امنیت سایت فقط به فعال بودن SSL یا نصب یک افزونه امنیتی محدود نمی‌شود. یک چک‌لیست جامع امنیت سایت باید تمام بخش‌های مهم مانند HTTPS، به‌روزرسانی CMS و افزونه‌ها، رمزهای عبور و MFA، مدیریت دسترسی کاربران، Backup و Restore، امنیت هاست و سرور، Database، Security Headers، فرم‌ها، Malware Monitoring و DNS را پوشش دهد. در این راهنما، مهم‌ترین اقدامات امنیتی را بر اساس میزان اهمیت و اولویت اجرا بررسی کرده‌ایم تا بتوانید آسیب‌پذیری‌های احتمالی سایت را شناسایی، برطرف و به‌صورت دوره‌ای کنترل کنید.
امنیت یکی از بخش‌های مهم یک وب‌سایت استاندارد است، اما در زمان راه‌اندازی سایت باید موارد دیگری مانند ساختار صفحات، تجربه کاربری، نسخه موبایل، سئوی فنی، سرعت، دسترسی‌پذیری و عملکرد فرم‌ها نیز از ابتدا بررسی شوند. در کنار الزامات امنیتی، استفاده از یک چک لیست طراحی سایت کمک می‌کند بخش‌های مهم پروژه پیش از انتشار نهایی از قلم نیفتند.
در جدول زیر، اولویت‌بندی اجرایی این اقدامات امنیتی را برای رسیدگی سریع‌تر مشاهده می‌کنید:
| مورد امنیتی | اهمیت | پیچیدگی اجرا | اولویت |
| HTTPS | بسیار بالا | کم | فوری |
| Backup | بسیار بالا | کم تا متوسط | فوری |
| به‌روزرسانی | بسیار بالا | کم | فوری |
| مدیریت دسترسی | بسیار بالا | متوسط | فوری |
| MFA | بسیار بالا | کم | فوری |
| WAF | بالا | متوسط | بالا |
| Security Headers | متوسط تا بالا | متوسط | بالا |
| Malware Monitoring | بالا | متوسط | بالا |
صرفاً داشتن علامت قفل در مرورگر به معنی امنیت کامل یک سایت نیست. ارتباط امن نیازمند پیکربندی دقیق است:
✓ HTTPS
✓ Certificate
✓ تاریخ انقضا
✓ Redirect
✓ Mixed Content
✓ منابع داخلی
✓ Secure Cookie
✓ HSTS
حتی یک افزونه منقضی‌شده می‌تواند کل سرور شما را در معرض هک قرار دهد. فقط Update کردن کافی نیست؛ باید قبل از به‌روزرسانی‌های مهم Backup و تست سازگاری نیز در نظر گرفته شود.
✓ هسته CMS
✓ افزونه‌ها
✓ قالب سایت
✓ PHP / Runtime
✓ Server Software
✓ کامپوننت‌های آسیب‌پذیر
✓ حذف نرم‌افزارهای بدون استفاده
✓ رمزهای قوی
✓ رمزهای منحصربه‌فرد
✓ احراز هویت دومرحله‌ای
✓ حساب‌های قدیمی
✓ دسترسی Administrator
✓ نام کاربری
✓ Password Reset
✓ محدودیت Login Attempt
استفاده از اصل کمترین سطح دسترسی (Least Privilege) یک قانون طلایی در امنیت سایبری است. کاربران فقط باید به منابعی دسترسی داشته باشند که برای انجام وظایفشان ضروری است.
| نقش کاربری | سطح دسترسی مجاز و موردنیاز |
| Administrator (مدیر کل) | کامل (فقط برای ۱ یا ۲ فرد معتمد و صاحب کسب‌وکار) |
| Editor (ویرایشگر) | مدیریت محتوا، انتشار مقالات و دسته‌بندی‌ها (بدون دسترسی به افزونه‌ها) |
| Author (نویسنده) | فقط نگارش و انتشار محتوای خود (عدم ویرایش مطالب دیگران) |
| Customer/User (مشتری) | فقط امکانات موردنیاز (مشاهده پروفایل، سبد خرید، تیکت) |
✓ Backup منظم
✓ Database کامل
✓ فایل‌های منبع
✓ چند نسخه Backup
✓ ذخیره‌سازی Off-site
✓ محافظت از Backup
✓ تست Restore
✓ Disaster Recovery Plan
بکاپ زمانی ارزش واقعی دارد که علاوه بر تهیه منظم، محل ذخیره‌سازی مناسب و امکان بازگردانی آن نیز بررسی شده باشد. در سایت‌های وردپرسی، انتخاب روش مناسب برای تهیه نسخه پشتیبان، تعیین زمان‌بندی بکاپ، نگهداری فایل‌ها در محل جداگانه و تست Restore از اقداماتی هستند که باید به‌صورت منظم انجام شوند؛ به همین دلیل آموزش بکاپ گیری وردپرس می‌تواند بخشی از فرایند نگهداری ایمن سایت باشد.
✓ دسترسی SSH
✓ سرویس‌های غیرضروری
✓ Firewall
✓ Permission فایل‌ها
✓ Directory Listing
✓ فایل‌های حساس
✓ Server Logs
✓ حذف منابع اضافی
✓ نسخه سیستم‌عامل و نرم‌افزارها
تغییر URL ورود به‌تنهایی راهکار امنیتی (Security through Obscurity) محسوب نمی‌شود و فقط حملات ربات‌های ساده را دفع می‌کند.
✓ مسیر مدیریت
✓ احراز هویت دومرحله‌ای
✓ Login Rate Limiting
✓ مدیریت Session
✓ دسترسی Administrator
✓ Loginهای مشکوک
✓ انقضای Sessionهای قدیمی
تمامی ورودی‌های کاربر (کامنت‌ها، فرم‌های تماس، سرچ) باید آلوده فرض شوند:
✓ Input Validation
✓ Server-side Validation
✓ جلوگیری از XSS
✓ محافظت در برابر Spam
✓ CSRF Protection
✓ File Upload
✓ محدودیت فایل
✓ مدیریت خطاهای حساس
✓ حفاظت از اطلاعات Database
✓ Credentials قوی
✓ Remote Access
✓ Prepared Statements
✓ دسترسی Database User
✓ حفاظت از اطلاعات حساس
هدرهای امنیتی خط مقدم دفاع مرورگر در برابر حملات هستند. تأکید می‌شود که Headerها باید متناسب با سایت و پس از تست تنظیم شوند؛ استفاده کورکورانه از تنظیمات سخت‌گیرانه می‌تواند بعضی قابلیت‌های سایت را مختل کند.
| نام Security Header | کاربرد اصلی در امنیت وب‌سایت |
| Content-Security-Policy (CSP) | کنترل منابع مجاز اجرایی و جلوگیری از کدهای مخرب XSS |
| Strict-Transport-Security (HSTS) | اجبار مرورگر کاربر به استفاده قطعی از HTTPS |
| X-Content-Type-Options | جلوگیری از تشخیص اشتباه نوع فایل (MIME Sniffing) |
| Referrer-Policy | کنترل دقیق اطلاعات ارسال‌شده Referrer به سایت‌های دیگر |
| Permissions-Policy | کنترل دسترسی سایت به قابلیت‌های سخت‌افزاری مرورگر (مانند دوربین) |
✓ Malware Scan
✓ File Integrity
✓ Loginهای مشکوک
✓ خطاهای غیرعادی
✓ Alert امنیتی
✓ Google Blacklist Status
✓ محافظت از پنل دامنه
✓ دسترسی به پنل
✓ بررسی DNS Records
✓ رکوردهای غیرضروری
✓ امنیت ایمیل
✓ تمدید دامنه
✓ API Keyها
✓ Secretها
✓ API Authentication
✓ API Scoping
✓ Rate Limiting
✓ سرویس‌های قدیمی
در سایت sectigo.com به اهمیت تست امنیت سایت اینگونه اشاره شده است:
Website security isn’t optional, it’s essential. From protecting customer data to preventing financial loss and safeguarding your reputation.
امنیت وب‌سایت امری اختیاری نیست، بلکه حیاتی است؛ از حفاظت از داده‌های مشتریان گرفته تا جلوگیری از زیان‌های مالی و حفظ اعتبار شما.
اگر از اکوسیستم وردپرس استفاده می‌کنید، لیست زیر برای شما حیاتی است:
امنیت وردپرس به نصب یک افزونه امنیتی محدود نمی‌شود و باید مجموعه‌ای از اقدامات مانند به‌روزرسانی هسته و افزونه‌ها، حذف قالب‌ها و افزونه‌های بلااستفاده، محدود کردن دسترسی Administrator، محافظت از فایل‌های حساس و کنترل ورودهای مشکوک را در بر بگیرد. اجرای منظم این اقدامات در کنار تنظیمات مناسب سرور، بخش مهمی از آموزش افزایش امنیت وردپرس را تشکیل می‌دهد.
انتخاب بستر مناسب برای راه‌اندازی سایت فقط به امکانات ظاهری محدود نمی‌شود و موضوعاتی مانند امنیت، امکان به‌روزرسانی، کنترل دسترسی و نگهداری بلندمدت نیز اهمیت دارند. مخصوصاً زمانی که قرار است سایت برای یک کسب‌وکار توسعه پیدا کند، مقایسه ویژگی‌ها و محدودیت‌های وردپرس با توسعه اختصاصی می‌تواند در تصمیم‌گیری نقش مهمی داشته باشد و مشخص کند طراحی سایت با وردپرس بهتر است یا اختصاصی.
سایت‌های فروشگاهی به دلیل ذخیره اطلاعات مشتریان هدف جذابی برای هکرها هستند:
امنیت در فروشگاه اینترنتی باید از همان مرحله طراحی در نظر گرفته شود؛ ساختار حساب‌های کاربری، فرایند پرداخت، مدیریت سفارش‌ها، اتصال درگاه و نحوه نگهداری اطلاعات مشتری همگی بخشی از زیرساخت یک فروشگاه امن هستند. به همین دلیل در فرایند طراحی وب‌سایت فروشگاهی، توجه هم‌زمان به تجربه کاربری، عملکرد فنی و الزامات امنیتی می‌تواند از بسیاری از مشکلاتی که بعداً اصلاح آن‌ها پرهزینه است جلوگیری کند.
برای بررسی نفوذپذیری، این مراحل را مستمراً طی کنید:
امنیت و سرعت سایت دو موضوع کاملاً جدا از یکدیگر نیستند؛ افزونه‌های اضافی، نرم‌افزارهای قدیمی، تنظیمات نامناسب سرور و کدهای غیرضروری می‌توانند هم روی عملکرد سایت و هم روی سطح امنیت آن تأثیر بگذارند. بعد از بررسی موارد امنیتی، ارزیابی کش، تصاویر، فایل‌های CSS و JavaScript، پاسخ‌گویی سرور و منابع مصرفی با استفاده از یک چک لیست افزایش سرعت سایت می‌تواند تصویر کامل‌تری از وضعیت فنی سایت ارائه دهد.
اگر فرصت کمی دارید، این اولویت‌ها را در دستور کار خود قرار دهید:
| سطح اولویت | اقدام امنیتی مورد نیاز |
| فوری (اورژانسی) | فعال‌سازی HTTPS، تنظیم Backup، انجام Updateها، فعال‌سازی MFA |
| بسیار مهم | اعمال مدیریت دسترسی، تنظیم Firewall، محافظت از فرم Login |
| مهم | تنظیم Security Headers، مانیتورینگ Malware، فعال‌سازی Logging |
| تکمیلی | عملیات Hardening (سخت‌افزاری کردن) و بهینه‌سازی دقیق تنظیمات |
امنیت سایت فقط به تنظیمات پس از راه‌اندازی محدود نیست و کیفیت پیاده‌سازی اولیه، انتخاب فناوری مناسب، ساختار کدنویسی و نحوه پیکربندی سرور نیز روی امنیت نهایی تأثیر می‌گذارد. بنابراین هنگام انتخاب پیمانکار پروژه، بررسی تجربه فنی، نمونه‌کارها، پشتیبانی و رویکرد شرکت نسبت به امنیت در کنار طراحی اهمیت دارد و انتخاب بهترین شرکت طراحی سایت می‌تواند از ایجاد بسیاری از مشکلات فنی در ادامه مسیر جلوگیری کند.
پس از اعمال تنظیمات امنیتی، صرفاً فعال بودن قابلیت‌های امنیتی کافی نیست و باید عملکرد آن‌ها نیز بررسی شود؛ از وضعیت افزونه‌ها و کاربران گرفته تا فایل‌های حساس، لاگ‌های ورود، مجوز فایل‌ها و آسیب‌پذیری‌های احتمالی. استفاده از یک چک لیست تست امنیت سایت وردپرس کمک می‌کند این موارد به‌صورت ساختاریافته بررسی شوند و مشکلات باقی‌مانده پیش از تبدیل شدن به یک رخداد امنیتی شناسایی شوند.
برای بررسی دوره‌ای، این چک‌لیست خلاصه را ذخیره کنید:
⬜ HTTPS و SSL معتبر فعال است.
⬜ نسخه نرم‌افزار، CMS و افزونه‌ها آپدیت هستند.
⬜ Backup منظم تنظیم و در سرور جداگانه ذخیره می‌شود.
⬜ رمزهای عبور قدرتمند و MFA اجباری شده‌اند.
⬜ دسترسی کاربران کاملاً محدود (Least Privilege) شده است.
⬜ هدرهای امنیتی (Security Headers) پیکربندی شده‌اند.
⬜ WAF یا فایروال سرور فعال و بهینه شده است.
⬜ پایش مداوم فایل‌ها (Malware Monitoring) روشن است.
⬜ امنیت دامنه و رکوردهای DNS تایید شده است.
🛡️ برای ثبت درخواست ممیزی و ارتقای امنیت سایت شرکتی خود با متخصصین شبکه و وب شادکس تماس بگیرید.
چک لیست امنیت سایت شامل چه مواردی است؟
شامل بررسی گواهی SSL، بکاپ‌گیری منظم، به‌روزرسانی سیستم، تنظیم دسترسی کاربران، امنیت دیتابیس، محافظت از فرم‌ها و مانیتورینگ بدافزار است.
مهم‌ترین اقدامات برای امنیت سایت چیست؟
فعال‌سازی HTTPS، نصب آپدیت‌های امنیتی هسته و افزونه‌ها، اجرای برنامه Backup ایمن خارج از سرور، و اجباری کردن ورود دومرحله‌ای (MFA).
چگونه امنیت سایت را بررسی کنیم؟
با بررسی خطاهای فایل لاگ سرور، اسکن کردن سایت با ابزارهای Malware، بررسی هدرهای امنیتی در ابزارهای تست و محدود کردن سطح دسترسی مدیران.
آیا SSL برای امنیت سایت کافی است؟
خیر. SSL فقط ارتباط بین کاربر و سرور را رمزنگاری می‌کند؛ اما جلوی هک شدن سایت از طریق باگ افزونه‌ها، دیتابیس یا پسوردهای ضعیف را نمی‌گیرد.
چطور امنیت سایت وردپرسی را افزایش دهیم؟
حذف پلاگین‌های نال‌شده، تغییر آدرس پیش‌فرض پنل مدیریت، نصب افزونه امنیتی استاندارد، و قفل کردن فایل‌های حساسی نظیر wp-config.
هر چند وقت یک‌بار باید امنیت سایت بررسی شود؟
پایش اولیه باید به صورت ۲۴ ساعته (مانیتورینگ خودکار) انجام شود و بررسی‌های عمیق (Auditing) باید ماهانه یا پس از نصب هر امکان جدید صورت گیرد.
Backup چه نقشی در امنیت سایت دارد؟
بکاپ سالم تنها راه نجات قطعی پس از یک حمله باج‌افزاری یا نفوذ سنگین است؛ البته به شرطی که قابلیت بازگردانی (Restore) آن از قبل تست شده باشد.
آیا نصب افزونه امنیتی برای وردپرس ضروری است؟
اگر فایروال سرور شما تنظیمات دقیقی ندارد، نصب یک افزونه معتبر برای مسدودسازی IPهای مهاجم، حملات بروت‌فورس و بدافزارها شدیداً توصیه می‌شود.
چگونه بفهمیم سایت هک شده است؟
از طریق دریافت هشدارهای بلک‌لیست از سرچ کنسول گوگل، تغییرات ناگهانی در فایل‌های هسته، افت شدید سرعت، ایجاد کاربران ناشناس با دسترسی ادمین و هدایت (ریدایرکت) شدن آدرس‌های سایت به دامنه‌های دیگر.
تیم تولید محتوای شادکس وردپرس
در این بخش صوتی، دو نفر از نمایندگان شادکس وردپرس در قالب یک گفت‌وگوی حرفه‌ای و صمیمی، خلاصه‌ای جامع از محتوای مقاله را برای شما بازگو می‌کنند. اگر فرصت یا حوصله خواندن متن کامل را ندارید، با گوش دادن به این پادکست می‌توانید در زمانی کوتاه به تمام نکات مهم و کلیدی مقاله دست پیدا کنید. این مکالمه تلاش می‌کند مهم‌ترین مطالب را با لحنی رسمی و در عین حال دوستانه به شما منتقل کند تا تجربه‌ای دلنشین و کاربردی از محتوای سایت داشته باشید.
هزینه خدمات امنیت سایت بر اساس سطح ریسک، وضعیت فعلی سایت، زیرساخت، تعداد افزونه‌ها و Scope پروژه تعیین می‌شود. برخی ابزارها، زیرساخت‌ها و خدمات تخصصی خارج از محدوده قیمت پایه، در صورت نیاز به‌صورت جداگانه محاسبه می‌شوند.
پس از پاک‌سازی و ایمن‌سازی سایت، برای جلوگیری از بروز مجدد مشکلات و حفظ پایداری و امنیت سایت، پیشنهاد می‌شود سرویس پشتیبانی فنی نیز تهیه شود.
پشتیبانی فنی می‌تواند شامل بررسی و رفع مشکلات وردپرس، به‌روزرسانی‌ها، بررسی سازگاری قالب و افزونه‌ها، رسیدگی به مشکلات فنی و پایش دوره‌ای وضعیت سایت باشد.
امنیت سایت یک سرویس با نتیجه یا قیمت ثابت نیست و محدوده خدمات پیش از شروع پروژه مشخص می‌شود. مواردی مانند تست نفوذ، پاک‌سازی هک، امنیت سرور و مانیتورینگ مستمر، خدمات تخصصی جداگانه محسوب می‌شوند.
در صورت نیاز به ابزار، ارتقای زیرساخت یا خدمات خارج از محدوده پروژه، هزینه مربوطه پیش از انجام کار اعلام و پس از تأیید شما محاسبه خواهد شد.
قیمت‌های درج‌شده در سایت، صرفاً مربوط به هزینه طراحی و پیاده‌سازی وب‌سایت بوده و هزینه تهیه سرویس‌ها، ابزارها، افزونه‌ها و مجوزهای موردنیاز پروژه را شامل نمی‌شود.
راه‌اندازی هر وب‌سایت، بسته به نوع و امکانات آن، ممکن است به سرویس‌ها و ابزارهای مختلفی نیاز داشته باشد.
به‌عنوان یک برآورد اولیه، حداقل بودجه پیشنهادی برای تهیه زیرساخت و ابزارهای موردنیاز از حدود ۵ میلیون تومان در نظر گرفته می‌شود.
این مبلغ صرفاً یک بودجه پایه و تخمینی برای شروع است و با توجه به نیازهای واقعی پروژه و سرویس‌های انتخابی می‌تواند کمتر یا بیشتر شود.
تمامی پروژه‌ها به همه سرویس‌ها و ابزارها نیاز ندارند و هزینه نهایی بر اساس نیاز واقعی وب‌سایت تعیین خواهد شد.
بسته به نوع پروژه، موارد موردنیاز می‌توانند شامل موارد زیر باشند:
.ir یا .com)دریافت اینماد و سایر مجوزهای موردنیاز بر عهده کارفرماست.
همچنین شرایط و مدارک موردنیاز برای دریافت و فعال‌سازی درگاه پرداخت، بسته به شرکت ارائه‌دهنده درگاه متفاوت است.
انجام امور مربوط به احراز هویت، ارائه مدارک و دریافت مجوزهای لازم بر عهده کارفرما بوده و در صورت نیاز، راهنمایی‌های لازم برای انتخاب و راه‌اندازی درگاه ارائه خواهد شد.
در صورت نیاز به طراحی و پیاده‌سازی نسخه‌های چندزبانه، هزینه بر اساس نوع زبان و میزان تغییرات موردنیاز محاسبه می‌شود:
زبان‌های لاتین و چپ‌چین: ۵۰٪ مبلغ پروژه
زبان‌های راست‌چین: ۲۵٪ مبلغ پروژه
این هزینه مربوط به طراحی، پیاده‌سازی و هماهنگ‌سازی نسخه زبان دوم با ساختار سایت است و هزینه ترجمه محتوا را شامل نمی‌شود.
در صورتی که برای انتخاب هاست، دامنه، افزونه‌ها، درگاه پرداخت یا سایر ابزارهای موردنیاز پروژه اطلاعات کافی ندارید، می‌توانید برای انتخاب گزینه مناسب و متناسب با نیاز و بودجه پروژه، مشاوره دریافت کنید.
