سایت وردپرسی‌ات چقدر امنه؟
آدرس سایت رو وارد کن تا هدرهای امنیتی، گواهی SSL، فایل‌های در معرض خطر و آسیب‌پذیری‌های شناخته‌شده در چند ثانیه بررسی بشن
- بدون نیاز به ثبت‌نام
- کاملاً رایگان
- در چند ثانیه
کرون امنیت وردپرس چیست؟ راهنمای کامل بررسی و تقویت امنیت سایت
هر روز هزاران سایت وردپرسی صرفاً به این دلیل هک می‌شوند که هیچ‌وقت بررسی امنیت سایت خودشان را انجام نداده‌اند؛ نه به این دلیل که هدف خاصی بوده‌اند. همین ابزار همان کاری را با سایت شما می‌کند که یک مهاجم قبل از هر حمله انجام می‌دهد: آدرس سایت را در کادر بالا وارد کنید تا در چند ثانیه بفهمید امنیت وردپرس شما از بیرون چه شکلی است، بدون اینکه چیزی نصب یا تغییر داده شود.
چرا هک شدن سایت وردپرسی این‌قدر رایج است؟
وردپرس محبوب‌ترین سیستم مدیریت محتوای دنیاست، و دقیقاً همین محبوبیت آن را به هدف شماره‌یک حملات خودکار تبدیل کرده. ربات‌های مخرب استراحت نمی‌کنند؛ همین حالا هم در حال اسکن هزاران سایت وردپرسی برای یافتن یک فایل حساس فراموش‌شده، یک افزونه آسیب‌پذیر یا یک رمز عبور ضعیف هستند. یک حفره امنیتی کوچک کافی است تا سایت کامل هک شود، لینک‌های اسپم در آن تزریق شود، اطلاعات کاربران دزدیده شود یا حتی گوگل خود دامنه را مسدود کند.
فرقش با افت رتبه سئو همین‌جاست: ضربه سئو تدریجی است، ولی ضربه یک نفوذ امنیتی معمولاً یک‌شبه و خیلی گران تمام می‌شود. برای همین بررسی دوره‌ای وضعیت امنیتی، مخصوصاً درست بعد از نصب هر افزونه یا پوسته جدید، یک انتخاب نیست؛ یک ضرورت است.
پنج راهی که مهاجم‌ها معمولاً از آن وارد می‌شوند
- فایل‌های بکاپ در دسترس عموم: بسیاری از توسعه‌دهندگان فایل‌های بکاپ دیتابیس را روی همان سرور و در دسترس عموم فراموش می‌کنند؛ فایلی که شامل تمام اطلاعات سایت است.
- XML-RPC فعال: این قابلیت قدیمی وردپرس مسیر مناسبی برای حملات brute force انبوه و تقویت حملات DDoS در اختیار مهاجمان قرار می‌دهد.
- افشای نام کاربری از REST API: آدرس‌هایی مانند wp-json/wp/v2/users بدون هیچ محدودیتی لیست کامل نام‌های کاربری را در اختیار مهاجم قرار می‌دهند.
- افزونه و پوسته‌های قدیمی: اکثر حملات موفق از طریق آسیب‌پذیری‌های شناخته‌شده (CVE) در نسخه‌های قدیمی افزونه‌ها و پوسته‌ها اتفاق می‌افتند، نه از طریق هسته وردپرس.
- نبود هدرهای امنیتی HTTP: هدرهایی مانند Content-Security-Policy و X-Frame-Options جلوی حملات XSS و Clickjacking را می‌گیرند و نبودشان سایت را آسیب‌پذیر می‌کند.
پنج قدم که ۹۰٪ حملات معمولی را متوقف می‌کند
- وردپرس، افزونه‌ها و پوسته‌ها را همیشه به‌روز نگه دارید. بیشتر آسیب‌پذیری‌ها در نسخه‌های قدیمی برطرف شده‌اند.
- XML-RPC و ویرایشگر فایل داخلی را غیرفعال کنید. این دو قابلیت در اکثر سایت‌ها استفاده‌ای ندارند اما ریسک بالایی ایجاد می‌کنند.
- روی صفحه ورود کپچا و محدودیت تلاش رمز عبور فعال کنید. این ساده‌ترین راه برای مقابله با حملات brute force است.
- گواهی SSL را نصب و HTTPS را اجباری کنید. بدون آن، اطلاعات ورود کاربران به‌صورت متن ساده قابل شنود است.
- هدرهای امنیتی HTTP را در .htaccess یا تنظیمات سرور اضافه کنید. این هدرها لایه دفاعی مرورگر را فعال می‌کنند.
در کمتر از یک دقیقه به یک گزارش کامل برسید
فقط آدرس سایت را در کادر بالا وارد کنید. اسکنر بلافاصله ده‌ها آدرس و هدر HTTP را به‌صورت موازی بررسی می‌کند و نتیجه را به‌جای یک عدد خشک، در قالب یک امتیاز کلی از ۱۰۰ به همراه فهرست اولویت‌بندی‌شده مشکلات و راهکار فنی آماده برای هرکدام تحویل می‌دهد؛ نه فقط اینکه چه چیزی خراب است، بلکه دقیقاً چطور درستش کنید.
بعد از دریافت گزارش چه کار کنیم؟
هر مورد در گزارش با یک برچسب رنگی مشخص شده: قرمز یعنی بحرانی و باید همین امروز اصلاح شود، زرد یعنی مهم ولی نه اورژانسی، و سبز یعنی وضعیت خوب است. توصیه می‌شود همیشه از موارد قرمز شروع کنید. برای هر مورد، یک توضیح کوتاه از دلیل مشکل و در بسیاری از موارد یک قطعه‌کد آماده برای رفع آن ارائه شده تا نیازی به جست‌وجوی جداگانه نداشته باشید.
سوالات متداول درباره اسکن امنیتی
این اسکنر امنیتی دقیقاً چه چیزهایی را بررسی می‌کند؟
اسکنر هدرهای امنیتی HTTP، اعتبار گواهی SSL، فایل‌ها و پوشه‌های حساس در معرض دید عموم، فعال بودن XML-RPC، افشای کاربران از طریق REST API، تنظیمات صفحه ورود و نسخه وردپرس به همراه افزونه‌ها و پوسته‌های شناسایی‌شده را در چند ثانیه بررسی می‌کند.
آیا اسکن امنیتی به سایت من آسیب می‌زند؟
خیر، این ابزار تنها درخواست‌های استاندارد HTTP مشابه یک بازدیدکننده عادی یا موتور جستجو ارسال می‌کند و هیچ تغییری در سایت شما ایجاد نمی‌کند یا داده‌ای وارد یا حذف نمی‌کند.
چرا مدیر سایت اجازه اسکن برخی دامنه‌ها را نمی‌دهد؟
برخی سایت‌های بزرگ، اسکن‌های مکرر و خودکار از سرورهای ناشناس را به‌عنوان رفتار مشکوک تشخیص می‌دهند و ممکن است IP سرور را مسدود کنند. مدیر سایت می‌تواند از پنل مدیریت افزونه، دامنه‌های خاصی را از فهرست دامنه‌های قابل بررسی خارج کند.
اگر امتیاز امنیتی سایتم پایین بود چه کار کنم؟
در پایین گزارش، فهرستی از توصیه‌های اولویت‌بندی‌شده به همراه دلیل هر مشکل و راه‌حل فنی آن (شامل کد آماده برای .htaccess یا wp-config.php در بسیاری از موارد) ارائه می‌شود. توصیه می‌شود از موارد با برچسب «بحرانی» شروع کنید.
آیا این ابزار می‌تواند رمز عبور یا اطلاعات ورود را هک کند؟
خیر، این ابزار هیچ تلاشی برای ورود، حدس رمز عبور یا دسترسی غیرمجاز انجام نمی‌دهد. هدف آن صرفاً شناسایی نقاط ضعف قابل مشاهده از بیرون سایت است، دقیقاً همان چیزی که یک مهاجم واقعی هم بدون ورود می‌بیند.