امنیت سایت وردپرس یعنی مجموعه اقداماتی که از هک شدن، آلوده شدن به بدافزار، سرقت اطلاعات و از کار افتادن سایت جلوگیری می‌کند؛ مهم‌ترین آن‌ها به‌روز نگه داشتن وردپرس و افزونه‌ها، استفاده نکردن از افزونه‌ها و قالب‌های نال (کرک‌شده)، رمز عبور قوی با ورود دومرحله‌ای و داشتن بکاپ منظم در مکانی جدا از سرور است. وردپرس به خودی خود ناامن نیست؛ بیشتر هک‌ها از افزونه‌های قدیمی، رمزهای ضعیف و فایل‌های آلوده‌ای که خود مدیر سایت نصب کرده شروع می‌شوند. اما چون بخش بزرگی از سایت‌های دنیا با وردپرس ساخته شده‌اند، هکرها و ربات‌های خودکار هر روز میلیون‌ها سایت وردپرسی را برای پیدا کردن همین نقاط ضعف اسکن می‌کنند.
در این مقاله، بر اساس تجربه عملی ما در نگهداری ده‌ها سایت وردپرسی، ۱۵ اقدام ضروری امنیت وردپرس را به ترتیب اهمیت توضیح می‌دهیم و در پایان می‌گوییم اگر سایتتان هک شد چه کاری انجام دهید.
چرا امنیت سایت وردپرس مهم است؟
- از دست رفتن فروش: سایت هک‌شده ممکن است از دسترس خارج شود یا کاربران را به سایت‌های دیگر هدایت کند.
- آسیب به سئو: گوگل سایت‌های آلوده را با هشدار در نتایج نمایش می‌دهد یا از نتایج حذف می‌کند. بازیابی رتبه پس از هک ممکن است ماه‌ها طول بکشد.
- از بین رفتن اعتماد: مشتری که با هشدار امنیتی مرورگر روبه‌رو شود، به‌سختی دوباره اعتماد می‌کند. اهمیت اعتماد را در E-E-A-T چیست توضیح داده‌ایم.
- سرقت اطلاعات: اطلاعات کاربران، سفارش‌ها و ایمیل‌ها ممکن است دزدیده شود.
- مصرف منابع سرور: سایت آلوده یا تحت حمله کند می‌شود و حتی می‌تواند سایت‌های دیگر روی همان سرور را هم از کار بیندازد.
۱۵ اقدام ضروری برای امنیت وردپرس
۱. همه چیز را به‌روز نگه دارید
هسته وردپرس، افزونه‌ها و قالب را مرتب به‌روز کنید. بیشتر آسیب‌پذیری‌ها پس از کشف، در نسخه جدید رفع می‌شوند و ربات‌ها دقیقاً به دنبال سایت‌هایی هستند که به‌روزرسانی نکرده‌اند. قبل از به‌روزرسانی‌های بزرگ، بکاپ بگیرید.
۲. هرگز از افزونه و قالب نال استفاده نکنید
افزونه‌ها و قالب‌های «نال» یا کرک‌شده که رایگان در سایت‌های غیررسمی پخش می‌شوند، یکی از رایج‌ترین راه‌های آلوده شدن سایت‌های ایرانی هستند. علاوه بر خطر کد مخرب پنهان، به‌روزرسانی امنیتی رسمی هم دریافت نمی‌کنند. نسخه اصلی را از منبع معتبر یا نماینده رسمی تهیه کنید.
۳. افزونه‌ها و قالب‌های بلااستفاده را حذف کنید
افزونه غیرفعال هم همچنان روی سرور است و اگر آسیب‌پذیر باشد، قابل سوءاستفاده است. هرچه کمتر، امن‌تر؛ و البته سریع‌تر.
۴. رمز عبور قوی و منحصربه‌فرد
برای همه حساب‌های مدیریتی، هاست، دیتابیس و FTP از رمزهای طولانی و تصادفی استفاده کنید و آن‌ها را در یک مدیر رمز عبور نگه دارید. هرگز یک رمز را برای چند سرویس استفاده نکنید.
۵. ورود دومرحله‌ای (2FA) را فعال کنید
حتی اگر رمز عبور لو برود، ورود دومرحله‌ای مانع ورود مهاجم می‌شود. افزونه‌های امنیتی مثل Wordfence این قابلیت را دارند.
۶. صفحه ورود را در برابر حملات محافظت کنید
ربات‌ها هر روز هزاران رمز را روی صفحه ورود وردپرس امتحان می‌کنند. محدود کردن تعداد تلاش‌های ناموفق، استفاده از کپچا (مثل Cloudflare Turnstile) و در صورت امکان تغییر آدرس ورود، این حملات را خنثی می‌کند.
۷. XML-RPC را غیرفعال کنید
اگر از اپلیکیشن موبایل وردپرس یا سرویس‌هایی که به XML-RPC نیاز دارند استفاده نمی‌کنید، آن را غیرفعال کنید. این مسیر یکی از اهداف رایج حملات حدس رمز و حملات ربات‌هاست.
۸. بکاپ منظم و خارج از سرور
بکاپ آخرین خط دفاع است. بکاپ خودکار روزانه از فایل‌ها و دیتابیس بگیرید و آن را در مکانی جدا از سرور اصلی نگه دارید؛ بکاپی که روی همان سرور هک‌شده باشد، ممکن است همراه با سایت از بین برود. مهم‌تر از گرفتن بکاپ، تست کردن بازگردانی آن است.
۹. نقش‌های کاربری را محدود کنید
به هر کاربر فقط دسترسی لازم را بدهید. نویسنده محتوا نیازی به نقش مدیر کل ندارد. حساب‌های کاربران قدیمی و همکارانی که دیگر با شما کار نمی‌کنند را حذف کنید.
۱۰. گواهی SSL و HTTPS
تمام سایت باید روی HTTPS باشد. SSL ارتباط کاربر با سایت را رمزنگاری می‌کند و بدون آن مرورگرها سایت را «ناامن» نشان می‌دهند.
۱۱. از فایروال و افزونه امنیتی استفاده کنید
فایروال برنامه وب (WAF)، چه در سطح سرور، چه در سطح CDN و چه به‌صورت افزونه، درخواست‌های مخرب را قبل از رسیدن به وردپرس مسدود می‌کند. افزونه‌های امنیتی همچنین فایل‌ها را برای تغییرات مشکوک اسکن می‌کنند.
۱۲. ویرایش فایل از پیشخوان را غیرفعال کنید
با افزودن DISALLOW_FILE_EDIT در فایل wp-config.php، امکان ویرایش کد قالب و افزونه از داخل پیشخوان غیرفعال می‌شود؛ پس اگر حساب مدیر لو برود، مهاجم نمی‌تواند به این راحتی کد مخرب تزریق کند.
۱۳. دسترسی فایل‌ها را درست تنظیم کنید
سطح دسترسی فایل‌ها و پوشه‌ها باید استاندارد باشد و اجرای فایل PHP در پوشه آپلودها مسدود شود. یکی از الگوهای رایجی که در سایت‌های آلوده دیده‌ایم، فایل‌های php.ini و .htaccess جعلی است که مهاجم در پوشه‌ها قرار می‌دهد تا محدودیت‌های امنیتی سرور را دور بزند. بررسی دوره‌ای این فایل‌ها ضروری است.
۱۴. هاست امن و به‌روز انتخاب کنید
نسخه به‌روز PHP، جداسازی حساب‌های کاربری روی سرور، فایروال سرور و پشتیبانی فنی پاسخ‌گو، بخش مهمی از امنیت را تأمین می‌کنند. معیارهای انتخاب را در هاست چیست؟ ببینید.
۱۵. لاگ‌ها و فعالیت‌ها را زیر نظر بگیرید
ورودهای مشکوک، ایجاد کاربر مدیر جدید، تغییر ناگهانی فایل‌ها یا افزایش غیرعادی ترافیک از نشانه‌های اولیه حمله هستند. گزارش‌های افزونه امنیتی و سرچ کنسول را مرتب بررسی کنید؛ گوگل در صورت شناسایی بدافزار در بخش Security Issues هشدار می‌دهد.
نشانه‌های هک شدن سایت وردپرس
- ریدایرکت ناخواسته کاربران به سایت‌های تبلیغاتی یا قمار، به‌خصوص فقط از موبایل یا فقط از نتایج گوگل
- نمایش صفحات اسپم با عنوان‌های عجیب در نتایج جستجوی گوگل برای دامنه شما
- کاربر مدیر ناشناس در فهرست کاربران
- کندی ناگهانی سایت یا مصرف غیرعادی منابع سرور
- هشدار مرورگر یا سرچ کنسول درباره بدافزار
- ارسال ایمیل‌های اسپم از سرور شما
اگر سایت هک شد چه کنیم؟
- آرام بمانید و مستند کنید: از وضعیت فعلی بکاپ بگیرید تا بتوانید علت را بررسی کنید.
- همه رمزها را عوض کنید: پیشخوان وردپرس، هاست، دیتابیس، FTP و ایمیل‌ها؛ و کلیدهای امنیتی (Salt) وردپرس را تغییر دهید.
- منشأ نفوذ را پیدا کنید: افزونه آسیب‌پذیر، فایل‌های تغییریافته، کاربران جدید و فایل‌های مشکوک در پوشه آپلودها را بررسی کنید.
- پاک‌سازی یا بازگردانی: فایل‌های آلوده را پاک کنید یا از یک بکاپ سالم و قبل از نفوذ بازگردانی کنید. بازگردانی بدون رفع منشأ نفوذ، فقط مشکل را به تعویق می‌اندازد.
- همه چیز را به‌روز کنید و نکات بالا را اجرا کنید.
- از گوگل درخواست بررسی کنید: اگر گوگل سایت را آلوده علامت زده، پس از پاک‌سازی از طریق سرچ کنسول درخواست بازبینی بدهید. اگر صفحات اسپم ایندکس شده‌اند، ممکن است لازم باشد آن‌ها را با کد ۴۱۰ حذف کنید تا از نتایج خارج شوند. پیامدهای سئویی را در همه چیز درباره گوگل پنالتی ببینید.
امنیت در فروشگاه‌های اینترنتی
فروشگاه‌های ووکامرسی به دلیل نگهداری اطلاعات مشتریان و سفارش‌ها، هدف جذاب‌تری هستند. استفاده از درگاه پرداخت معتبر، به‌روز نگه داشتن ووکامرس و افزونه‌های پرداخت و محدود کردن دسترسی کارکنان اهمیت بیشتری دارد. ترندهای دیگر این حوزه را در ترندهای فروشگاه اینترنتی ۲۰۲۶ بخوانید.
چک‌لیست ماهانه امنیت وردپرس
یک بار در ماه این موارد را مرور کنید: به‌روزرسانی‌های معوق هسته، افزونه‌ها و قالب؛ فهرست کاربران و نقش‌ها؛ گزارش آخرین بکاپ موفق و یک تست بازگردانی؛ گزارش افزونه امنیتی؛ بخش Security Issues سرچ کنسول؛ و فهرست افزونه‌هایی که دیگر استفاده نمی‌شوند.
جمع‌بندی
امنیت سایت وردپرس یک کار یک‌باره نیست، بلکه یک عادت است: به‌روزرسانی منظم، رمزهای قوی، بکاپ خارج از سرور و نظارت مداوم. هزینه پیشگیری همیشه بسیار کمتر از هزینه پاک‌سازی سایت هک‌شده، از دست رفتن فروش و بازیابی رتبه در گوگل است. اگر سایت شما با وردپرس طراحی شده، همین امروز وضعیت به‌روزرسانی‌ها و بکاپ را بررسی کنید.
اگر وقت یا تخصص لازم برای نگهداری امنیت سایت را ندارید، تیم پشتیبانی سایت ریکان تک می‌تواند به‌روزرسانی، بکاپ، نظارت و رفع مشکلات امنیتی سایت شما را بر عهده بگیرد.
سؤالات متداول درباره امنیت سایت وردپرس
آیا وردپرس امن است؟
هسته وردپرس توسط تیمی بزرگ نگهداری می‌شود و به‌روزرسانی‌های امنیتی منظم دارد. بیشتر هک‌ها به دلیل افزونه‌های قدیمی یا نال، رمزهای ضعیف و هاست نامناسب رخ می‌دهند، نه خود وردپرس.
بهترین افزونه امنیتی وردپرس کدام است؟
افزونه‌هایی مثل Wordfence، Solid Security و Sucuri گزینه‌های شناخته‌شده‌ای هستند. اما هیچ افزونه‌ای جای به‌روزرسانی منظم، رمز قوی و بکاپ را نمی‌گیرد. فقط یک افزونه امنیتی نصب کنید تا تداخل ایجاد نشود.
افزونه نال چه خطری دارد؟
افزونه‌های نال ممکن است کد مخرب پنهان داشته باشند که به هکر دسترسی کامل به سایت می‌دهد، و چون به‌روزرسانی رسمی دریافت نمی‌کنند، آسیب‌پذیری‌های شناخته‌شده آن‌ها هرگز رفع نمی‌شود.
هر چند وقت یک‌بار باید از سایت بکاپ گرفت؟
برای سایت‌هایی که روزانه تغییر می‌کنند، مثل فروشگاه‌ها، بکاپ روزانه لازم است. بکاپ‌ها را حداقل چند روز نگه دارید و در مکانی جدا از سرور اصلی ذخیره کنید.
هک شدن سایت روی سئو اثر دارد؟
بله، و معمولاً شدید. گوگل ممکن است سایت را با هشدار نمایش دهد، صفحات اسپم ساخته‌شده توسط هکر ایندکس شوند و رتبه‌ها افت کنند. هرچه سریع‌تر سایت پاک‌سازی و از گوگل درخواست بازبینی شود، بازیابی سریع‌تر است.
تغییر آدرس صفحه ورود وردپرس امنیت را بیشتر می‌کند؟
تغییر آدرس ورود، تعداد حملات خودکار ربات‌ها به صفحه ورود را کاهش می‌دهد و فشار روی سرور را کم می‌کند، اما جایگزین رمز قوی و ورود دومرحله‌ای نیست. آن را یک لایه اضافه در کنار سایر اقدامات بدانید.