سلام! من نگینم و خیلی خوشحالم که اینجایی.
میدونی رایجترین اشتباهی که میبینم چیه؟ اینه که بچهها میرن کلی تحقیق میکنن، یکی از بهترین افزونههای امنیتی وردپرس مثل Wordfence رو پیدا میکنن، دکمه «نصب» و «فعالسازی» رو میزنن و… تمام!
انگار یه سیستم دزدگیر پیشرفته برای خونهشون خریدن، ولی هیچکدوم از سنسورها رو فعال نکردن و رمز عبور کارخونه رو هم عوض نکردن!
بذار یه تجربه تلخ رو بهت بگم: من خودم سالها پیش دقیقاً همین کار رو کردم. وردفنس رو نصب کردم و خیالم راحت شد. چند ماه بعد، سایتم با یه صفحه سیاه و چند خط کد عجیب بالا میاومد. هک شدم… با وجود اینکه افزونه امنیتی داشتم!
تو این مقاله، نمیخوایم این اشتباه رو تکرار کنیم. نمیخوایم فقط افزونه نصب کنیم. میخوایم با هم قدم به قدم، مثل یه متخصص امنیت، تمام تنظیمات این افزونه قدرتمند رو «پیکربندی» کنیم تا سایتت از یه خونه با در باز، به یه دژ نفوذناپذیر تبدیل بشه.
آمادهای که قفلهامون رو واقعاً محکم کنیم؟
قبل از اینکه شیرجه بزنیم توی تنظیمات، میخوام توی این جدول بهت نشون بدم که چرا تنظیمات پیشفرض وردفنس «کافی» نیست و ما قراره دقیقاً چه چیزی رو «بهتر» کنیم:
| بخش تنظیمات | مشکل در حالت پیشفرض (خطر!) | هدف ما در این آموزش (امنیت واقعی) |
| فایروال (WAF) | معمولاً در «حالت یادگیری» (Learning Mode) رها میشه. | فعالسازی حالت Enabled and Protecting و بهینهسازی کامل. |
| امنیت ورود (Login) | فقط با یک پسورد محافظت میشه (آسیبپذیر در برابر هک). | فعالسازی احراز هویت دوعاملی (2FA) و reCAPTCHA (تقریباً ضد هک). |
| اسکنر (Scan) | در زمانهای نامشخص (شاید وسط اوج ترافیک) اجرا میشه. | زمانبندی دقیق اسکن برای نصفهشب (حفظ سرعت سایت). |
| هشدارها (Alerts) | اونقدر ایمیل میفرسته که دیگه بهشون اهمیت نمیدی (خستگی هشدار). | تنظیم هشدار فقط برای موارد «بحرانی» (مثل ورود ادمین یا پیدا شدن بدافزار). |
چرا پیکربندی «صحیح» Wordfence حیاتی است؟ (فراتر از نصب ساده)
بیایید روراست باشیم. نصب کردن افزونه Wordfence حس خوبی داره، انگار یه قفل محکم و گرونقیمت به در سایتت زدی. اما بذار یه تجربه شخصی رو بهت بگم: چند سال پیش، روی یکی از سایتهای قدیمیم، Wordfence رو نصب کردم و… همین! تیک سبز نصب رو که دیدم، خیالم راحت شد و رفتم سراغ کارهای دیگهام.
فکر میکردم کار تمومه. چند ماه بعد، سایت با یه صفحه سیاه و چند خط کد عجیب بالا میاومد. هک شده بودم، اونم با وجود داشتن افزونه امنیتی!
میدونی مشکل کجا بود؟ من فقط افزونه رو «نصب» کرده بودم، اما «پیکربندی» نکرده بودم. این دقیقاً مثل اینه که یه سیستم دزدگیر پیشرفته برای ماشینت بخری، ولی هیچکدوم از سنسورهاش رو فعال نکنی یا رمز ورودیش رو همون «۱۲۳۴» کارخونه رها کنی.
نصب کردنش اصلاً کافی نیست؛ این تنظیمات و جزئیاتشه که فرق بین یه سایت امن و یه سایت آسیبپذیر رو مشخص میکنه. تو این مقاله میخوام دقیقاً در مورد همین «فراتر از نصب ساده» باهات حرف بزنم تا تجربهی تلخ من برات تکرار نشه.
درک مفهوم فایروال Endpoint (WAF) و تفاوت آن با فایروال کلود
خب، بیا اول ببینیم این فایروال (WAF یا Web Application Firewall) که Wordfence بهمون میده اصلاً چی هست و چطور کار میکنه. ما دو مدل اصلی فایروال داریم که درک تفاوتشون خیلی مهمه:
۱. فایروال کلود (Cloud WAF):
فکر کن یه نگهبان جلوی در ورودی کوچه استخدام کردی (سرویسهایی مثل کلادفلر یا سکوری دقیقاً همینن). این نگهبان ترافیک رو قبل از اینکه اصلاً به خونهات (یعنی هاست تو) برسه، چک میکنه و جلوی ورود آدمهای مشکوک و ترافیکهای اسپم بزرگ رو از همون سر کوچه میگیره.
۲. فایروال Endpoint (یا مبتنی بر افزونه):
این دقیقاً کاریه که Wordfence میکنه. این نگهبان، جلوی در ورودی خونهی خودت وایساده. یعنی روی هاست و وردپرس خودت نصب میشه.
شاید بپرسی کدوم بهتره؟ راستش، امنترین حالت، ترکیب هوشمندانه این دوتاست. نگهبان کلود (کلادفلر) جلوی حملات بزرگ و واضح رو میگیره، و نگهبان Endpoint (وردفنس) دقیقاً چون داخل خونهاته و میدونه وردپرس چطور کار میکنه و چه افزونههایی داری، میتونه حملات خیلی پیچیدهتر و مخصوص وردپرس رو که شاید از چشم نگهبان اولی دور مونده باشن، شناسایی کنه.
Wordfence چون روی خود سایتت نصبه، دسترسی عمیقتری به اتفاقات داخلی وردپرس داره و این نقطه قوتشه.
اشتباه رایج: اعتماد به تنظیمات پیشفرض و خطرات آن
برگردیم به اون داستان هک شدن من. اشتباه دقیق من همین بود: اعتماد کورکورانه به تنظیمات پیشفرض.
ببین، وقتی Wordfence رو نصب میکنی، فایروال اون معمولاً برای چند روز در حالت «یادگیری» (Learning Mode) روشنه. این حالت برای اینه که افزونه رفتار عادی سایتت رو یاد بگیره (مثلاً بفهمه تو از چه مسیری وارد پنل ادمین میشی) و اشتباهی دسترسیهای قانونی خودت رو نبنده.
مشکل اینجاست که خیلیها (مثل منِ اون موقع!) یادشون میره بعد از چند روز این حالت رو به «فعال و محافظتکننده» (Enabled and Protecting) تغییر بدن. در واقع، سایت رو در آسیبپذیرترین حالتش رها میکنن، چون فایروال عملاً هیچکس رو بلاک نمیکنه!
تنظیمات پیشفرض فقط نقطه شروعه، نه پایان کار. رها کردنش به حال خودش، خطرناکه.
فعالسازی اولیه: اجرای Setup Wizard و دریافت لایسنس (رایگان و پولی)
خوشبختانه، شروع کار با Wordfence خیلی راحته و خودش راهنماییت میکنه. به محض نصب و فعالسازی افزونه، یه «جادوگر راهاندازی» (Setup Wizard) برات باز میشه که چندتا چیز کلیدی ازت میپرسه:
۱. ایمیل: اولین قدم اینه که ایمیلت رو برای دریافت هشدارهای امنیتی وارد کنی. این کار رو حتماً انجام بده. اگه کسی سعی کنه به سایتت نفوذ کنه یا فایلی آلوده بشه، Wordfence سریع بهت خبر میده.
۲. لایسنس: بعد، ازت میخواد که لایسنست رو وارد کنی.
اینجا دوتا انتخاب اصلی داری:
- لایسنس رایگان (Free): کاملاً کار راه بنداز و برای شروع عالیه. فایروال اصلی، اسکنر بدافزار و محافظت در برابر حملات Brute Force (تلاش برای حدس زدن پسورد) رو بهت میده. تنها «تفاوتش» اینه که آپدیتهای قوانین فایروال و امضای بدافزارها رو با ۳۰ روز تأخیر میگیره.
- لایسنس پولی (Premium): این نسخه آپدیتها رو لحظهای (Real-time) میگیره. یعنی به محض شناسایی یه حفره امنیتی جدید در دنیا، سایت تو محافظت میشه. به علاوه، لیست IPهای مشکوک رو هم در لحظه آپدیت میکنه.
توصیه شخصی من چیه؟
اگه سایتت حیاتی و تجاریه، حتماً نسخه پولی رو بگیر. اما اگه یه وبلاگ شخصی داری یا تازهکاری، با همون نسخه رایگان شروع کن و حتماً تنظیماتش رو درست انجام بده. یادت باشه: یه نسخه رایگان که «درست» پیکربندی شده، هزار برابر امنتر از یه نسخه پولی با تنظیمات پیشفرض رها شده است!
بعد از اینکه ایمیلت رو زدی و نوع لایسنس (رایگان یا پولی) رو انتخاب کردی، افزونه فعال میشه و میبردت به داشبورد اصلی.
بخش اول: آموزش پیکربندی فایروال (Wordfence Firewall)
اینجا همونجاییه که اون دزدگیر ماشین رو از حالت «۱۲۳۴» کارخونه درمیآریم و براش یه رمز درستوحسابی میذاریم. این تنظیمات، سپر اصلی سایت تو در برابر حملات زندهی اینترنته.
مهمترین گام: بهینهسازی فایروال (Setup WAF) و حالت یادگیری (Learning Mode)
وقتی وارد بخش فایروال (Firewall) توی منوی Wordfence میشی، احتمالاً یه پیغام زرد یا قرمز بالای صفحه میبینی که میگه فایروال «بهینهسازی» نشده و داره در حالت پایه کار میکنه.
این یعنی چی؟ یعنی فایروال Wordfence داره مثل بقیه افزونهها همراه با خود وردپرس بارگذاری میشه. این خوبه، اما عالی نیست. چرا؟ چون اگه حملهای مستقیماً به فایلهای اصلی وردپرس (قبل از لود شدن افزونهها) انجام بشه، فایروال اصلاً خبردار هم نمیشه.
«بهینهسازی فایروال» یا (Setup WAF) چیه؟
با زدن این دکمه، Wordfence یه تغییر کوچیک ولی حیاتی توی تنظیمات سرورت (فایلی به اسم .htaccess یا .user.ini) ایجاد میکنه. این تغییر باعث میشه فایروال قبل از اینکه اصلاً خود وردپرس شروع به کار کنه، لود بشه.
برگردیم به اون مثال نگهبان:
- حالت عادی: نگهبان (فایروال) داخل سالن پذیرایی خونه (وردپرس) وایساده. دزد باید اول در رو باز کنه بیاد تو، تا نگهبان ببینتش.
- حالت بهینهسازی شده: نگهبان دقیقاً جلوی در ورودی اصلی ساختمون وایساده. هیچکس نمیتونه وارد ساختمون بشه، مگه اینکه اول از بازرسی اون رد بشه.
پس اولین و مهمترین کارت اینه که دکمه «Optimize the Wordfence Firewall» رو بزنی. خود افزونه نوع سرورت رو تشخیص میده و تنظیمات درست رو پیشنهاد میده. فقط کافیه دانلود رو بزنی (برای بکآپ) و بعد ادامه بدی.
حالت یادگیری (Learning Mode) چیست و چه زمانی باید آن را خاموش کنیم؟
خب، بعد از اینکه فایروال رو بهینهسازی کردی، Wordfence به طور خودکار میره روی «حالت یادگیری» (Learning Mode).
این حالت فوقالعاده مهمه. فایروال در این وضعیت، مثل یه کارآموز تازهکاره که داره رفتار «عادی» سایتت رو یاد میگیره. اون میبینه که تو (ادمین) از چه صفحاتی بازدید میکنی، افزونههات چطور کار میکنن، و کاربرهای عادی چه درخواستهایی میفرستن.
چرا این کار رو میکنه؟ برای اینکه وقتی فعال شد، اشتباهی دسترسیهای قانونی (مثلاً دسترسی خودت به پنل ادمین یا کار کردن یه افزونهی پرداخت) رو به عنوان «حمله» شناسایی و مسدود نکنه.
چه زمانی باید خاموشش کنیم؟
این همون اشتباهیه که من قبلاً مرتکب شدم و سایت رو روی همین حالت رها کردم!
Wordfence معمولاً پیشنهاد میده که این حالت حدود یک هفته فعال باشه.
توصیه شخصی من: بعد از فعالسازی، چند روزی با سایتت عادی کار کن. برو تو پنل ادمین، چندتا نوشته ویرایش کن، توی فروشگاهت (اگه داری) یه چرخی بزن. بذار فایروال تمام کارهای روتین تو رو «یاد بگیره». بعد از ۳ تا ۷ روز، حتماً برگرد به تنظیمات فایروال و حالتش رو از
Learning ModeبهEnabled and Protectingتغییر بده.هشدار: رها کردن سایت روی حالت یادگیری، دقیقاً مثل اینه که در خونهات رو باز بذاری و به دزدها بگی «فعلاً دارم یاد میگیرم کی خودیه کی غریبه، شما بفرمایید تو!»
تنظیمات پیشرفته فایروال (Advanced Firewall Settings): چه چیزهایی را مسدود کنیم؟
اینجا دیگه وارد تنظیمات حرفهای میشیم. برو به تب Firewall Options و بعد Advanced Firewall Options. نترس، لازم نیست همهچیز رو تغییر بدی، فقط چندتا نکته کلیدی:
- Rules (قوانین): مطمئن شو که قوانین اصلی (مثل SQL Injection, XSS) فعالن. اینها معمولاً به طور پیشفرض فعالن و بهشون دست نزن.
- Delay IP and Country blocking…: این گزینه رو بذار روی همون حالت پیشفرض (Immediately block…). ما میخوایم IP مهاجم همون لحظه مسدود بشه، نه چند دقیقه بعد!
- Whitelisted IPs (IPهای لیست سفید): اگه IP اینترنتت ثابت (Static) هست، میتونی IP خودت رو اینجا وارد کنی تا «هیچوقت» مسدود نشی. اگه اینترنتت IP متغیر (Dynamic) داره، این کار رو نکن، چون ممکنه فردا IP تو عوض بشه و دسترسی خودت قفل بشه!
- What to do when an IP is blocked: بذارش روی همون گزینه پیشفرض
Show the standard Wordfence blocked message(نمایش پیام مسدود شدن).
تنظیمات محافظت از حملات بروت فورس (Brute Force Protection)
این یکی از رایجترین حملاته. رباتها سعی میکنن با امتحان کردن هزاران یوزرنیم و پسورد مختلف، وارد سایتت بشن (مثل کسی که وایساده پشت در و دستهکلیدش رو یکییکی امتحان میکنه).
بیا جلوی این کار رو بگیریم. برو به Firewall Options و بخش Brute Force Protection (مطمئن شو که روشنه):
- Lock out after how many login failures: بذارش روی یه عدد منطقی مثل ۵ بار.
- Lock out after how many forgot password attempts: اینم بذار روی ۳ بار. (خیلیها اینو نادیده میگیرن).
- Count failures over what time period: بذار روی ۵ دقیقه تا ۱ ساعت. یعنی اگه کسی تو ۵ دقیقه، ۵ بار پسورد اشتباه زد، مسدود بشه.
- How long is lockout period: مهاجم رو چقدر بیرون نگه داریم؟ ۱ ساعت تا ۱ روز عالیه.
- Immediately lock out invalid usernames: این تیک رو حتماً بزن. اگه کسی سعی کرد با یوزرنیمهایی مثل
adminیاtest(که اصلاً وجود ندارن) وارد بشه، همون لحظه باید مسدود بشه.
محدودسازی نرخ درخواست (Rate Limiting) برای جلوگیری از خزش رباتهای مخرب
این بخش برای کنترل رباتهاست. بعضی رباتها (حتی رباتهای خوبی مثل گوگل) اگه خیلی سریع و پشتسرهم صفحات سایتت رو باز کنن (بهش میگن Crawl)، میتونن منابع سرورت رو مصرف کنن و سایتت کند بشه. رباتهای مخرب که جای خود دارن.
برو به بخش Rate Limiting:
- How should we treat Google’s crawlers? بذارش روی
Verified Google crawlers will not be rate-limited. ما نمیخوایم جلوی گوگل رو بگیریم. - If anyone’s requests exceed: این برای کاربرهای عادی و رباتهای دیگهست. یه تنظیم خوب برای شروع اینه:
30 requests per minute(۳۰ درخواست در دقیقه) روBlock(مسدود) کن.
- If a crawler’s page views exceed:
60 per minute(۶۰ صفحه در دقیقه) روThrottle(کندش کن) یاBlockکن.
این اعداد برای شروع خوبن. اگه دیدی سایتت خیلی پربازدیده و کاربرهای واقعی مسدود میشن، میتونی این اعداد رو کمی بالاتر ببری.
مدیریت IPهای مسدود شده و لیست سفید (Blocking & Whitelisting)
آخرین بخش تنظیمات فایروال، مدیریت دستی IPهاست. برو به تب Blocking.
اینجا میتونی ببینی چه IPهایی توسط قوانین خودکار (مثلاً بروت فورس) مسدود شدن.
- IP Address: اگه دیدی یه IP خاص داره خیلی به سایتت حمله میکنه (مثلاً از بخش
Live Trafficپیداش کردی)، میتونی دستی بیای اینجا و مسدودش کنی. - Country: نسخه پولی بهت اجازه میده کل یه کشور رو مسدود کنی. (توصیه میکنم این کار رو نکنی مگه اینکه «مطمئن» باشی هیچ کاربر خوبی از اون کشور نداری).
- Custom Pattern: میتونی الگوهای خاصی (مثلاً یه مدل مرورگر جعلی) رو بلاک کنی.
مهمترین کاربرد این بخش برای من، اضافه کردن IP خودم به لیست سفید بوده (که توی Advanced Firewall Options دیدیم) تا مطمئن باشم هیچوقت دسترسی خودم قطع نمیشه.
بخش دوم: آموزش تنظیمات اسکنر (Wordfence Scan)
این بخش مثل چکاپ دورهای برای سایتته. فایروال جلوی ورود بیماری جدید رو میگیره، اسکنر چک میکنه که آیا از قبل ویروسی توی سیستم بوده یا نه.
چگونه یک اسکن دستی را اجرا و نتایج آن را تحلیل کنیم؟
راهانداختن اسکن دستی خیلی سادهست. کافیه از منوی Wordfence بری روی Scan و دکمه بزرگ START NEW SCAN رو بزنی.
حالا باید صبر کنی. این فرایند بسته به حجم سایتت، تعداد فایلها و قدرت هاستت ممکنه از چند دقیقه تا گاهی حتی بیشتر طول بکشه. وردفنس شروع میکنه به چک کردن همهچیز:
- فایلهای هسته وردپرس رو با نسخه اصلی روی مخزن وردپرس مقایسه میکنه.
- دنبال امضاهای بدافزارهای شناختهشده میگرده.
- افزونهها و قالبها رو چک میکنه که آپدیت باشن.
- دنبال کدهای مشکوک، اسپم در دیتابیس و تنظیمات امنیتی ضعیف میگرده.
وقتی تموم شد، یه لیست از Results Found (نتایج یافتشده) بهت میده. اینجاست که کار اصلی تو، یعنی «تحلیل»، شروع میشه.
تفسیر نتایج اسکن: چگونه فایلهای مخرب واقعی را از هشدارهای کاذب تشخیص دهیم؟
بذار یه تجربه واقعی رو بهت بگم. اولین باری که اسکن رو روی یکی از سایتهای قدیمی اجرا کردم و یه لیست ۱۰ تایی نتیجه High Priority (اولویت بالا) دیدم، قلبم اومد تو دهنم. فکر کردم همهچیز تمومه و سایت پر از ویروسه.
اما نفس عمیق کشیدم و دونهدونه چکشون کردم. فهمیدم که بیشترشون «هشدارهای کاذب» (False Positives) بودن.
راز تشخیص این دوتا از هم اینه:
۱. قرمزها (High Priority – خطر جدی):
اینها معمولاً فایلهایی با کدهای مخرب واقعی، بکدور (Backdoor)، فایلهای اسپم یا کدهای تزریقشده در دیتابیس هستن. اگه فایلی رو اصلاً نمیشناسی (مثلاً یه فایل x.php وسط پوشه uploads) یا وردفنس میگه «This file appears to be malicious»، اینا شوخیبردار نیستن. وردفنس معمولاً گزینه Repair (تعمیر، اگه فایل هسته باشه) یا Delete (حذف) رو جلوشون میذاره.
۲. زردها (Medium/Low – نیاز به بررسی یا هشدارهای کاذب):
رایجترین هشدار کاذبی که میبینی اینه: WordPress core file modified (فایل هسته وردپرس تغییر کرده).
این میتونه نشونه هک باشه، یا (که معمولاً هم همینه) میتونه کار خودت یا یه افزونهی دیگه باشه. مثلاً:
- اگه افزونه کش (Cache) نصب کردی، ممکنه یه خط کد به فایل
wp-config.phpاضافه کرده باشه. - اگه خودت دستی فایلی رو ویرایش کردی.
چطور تشخیص بدیم؟
وردفنس یه دکمه عالی داره به اسم View Differences. اونو بزن. بهت نشون میده فایل اصلی چی بوده و الان چی شده. اگه دیدی فقط یه خط کد مربوط به افزونه کش اضافه شده، خب مشکلی نیست؛ میتونی اون هشدار رو Ignore (نادیده بگیر) کنی تا دفعه بعد نشونش نده. اما اگه دیدی یه عالمه کد عجیبغریب و نامفهوم به فایلت اضافه شده، اون زنگ خطره!
۳. آبیها (توصیهها):
اینا معمولاً ویروس نیستن. مثلاً میگه «Plugin is out of date» (افزونهات آپدیت نیست) یا «Unused themes found» (قالبهای بلااستفاده پیدا شد). اینا توصیههای امنیتی خوبین که بهتره انجامشون بدی (افزونه رو آپدیت کنی یا قالب اضافه رو حذف کنی).
زمانبندی اسکن (Scan Scheduling): بهترین زمان برای اسکن سایت
اسکن کردن، منابع سرور (CPU و RAM) رو مصرف میکنه. اگه سایتت پربازدیده، قطعاً نمیخوای وسط روز که کاربرا دارن از سایتت استفاده میکنن یا خرید میکنن، اسکن اجرا بشه و همهچیز کند بشه.
فکر کن داری جاروبرقی میکشی، ولی خونه پر از مهمونه!
بهترین زمان کیه؟
قطعاً نصفهشب یا ساعاتی که سایتت کمترین بازدید رو داره (مثلاً ۳ تا ۵ صبح).
اینجا یکی از تفاوتهای اصلی نسخه رایگان و پولی مشخص میشه:
- توی نسخه رایگان، تو کنترلی روی زمانبندی نداری. وردفنس خودش تصمیم میگیره کی اسکن کنه (معمولاً هر ۲۴ تا ۷۲ ساعت یه بار).
- توی نسخه Premium، میتونی دقیقاً تنظیم کنی که اسکن هر روز رأس ساعت ۳:۳۰ صبح (مثلاً) اجرا بشه. این کنترل برای سایتهای جدی و فروشگاهی حیاتیه.
تنظیمات حساسیت اسکن (Scan Sensitivity): چه گزینههایی را فعال کنیم؟
توی همون بخش تنظیمات اسکن (Scan > Scan Options and Scheduling)، میتونی «حساسیت» اسکن رو مشخص کنی. این یعنی اون چراغ قوهای که دستت گرفتی چقدر قویه و چقدر عمیق میگرده.
وردفنس چندتا حالت آماده داره:
۱. Standard Scan (استاندارد): برای ۹۰ درصد سایتها کافیه. سریع، سبک و بهینه است.
۲. High Sensitivity (حساسیت بالا): اگه شک داری هک شدی یا میخوای یه خونهتکونی اساسی و خیلی عمیق انجام بدی، این رو بزن. این حالت خیلی عمیقتر میگرده، اما هم منابع بیشتری مصرف میکنه و هم ممکنه هشدارهای کاذب بیشتری بهت بده. من معمولاً اگه مورد مشکوکی ببینم یا ماهی یکبار از این حالت استفاده میکنم.
۳. Custom (سفارشی): اینجا میتونی دونهدونه گزینهها رو فعال یا غیرفعال کنی.
چه گزینههایی حتماً فعال باشن؟
توی تنظیمات (چه استاندارد چه حساس)، مطمئن شو اینا فعالن:
Scan for signatures of known malicious files: (مهمترینه! گشتن دنبال امضای بدافزارهای معروف)Scan for file changes against repository: (همون مقایسه فایلهای هسته با نسخه اصلی)Scan for suspicious database entries: (خیلی مهم! چک کردن دیتابیس برای کدهای اسپم یا لینکهای مخرب)Scan images as if they were executable: (این رو حتماً فعال کن!) خیلی از هکرها کدهای مخرب و بکدورها رو پشت یه فایل عکس (PNG یا JPG) قایم میکنن تا اسکنرها پیداشون نکنن. این گزینه گولشون رو نمیخوره.
بررسی تفاوتهای اسکن در نسخه رایگان در برابر Premium
بیا یه جمعبندی سریع بکنیم که اسکنر پولی دقیقاً چه برتریهایی داره:
۱. زمانبندی (Scheduling):
همونطور که گفتم، نسخه رایگان زمانبندی نداره و دست خودشه. نسخه پولی بهت کنترل کامل میده که اسکن دقیقاً در ساعات کمترافیک سایتت انجام بشه.
۲. امضای بدافزارها (Malware Signatures):
این مهمترین تفاوته و دقیقاً مثل فایرواله.
- نسخه Premium: امضاهای جدیدترین بدافزارها و کدهای مخرب رو لحظهای (Real-time) دریافت میکنه.
- نسخه رایگان: این امضاها رو با ۳۰ روز تأخیر میگیره.
معنیش چیه؟ اگه یه هک یا بدافزار جدید امروز در دنیا شناسایی بشه، سایت پولی همون امروز در برابرش امن میشه و اسکنر میتونه پیداش کنه. سایت رایگان، ۳۰ روز بعد میفهمه که همچین چیزی وجود داشته!
۳. اسکن لیست سیاه اسپم (Spam Scanning):
نسخه پولی چک میکنه که آیا IP سایتت یا دامنهات توی لیستهای سیاه اسپم (مثل Spamhaus) رفته یا نه. اگه رفته باشه، سریع بهت خبر میده، چون این برای سئو و ایمیل مارکتینگ یه فاجعه است. نسخه رایگان این قابلیت رو نداره.
نتیجه شخصی من؟
نسخه رایگان کارتو راه میندازه و از هیچی خیلی بهتره. اما نسخه پولی اون «خیال راحت» رو بهت میده، مخصوصاً که میدونی آپدیتهای امنیتی رو لحظهای میگیری و اسکنها مزاحم کاربرات نمیشن.
بخش ورود، آسیبپذیرترین بخش انسانی سایته. چون به جای رباتها، با آدمها (و رمزهای عبورشون) سروکار داره.
بخش سوم: تنظیمات امنیت ورود (Login Security)
اینجا دقیقاً جاییه که جلوی اون حملات Brute Force (حدس زدن پسورد) رو که توی بخش فایروال محدودشون کردیم، بهطور کامل میبندیم.
فعالسازی احراز هویت دو عاملی (2FA) – امنترین روش ورود
اگه قرار باشه از کل این مقاله فقط و فقط یک کار رو انجام بدی، لطفاً همین کار باشه.
احراز هویت دو عاملی (2FA) یعنی چی؟
یعنی برای ورود به سایتت، فقط داشتن رمز عبور کافی نیست.
- عامل اول: چیزی که میدونی (همون رمز عبورت).
- عامل دوم: چیزی که داری (معمولاً یه کد یکبار مصرف ۶ رقمی که اپلیکیشنی مثل Google Authenticator یا Authy روی موبایلت تولید میکنه).
بذار راحت بهت بگم: حتی اگه یه هکر بتونه رمز عبور ادمین سایتت رو (به هر روشی) پیدا کنه، تا وقتی که گوشی موبایل تو رو فیزیکی در دست نداشته باشه، عملاً نمیتونه وارد سایت بشه.
راهاندازیش توی Wordfence (بخش Login Security) خیلی سادهست. یه QR کد بهت میده، با اپلیکیشن Authenticator روی موبایلت اسکن میکنی و تمام. از اون به بعد، موقع ورود، وردپرس بعد از زدن پسورد، اون کد ۶ رقمی رو هم ازت میپرسه.
صادقانه بگم، از وقتی 2FA رو روی همهی سایتهام (نه فقط وردپرس، بلکه جیمیل، اینستاگرام و…) فعال کردم، سطح استرس و نگرانیم از هک شدن اکانتهام نزدیک به صفر رسیده. این کار یه «باید» مطلقه.
تنظیمات reCAPTCHA برای فرمهای ورود و ثبتنام
خب، 2FA جلوی آدمهایی که پسورد رو دارن میگیره. اما reCAPTCHA جلوی رباتهایی رو میگیره که میخوان تازه پسورد رو حدس بزنن.
حتماً اون تیک «I’m not a robot» (من ربات نیستم) یا اون پازلهای تصویری گوگل رو دیدی. کارش اینه که مطمئن بشه یه انسان واقعی پشت کیبورده، نه یه اسکریپت مخرب.
توی Wordfence میتونی خیلی راحت reCAPTCHA (نسخه v3 که نامرئیه و کاربر رو اذیت نمیکنه) رو فعال کنی. فقط کافیه بری تو سایت گوگل reCAPTCHA، سایتت رو ثبت کنی و دوتا کلید (Site Key و Secret Key) بگیری و بیای تو تنظیمات Wordfence کپی کنی.
کجاها باید فعالش کنیم؟
- فرم ورود (Login Form): جلوی حملات بروت فورس رباتیک رو میگیره.
- فرم ثبتنام (Registration Form): فوقالعاده مهم! اگه سایتت ثبتنام کاربر داره (مثلاً فروشگاهیه یا انجمنه)، این کار جلوی ثبتنام هزاران کاربر اسپم و رباتیک رو میگیره.
- فرم فراموشی رمز عبور (Forgot Password): جلوی رباتهایی که میخوان با ارسال ایمیلهای ریست پسورد الکی، سرور ایمیلت رو اذیت کنن، میگیره.
تغییر آدرس ورود وردپرس: آیا واقعاً اقدام امنیتی مفیدی است؟
خب، رسیدیم به یکی از اون بحثهای همیشگی. خیلیها میگن اولین کار امنیتی اینه که آدرس ورود به وردپرس (که پیشفرضش wp-admin.php یا wp-login.php هست) رو به یه چیز عجیبغریب مثل my-secret-door-123.php تغییر بدی.
تئوریش چیه؟
میگن این کار یعنی «امنیت از طریق پنهانکاری» (Security through Obscurity). یعنی اگه دزد ندونه در کجاست، نمیتونه قفلش رو باز کنه.
حالا نظر و تجربه شخصی من (نگین):
بذار روراست باشم… من اصلاً طرفدار پروپاقرص این روش به عنوان یه اقدام امنیتی اصلی نیستم.
چرا؟
۱. رباتها احمق نیستن: پیدا کردن آدرس ورود جدید برای یه ربات اسکنر حرفهای کار سختی نیست. روشهای زیادی برای پیدا کردنش دارن. پس این پنهانکاری خیلی دوام نمیاره.
۲. حس امنیت کاذب: این بدترین بخششه. تو فکر میکنی چون در رو قایم کردی، پس امنی. به خاطر همین، ممکنه یادت بره قفل محکمی (مثل 2FA) روش بذاری.
۳. احتمال تداخل: این کار (که معمولاً با افزونههای جانبی انجام میشه، چون خود Wordfence این قابلیت رو نداره) گاهی اوقات با افزونههای دیگه (مخصوصاً افزونههای کش، فروشگاهی یا عضویت) تداخل پیدا میکنه و دردسرساز میشه.
توصیه من چیه؟
فلسفهی من اینه: وقتت رو بذار روی ساختن یه در فولادی که کسی نتونه بازش کنه (یعنی 2FA + reCAPTCHA + قفل بروت فورس)، نه اینکه وقتت رو صرف قایم کردن یه در چوبی ضعیف کنی.
اگه همهی کارهای امنیتی قوی رو انجام دادی و بازم دلت میخواد این کار رو هم به عنوان یه لایه اضافی انجام بدی، باشه. اما هرگز، هرگز بهش به چشم خط اول دفاعیات نگاه نکن.
امنیت ورود یعنی لایهبندی: اول با reCAPTCHA جلوی ربات رو میگیریم، بعد با محدودیت بروت فورس جلوی تلاش زیاد رو میگیریم، و در نهایت با 2FA جلوی کسی که رمز رو هم داره میگیریم.
بخش چهارم: ابزارهای کمکی (Tools) و تنظیمات کلی (All Options)
این بخش، داشبورد کنترل و مرکز اعلانهای ماست.
ابزار Live Traffic: ببینید چه کسی در لحظه در سایت شماست (و چه میکند)
بذار یه تجربه شخصی رو بهت بگم: اولین باری که بخش Live Traffic (توی منوی Tools) رو باز کردم، هم هیجانزده بودم و هم راستش کمی ترسیده بودم!
انگار یهو بهم دسترسی به دوربینهای مداربستهی سایتم رو داده بودن. این ابزار هر بازدید و هر درخواستی که به سایتت میشه رو در همون لحظه نشون میده:
- کیه؟ (آدرس IP)
- از کجاست؟ (کشور)
- داره چیکار میکنه؟ (کدوم صفحه رو میبینه یا داره سعی میکنه به کدوم فایل دسترسی پیدا کنه)
- نوعش چیه؟ (آیا انسانه؟ ربات گوگله؟ یا یه ربات مخربه؟)
این ابزار به چه دردی میخوره؟
- دیدن حملات زنده: هیجانانگیزترین (و ترسناکترین) بخشش اینه. تو میتونی ببینی که یه IP از فلان کشور داره ۱۰ بار پشت هم سعی میکنه فایل
wp-login.phpرو باز کنه و وردفنس چطور هر ۱۰ بار جلوش مینویسهBlocked by Firewall. اینجاست که میفهمی اون فایروالی که تنظیم کردی واقعاً داره کار میکنه! - شناسایی ربات گوگل: میتونی ببینی ربات گوگل (Googlebot) دقیقاً کی به سایتت سر میزنه و کدوم صفحهها رو میخزه. (دیدنش همیشه حس خوبی به آدم میده!)
- پیدا کردن خطاهای ۴۰۴: میتونی ببینی آیا کاربرا یا رباتها دارن به صفحهای میرن که وجود نداره (خطای ۴۰۴ میگیرن). شاید یه لینک شکسته توی سایتت داری که باید درستش کنی.
یه توصیه دوستانه: زیاد درگیر این بخش نشو! چک کردنش جذابه ولی وسواس ایجاد میکنه. این ابزار برای «عیبیابی» (Diagnostics) عالیه، نه برای اینکه تمام روز باز باشه، چون منابع سرور رو هم مصرف میکنه.
بررسی سلامت سایت (Whois Lookup و Diagnostics)
این دوتا ابزار توی همون منوی Tools هستن و حکم «جعبه ابزار فنی» ما رو دارن.
۱. Whois Lookup:
اگه توی همون Live Traffic یه IP خیلی مشکوک دیدی که دائم داره حمله میکنه، میتونی IP رو کپی کنی و بیاری اینجا وارد کنی. این ابزار بهت میگه اون IP مال کیه، مال کدوم کشوره و توسط کدوم شرکت اینترنتی ثبت شده. اینطوری میفهمی داری با یه ربات از یه دیتاسنتر معروف طرفی یا یه کاربر عادی.
۲. Diagnostics (عیبیابی):
این صفحه، «آزمایش خون» کامل سایتت برای وردفنسه.
اگه یه روزی دیدی اسکن وردفنس کامل انجام نمیشه، یا فایروال بهینهسازی نمیشه، یا ایمیلهاش ارسال نمیشه، اولین جایی که باید چک کنی اینجاست.
این صفحه بهت نشون میده:
- آیا سایتت میتونه به سرورهای وردفنس وصل بشه؟ (برای گرفتن آپدیت قوانین)
- تنظیمات سرورت (مثل دسترسی فایل
.htaccess) چطوره؟ - مشکلات مربوط به حافظه (Memory) یا زمان اجرای PHP چیه؟
معمولاً خودت لازم نیست کاری با این صفحه بکنی، اما اگه به پشتیبانی هاستینگ یا خود وردفنس پیام بدی، اونا اول از همه اسکرینشات این صفحه رو ازت میخوان تا بفهمن مشکل از کجاست.
تنظیمات ایمیل هشدار (Email Alert Settings): چه زمانی باید هشدار دریافت کنیم؟
خب، رسیدیم به تنظیمات «آژیر خطر» یا همون «دودکش».
این تنظیمات توی All Options > Email Alert Preferences قرار دارن و فوقالعاده مهمن.
مشکل کجاست؟
وردفنس به طور پیشفرض، عاشق ایمیل فرستادنه. «یه IP بلاک شد»، «فلان کاربر وارد شد»، «اسکن شروع شد»، «اسکن تموم شد».
بعد از دو روز، صندوق ورودی ایمیلت پر میشه از هشدارهای وردفنس.
خطرش چیه؟
پدیدهای به اسم «خستگی از هشدار» (Alert Fatigue). مثل این میمونه که دزدگیر ماشینت با رد شدن هر گربه هم آژیر بکشه. بعد از یه مدت، تو دیگه به آژیرش اهمیت نمیدی.
اونوقت اگه یه روز واقعاً دزد بیاد (یعنی یه ایمیل هشدار «فایل مخرب پیدا شد!» بیاد)، اون ایمیل حیاتی وسط صدتا ایمیل الکی دیگه گم میشه و تو اصلاً نمیبینیش!
تنظیمات پیشنهادی من (برای جلوگیری از نویز و دریافت سیگنال واقعی):
Alert when an IP address is blocked?(وقتی IP بلاک شد خبر بده؟)- خاموشش کن! مگر اینکه سایتت خیلی حساس باشه. وگرنه روزی دهها ایمیل میگیری. فایروال کارش همینه، لازم نیست هر بار بهت گزارش بده.
Alert when someone is locked out from login?(وقLی کسی لاکاوت شد؟)- خاموش.
Alert me when someone with administrator access signs in?(وقتی ادمین وارد شد؟)- حتماً روشن! این حیاتیه. اگه نصفهشب ایمیلی بگیری که «ادمین وارد شد» در حالی که تو خواب بودی، یعنی فاجعه شده و باید سریع اقدام کنی.
Alert me when Wordfence finds critical problems?(مشکلات حیاتی رو خبر بده؟)- حتماً روشن! (مهمترین). این یعنی «بدافزار پیدا کردم». این همون ایمیلیه که باید ببینی.
Alert on throttle?(رباتها رو کند کردم؟)- خاموش. (نویز الکیه).
Alert me about available updates?(نیاز به آپدیت هست؟)- روشن. (خوبه که بدونی).
هدف ما اینه: ایمیلهای وردفنس باید اونقدر کم و بهینه باشن که به محض دیدن ایمیل از طرفش، بفهمی یه اتفاق «واقعاً مهم» افتاده، نه یه گزارش روتین.
عیبیابی و اشتباهات رایج (بر اساس تجربه عملی)
اینجا نمیخوایم تئوری بگیم. میخوایم دقیقاً بگیم اگه این اتفاق افتاد، راهحلش چیه.
“از سایت خودم قفل شدم!” (Locked Out) – چگونه مشکل را حل کنیم؟
این حس رو هیچکس دوست نداره. میخوای وارد سایت خودت بشی و وردفنس با یه پیام قرمز بزرگ میگه: «دسترسی شما مسدود شد». آدم همون لحظه دچار وحشت میشه.
چرا این اتفاق میافته؟
- شاید چند بار پسوردت رو اشتباه زدی (قانون Brute Force).
- شاید IP اینترنتت عوض شده و IP جدیدت به دلیلی مشکوک شناخته شده.
- شاید (اشتباهی که من قبلاً کردم!)، IP خودت رو دستی به لیست سیاه اضافه کردی.
راهحل نجات فوری چیه؟
۱. راه ساده (اگه از قبل فکرش رو کردی):
وقتی داشتی احراز هویت دوعاملی (2FA) رو فعال میکردی، وردفنس بهت چندتا کد ریکاوری داد. اگه اونها رو یه جای امن ذخیره کرده باشی، الان وقتشه. میتونی از اون کد یکبار مصرف برای ورود استفاده کنی.
۲. راه فنی (راهحل قطعی):
اگه به کدهای ریکاوری دسترسی نداری یا کلاً به خاطر IP بلاک شدی، باید موقتاً افزونه رو خاموش کنی. اما چطوری وقتی به پنل دسترسی نداری؟
- وارد هاست سایتت شو (از طریق cPanel, DirectAdmin, یا FTP).
- برو به پوشه
wp-contentو بعد پوشهplugins. - پوشهای به اسم
wordfenceمیبینی. - اسم این پوشه رو موقتاً تغییر بده. مثلاً بذار:
wordfence_disabled. - همین! با این کار، وردپرس دیگه نمیتونه افزونه رو پیدا کنه و اتوماتیک غیرفعالش میکنه.
- حالا برگرد به صفحه ورود سایتت. میبینی که قفل وردفنس رفته. راحت وارد شو.
بعد از اینکه وارد شدی:
- برگرد توی هاست و اسم پوشه رو به همون
wordfenceبرگردون. - برو توی پنل وردپرس، بخش افزونهها و Wordfence رو دوباره فعال کن.
- حالا برو توی تنظیمات فایروال (
Firewall > Blocking) و ببین چرا قفل شده بودی. اگه IP خودت بود، از لیست بلاک خارجش کن یا به لیست سفید اضافهاش کن.
آیا Wordfence باعث کندی سایت من میشود؟ (بهینهسازی عملکرد)
این یکی از پرتکرارترین سؤالاته. جواب کوتاه: «بله، میتونه، اما فقط اگه درست تنظیم نشده باشه.»
ببین، Wordfence یه فایروال Endpoint هست. یعنی روی سرور خودت اجرا میشه و هر درخواستی که به سایتت میاد رو (قبل از اینکه به وردپرس برسه) چک میکAه. این کار، یه پردازش اضافیه. مثل اینه که دم در خونهات به جای یه قفل ساده، یه گیت بازرسی کامل بذاری.
خب معلومه که رد شدن از گیت بازرسی یه کم بیشتر از باز کردن قفل طول میکشه! اما این هزینه «ناچیز» عملکردی، بهای اون «امنیت فوقالعاده» هست که به دست میاری.
چطور این تأثیر رو به صفر نزدیک کنیم؟
۱. اسکن در نصفهشب: این مهمترین کاره. اسکن کردن سنگینترین کاریه که وردفنس انجام میده. اگه این اسکن وسط روز که پربازدیدی انجام بشه، سایتت کند میشه. حتماً (اگه نسخه پولی داری) زمانبندیش رو بذار روی ساعات کمترافیک (مثلاً ۳ یا ۴ صبح).
۲. حساسیت اسکن: اسکن High Sensitivity رو فقط ماهی یکبار یا وقتی که مشکوکی اجرا کن. برای کارهای روزانه، همون Standard Scan کافیه و خیلی سبکتره.
۳. ترافیک زنده (Live Traffic): این ابزار عالیه ولی منابع مصرف میکنه. لازم نیست ۲۴ ساعته باز باشه. فقط وقتی بهش نیاز داری یا میخوای چیزی رو چک کنی بازش کن و بعد ببندش.
بررسی تداخل Wordfence با سایر افزونهها (به خصوص افزونههای کش)
اینم یه چالش رایجه. افزونههای امنیتی و افزونههای کش (مثل WP Rocket, LiteSpeed Cache و…) هر دو میخوان «اولین» چیزی باشن که روی سایتت اجرا میشن. اینجاست که گاهی دعواشون میشه.
مشکل چیه؟
افزونه کش میاد یه نسخه آماده و استاتیک از صفحهات درست میکنه که سریع به کاربر نشون بده. وردفنس هم میخواد قبل از نشون دادن هر چیزی، اول اون کاربر رو چک امنیتی کنه.
راهحل چیه؟
خبر خوب اینه که این مشکل تقریباً حل شده.
یادته توی بخش فایروال، روی دکمه «Optimize the Wordfence Firewall» کلیک کردیم؟
اون کار دقیقاً برای همین بود. اون بهینهسازی باعث میشه فایروال وردفنس قبل از اینکه اصلاً وردپرس و افزونههای کش لود بشن، اجرا بشه. (توی تنظیمات سرور (.htaccess)).
اینطوری، وردفنس اول بازرسی امنیتیش رو میکنه، اگه کاربر امن بود، تازه نوبت به افزونه کش میرسه که صفحه رو سریع بهش نشون بده. این دوتا دیگه توی کار هم دخالت نمیکنن.
یه نکته ریز:
اگه از افزونه کشی استفاده میکنی که رباتش میاد صفحات رو میخزه تا کش رو بسازه (بهش میگن Cache Preloading)، گاهی ممکنه وردفنس اون ربات رو به عنوان «ربات مخرب» بشناسه و بلاکش کنه! اگه این اتفاق افتاد، باید بری IP اون ربات (که توی مستندات افزونه کش نوشته) رو توی Advanced Firewall Options به لیست سفید وردفنس اضافه کنی تا بتونه کارش رو بکنه.
سوالات متداول (FAQ) درباره تنظیمات Wordfence
تفاوت اصلی Wordfence رایگان و Premium چیست؟
این مهمترین سؤاله و جوابش توی «زمان» خلاصه میشه.
بذار یه مثال بزنم:
- نسخه Premium: مثل اینه که واکسن آنفولانزای امسال رو همون روز اولی که میاد، بزنی. به محض اینکه یه حفره امنیتی جدید (Zero-day) یا یه بدافزار جدید امروز توی دنیا شناسایی بشه، سایت تو هم امروز در برابرش محافظت میشه. قوانین فایروال و امضاهای اسکنر «لحظهای» (Real-time) آپدیت میشن. به علاوه، کنترل کامل روی زمان اسکن داری (که مثلاً بذاریش ۳ صبح تا سایتت کند نشه) و میتونی IP کشورهای خاصی رو بلاک کنی.
- نسخه رایگان: تو همون واکسن رو میزنی، ولی با ۳۰ روز تأخیر. همون آپدیتهای امنیتی حیاتی رو میگیری، ولی ۳۰ روز بعد از اینکه برای کاربرای پولی منتشر شده.
تجربه شخصی من؟
اگه یه سایت جدی، تجاری یا فروشگاهی داری که درآمدت بهش وابستهست، اون ۳۰ روز تأخیر یه ریسک خیلی بزرگه که نمیارزه. اما اگه یه وبلاگ شخصی یا سایت غیرتجاری داری، نسخه رایگان (به شرطی که تمام تنظیماتی که گفتیم رو روش انجام بدی) کارت رو خیلی خوب راه میندازه.
آیا Wordfence برای محافظت کامل کافی است؟
بیا با هم صادق باشیم: توی دنیای امنیت، چیزی به اسم «محافظت کامل» یا «ضدگلولهی صد در صد» نداریم. امنیت یه پروسهی ادامهداره، نه یه افزونه که نصب کنی و فراموشش کنی.
Wordfence یه قفل گاوصندوقی عالی برای در خونهاته (Endpoint Firewall).
اما تو هنوز به چند لایهی دیگه هم احتیاج داری:
- محلهی امن: این میشه هاستینگ خوب و معتبر.
- قفل کردن درها: این میشه آپدیت منظم و فوری هسته وردپرس، قالبها و همهی افزونههات.
- کلیدهای قوی: این میشه پسوردهای پیچیده و (مهمتر از همه) احراز هویت دوعاملی (2FA) که خود وردفنس بهت میده.
توصیه شخصی من:
Wordfence ستون فقرات امنیت وردپرسه. اما اگه میخوای یه لایه دفاعی دیگه هم اضافه کنی، استفاده از یه فایروال کلود (Cloud WAF) مثل نسخه رایگان کلادفلر (Cloudflare) کنارش معرکهست.
کلادفلر میشه نگهبان سر کوچه (جلوی حملات بزرگ DDoS و رباتهای اسپم رو میگیره)، وردفنس میشه نگهبان دم در خونهات (جلوی حملات مخصوص وردپرس رو میگیره). ترکیب این دوتا نزدیکترین چیز به «محافظت کامل» هست که میتونی داشته باشی.
بهترین جایگزینهای Wordfence کدامند؟
این سؤال خوبیه. ببین، Wordfence عالیه، ولی تنها بازیکن این زمین نیست. بعضیها ممکنه دنبال گزینههای سبکتری باشن یا فلسفهشون فرق کنه.
اگه بخوام چندتا از رقبای اصلی رو بگم:
- Sucuri Security: این رقیب اصلیه. تفاوت بزرگش اینه که فایروال اصلی سوکوری (نسخه پولیاش) یه فایروال «کلود» هست (مثل کلادفلر)، نه «Endpoint» (مثل وردفنس). یعنی ترافیک رو قبل از رسیدن به سرور تو تمیز میکنه. این معمولاً برای سرورهای ضعیفتر، «سبکتر» محسوب میشه، چون پردازش امنیتی روی سرور تو انجام نمیشه.
- SolidWP (iThemes Security سابق): اینم یه افزونه خیلی قدیمی، محبوب و قویه. خیلی از کارهای وردفنس رو میکنه و تنظیمات خیلی زیادی برای «سفتوسخت» کردن (Hardening) بخشهای مختلف وردپرس داره. رابط کاربریش یه کم متفاوته و سلیقهایه.
- All-In-One WP Security: این معمولاً به عنوان یه گزینه «رایگان» خیلی خوب شناخته میشه که تنظیمات زیادی داره، مخصوصاً برای امنیت ورود و قفل کردن فایلها. یه نمودار «درجه امنیت» جالب هم داره که بهت انگیزه میده تنظیمات رو کامل کنی.
تجربه من؟
من با همشون کار کردم. راستش رو بخوای، هنوز به نظرم ترکیب «قدرت، راحتی کاربری و جامع بودن» وردفنس (مخصوصاً بخش فایروال و 2FA رایگانش) از بقیه یه سر و گردن بالاتره. اما اگه حس کردی وردفنس روی هاستت سنگینه، «سوکوری» میتونه جایگزین هوشمندانهای باشه.
جمع بندی تخصصی: آیا نسخه Premium Wordfence ارزش خرید دارد؟
بذار اول ببینیم نسخه رایگان چی بهمون میده:
یه فایروال (WAF) قدرتمند، یه اسکنر بدافزار خوب، و (از نظر من شاهکارش) احراز هویت دوعاملی (2FA). اینها رو که کنار هم میذاری، میبینی که نسخه رایگان به تنهایی از ۹۰ درصد افزونههای امنیتی پولی دیگه، قویتره.
پس چرا اصلاً باید به Premium فکر کنیم؟
جواب توی همون ۳۰ روزه.
تفاوت اصلی، بازی با زمانه:
- آپدیتهای لحظهای (Real-time):
- توی نسخه Premium، به محض اینکه یه حفره امنیتی جدید توی یه افزونه یا خود وردپرس پیدا بشه، یا یه بدافزار جدید شناسایی بشه، همون لحظه قانون دفاعیاش (امضای بدافزار و قانون فایروال) برای سایت تو ارسال میشه.
- توی نسخه رایگان، تو همون آپدیت حیاتی رو میگیری، اما ۳۰ روز دیرتر.
بذار یه جور دیگه بگم: نسخه رایگان مثل اینه که یه نگهبان عالیرتبه داری که لیست «تحت تعقیب» خلافکارهای جدید رو ۳۰ روز دیرتر دریافت میکنه. توی اون ۳۰ روز، اون خلافکارها میتونن آزادانه بیان، در بزنن و شانسشون رو امتحان کنن.
- کنترل عملکرد (Scan Scheduling):
- توی نسخه رایگان، وردفنس هر وقت خودش بخواد اسکن میکنه. اگه این اتفاق وسط روز و توی اوج ترافیک سایت فروشگاهیات بیفته، میتونه باعث کندی سایت بشه.
- توی نسخه Premium، تو «فرماندهای». میگی اسکن دقیقاً ساعت ۳:۱۵ صبح که هیچکس توی سایت نیست انجام بشه. این یعنی امنیت کامل بدون فدا کردن ذرهای از تجربه کاربری.
- چکلیستهای اسپم و IPهای مخرب:
- نسخه Premium دائماً چک میکنه که IP سایتت توی لیستهای سیاه اسپم نرفته باشه (که برای سئو فاجعه است) و لیست IPهای مهاجم شناختهشده رو هم لحظهای میگیره.
حالا برگردیم به سؤال اصلی: میارزه؟
اینجا دیگه جواب «بستگی داره» نیست. جواب خیلی روشنه:
- اگر یه وبلاگ شخصی داری، یه سایت برای نمونه کارها، یا یه کسبوکار خیلی کوچیک که تازه شروع کرده و بودجه برات اهمیت اول رو داره: شاید نه. همون نسخه رایگان رو کامل تنظیم کن (مخصوصاً 2FA) و حواست به آپدیتها باشه.
- اگر سایتت یه فروشگاه اینترنتیه (حتی با روزی ۱۰ تا فروش)، سایت شرکتی و آبروی کسبوکارته، سایت عضویت داری و اطلاعات کاربرها دستته، یا درآمدت مستقیم و غیرمستقیم به این سایت وابستهست:
بله، ۱۰۰ درصد ارزشش رو داره. اصلاً نباید بهش شک کنی.
ببین، هزینه نسخه Premium (مثلاً سالی حدود ۱۲۰ دلار) رو نذار کنار «هیچی». بذارش کنار «هزینه فاجعه».
هزینه استخدام یه متخصص برای پاکسازی یه سایت هکشده (که خیلی بیشتر از این حرفهاست)، هزینه از دست دادن فروش در روزهایی که سایتت پایینه، هزینه اعتمادی که کاربر از دست میده و هزینهی پنالتی شدن توی گوگل…
هزینه نسخه Premium پول یه افزونه نیست؛ پول «بیمه» و «آرامش خیاله».
من به عنوان نگین، روی تمام سایتهای کلاینتهای مهمم که درآمدزایی دارن، فقط از نسخه Premium استفاده میکنم. چون توی دنیای تجارت، ریسک کردن روی یه تأخیر ۳۰ روزه، اصلاً منطقی نیست.
تو در مورد سایت خودت چطور فکر میکنی؟ آرامش خیالت بیشتر برات میارزه یا ترجیح میدی اون هزینه رو جای دیگهای صرف کنی؟ برام بنویس.
