WordPress सुरक्षा की आवश्यकता तेजी से बढ़ रही है। रिपोर्ट्स कहती हैं कि WordPress साइट्स प्रति मिनट 90,978 हमलों का अनुभव करती हैं। अपनी रिलीज के बाद से, WordPress ने 2,450 से अधिक कमजोरियों को पैच किया है। उन बुनियादी सुरक्षा उपायों के अलावा जो आप पहले से ही अपनी साइट की सुरक्षा के लिए कर रहे हैं, यहां कुछ उन्नत WordPress सुरक्षा उपाय हैं, जिसमें आपकी वेबसाइट पर WordPress DDoS (डिस्ट्रिब्यूटेड डेनियल ऑफ सर्विस) को कैसे रोका जाए, शामिल है।
1. HTTP ट्रेस कार्यक्षमता बंद करें
क्रॉस साइट स्क्रिप्टिंग (XSS) और क्रॉस साइट ट्रेसिंग (XST) जैसे हमले HTTP ट्रेस कार्यक्षमता के साथ सक्षम सिस्टम की ओर लक्षित होते हैं। अधिकांश वेब सर्वर डिफ़ॉल्ट रूप से HTTP ट्रेस के साथ कार्य करने के लिए सेट होते हैं जिसका उपयोग डिबगिंग जैसी गतिविधियों के लिए किया जाता है। हेडर अनुरोधों का उपयोग करके, हैकर्स क्रॉस साइट ट्रेसिंग हमले को निष्पादित करके कुकीज़ जैसी संवेदनशील जानकारी चुरा लेंगे। OWASP टॉप टेन प्रोजेक्ट WordPress वेबसाइटों पर कमजोरियों और हमलों की व्यापक सूची प्रदान करता है।
सभी भेद्यता प्रकारों में, क्रॉस साइट स्क्रिप्टिंग नंबर एक पर है। वास्तव में, 46.9% वेबसाइटें इस प्रकार के हमले के प्रति संवेदनशील हैं। HTTP ट्रेस कार्यक्षमता को निष्क्रिय करने के लिए, अपने .htaccess फ़ाइल में निम्न कोड जोड़ें।
RewriteEngine On RewriteCond %{REQUEST_METHOD} ^TRACE RewriteRule .* - [F]
2. WordPress इंस्टॉलेशन हेडर आउटपुट हटाएं
आपकी WordPress वेबसाइट के विभिन्न हिस्सों के लिए विशिष्ट सेवाओं को हेडर में बहुत सारे आउटपुट जोड़ने की आवश्यकता होती है। आप अपने थीम की "functions.php" फ़ाइल में नीचे दिए गए कोड को जोड़कर इन आउटपुट को हटा सकते हैं।
remove_action( 'wp_head', 'index_rel_link' ); remove_action( 'wp_head', 'feed_links', 2 ); remove_action( 'wp_head', 'feed_links_extra', 3 ); remove_action( 'wp_head', 'rsd_link' ); remove_action( 'wp_head', 'wlwmanifest_link' ); remove_action( 'wp_head', 'parent_post_rel_link', 10, 0 ); remove_action( 'wp_head', 'start_post_rel_link', 10, 0 ); remove_action( 'wp_head', 'adjacent_posts_rel_link_wp_head', 10, 0 ); remove_action( 'wp_head', 'wp_generator' ); remove_action( 'wp_head', 'wp_shortlink_wp_head', 10, 0 ); remove_action( 'wp_head', 'noindex', 1 );
3. WordPress के लिए डिफ़ॉल्ट डेटाबेस प्रीफिक्स बदलें
WordPress डेटाबेस टेबल के लिए डिफ़ॉल्ट प्रीफिक्स मान "wp_" है। हैकर्स और हानिकारक बॉट्स इस प्रीफिक्स मान का उपयोग आपके डेटाबेस टेबल नामों का सफलतापूर्वक अनुमान लगाने के लिए कर सकते हैं। चूंकि wp-config.php फ़ाइल वह जगह है जहां आपका WordPress डेटाबेस प्रीफिक्स मान सेट है, WordPress इंस्टॉल करते समय इस प्रीफिक्स मान को बदलना आसान है। आप Change Table Prefix प्लगइन का उपयोग कर सकते हैं, या यदि आप इसे मैन्युअली करना पसंद करते हैं, तो नीचे दिए गए चरणों का पालन करें:
1. अपने डेटाबेस का पूरी तरह से बैकअप लें और सुनिश्चित करें कि बैकअप को कहीं सुरक्षित स्थान पर सहेजें। यहां कुछ बैकअप प्लगइन हैं जिनका आप उपयोग कर सकते हैं।
2. अपने वेब होस्ट कंट्रोल पैनल में "phpmyadmin" का उपयोग करके अपने WordPress डेटाबेस को पूरी तरह से एक टेक्स्ट फ़ाइल में डंप करें। इस टेक्स्ट फ़ाइल का भी बैकअप लें।
3. अगला, सभी "wp_" प्रीफिक्स मानों को अपने स्वयं के प्रीफिक्स से बदलने के लिए एक कोड एडिटर का उपयोग करें।
4. अपने एडमिन पैनल में सभी प्लगइन को निष्क्रिय करें।
5. अब, तीसरे चरण में आपके द्वारा संपादित फ़ाइल का उपयोग करके, पुराने को phpMyAdmin के माध्यम से हटाने के बाद नया डेटाबेस इंपोर्ट करें।
6. नए डेटाबेस प्रीफिक्स मान का उपयोग करके "wp-config.php" फ़ाइल को संपादित करें।
7. अब, अपने WordPress प्लगइन को पुनः सक्रिय करें।
8. परमालिंक सेटिंग्स को सहेजने के लिए, सेटिंग्स पर जाएं और फिर परमालिंक्स पर; यह आपकी वेबसाइट की परमालिंक संरचना को रीफ्रेश करता है। ध्यान दें कि डेटाबेस प्रीफिक्स बदलने से आपका डोमेन नाम, URL और परमालिंक सेटिंग्स नहीं बदलनी चाहिए।
4. संभावित खतरनाक क्वेरी स्ट्रिंग्स को ब्लॉक करें
क्रॉस साइट स्क्रिप्टिंग (XSS) हमलों को रोकने के लिए, अपने .htaccess फ़ाइल में निम्न कोड जोड़ें। सबसे पहले, कोड जोड़ने से पहले, संभावित खतरनाक क्वेरी स्ट्रिंग्स की पहचान करें। URL अनुरोधों को इस नियम सेट द्वारा कई दुर्भावनापूर्ण इंजेक्शन से हटा दिया जाता है। यहां दो महत्वपूर्ण बातें ध्यान देने योग्य हैं:
- कुछ प्लगइन या थीम कार्यक्षमता तोड़ देते हैं यदि आप उन स्ट्रिंग्स को बाहर नहीं करते हैं जो वे पहले से उपयोग करते हैं।
- हालांकि नीचे दी गई स्ट्रिंग्स सबसे आम हैं, आप अधिक स्ट्रिंग्स जोड़ना चुन सकते हैं।
RewriteCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK) [NC] RewriteCond %{QUERY_STRING} ../ [NC,OR] RewriteCond %{QUERY_STRING} boot.ini [NC,OR] RewriteCond %{QUERY_STRING} tag= [NC,OR] RewriteCond %{QUERY_STRING} ftp: [NC,OR] RewriteCond %{QUERY_STRING} http: [NC,OR] RewriteCond %{QUERY_STRING} https: [NC,OR] RewriteCond %{QUERY_STRING} mosConfig [NC,OR] RewriteCond %{QUERY_STRING} ^.*([|]|(|)|<|>|'|"|;|?|*).* [NC,OR] RewriteCond %{QUERY_STRING} ^.*(%22|%27|%3C|%3E|%5C|%7B|%7C).* [NC,OR] RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127.0).* [NC,OR] RewriteCond %{QUERY_STRING} ^.*(globals|encode|config|localhost|loopback).* [NC,OR] RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|declare|drop).* [NC] RewriteRule ^(.*)$ - [F,L]
5. DDoS हमले को रोकने के लिए Deflect का उपयोग करें
नवोदित वेबसाइटें, स्वतंत्र मीडिया समूह, और अधिकांश मानवाधिकार कार्यकर्ताओं/समूहों की साइटों में आमतौर पर डिस्ट्रिब्यूटेड डेनियल ऑफ सर्विस (DDoS) हमले का सामना करने के लिए तकनीकी और वित्तीय संसाधन नहीं होते हैं। यहीं पर Deflect आता है। Deflect खुद को एक समाधान के रूप में स्थान देता है जो व्यावसायिक DDoS शमन विकल्पों से बेहतर है।
व्यावसायिक DDoS शमन विकल्प बहुत पैसा खर्च करते हैं और अगर उनकी सुरक्षा वाली वेबसाइट नियमित रूप से DDoS हमलों को आकर्षित करती है तो उनकी सेवा शर्तों को बदल सकते हैं। Deflect वेबसाइटों को लगातार सुरक्षा में रखकर DDoS हमलों को सक्रिय रूप से रोकता है।
अपनी वेबसाइट पर Deflect का उपयोग करने का एक अतिरिक्त लाभ यह है कि यह आपके क्लाइंट के सर्वर और सिसएडमिन संसाधनों पर तनाव को कम करके आपको पैसे बचाता है। Deflect अपने सभी सोर्स कोड और डॉक्यूमेंटेशन को क्रिएटिव कॉमन्स लाइसेंस के तहत सार्वजनिक डोमेन में रखता है; यह किसी को भी अपने स्वयं के Deflect नेटवर्क को स्थापित करके DDoS हमलों को कम करने की अनुमति देता है। आप उनकी वेबसाइट पर मुफ्त में साइन अप कर सकते हैं और तुरंत सेवा का उपयोग शुरू कर सकते हैं।
6. सिक्योर सॉकेट लेयर (SSL) और फ़ायरवॉल सुरक्षा का उपयोग करें
Sucuri जैसी सुरक्षा सेवाएं PCI अनुपालन वाले सिक्योर सॉकेट लेयर (SSL) सर्टिफिकेट और फ़ायरवॉल सुरक्षा स्थापित करने जैसे सुरक्षा विकल्प प्रदान करती हैं। यह गैर-तकनीकी लोगों सहित सभी के लिए आसानी से सुलभ विकल्प है।
आप इस तरह के सुरक्षा समाधानों को आसानी से सेट अप कर सकते हैं और इसे पृष्ठभूमि में काम करने दे सकते हैं, और कुछ मामलों में, आवश्यकतानुसार स्वयं को अपडेट भी कर सकते हैं (जैसे Sucuri)। यह एक अत्यधिक प्रभावी, कम रखरखाव वाला सुरक्षा विकल्प है।
कई WordPress प्लगइन आपकी साइट पर सिक्योर सॉकेट लेयर (SSL) सर्टिफिकेट जोड़ने के लिए उपयोग किए जा सकते हैं। कुछ सबसे अनुशंसित WordPress SSL प्लगइन में CM HTTPS Pro, Really Simple SSL, WP Force SSL, SSL Insecure Content Fixer, और Easy HTTPS Redirection शामिल हैं।
समेटना
उपरोक्त बिंदुओं का उपयोग करके आप उल्लेखनीय साइट सुरक्षा सुधारों का अनुभव करेंगे। यह ध्यान रखना उपयोगी है कि WordPress सुरक्षा हमेशा विकसित हो रही है। लक्ष्य जोखिमों को कम करना है, उन्हें खत्म नहीं करना, क्योंकि ऐसा करना लगभग असंभव है। WordPress सुरक्षा गतिशील है और परतों में काम करती है, इसलिए कोई एक-प्लगइन-फिट-सभी या एक-रणनीति-फिट-सभी नहीं है।
