن استخدام الإضافات لدمج اختبار CAPTCHA على موقع الويب الخاص بك.
6. تمكين تسجيل الخروج التلقائي
وأخيرًا ، إذا كنت تستخدم جهاز كمبيوتر عام ، فكن حذرًا جدًا عندما يتعلق الأمر بتسجيل الخروج. في حالة فشلك في تسجيل الخروج، يمنع تسجيل الخروج التلقائي المستخدمين غير المصرح لهم من تعقبك. استخدم المكون الإضافي غير النشط لتسجيل الخروج لإعداد تسجيل الخروج التلقائي لحساب WordPress الخاص بك.
7 تحديث إصدار ووردبريس
تعد إصدارات برامج WordPress القديمة هدفًا رئيسيًا. تأكد من أنك تتفقد تحديثات WordPress وتثبتها في أسرع وقت ممكن لتقليل الثغرات الأمنية لتجنب هذه المشكلة. قم بعمل نسخة احتياطية من موقع الويب الخاص بك وتأكد من أن المكونات الإضافية الخاصة بك متوافقة مع أحدث إصدار من WordPress قبل التحديث إلى الإصدار الأقدم من البرنامج. علاوة على ذلك ، قد تحتاج إلى تحديث الإضافات الخاصة بك.
8. استخدام شهادات SSL (طبقات المقبس الآمنة)
شهادات SSL هي المعيار الفعلي لجميع أنواع المعاملات الآمنة عبر الإنترنت. توفرها شركات الاستضافة مجانًا ، ويمكنك حتى شرائها لضمان معاملات ويب آمنة للغاية. إعادة توجيه HTTPS هو مكون إضافي رئيسي يضمن تقنية التشفير بين الخادم والعميل. نتيجة لذلك ، يتم تشفير جميع البيانات المرسلة بين موقع الويب الخاص بك ومتصفح العميل.
9. قم بتثبيت البرنامج المساعد للأمان
يمكنك الحفاظ على موقعك آمنًا باستخدام العديد من المكونات الإضافية لتأمين WordPress. اختر ال أفضل الإضافات الأمنية لـ WordPress لاحتياجاتك وتثبيتها على الموقع.
10. ضمان أمان قاعدة البيانات
يعد أمان قاعدة بيانات WordPress أمرًا بالغ الأهمية. يمكنك جعل موقعك آمنًا باستخدام اسم قاعدة بيانات ذكي لا يمكن تصوره. الغالبية منهم لديهم البادئة "WP" في أسمائهم. قم بتغييره إلى شيء مثل "12ab_" لتجنب انتباه المتسللين. السماح لمتخصص تقني أو مطور WordPress بالإشراف أمن قاعدة البيانات.
11. استخدم السمات والإضافات الموثوقة
يقدم WordPress العديد من السمات والإضافات ، وهي أيضًا مناطق عالية الخطورة. يجب على مالكي مواقع الويب إضافة مكونات إضافية بعد إجراء بحث مكثف وربما شرائها من مطورين مرموقين.
لتجنب المخاطر ، احتفظ بالسمات والمكونات الإضافية محدثة بانتظام. يجب على أي موقع ويب تجنب استخدام المكونات القديمة. تعتبر النسخ الاحتياطية المنتظمة للموقع بأكمله أمرًا بالغ الأهمية لجميع مواقع WordPress.
12. اختر أفضل مزود خدمة استضافة ويب
من المهم تحديد خدمة استضافة ويب تتعامل معها النسخ الاحتياطي، وقت التشغيل ، الأمان على مستوى الخادم وميزات أخرى للأمان الفعال من جانب الخادم.
يوفر أي شيء من مساعدة الترميز إلى الإجراءات الأمنية. يجب أن تختار مواقع الويب الأصغر أيضًا شركة استضافة فعالة تهتم بأمن الخادم.
13. يعتمد على جدار حماية تطبيق الويب
يمنع جدار حماية تطبيق الويب سوء السلوك من أي نوع ، بما في ذلك القرصنة ويراقب حركة المرور لاكتشاف أي شيء مريب على الشبكة.
يبقي جدار الحماية هذا مرسلي البريد العشوائي والمتسللين في مأزق. يتطلب هذا الاحتياط الأمني لموقع WordPress رسوم اشتراك شهرية ، لكنه يستحق ذلك.
14. تأكد من وجود اتصال آمن على موقع WordPress
يجب أن يتم نقل الملفات أو البيانات عبر شبكات آمنة بشكل استثنائي. في هذه الحالة، اطلب من مزود الاستضافة الخاص بك تنفيذ بروتوكولات SFTP أو SSH. هم متفوقون على FTP.
15. إخفاء صفحة تسجيل دخول المسؤول
تسمح سلسلة URL الشائعة "/wp-admin" أو "/wp-login.php" للمهاجمين بمراقبة تسجيل الدخول إلى ووردبريس الصفحة بسهولة. أفضل طريقة لمنعهم من الانضمام إلى موقعك هو إخفاء صفحة تسجيل دخول المسؤول باستخدام المكونات الإضافية مثل WPS Hide Login.
إليك بعض الخطوات التي يمكنك اتباعها:
- تصلب ملف التكوين من المهاجمين: يمكنك الاحتفاظ بالمعلومات الهامة ومفاتيح الأمان آمنة لحماية ملف wp-config.php من المهاجمين المحتملين.
- استخدم الإضافات المسح: يستخدم WPSCan لمسح الملفات الأساسية والإضافات والسمات. هذا نهج أمان بسيط يعمل بشكل جيد للمواقع الصغيرة.
- إخفاء إصدار ووردبريس: أفضل طريقة لحفظ موقع WordPress الخاص بك هو إبقائه بعيدًا عن متناول المتسللين. إذا أدركوا أن الإصدار قديم ، فسيبدأون عملياتهم غير القانونية. ومن ثم فمن الضروري إخفائها.
- تعتمد على رأس أمان HTTP: رؤوس الأمان تحمل معلومات لمساعدة المتصفحات في التعامل مع محتوى الموقع. مسح موقعك الإلكتروني بـ securityheaders.com أداة لتحديد رؤوس أمان HTTP الموجودة.
- كن منتظمًا مع النسخ الاحتياطية: النسخ الاحتياطية ضرورية للحفاظ على الموقع محدثًا. يمكنك تمكين التحديثات التلقائية. هذا شيء يمكن لفريقك أو مزود الاستضافة القيام به للموقع. إذا كانت خدمة الاستضافة لا تقدم نسخًا احتياطية، فيمكنك استخدام خدمات النسخ الاحتياطي WordPress مقابل رسوم شهرية. تشمل بعض خدمات النسخ الاحتياطي الأكثر شيوعًا من WP مقبب و blogvault.
ملحقات ووردبريس الأمنية
1. التالي 3 تفريغ
Next3 Offload هو أحد أفضل المكونات الإضافية الأمنية المستندة إلى السحابة التي تحمي قاعدة البيانات الخاصة بك.
يمكن لهذا البرنامج المساعد تحسين تحميل أصول مواقع الويب وتقليل وقت التحميل عن طريق تفريغ ملفات WordPress من مكتبة وسائط WordPress إلى السحابة بما في ذلك أمازون S3, مساحات ديجيتال أوف, الأرنب CDNو و و سحابة الوسابي.
إنه يعمل بسرعة مذهلة مع Amazon CloudFront و CloudFlare و CDNs الأخرى ويعيد كتابة عناوين URL للوسائط على الفور.
2. الغوري
آخر البرنامج المساعد الأمني WordPress الشهير هو البرنامج المساعد سوكوري. تُعرف الخطوات الوقائية لتعزيز الأمن في الأقسام المعرضة للخطر من موقع الويب الخاص بك باسم حلول تقوية الأمان. يتحقق هذا المكون الإضافي من الإعدادات الآمنة وينفذ مجموعة من القواعد على الموقع .htaccess ملف.
لكل تنبيه ينشئه المكون الإضافي ، يمكنك تغيير المرسل والمستلمين باستخدام البريد الإلكتروني. سيتم إبلاغك بأي نشاط غير عادي على موقع الويب الخاص بك من خلال هذه التنبيهات.
يأتي المكون الإضافي SuCuri WordPress مع أدوات للتحقق من سلامة الملفات الإضافية المضمنة في إصدار WordPress الأصلي ، بالإضافة إلى ملفات WordPress الأساسية (PHP و JavaScript و CSS).
لتعزيز الحماية ، يمكنك استخدام ميزة جدار الحماية (WAF) في Sucuri Firewall لربطه بـ يجب أن يكون لديك ملحقات ووردبريس لكل موقع.
ختام
نظرًا لأن WordPress عبارة عن نظام أساسي مفتوح المصدر ، فأنت ، بصفتك مالك موقع الويب ، مسؤول في النهاية عن أمان موقع الويب.
يكون موقع WordPress على الويب عرضة للعدوى إذا أهملت التحديثات وأسماء المستخدمين وكلمات المرور والنسخ الاحتياطية.
تذكر هذه الاحتياطات الأمنية حتى لو لم تكن المسؤول عن الإدارة الفنية لموقعك على الويب. تعرف على الخطوات التي تتخذها لتأمين موقع الويب الخاص بك عن طريق سؤال المطور أو الوكالة.
يمكن أن يكون أمان WordPress صعبًا. لذلك ، تحتاج إلى الحفاظ على دليل كامل لتأمين موقع الويب الخاص بك.
نأمل أن توفر لك هذه المقالة حلاً مثاليًا لتأمين موقعك.
إذا استمتعت بهذا المقال، يرجى الاشتراك في موقعنا يوتيوب قناة. نحن نقدم دروس فيديو ووردبريس. يمكنك أيضًا متابعتنا على العاشر و الفيسبوك لمواكبة أحدث التحديثات والأخبار والصفقات الخاصة.
