امنیت وبسایت یک اقدام یک‌باره نیست؛ مجموعه‌ای از عادت‌ها و لایه‌های حفاظتی است که کنار هم ریسک را به حداقل می‌رسانند. در این راهنما، راهکارهای عملی برای محافظت از سایت را از پایه تا پیشرفته مرور می‌کنیم. اگر نگران هستید سایتتان قبلاً آلوده شده باشد، اول مقاله علائم هک شدن سایت را بخوانید.
لایه اول: پایه‌های امنیت
- بهروزرسانی منظم: هسته CMS، قالب، افزونه‌ها و نسخه PHP.
- حذف موارد بلااستفاده: افزونه‌ها و قالب‌های غیرفعال هم میتوانند آسیب‌پذیر باشند.
- فقط از منابع رسمی: هیچ‌وقت از قالب یا افزونه نال‌شده استفاده نکنید.
- SSL و HTTPS روی کل سایت.
- هاست معتبر با ایزوله‌سازی حساب‌ها و فایروال.
لایه دوم: کنترل دسترسی
- رمز عبور قوی و یکتا با مدیر رمز عبور.
- ورود دومرحله‌ای (2FA) برای همه حساب‌های مدیریتی.
- محدود کردن تعداد تلاش ورود و استفاده از کپچا در برابر حملات Brute Force.
- اصل حداقل دسترسی: هر کاربر فقط دسترسی لازم را داشته باشد.
- حذف حساب‌های کاربری قدیمی و پیمانکاران سابق.
- استفاده از SFTP به‌جای FTP.
لایه سوم: سخت‌سازی (Hardening)
- سطح دسترسی صحیح فایل‌ها (۶۴۴) و پوشه‌ها (۷۵۵).
- غیرفعال کردن اجرای PHP در پوشه آپلود: بسیاری از نفوذها با آپلود فایل مخرب انجام می‌شوند.
- غیرفعال کردن ویرایشگر فایل در پنل مدیریت وردپرس.
- محافظت از فایل‌های حساس مثل پیکربندی و پشتیبان‌ها در برابر دسترسی عمومی.
- بررسی اعتبار فایل‌های آپلودی بر اساس محتوا، نه فقط پسوند.
- هدرهای امنیتی مثل HSTS، X-Content-Type-Options و Content-Security-Policy.
لایه چهارم: فایروال و محافظت در برابر حملات
- فایروال وب (WAF): درخواست‌های مخرب را قبل از رسیدن به سایت مسدود می‌کند.
- محافظت DDoS: از طریق CDN یا سرویسهای امنیتی.
- محدودیت نرخ درخواست برای فرم‌ها و صفحات ورود.
- محافظت فرم‌ها: توکن CSRF و فیلدهای ضداسپم.
لایه پنجم: پایش و آمادگی
- پشتیبانگیری خودکار و نگهداری نسخه‌ها در محلی جدا از سرور اصلی؛ بازگردانی را هم دوره‌ای تست کنید.
- اسکن بدافزار دوره‌ای.
- مانیتورینگ تغییر فایل‌ها و هشدار ورود مدیران.
- بررسی بخش Security Issues در Search Console.
- داشتن برنامه واکنش: اگر هک شدید، دقیقاً چه کسی چه کاری انجام می‌دهد.
امنیت در فروشگاه‌های اینترنتی
فروشگاه‌ها اطلاعات شخصی مشتریان را نگه می‌دارند و مسئولیت بیشتری دارند: فقط اطلاعات ضروری را ذخیره کنید، پرداخت را به درگاه معتبر بسپارید و دسترسی به اطلاعات سفارش‌ها را محدود کنید.
جمع‌بندی
هیچ سایتی صددرصد امن نیست، اما با این لایه‌ها، سایت شما برای ربات‌ها و مهاجمان هدف سختی می‌شود و در صورت حادثه سریع بازمی‌گردد. اگر می‌خواهید سایتتان از ابتدا امن و اصولی ساخته شود، به صفحه طراحی سایت سر بزنید.