در این راهنما، مهم‌ترین مراحل و نکات لازم برای بررسی و ارزیابی امنیت سایت وردپرسی را به‌صورت خلاصه مرور می‌کنیم:
چک‌لیست امنیت وردپرس
برای اجرای این چک‌لیست، اولویت‌بندی تست‌های امنیتی و نتیجه مورد انتظار در جدول زیر مشخص شده است:
| تست امنیتی | اهمیت | نتیجه مورد انتظار پس از تست |
| بررسی Core و Pluginها | بسیار بالا | بدون نسخه آسیب‌پذیر و آپدیت‌شده |
| بررسی حساب‌های کاربری | بسیار بالا | دسترسی‌های محدود و احراز هویت قوی |
| Malware Scan (اسکن بدافزار) | بسیار بالا | بدون فایل مشکوک یا تغییریافته |
| بررسی HTTPS | بسیار بالا | اتصال امن و بدون Mixed Content |
| تست Backup/Restore | بسیار بالا | بازیابی موفقیت‌آمیز در محیط تستی |
| بررسی File Permissions | بالا | دسترسی محدود (644 برای فایل‌ها) |
| بررسی Security Headers | متوسط تا بالا | تنظیمات مناسب و جلوگیری از XSS/Clickjacking |
| بررسی لاگ‌ها (Logs) | بالا | بدون فعالیت مشکوک و ورود ناشناس |
تست امنیت صرفاً با نصب یک افزونه و گرفتن یک Scan Report سبز رنگ تمام نمی‌شود. برای بررسی دقیق، این مسیر مهندسی را طی کنید:
امنیت سایت از همان زمان راه‌اندازی باید در نظر گرفته شود و بسیاری از مشکلات امنیتی نتیجه پیکربندی اشتباه در مراحل اولیه هستند. انتخاب هاست، نصب وردپرس، تنظیمات اولیه، ایجاد حساب‌های کاربری و فعال‌سازی سرویس‌های ضروری، همگی روی امنیت آینده سایت تأثیر دارند؛ به همین دلیل آشنایی با صفر تا صد مراحل راه‌اندازی سایت می‌تواند از ایجاد بسیاری از ضعف‌های فنی و امنیتی در ادامه مسیر جلوگیری کند.
آسیب‌پذیری در کدهای قدیمی، اصلی‌ترین راه نفوذ به وردپرس است:
هر به‌روزرسانی هسته وردپرس الزاماً به معنای سازگاری تمام افزونه‌ها و قالب‌ها نیست و قبل از انجام آپدیت‌های مهم باید وضعیت Pluginها بررسی شود. این موضوع به‌خصوص هنگام انتشار نسخه‌های جدید اهمیت بیشتری پیدا می‌کند؛ بنابراین پیش از به‌روزرسانی، بررسی هشدار آپدیت وردپرس ۷.۰ کمک می‌کند از بروز ناسازگاری، اختلال در عملکرد سایت یا ایجاد خطاهای ناگهانی جلوگیری شود.
| مورد | چه چیزی بررسی شود؟ | اقدام نهایی |
| WordPress Core | نسخه فعلی و وضعیت پشتیبانی | Update به آخرین نسخه |
| Plugin | نسخه فعلی و وجود آسیب‌پذیری (CVE) | Update یا Remove |
| Theme | نسخه، سازگاری و منبع دریافت | Update یا Remove |
| PHP | نسخه پشتیبانی‌شده در سرور | Upgrade (ارتقا از CPanel) |
تعداد زیاد افزونه‌ها همیشه به معنی امکانات بیشتر نیست و افزونه‌های غیرضروری می‌توانند هم سطح حمله سایت را افزایش دهند و هم منابع بیشتری مصرف کنند. در کنار حذف Pluginهای بلااستفاده، انتخاب ابزار مناسب برای بهینه‌سازی عملکرد نیز اهمیت دارد و بررسی بهترین افزونه افزایش سرعت وردپرس می‌تواند به کاهش زمان بارگذاری و مدیریت بهتر منابع سایت کمک کند.
تست امنیت وردپرس زمانی نتیجه دقیق‌تری دارد که علاوه بر شناسایی آسیب‌پذیری‌ها، وضعیت کلی سایت نیز از نظر HTTPS، حساب‌های کاربری، Permissionها، Backup، Security Headers، لاگ‌ها و فایل‌های حساس بررسی شود. به همین دلیل چک لیست امنیت سایت می‌تواند برای تکمیل فرایند ارزیابی و اطمینان از اینکه بخش‌های مهم امنیتی سایت از قلم نیفتاده‌اند، مورد استفاده قرار گیرد.
برخی فایل‌ها حاوی شاهرگ‌های حیاتی سایت هستند. شما باید از عدم دسترسی عمومی به این فایل‌ها مطمئن شوید:
اگر سطح دسترسی (Permission) در هاست اشتباه باشد، هکر به راحتی کدهای مخرب را تزریق می‌کند:
شناسایی نشانه‌های احتمالی آلودگی، پیش از آنکه گوگل سایت شما را بلک‌لیست کند:
هدرهای امنیتی به مرورگر دستور می‌دهند که چگونه با محتوای سایت رفتار کند:
| نام Header | هدف بررسی |
| Content-Security-Policy (CSP) | کنترل منابع مجاز برای لود شدن و جلوگیری از XSS |
| Strict-Transport-Security (HSTS) | اجبار مرورگر به استفاده از اتصال امن HTTPS |
| X-Content-Type-Options | کنترل و جلوگیری از حملات MIME Sniffing |
| Referrer-Policy | کنترل میزان اطلاعات Referrer ارسالی به خارج از سایت |
| Permissions-Policy | کنترل قابلیت‌های سخت‌افزاری مرورگر (مانند وب‌کم و میکروفون) |
⚠️
🔒 دسترسی از راه دور
🔑 Credentials
🔍 Query و داده‌ها
👤 سطح دسترسی User
💾 Backup دیتابیس
⚙️ نیاز به REST API
👥 Endpointهای عمومی
🔐 Authentication
🔎 افشای اطلاعات
🛡️ وضعیت XML-RPC
⚠️
✓ Input Validation
✓ Output Encoding
✓ CSRF Protection
✓ File Upload
✓ Spam Protection
✓ Error Handling
⚠️
✓ Backup منظم
✓ Database
✓ فایل‌های سایت
✓ Retention Policy
✓ محل ذخیره جداگانه
✓ تست Restore
✓ مستندسازی Recovery
داشتن نسخه پشتیبان تنها زمانی یک لایه امنیتی واقعی محسوب می‌شود که فرآیند تهیه و بازیابی آن به‌درستی انجام شده باشد. فایل‌های سایت و Database باید به‌صورت منظم Backup شوند و نسخه‌های پشتیبان در محل جداگانه نگهداری شوند. همچنین Restore باید به‌صورت دوره‌ای آزمایش شود تا در زمان خرابی یا نفوذ، امکان بازگردانی سایت وجود داشته باشد؛ رعایت اصول آموزش بکاپ گیری وردپرس برای ایجاد یک فرآیند Backup قابل اعتماد ضروری است.
ابزارها هیچ‌گاه جایگزین تحلیل متخصص نمی‌شوند، اما برای تسریع فرآیند استفاده از آن‌ها ضروری است:
| نام ابزار / روش | کاربرد اصلی | مناسب برای |
| WordPress Site Health | بررسی وضعیت کلی، نسخه PHP و ماژول‌ها | همه سایت‌ها |
| WPScan | شناسایی آسیب‌پذیری‌های شناخته‌شده هسته و افزونه‌ها | کاربران فنی (CLI) |
| Wordfence | اسکن کدهای مخرب (Malware) و Monitoring | سایت‌های وردپرسی |
| Sucuri SiteCheck | بررسی نشانه‌های آلودگی، بلک‌لیست و وضعیت سایت | بررسی اولیه و سریع |
| Google Safe Browsing | بررسی وضعیت سایت در بلک‌لیست‌های گوگل | همه سایت‌ها |
| Security Headers | بررسی وضعیت و کیفیت Headerهای امنیتی | همه سایت‌ها |
⚠️
سایت sentinelone.com در مورد اهمیت تست امنیت وردپرس اینگونه اشاره کرده است:
For any WordPress site, ranging from a personal blog to a huge e-commerce store, having a WordPress security audit is the first line of defense against any hackers. Through the process of checking plugin trustworthiness, user privileges, logs, and backups, it becomes possible to reduce the number of possible angles that an attacker can use to infiltrate the system.
برای هر وب‌سایت وردپرسی، از یک وبلاگ شخصی گرفته تا یک فروشگاه اینترنتی بزرگ، انجام ارزیابی امنیتی (Audit) نخستین خط دفاعی در برابر هکرها محسوب می‌شود. با بررسی مواردی همچون میزان قابل‌اعتماد بودن افزونه‌ها، سطوح دسترسی کاربران، لاگ‌ها و نسخه‌های پشتیبان، می‌توان راه‌های احتمالی نفوذ مهاجمان به سیستم را به حداقل رساند.
نتایج تست را بر اساس سطح ریسک به ۴ دسته تقسیم کنید:
| نتیجه تست (یافته امنیتی) | سطح اولویت | اقدام سریع |
| نسخه آسیب‌پذیر Plugin | Critical/High | Update یا Remove فوری |
| Administrator ناشناس | Critical/High | بررسی، پاک‌سازی و غیرفعال‌سازی |
| Backup نامطمئن | High | ایجاد و تست فوری فرآیند Backup |
| Header ناقص | Medium | تنظیم صحیح هدرها در زمان مناسب |
| Plugin بلااستفاده | Medium | حذف (Delete) از هاست |
نتیجه تست امنیت زمانی ارزشمند است که یافته‌های شناسایی‌شده به اقدامات اصلاحی و پیشگیرانه تبدیل شوند. به‌روزرسانی نرم‌افزارها، مدیریت دسترسی کاربران، استفاده از MFA، محافظت از فایل‌های حساس، بررسی لاگ‌ها و داشتن Backup سالم باید به بخشی از نگهداری مستمر سایت تبدیل شوند. مجموعه این اقدامات در کنار یک فرآیند منظم، مسیر آموزش افزایش امنیت وردپرس را شکل می‌دهد و به کاهش ریسک نفوذهای رایج کمک می‌کند.
اگر در طول تست امنیت متوجه نفوذ شدید، وحشت نکنید:
۱. وضعیت را مستند کنید (اسکرین‌شات از خطاها و لاگ‌ها بگیرید).
۲. Backup/Forensic Copy از وضعیت فعلی آلوده برای بررسی‌های بعدی در صورت امکان حفظ کنید.
۳. دسترسی‌های مشکوک را مسدود کنید.
۴. Credentials حساس را از مسیر امن تغییر دهید.
۵. سایت را از Backup سالم بازیابی (Restore) کنید، در صورت امکان.
۶. علت نفوذ را شناسایی کنید.
۷. نرم‌افزارهای آسیب‌پذیر را اصلاح کنید.
۸. پس از پاک‌سازی، دوباره تست امنیت انجام دهید.
۹. Monitoring را فعال کنید.
⚠️
🛡️ برای ثبت درخواست اجرای تست نفوذ و ممیزی امنیتی پیشرفته پلتفرم خود با تیم فنی شادکس وردپرس در تماس باشید.
برای بررسی ماهانه، این لیست را تیک بزنید:
ناسازگاری میان نسخه PHP، افزونه‌ها، قالب و هسته وردپرس می‌تواند علاوه بر ایجاد مشکلات امنیتی، باعث از کار افتادن بخشی از سایت یا نمایش خطاهای جدی شود. اگر پس از نصب یا به‌روزرسانی یک افزونه یا قالب در سایت خطا ایجاد شد، با بررسی رفع خطای “یک خطای مهم در وب‌سایت شما رخ داده است” در وردپرس، و بررسی تغییرات اخیر، نسخه PHP و افزونه‌های فعال می‌توانید عامل اصلی خطا را شناسایی کنید.
چگونه امنیت سایت وردپرس را تست کنیم؟
با استفاده از روش‌های ترکیبی: بررسی دستی تنظیمات (نسخه‌ها، پسوردها و بکاپ)، استفاده از ابزارهای اتوماتیک (مثل WPScan) و تحلیل لاگ‌های سرور.
بهترین ابزار تست امنیت وردپرس چیست؟
ابزار WPScan برای کارشناسان فنی بهترین انتخاب است؛ اما افزونه‌هایی مانند Wordfence برای مدیران عمومی کاربردی‌ترند.
آیا افزونه امنیتی برای تست وردپرس کافی است؟
خیر، افزونه‌های امنیتی فقط در سطح Application کار می‌کنند و نمی‌توانند آسیب‌پذیری‌های مربوط به وب‌سرور، سطح دسترسی فایل‌ها یا امنیت DNS را پوشش دهند.
چگونه بفهمیم سایت وردپرسی هک شده است؟
از طریق دریافت ایمیل هشدار از Google Safe Browsing، مشاهده پاپ‌آپ‌های ناخواسته، تغییرات فایل‌های Core، و ایجاد کاربران جدید با دسترسی مدیرکل.
آیا WPScan برای تست امنیت وردپرس مناسب است؟
بسیار عالی است، اما حتماً دقت کنید که تست و اسکن آسیب‌پذیری باید صرفاً روی سایتی که مالک آن هستید یا اجازه کتبی تست آن را دارید انجام شود.
هر چند وقت یک‌بار باید امنیت وردپرس را بررسی کرد؟
پایش اولیه بدافزارها باید ۲۴ ساعته انجام شود. تست‌های عمیق (Auditing) باید ماهانه یا پس از نصب هرگونه افزونه جدید صورت گیرد.
آیا SSL امنیت وردپرس را تضمین می‌کند؟
خیر. SSL فقط ارتباط بین کاربر و سایت را رمزنگاری می‌کند تا اطلاعات شنود نشود، اما جلوی هک شدن سایت از طریق پسوردهای ضعیف یا باگ افزونه‌ها را نمی‌گیرد.
چگونه آسیب‌پذیری افزونه‌های وردپرس را بررسی کنیم؟
با مقایسه نسخه نصب‌شده در سایت با پایگاه داده آسیب‌پذیری‌های وردپرس (مانند WPScan Vulnerability Database) و اطمینان از آپدیت بودن تمام پلاگین‌ها.
تیم تولید محتوای شادکس وردپرس
در این بخش صوتی، دو نفر از نمایندگان شادکس وردپرس در قالب یک گفت‌وگوی حرفه‌ای و صمیمی، خلاصه‌ای جامع از محتوای مقاله را برای شما بازگو می‌کنند. اگر فرصت یا حوصله خواندن متن کامل را ندارید، با گوش دادن به این پادکست می‌توانید در زمانی کوتاه به تمام نکات مهم و کلیدی مقاله دست پیدا کنید. این مکالمه تلاش می‌کند مهم‌ترین مطالب را با لحنی رسمی و در عین حال دوستانه به شما منتقل کند تا تجربه‌ای دلنشین و کاربردی از محتوای سایت داشته باشید.
هزینه خدمات امنیت سایت بر اساس سطح ریسک، وضعیت فعلی سایت، زیرساخت، تعداد افزونه‌ها و Scope پروژه تعیین می‌شود. برخی ابزارها، زیرساخت‌ها و خدمات تخصصی خارج از محدوده قیمت پایه، در صورت نیاز به‌صورت جداگانه محاسبه می‌شوند.
پس از پاک‌سازی و ایمن‌سازی سایت، برای جلوگیری از بروز مجدد مشکلات و حفظ پایداری و امنیت سایت، پیشنهاد می‌شود سرویس پشتیبانی فنی نیز تهیه شود.
پشتیبانی فنی می‌تواند شامل بررسی و رفع مشکلات وردپرس، به‌روزرسانی‌ها، بررسی سازگاری قالب و افزونه‌ها، رسیدگی به مشکلات فنی و پایش دوره‌ای وضعیت سایت باشد.
امنیت سایت یک سرویس با نتیجه یا قیمت ثابت نیست و محدوده خدمات پیش از شروع پروژه مشخص می‌شود. مواردی مانند تست نفوذ، پاک‌سازی هک، امنیت سرور و مانیتورینگ مستمر، خدمات تخصصی جداگانه محسوب می‌شوند.
در صورت نیاز به ابزار، ارتقای زیرساخت یا خدمات خارج از محدوده پروژه، هزینه مربوطه پیش از انجام کار اعلام و پس از تأیید شما محاسبه خواهد شد.
قیمت‌های درج‌شده در سایت، صرفاً مربوط به هزینه طراحی و پیاده‌سازی وب‌سایت بوده و هزینه تهیه سرویس‌ها، ابزارها، افزونه‌ها و مجوزهای موردنیاز پروژه را شامل نمی‌شود.
راه‌اندازی هر وب‌سایت، بسته به نوع و امکانات آن، ممکن است به سرویس‌ها و ابزارهای مختلفی نیاز داشته باشد.
به‌عنوان یک برآورد اولیه، حداقل بودجه پیشنهادی برای تهیه زیرساخت و ابزارهای موردنیاز از حدود ۵ میلیون تومان در نظر گرفته می‌شود.
این مبلغ صرفاً یک بودجه پایه و تخمینی برای شروع است و با توجه به نیازهای واقعی پروژه و سرویس‌های انتخابی می‌تواند کمتر یا بیشتر شود.
تمامی پروژه‌ها به همه سرویس‌ها و ابزارها نیاز ندارند و هزینه نهایی بر اساس نیاز واقعی وب‌سایت تعیین خواهد شد.
بسته به نوع پروژه، موارد موردنیاز می‌توانند شامل موارد زیر باشند:
.ir یا .com)دریافت اینماد و سایر مجوزهای موردنیاز بر عهده کارفرماست.
همچنین شرایط و مدارک موردنیاز برای دریافت و فعال‌سازی درگاه پرداخت، بسته به شرکت ارائه‌دهنده درگاه متفاوت است.
انجام امور مربوط به احراز هویت، ارائه مدارک و دریافت مجوزهای لازم بر عهده کارفرما بوده و در صورت نیاز، راهنمایی‌های لازم برای انتخاب و راه‌اندازی درگاه ارائه خواهد شد.
در صورت نیاز به طراحی و پیاده‌سازی نسخه‌های چندزبانه، هزینه بر اساس نوع زبان و میزان تغییرات موردنیاز محاسبه می‌شود:
زبان‌های لاتین و چپ‌چین: ۵۰٪ مبلغ پروژه
زبان‌های راست‌چین: ۲۵٪ مبلغ پروژه
این هزینه مربوط به طراحی، پیاده‌سازی و هماهنگ‌سازی نسخه زبان دوم با ساختار سایت است و هزینه ترجمه محتوا را شامل نمی‌شود.
در صورتی که برای انتخاب هاست، دامنه، افزونه‌ها، درگاه پرداخت یا سایر ابزارهای موردنیاز پروژه اطلاعات کافی ندارید، می‌توانید برای انتخاب گزینه مناسب و متناسب با نیاز و بودجه پروژه، مشاوره دریافت کنید.
