تعزيز أمان ووردبريس بدون إضافة: 10 خطوات يدوية يجب أن يعرفها كل مسؤول

ملخص

يعتمد العديد من مالكي مواقع ووردبريس على إضافات الأمان كدفاع وحيد، لكن هذا قد يخلق شعورًا زائفًا بالأمان. يتطلب تثبيت ووردبريس المُعزَّز حقًا تهيئات يدوية لا يمكن لأي إضافة استبدالها. تقدم هذه المقالة 10 إجراءات تعزيز ملموسة وخطوة بخطوة يمكنك تنفيذها فورًا دون أي إضافة. بدءًا من تعيين أذونات الملفات الصحيحة إلى تعطيل XML-RPC، تعالج كل خطوة ثغرة محددة. ستتعلم كيفية تأمين ملف wp-config.php وإزالة تصفح الدلائل والمزيد. اتباع هذه الخطوات سيقلل بشكل كبير من سطح الهجوم الخاص بك، حتى إذا واصلت استخدام إضافات الأمان كطبقة إضافية. في النهاية، سيكون لديك موقع ووردبريس مُعزَّز يدويًا وأكثر مرونة بكثير ضد الهجمات الشائعة.

مقدمة

لقد قمت بتثبيت إضافة أمان شائعة، وقمت بتهيئة جدار الحماية، وتشغيل فحوصات منتظمة. ومع ذلك، قد يظل موقع ووردبريس الخاص بك عرضة للخطر. إضافات الأمان قيّمة، لكنها غالبًا ما تفوت الثمار المنخفضة التي يلتقطها التعزيز اليدوي. الاعتماد فقط على الإضافات يشبه قفل بابك الأمامي ولكن ترك النوافذ مفتوحة. في هذه المقالة، ستتعلم 10 خطوات تعزيز يدوية يجب أن يقوم بها كل مسؤول ووردبريس، بغض النظر عن الإضافات التي يستخدمها. لا تتطلب هذه الخطوات خبرة في البرمجة ويمكن إنجازها في أقل من ساعة. لنبدأ في تحصين موقعك من الأساس.

1. تعيين أذونات الملفات الصحيحة

من أكثر الأخطاء شيوعًا في التهيئة هو منح أذونات مبالغ فيها للملفات والدلائل. من الناحية المثالية، يجب أن تكون جميع الملفات 644 والدلائل 755. ملف wp-config.php حساس بشكل خاص—اضبطه على 440 أو 400 بعد التثبيت. استخدم عميل FTP أو مدير الملفات الخاص بمضيفك لضبط الأذونات. إذا كنت غير متأكد من إعداداتك الحالية، قم بإجراء تدقيق سريع باستخدام برنامج نصي أو تحقق عبر سطر الأوامر باستخدام find /path -type f -exec chmod 644 {} \; و find /path -type d -exec chmod 755 {} \;. هذا التغيير البسيط يمنع المستخدمين غير المصرح لهم من قراءة أو تعديل الملفات الهامة.

2. تعطيل تحرير الملفات من لوحة التحكم

افتراضيًا، يسمح ووردبريس للمسؤولين بتحرير ملفات القوالب والإضافات مباشرة من لوحة الإدارة. إذا تمكن المهاجم من الوصول إلى حساب مسؤول، يمكنه حقن تعليمات برمجية ضارة. قم بتعطيل هذه الميزة بإضافة السطر التالي إلى ملف wp-config.php:

define('DISALLOW_FILE_EDIT', true);

هذا لا يؤثر على قدرتك على رفع القوالب أو الإضافات—إنه يزيل فقط محرر الملفات المدمج. استخدم IDE أو FTP للتحريرات المشروعة.

3. تعطيل تصفح الدلائل

إذا كان تصفح الدلائل ممكّنًا، يمكن لأي شخص سرد جميع الملفات في مجلد wp-content/uploads، مما قد يعرض البيانات الخاصة. امنع ذلك بإضافة هذا السطر إلى ملف .htaccess (Apache) أو التهيئة المكافئة:

Options -Indexes

بالنسبة لـ Nginx، أضف autoindex off; في كتلة الخادم. اختبر بزيارة عنوان URL للدليل؛ يجب أن ترى خطأ 403 ممنوع بدلاً من قائمة الملفات.

4. تعطيل XML-RPC

XML-RPC هو بروتوكول قديم يستخدم للنشر عن بعد والإشارات المرجعية. إنه ناقل شائع لهجمات القوة الغاشمة وتضخيم DDoS. ما لم تكن بحاجة ماسة إليه (مثل إضافة Jetpack أو تطبيق الجوال)، قم بتعطيله بالكامل. أضف هذا إلى ملف .htaccess:

# منع طلبات xmlrpc.php في ووردبريس
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

بدلاً من ذلك، استخدم إضافة أو جدار الحماية الخاص بمضيفك لحظر الوصول. بعد التعطيل، اختبر أن موقعك لا يزال يعمل—معظم الإضافات الحديثة لم تعد تعتمد على XML-RPC.

5. إزالة القوالب والإضافات غير المستخدمة

كل قالب أو إضافة إضافية يزيد من سطح الهجوم. حتى إذا تم إلغاء تنشيطها، لا يزال من الممكن استغلال التعليمات البرمجية القديمة. احذف أي قوالب لا تستخدمها بنشاط، وقم بإزالة الإضافات التي لم تعد هناك حاجة إليها. هذا مهم بشكل خاص للإضافات المهجورة التي لم تعد تتلقى تحديثات. للحصول على دليل تنظيف خطوة بخطوة، راجع مقالتنا حول الخطر الخفي لإضافات ووردبريس المهجورة.

6. تغيير بادئة جدول قاعدة البيانات

افتراضيًا، يستخدم ووردبريس wp_ كبادئة للجدول في قاعدة البيانات. هذا معروف على نطاق واسع ويجعل هجمات حقن SQL أسهل. قم بتغيير البادئة إلى شيء فريد أثناء التثبيت. إذا كان موقعك قيد التشغيل بالفعل، لا يزال بإمكانك تغييره—على الرغم من أنه يتطلب المزيد من الجهد. استخدم إضافة مثل "تغيير بادئة الجدول" أو افعل ذلك يدويًا عبر phpMyAdmin:

1. قم بتصدير قاعدة البيانات الخاصة بك.
2. أعد تسمية جميع الجداول باستخدام بادئة جديدة (مثل mysec_).
3. قم بتحديث wp-config.php بالبادئة الجديدة.
4. قم بتحديث جداول options و usermeta حيث يتم استخدام البادئة القديمة.

قم دائمًا بعمل نسخة احتياطية قبل محاولة ذلك.

7. الحد من محاولات تسجيل الدخول

هجمات القوة الغاشمة هي الطريقة الأكثر شيوعًا التي يحصل بها المهاجمون على الوصول. لا يحتوي ووردبريس على حد مدمج لمحاولات تسجيل الدخول. قم بتنفيذ ذلك يدويًا عن طريق إضافة تعليمات برمجية إلى ملف functions.php الخاص بقوالبك، أو الأفضل، استخدم إضافة يجب استخدامها. بدلاً من ذلك، قد يوفر مزود الاستضافة الخاص بك ذلك عبر لوحة التحكم. إذا كنت تفضل إضافة، اختر واحدة خفيفة الوزن ومكتوبة جيدًا. للحصول على استراتيجية أوسع للاستجابة للانتهاكات، تحقق من سير عمل معالجة أمان ووردبريس.

8. تغيير اسم مستخدم المسؤول

لا تستخدم أبدًا "admin" كاسم مستخدم—إنه أول تخمين في أي هجوم قوة غاشمة. إذا كان لديك بالفعل حساب بهذا اسم المستخدم، قم بإنشاء حساب مسؤول جديد باسم فريد، ثم احذف القديم. أيضًا، فكر في استخدام عنوان بريد إلكتروني لتسجيل الدخول بدلاً من اسم المستخدم.

9. تعزيز أملاح ومفاتيح قاعدة البيانات

يستخدم ووردبريس الأملاح والمفاتيح لتشفير جلسات المستخدم وملفات تعريف الارتباط. إذا تم اختراق هذه، يمكن للمهاجمين تزوير الجلسات. قم بإنشاء أملاح جديدة وقوية باستخدام مولد أملاح ووردبريس. انسخ الإخراج واستبدل الأسطر المقابلة في ملف wp-config.php. قم بذلك بشكل دوري، خاصة بعد حادث أمني.

10. تمكين التحديثات التلقائية للنواة

الحفاظ على تحديث نواة ووردبريس أمر بالغ الأهمية. قم بتمكين التحديثات التلقائية للإصدارات الثانوية والرئيسية بإضافة هذا إلى wp-config.php:

define('WP_AUTO_UPDATE_CORE', true);

بالنسبة للإصدارات الرئيسية، قد ترغب في الاختبار على موقع تجريبي أولاً، لكن لا تؤخر تحديثات الأمان. ادمج هذا مع فحوصات يدوية منتظمة لتحديثات الإضافات والقوالب.

خاتمة

التعزيز اليدوي هو أساس موقع ووردبريس آمن. تعالج هذه الخطوات العشر الثغرات الشائعة التي غالبًا ما تتجاهلها الماسحات الضوئية والإضافات. من خلال تنفيذها، تقلل من سطح الهجوم وتكسب راحة البال. تذكر أن الأمان هو عملية مستمرة—قم بمراجعة هذه التهيئات بشكل دوري. للحصول على نهج شامل، راجع دليل تدقيق أمان ووردبريس الاستباقي. ابدأ اليوم بخطوة واحدة، وابني من هناك. أمان موقعك يعتمد على الإجراءات التي تتخذها الآن.