वर्डप्रेस हैक रोकें: प्रमुख सुरक्षा गलतियां और सुधार

वर्डप्रेस सुरक्षा गलतियां: क्या आप जानते हैं कि वर्डप्रेस वेबसाइट्स पर हर मिनट लगभग 90,978 हैक प्रयास किए जाते हैं? एक बार आपकी साइट हैक हो जाने पर, हैकर्स इसका उपयोग स्पैम ईमेल भेजने (पढ़ें - फिशिंग हैक), अन्य वेबसाइट्स पर हमला करने, स्पैम लिंक इंजेक्ट करने, विजिटर्स को रीडायरेक्ट करने आदि जैसी सभी प्रकार की दुर्भावनापूर्ण गतिविधियों को अंजाम देने के लिए करते हैं।

यही कारण है कि आपके जैसे वर्डप्रेस साइट मालिकों को अपनी सुरक्षा चिंताओं को गंभीरता से लेना होगा। ऐसी कोई जादुई गोली नहीं है जिसका उपयोग आप अपनी सभी सुरक्षा जरूरतों को हल करने के लिए कर सकें, बल्कि आपको कई चीजें सही ढंग से करने की आवश्यकता है। इंटरनेट पर आपकी साइट को सुरक्षित रखने के तरीके पर अनगिनत सलाह हैं। उनमें से कुछ विरोधाभासी सलाह हैं और कुछ सिर्फ पुरानी हैं। एक साइट मालिक को क्या करना चाहिए और क्या नहीं, इस पर कई राय भ्रम पैदा करती हैं और उस सारे भ्रम के बीच, गलतियां अपरिहार्य हैं।

साइट की सुरक्षा बनाए रखना कोई आसान काम नहीं है खासकर नए साइट-मालिकों के लिए जो उन गलतियों को करने की संभावना रखते हैं जो उन्हें आम हैक अटैक्स के प्रति संवेदनशील बना सकती हैं। वेबसाइट मालिकों द्वारा की जाने वाली आम सुरक्षा गलतियों को जानने से उन्हें टालने में मदद मिलेगी। और इसीलिए हम इस सूची के साथ आए ताकि आप उन गलतियों को करना बंद कर सकें जो अधिकांश वर्डप्रेस साइट मालिक करते हैं।

साइट मालिकों द्वारा की जाने वाली शीर्ष वर्डप्रेस सुरक्षा गलतियां:

हम नीचे दिए गए उपायों को अपनाने से पहले वर्डप्रेस सुरक्षा ऑडिट चलाने का सुझाव देते हैं -

1. वर्डप्रेस कोर, प्लगइन और थीम्स को अपडेट न करना

वर्डप्रेस कोर और ऐड-ऑन्स (यानी थीम्स और प्लगइन्स) को अपडेट रखना एक अच्छी सुरक्षा उपाय है। उन्हें अपडेट करने से न केवल साइट पर अधिक सुविधाएं जुड़ती हैं बल्कि कमजोरियों को पैच करने में भी मदद मिलती है। वर्डप्रेस जिस पारिस्थितिकी तंत्र में काम करता है, उसे देखते हुए, कमजोरियों के बारे में खबर बहुत तेजी से फैलती है और हैकर स्थिति का फायदा उठाने की कोशिश करता है। अगर आप अपनी साइट को अपडेट नहीं करते जिससे भेद्यता पैच हो जाती, तो आपकी साइट में घुसना आसान हो जाएगा।

जबकि कुछ साइट मालिक अपनी साइट को अपडेट नहीं करते क्योंकि वे अनजान हैं कि अपडेट सुरक्षा से कैसे जुड़े हैं, अन्य असंगति से डरते हैं। वर्डप्रेस वेबसाइट्स वर्डप्रेस कोर, और इसके ऐड-ऑन्स को अपडेट करने के बाद टूट सकती हैं।

वर्डप्रेस अपग्रेड को सभी पिछले वर्जन के साथ संगत होने के लिए डिज़ाइन किया गया है। इस प्रकार अगर आपकी साइट वर्जन 4.1 चला रही है, तो आप इसे अभी भी नवीनतम वर्जन, मान लें 4.9 में अपडेट कर सकते हैं। लेकिन सभी सावधानियों के बावजूद, प्रत्येक अपडेट वेबसाइट क्रैश की खबर लाता है। यहां नवीनतम वर्डप्रेस वर्जन 4.9.6 का एक उदाहरण है।

वर्डप्रेस ऐड-ऑन्स, यानी थीम्स और प्लगइन्स को अपडेट करते समय आप इसी तरह की समस्याओं का सामना कर सकते हैं। अक्सर थीम्स और प्लगइन्स में असंगति समस्या उत्पन्न होती है क्योंकि डेवलपर को नया अपडेट जारी करने की जल्दी थी या शायद डेवलपर अक्षम था। प्लगइन्स और थीम्स का वास्तव में प्रतिस्पर्धी बाजार है और बाकी से अलग दिखने की होड़ में, डेवलपर्स को कम से कम समय में अधिक से अधिक नई सुविधाएं जोड़ने के लिए मजबूर किया जाता है। कभी-कभी उन्हें यह देखने के लिए पर्याप्त समय नहीं दिया जाता कि क्या वर्जन वर्डप्रेस के हर पिछले वर्जन के साथ संगत है। और इसलिए अगर कोई बहुत प्रारंभिक वर्डप्रेस वर्जन का उपयोग कर रहा है, और एक प्लगइन अपडेट करता है जो केवल नवीनतम कुछ वर्डप्रेस वर्जन के साथ काम करता है, तो उसकी साइट टूट जाती है।

वर्डप्रेस कोर और एक ऐड-ऑन के बीच असंगति मुद्दों को लेकर चिंताएं साइट मालिकों को सुरक्षा अपडेट छोड़ने के लिए प्रेरित कर सकती हैं।

इसे कैसे ठीक करें: एक स्टेजिंग सेवा इस समस्या को हल कर सकती है। वर्डप्रेस कोर और इसके ऐड-ऑन्स की इंस्टॉलेशन का परीक्षण करने के उद्देश्य से एक डुप्लीकेट साइट बनाने की प्रक्रिया को स्टेजिंग कहा जाता है। BlogVault जैसी बैकअप सेवाएं या Kinsta जैसे वेब होस्ट प्रोवाइडर स्टेजिंग वातावरण प्रदान करते हैं। अपने वेब होस्ट या बैकअप सेवाओं (अगर आप एक का उपयोग कर रहे हैं) से जांचें कि क्या उनके पास साइट को स्टेज करने का विकल्प है। अगर नहीं, तो किसी ऐसी सेवा के साथ साइन अप करें जो आपको साइट स्टेज करने की अनुमति देती है।

अपने प्लगइन्स, थीम्स, और कोर को अपडेट रखने के अलावा, हम दृढ़ता से सुझाव देते हैं कि आप अपने वर्डप्रेस साल्ट और सुरक्षा कुंजियों को अपडेट रखें।

2. खराब गुणवत्ता वाले ऐड-ऑन्स का उपयोग करना

सभी वर्डप्रेस प्लगइन्स और थीम्स अच्छी तरह से नहीं बने होते। कुछ गुणवत्ता आश्वासन जांच को नजरअंदाज करते हैं, जबकि अन्य शौकिया प्रोग्रामर्स द्वारा विकसित किए जाते हैं। यह महत्वपूर्ण है कि उपयोगकर्ता इस बात पर ध्यान दे कि वह क्या उपयोग या खरीदना चुन रहा है। लेकिन दुर्भाग्य से, कई वर्डप्रेस उपयोगकर्ताओं के पास कोई तकनीकी ज्ञान नहीं होता जो उन्हें यह पता लगाने में असमर्थ बनाता है कि प्लगइन या थीम कितना अच्छा है।

इसे कैसे ठीक करें: ऐसे उपयोगकर्ताओं की मदद के लिए, हमने कुछ विशेषताओं को सूचीबद्ध किया है जो एक अच्छे थीम या प्लगइन को पहचानने में मदद करेंगे:

i. सुनिश्चित करें कि आप ऐड-ऑन्स को प्रतिष्ठित स्रोत से प्राप्त करते हैं जैसे वर्डप्रेस प्लगइन रिपॉजिटरी या Elegant Themes, Themeforest आदि जैसे लोकप्रिय विक्रेता।

ii. सुनिश्चित करें कि ऐड-ऑन्स की वर्डप्रेस रिपॉजिटरी पर अच्छी रेटिंग है और उन लोगों द्वारा समीक्षा की गई है जिन्होंने अपनी साइट पर थीम/प्लगइन का उपयोग किया है। एक त्वरित गूगल खोज आपको समीक्षाएं खोजने में मदद करेगी।

iii. सत्यापित करें कि प्लगइन लंबे समय से मौजूद है और इसने समय की कसौटी पर खरा उतरा है। वर्डप्रेस रिपॉजिटरी या आधिकारिक वेबसाइट पर सूचीबद्ध सुरक्षा अपडेट और बग फिक्स देखें।

iv. और सुनिश्चित करें कि वे अक्सर अपडेट किए जाते हैं और हालिया अपडेट 2 महीने से कम समय पहले किया गया हो।

3. अवैध प्लगइन्स और थीम्स का उपयोग करना

बहुत सारी वेबसाइट्स प्रीमियम थीम्स और प्लगइन को मुफ्त में बेचती हैं। इन मुफ्त उत्पादों का उपयोग विनाशकारी हो सकता है क्योंकि इनमें से कई वर्डप्रेस ऐड-ऑन्स में जानबूझकर मैलवेयर इंजेक्ट किया गया होता है। इन अवैध ऐड-ऑन्स को अपनी साइट्स में इंस्टॉल करना दरवाजे खोलने और हैकर्स को अपनी साइट पर आमंत्रित करने जैसा है। एक बार जब कोई हमलावर आपके द्वारा इंस्टॉल किए गए थीम/प्लगइन में खराब कोड का उपयोग करके आपकी साइट में घुसने में सफल हो जाता है, तो वे आपकी साइट का उपयोग स्पैम ईमेल भेजने या अन्य साइट्स पर हमला करने जैसी कई दुर्भावनापूर्ण गतिविधियों को अंजाम देने के लिए करेंगे। इसके अलावा, आपकी साइट पर मैलवेयर होने से यह समझौता माना जाता है जो होस्टिंग प्रोवाइडर्स को आपका अकाउंट निलंबित करने, गूगल जैसे सर्च इंजन्स को आपकी साइट को ब्लैकलिस्ट करने, और आपके ऐडवर्ड्स अकाउंट को निलंबित करने का कारण बनता है।

इसे कैसे ठीक करें: ThemeForest, Elegant Themes, आदि जैसे लोकप्रिय मार्केटप्लेस से मूल थीम्स और प्लगइन्स खरीदें। बिक्री अवधि के दौरान, कोई बहुत कम कीमतों पर थीम्स और प्लगइन खरीद सकता है। कोई अपनी पसंद के थीम या प्लगइन की आधिकारिक वेबसाइट्स देख सकता है।

4. अपनी साइट पर अप्रयुक्त प्लगइन्स और थीम्स रखना

वेबसाइट पर अप्रयुक्त थीम्स और प्लगइन्स रखना हैकर्स को आपकी साइट में घुसपैठ करने का अवसर प्रदान करता है। कई साइट मालिक निष्क्रिय ऐड-ऑन्स को अपडेट नहीं करते क्योंकि वे सुरक्षा लाभों से अनजान हैं। उनके लिए, अपडेट नई सुविधाएं लाते हैं, और चूंकि वे प्लगइन का उपयोग नहीं कर रहे हैं, उन्हें लगता है कि उन्हें नई सुविधाओं की आवश्यकता नहीं है। अगर कोई अपडेट भेद्यता को पैच करने के लिए जारी किया गया था, तो आपकी साइट तब तक जोखिम में रहती है जब तक आप इसे अपडेट नहीं करते।

इसे कैसे ठीक करें: यहां एकमात्र समाधान निष्क्रिय वर्डप्रेस थीम्स और प्लगइन से छुटकारा पाना है। यहां कैसे:

'इंस्टॉल्ड प्लगइन्स' पेज पर जाएं अपने साइट के वर्डप्रेस डैशबोर्ड से।

पेज में, 'निष्क्रिय' नामक एक विकल्प है। उसे चुनें।

यह आपको एक अन्य पेज पर ले जाएगा जहां से आप निष्क्रिय प्लगइन्स को हटा सकते हैं। लेकिन 'निष्क्रिय' बटन दबाने से पहले, हम सुझाव देते हैं कि आप सुनिश्चित करें कि आपको निकट भविष्य में उस विशेष प्लगइन की आवश्यकता नहीं होगी।

5. खराब वेबसाइट लॉगिन प्रथाओं का उपयोग करना

दो आम और फिर भी बहुत खतरनाक लॉगिन प्रथाएं हैं अनुमान लगाने में आसान लॉगिन क्रेडेंशियल्स का उपयोग करना और साइट का उपयोग न होने पर लॉगआउट न करना। हमलावर बॉट्स को प्रोग्राम करते हैं जो आसानी से याद रखने वाले यूजरनेम (जैसे admin) और पासवर्ड (जैसे password123) के संयोजन का उपयोग करके आपकी साइट में लॉगिन करने की कोशिश करते हैं। साइट को हैक करने की इस विचित्र विधि को ब्रूट फोर्स अटैक कहा जाता है।

इसे कैसे ठीक करें: यह सिफारिश की जाती है कि आप एक यूनिक यूजरनेम और पासवर्ड का उपयोग करें (अनुशंसित पढ़ें - वर्डप्रेस लॉगिन पेज सुरक्षा गाइड)। यहां एक नकारात्मक पहलू यह है कि यूनिक क्रेडेंशियल्स याद रखना कठिन होता है। इसलिए आपको इन क्रेडेंशियल्स को ले जाने वाला एक दस्तावेज बनाए रखना होगा। और सुनिश्चित करें कि दस्तावेज एन्क्रिप्टेड है ताकि अनधिकृत पहुंच को रोका जा सके।

6. हर यूजर को एडमिन एक्सेस देना

हर उपयोगकर्ता को एडमिन बनाना एक बुरा विचार है खासकर उन वेबसाइट्स के लिए जहां बड़ी संख्या में उपयोगकर्ता हैं जिन्हें साइट मालिक व्यक्तिगत रूप से नहीं जानता। वर्डप्रेस साइट मालिकों को उपयोगकर्ताओं को निम्नलिखित भूमिकाएं असाइन करने की अनुमति देता है - एडमिनिस्ट्रेटर, एडिटर, ऑथर, कंट्रीब्यूटर, सब्सक्राइबर, SEO मैनेजर, SEO एडिटर। हर किसी को एडमिन बनाना जोखिम भरा है क्योंकि यह साइट के सभी क्षेत्रों तक पहुंच प्रदान करता है।

उपयोगकर्ताओं को पूरी साइट तक अप्रतिबंधित पहुंच देना शोषण की ओर ले जाता है जैसा कि टेकक्रंच (एक लोकप्रिय टेक साइट) के मामले में देखा गया था जिसे आवरमाइन (एक हैकर समूह) द्वारा हैक किया गया था। एक उपयोगकर्ता खाते तक पहुंच प्राप्त करने के बाद, आवरमाइन साइट पर पोस्ट करने में सक्षम थे। यहां टेकक्रंच के हैक होने के बाद पाठकों के जागने पर होम पेज का स्क्रीनशॉट है:

इसे कैसे ठीक करें: वर्डप्रेस पर प्रत्येक उपयोगकर्ता भूमिका साइट के केवल विशिष्ट क्षेत्रों तक पहुंच की अनुमति देती है। इस आधार पर कि आपको अपनी साइट पर एक उपयोगकर्ता को क्या करने की आवश्यकता है, आप इन भूमिकाओं को असाइन कर सकते हैं। इस सिद्धांत का पालन करने से यह सुनिश्चित होता है कि केवल वे लोग जिन पर आप भरोसा करते हैं, पूरी साइट तक पहुंच सकते हैं। और अगर कुछ गलत होता है, तो आप जानते हैं कि कौन जवाबदेह है।

7. बैकअप न लेना

बैकअप आपका सुरक्षा जाल है। एक को न रखना आपको मुसीबत में डाल सकता है जब आपदा आती है। अगर आपकी साइट हैक हो जाती है और पोस्ट डिलीट हो जाते हैं, तो आप बैकअप का उपयोग करके अपनी साइट को आसानी से सामान्य स्थिति में बहाल कर सकते हैं। लेकिन किसी भी बैकअप सेवा का उपयोग करना उचित नहीं है क्योंकि कई बैकअप सेवाएं कुशल नहीं हैं। उदाहरण के लिए, कई बैकअप प्लगइन्स बैकअप को आपके वेब सर्वर में स्टोर करते हैं। उनमें से कुछ बैकअप को एक ही स्थान पर स्टोर करते हैं। आपका वेबसाइट सर्वर बैकअप स्टोर करने के लिए आदर्श स्थान नहीं है क्योंकि सर्वर नियमित प्रक्रियाओं को करने के अलावा बैकअप का बोझ उठाता है। यह आपकी साइट की गति को धीमा कर देता है। केवल एक बैकअप स्टोर करने का मतलब है कि अगर आप उस बैकअप को खो देते हैं, तो आपके पास वापस गिरने के लिए कोई अन्य बैकअप नहीं होगा।

इसे कैसे ठीक करें: बैकअप सेवा चुनने से पहले, यह देखने के लिए सुविधाओं की जांच करें कि वे बैकअप कहां स्टोर करते हैं। अगर आपको उचित जानकारी नहीं मिलती है, तो उन्हें सीधे सवाल पूछने के लिए मेल करें कि वे बैकअप कहां स्टोर करते हैं और क्या वे इसे कई स्थानों पर स्टोर करते हैं। विश्वसनीय बैकअप कैसे चुनें, इसके बारे में अधिक जानने के लिए इस पोस्ट को देखें।

8. सुरक्षा सेवा का उपयोग न करना

कई वेबसाइट मालिक, विशेष रूप से जिनके पास छोटी वेबसाइट्स हैं जो कम ट्रैफिक आकर्षित करती हैं, सोचते हैं कि उनकी साइट महत्वहीन है और इसलिए हैकर का ध्यान आकर्षित नहीं करेगी। लेकिन आज हैकर्स के पास छोटी वेबसाइट पर हमला करने के बहुत सारे कारण हैं। वे इसका उपयोग फाइलें स्टोर करने या स्पैम मेल भेजने जैसी अन्य चीजों के लिए कर सकते हैं। कई हैकिंग समूह, वास्तव में, छोटी साइट पर हमला करना पसंद करते हैं क्योंकि छोटी वेबसाइट्स अपनी सुरक्षा के प्रति लापरवाह होती हैं और इसलिए हैक करना आसान होता है। वे बड़े पैमाने पर ब्रूट फोर्स अटैक लॉन्च करते हैं जहां बॉट्स सही यूजरनेम और क्रेडेंशियल्स का अनुमान लगाकर साइट में घुसने की कोशिश करते हैं। सबसे पसंदीदा हैकिंग तकनीकों में से एक कमजोर प्लगइन्स और थीम्स का लाभ उठाना शामिल है।

इसे कैसे ठीक करें: एक मानक सुरक्षा सेवा वर्डप्रेस फायरवॉल जैसी आवश्यक सुरक्षा सुविधाएं प्रदान करती है जो हैकर्स को आपकी साइट में ब्रूट-फोर्स करने से रोकने में मदद करती है।

उपरोक्त उपायों को अपनाकर अपनी साइट को ठीक करने के अलावा, आप कुछ और सुरक्षा उपाय कर सकते हैं। हम इस गाइड का पालन करने का दृढ़ता से सुझाव देते हैं - wp-config.php के साथ अपनी वर्डप्रेस साइट को सुरक्षित करें।

जब भी प्लगइन या थीम या यहां तक कि कोर में कोई भेद्यता सामने आती है, डेवलपर्स अपडेट के माध्यम से एक पैच जारी करते हैं। इसलिए अपने सभी थीम्स, और प्लगइन्स और वर्डप्रेस कोर को अपडेट रखना एक अच्छी सुरक्षा प्रथा है। MalCare - वहां के सर्वश्रेष्ठ वर्डप्रेस सुरक्षा प्लगइन्स में से एक साइट प्रबंधन सुविधा प्रदान करता है जो आपको MalCare डैशबोर्ड से प्लगइन्स, थीम्स, और वर्डप्रेस कोर को अपडेट करने की अनुमति देता है। यह उन लोगों के लिए विशेष रूप से उपयोगी है जिनके पास बनाए रखने के लिए कई वेबसाइट्स हैं। प्रत्येक वेबसाइट में लॉगिन करना और थीम्स, प्लगइन्स, और कोर को अपडेट करना एक समय लेने वाला काम है। MalCare जैसी सेवाएं साइट मालिकों के लिए अच्छी सुरक्षा प्रथाओं का पालन करना आसान बनाती हैं।

फायरवॉल और साइट प्रबंधन के अलावा, एक सुरक्षा प्लगइन दैनिक स्कैनिंग सेवाएं भी प्रदान करता है। अगर आपकी वेबसाइट मैलवेयर-संक्रमित है, तो प्लगइन आपकी हैक की गई वेबसाइट को ठीक करने में आपकी मदद करेगा। अगर आप एक टीम द्वारा सीधे आपको वर्डप्रेस वेबसाइट रखरखाव सेवाएं प्रदान करके अपनी वेबसाइट सुरक्षा को पूरी तरह से प्रबंधित करने में अधिक सहज महसूस करेंगे, तो WP Buffs एक बढ़िया विकल्प होगा। वे अपडेट, सुरक्षा, वेबसाइट गति और चल रहे संपादनों की देखभाल करते हैं चाहे आप 1 वेबसाइट या 1000 प्रबंधित कर रहे हों!

आगे क्या?

एक अच्छे वर्डप्रेस सुरक्षा प्लगइन का उपयोग करना एक सुरक्षित वेबसाइट बनाने या वर्डप्रेस को सुरक्षित रखने की दिशा में पहला कदम है। कुछ और सुरक्षा उपाय जो आप कर सकते हैं उनमें IP ब्लॉकिंग, लॉगिन पेज की रक्षा करना, और वर्डप्रेस सुरक्षा पर इस पूर्ण गाइड का पालन करना शामिल है ताकि आप अपनी वर्डप्रेस साइट को कैसे सुरक्षित करें, इस पर आगे जान सकें।

अगर आपने अतीत में इनमें से कोई गलती की है, तो उम्मीद है, पोस्ट ने यह देखने में मदद की कि आप क्या गलत कर रहे थे और उन्हें कैसे ठीक करें। हम इन वर्डप्रेस सुरक्षा गलतियों और उनके सुधारों के बारे में आपके किसी भी प्रश्न का स्वागत करते हैं। कृपया हमारे संपर्क पृष्ठ के माध्यम से हमसे संपर्क करें।