تغییر آدرس ورود وردپرس می‌تواند بخشی از درخواست‌های ربات‌های ساده را کم کند، اما جای رمز قوی، MFA و وصله امنیتی را نمی‌گیرد. مسیر تازه نباید تنها لایه حفاظت باشد. اگر چنین تغییری برای سایت لازم است، از ابزار نگهداری‌شده و سازگار استفاده کنید و قبل از فعال‌سازی، مسیر بازیابی را بدانید.
چه کاری را انجام ندهیم؟
نام wp-login.php را در هسته تغییر ندهید و همه ارجاع‌های آن را با جستجو و جایگزینی عمومی دست‌کاری نکنید. این کار با به‌روزرسانی، افزونه عضویت و جریان بازنشانی رمز تعارض پیدا می‌کند. همچنین بستن کلی wp-admin می‌تواند admin-ajax.php و قابلیت‌های جلوی سایت را قطع کند.
آزمون ابزار تغییر ورود
- بکاپ و کپی آزمایشی و دسترسی SFTP یا مدیریت فایل میزبان را آماده کنید.
- سازگاری ابزار با نسخه وردپرس، multisite، افزونه عضویت و MFA را بررسی کنید.
- مسیر تازه را بدون داده حساس در تنظیمات ابزار تعیین و در محل امن مدیران ثبت کنید.
- پیش از خروج از نشست مدیر، ورود تازه و بازیابی رمز را در مرورگر جدا آزمایش کنید.
- برای فروشگاه یا عضویت، ورود مشتری، خروج، redirect پس از ورود و لینک ایمیل را نیز کنترل کنید.
کش و فایروال را هماهنگ کنید
صفحه ورود و پاسخ دارای نشست نباید به‌صورت عمومی cache شود. اگر WAF تنها مسیر قدیمی را محافظت می‌کند، مسیر جدید باید در طرح حفاظت دیده شود. بازکردن عمومی همه endpointها برای حل یک خطای مثبت مناسب نیست؛ قانون و مسیر دقیق را بررسی کنید.
اگر از سایت بیرون ماندید
از مستندات همان افزونه، روش برگشت تنظیم یا غیرفعال‌سازی محدود را اجرا کنید. دسترسی به فایل‌ها فقط برای مالک یا مدیر مجاز است. در صورت تغییر نام موقت پوشه افزونه، پس از بازگشت نام و وضعیت آن را کنترل کنید؛ حدس‌زدن URL یا نصب ابزار ناشناخته راه بازیابی استاندارد نیست.
کنترل مؤثرتر ورود
- حساب مدیر مستقل و کم‌تعداد، رمز یکتا و MFA داشته باشید.
- تلاش‌های ورود و قفل اشتباه کاربر واقعی را پایش کنید.
- برای دسترسی مدیریتی خاص، محدودیت مبدأ را با IP واقعی و مسیر بازیابی طراحی کنید.
- مخفی‌شدن فرم را با رفع آسیب‌پذیری برنامه یا جلوگیری از دسترسی مجازنشده یکسان ندانید.
مطالعه مرتبط
منابع و مستندات
بازبینی محتوا و منابع: ۲۶ مهر ۱۴۰۵.
