आप शायद पहले से ही अपनी WordPress वेबसाइट की सुरक्षा के लिए लेने वाले स्पष्ट सुरक्षा उपायों को जानते हैं।
संभवतः आप जानते हैं कि आपको अपने साइट के पासवर्ड को "मजबूत" बनाना होगा (विशेष वर्णों, बड़े अक्षरों, छोटे अक्षरों और संख्याओं का मिश्रण)। आपको "admin" को उपयोगकर्ता नाम के रूप में उपयोग नहीं करना चाहिए, और आपको अक्सर पासवर्ड बदलना चाहिए। आप शायद पहले से ही अपनी WordPress साइट पर दो-कारक प्रमाणीकरण का उपयोग करते हैं और अपनी साइट का बैकअप रखते हैं। और आप कभी भी प्रीमियम प्लगइन को मुफ्त में या अज्ञात स्रोतों से डाउनलोड नहीं करते हैं। तो और क्या है?
यहां हम कुछ और WordPress सुरक्षा टिप्स पर चर्चा करेंगे जो कम ज्ञात लेकिन गहन रूप से प्रभावी तरीके हैं जिनका आप उपयोग कर सकते हैं, और अपनी WordPress साइट की रक्षा के लिए उपयोग करना चाहिए।
1. अपने लॉगिन पेज का नाम बदलें या स्थानांतरित करें
आपकी साइट के लिए डिफ़ॉल्ट लॉगिन पेज "www.websitename.com/wp-login.php" (या "www.websitename.com/wp-admin") है। अपनी साइट की सुरक्षा करने के तरीकों में से एक लॉगिन पेज को छिपाना या अस्पष्ट करना है ताकि हैकर्स इसे आसानी से न ढूंढ सकें। हर बार लॉगिन प्रयासों की संख्या और लॉगिन प्रयासों के बीच समय अवधि को सीमित करके अपने लॉगिन एक्सेस को नियंत्रित करना भी सुरक्षा में सुधार करेगा।
यदि आपके पास पहले से Jetpack इंस्टॉल है, तो आप इसके "ब्रूट फोर्स प्रोटेक्शन" मॉड्यूल को सक्रिय कर सकते हैं। इस मॉड्यूल के सक्रिय होने पर, Jetpack डैशबोर्ड को आपकी वेबसाइट पर दुर्भावनापूर्ण लॉगिन प्रयासों की संख्या के साथ अपडेट करेगा। आपके पास कई IP पतों को व्हाइटलिस्ट करने का विकल्प भी है। Jetpack से "सेटिंग्स" पर जाएं और फिर "सुरक्षा", इसके बाद "कॉन्फ़िगर करें", और आप नीचे दी गई छवि की तरह कुछ देखेंगे।
Cerber Security और Limit Login Attempt Jetpack का एक विकल्प प्लगइन है। यदि आप Jetpack का उपयोग नहीं करना चाहते हैं, तो Limit Login एक विकल्प है। लिखने की तारीख तक, प्लगइन को 40,000 से अधिक बार इंस्टॉल किया गया है और 111 में से 108 उपयोगकर्ताओं द्वारा पांच सितारा रेटिंग के साथ लगभग बेदाग प्रतिष्ठा बनाए रखता है।
Limit Login उपयोग करने में काफी आसान है, लेकिन इसके "हार्डनिंग" अनुभाग को कॉन्फ़िगर करने से आपकी साइट की सुरक्षा में सुधार होता है। XML-RPC सर्वर तक सभी पहुंच, जिसमें ट्रैकबैक और पिंगबैक शामिल हैं, डिफ़ॉल्ट रूप से अवरुद्ध हैं। यदि किसी भी कारण से आप WordPress के REST API तक पहुंच रहे होंगे (उदाहरण के लिए, आपके ब्लॉग के Android या iOS ऐप को इसकी आवश्यकता है), तो WP REST API और XML-RPC को सुलभ रहने दें।
2. जहां सुरक्षित हो वहां होस्ट करें
चूंकि WordPress साइट्स के सुरक्षा उल्लंघनों का एक बड़ा इकतालीस प्रतिशत होस्ट के अंत से उत्पन्न होता है न कि साइट से ही, यह सामान्य ज्ञान है कि यह सुनिश्चित करें कि आपका होस्ट सुरक्षित है। वास्तव में, होस्टिंग सुरक्षा के मामले में सबसे अधिक वजन रखती है। केवल आठ प्रतिशत हैक कमजोर पासवर्ड के कारण होते हैं, उनतीस प्रतिशत थीम के कारण, और बाईस प्रतिशत प्लगइन के कारण। तो आपकी साइट की सुरक्षा का लगभग आधा हिस्सा होस्टिंग पर निर्भर करता है।
सुनिश्चित करें कि यदि आप शेयर्ड होस्टिंग का उपयोग करते हैं तो आपके खाते में खाता अलगाव शामिल है। आपका खाता अन्य लोगों की वेबसाइटों पर जो कुछ भी होता है उससे सुरक्षित रहेगा। हालांकि, यह सबसे अच्छा है कि आप एक ऐसी सेवा का उपयोग करें जिसे WordPress उपयोगकर्ताओं को ध्यान में रखकर डिज़ाइन किया गया हो। ऐसी सेवाओं में WordPress फ़ायरवॉल, जीरो-डे मालवेयर हमला सुरक्षा, अपडेटेड MySQL और PHP, विशेष WordPress सर्वर, और WordPress-प्रेमी ग्राहक सेवा शामिल होगी। WP Engine, Siteground, और Pagely जैसे होस्ट के मजबूत सुरक्षा ट्रैक रिकॉर्ड हैं।
3. अपडेट रहें और केवल अपडेटेड सॉफ़्टवेयर का उपयोग करें
आप जानते हैं कि आपको अपने कंप्यूटर के लिए अपडेटेड एंटीवायरस और अन्य प्रासंगिक एंटी-मालवेयर सुरक्षा का उपयोग करना होगा। यह सावधानी प्लगइन और थीम के लिए भी लागू होती है। उन्हें अपडेट रखें, और यदि आपके रिपॉजिटरी में कोई थीम या प्लगइन हैं जो उपयोग में नहीं हैं, तो उन्हें हटा दें। यदि यह आपकी साइट के लिए सही है, तो अपने प्लगइन और थीम को स्वचालित रूप से अपडेट करने के लिए सेट करने पर विचार करें। स्वचालित अपडेट सेट अप करने के लिए, अपने wp-config.php में कुछ कोड डालें। प्लगइन के लिए निम्न कोड है:
add_filter( 'auto_update_plugin', '__return_true' );
और थीम के लिए, इस कोड का उपयोग करें:
add_filter( 'auto_update_theme', '__return_true' );
यदि आप साइट रखरखाव के लिए हैंड्स-ऑफ दृष्टिकोण चाहते हैं, तो आप WordPress अपडेट को स्वचालित करने पर विचार कर सकते हैं। ध्यान दें, हालांकि, स्वचालित अपडेट सेट अप करना आपकी साइट को तोड़ सकता है, खासकर यदि आपकी साइट पर नवीनतम WordPress अपडेट के साथ असंगत प्लगइन चल रहे हैं। अपनी WordPress साइट के लिए स्वचालित अपडेट सेट अप करने के लिए, नीचे दिए गए कोड को अपनी wp-config.php फ़ाइल में डालें:
# सभी कोर अपडेट सक्षम करें, मामूली और प्रमुख सहित: define( 'WP_AUTO_UPDATE_CORE', true );
4. प्लगइन थीम संपादक और PHP त्रुटि रिपोर्टिंग हटाएं
यदि आप नियमित रूप से सेटिंग्स को ट्वीक और बदलते नहीं हैं (या अपने प्लगइन और थीम पर कोई अन्य रखरखाव नहीं चलाते हैं) तो प्लगइन और थीम के लिए अपने बिल्ट-इन संपादक को अक्षम करें। यह आपकी वेबसाइट की सुरक्षा के लिए है।
अधिकृत WordPress उपयोगकर्ताओं की इस संपादक तक पहुंच होती है, जिससे आपकी साइट सुरक्षा उल्लंघन के प्रति संवेदनशील हो जाती है यदि उनके खाते हैक हो जाते हैं। वास्तव में, हैकर्स उस संपादक में कोड को संशोधित करके आपकी साइट को गिरा सकते हैं। संपादक को अक्षम करने के लिए, नीचे दिए गए कोड को अपने wp-config.php में डालें:
define( 'DISALLOW_FILE_EDIT', true );
त्रुटि रिपोर्टिंग अच्छी है। यह समस्या निवारण में आपकी मदद करता है। एकमात्र समस्या (और यह एक बड़ी समस्या है) यह है कि त्रुटि संदेश आपके सर्वर पथ को भी साथ ले जाते हैं। हैकर्स आपके सर्वर पथ को देख सकते हैं और आसानी से आपकी वेबसाइट की संरचना की स्पष्ट समझ प्राप्त कर सकते हैं। हालांकि PHP त्रुटि रिपोर्टिंग अच्छी है, इसे पूरी तरह से अक्षम करना सर्वोत्तम है। अपने wp-config.php फ़ाइल के लिए नीचे दिए गए कोड स्निपेट का उपयोग करें:
error_reporting(0); @ini_set('display_errors', 0);
5. विशेष-उद्देश्य फ़ाइलों की सुरक्षा के लिए .htaccess का उपयोग करें
.htaccess फ़ाइल महत्वपूर्ण है क्योंकि यह आपकी WordPress वेबसाइट का दिल है। यह फ़ाइल आपकी साइट की परमालिंक संरचना और सुरक्षा के लिए जिम्मेदार है। #BEGIN WordPress और #END WordPress टैग के बाहर, आपके वेबसाइट के डायरेक्टरी के अंदर फ़ाइलों की दृश्यता बदलने के लिए आप अपने .htaccess फ़ाइल में कोड स्निपेट की संख्या की कोई सीमा नहीं है।
यदि आपने पहले से नहीं किया है, तो अपनी साइट की wp-config.php फ़ाइल को छिपाएं। वह फ़ाइल आपकी साइट की गतिविधियों के लिए महत्वपूर्ण है और इसमें आपकी व्यक्तिगत जानकारी के साथ-साथ आपकी साइट से संबंधित अन्य महत्वपूर्ण विवरण शामिल हैं। आप इसे छिपाने के लिए नीचे दिए गए कोड स्निपेट का उपयोग कर सकते हैं।
order allow,deny deny from all
एडमिन एक्सेस को प्रतिबंधित करने के लिए, बस एक नई .htaccess फ़ाइल बनाएं और इसे अपने "wp-admin" डायरेक्टरी में अपलोड करें। इसके बाद, यह कोड डालें:
order deny,allow allow from 192.168.5.1 deny from all
सही स्थान पर अपना IP पता डालें। अपने wp-admin तक कई IP पतों से पहुंच की अनुमति देने के लिए, उन IP पतों को सूचीबद्ध करें, उनमें से प्रत्येक को एक अलग लाइन पर, allow from IP Address के रूप में। आप अपने wp-login.php तक पहुंच को लगभग उसी तरह प्रतिबंधित कर सकते हैं। बस अपने .htaccess में यह कोड स्निपेट जोड़ें:
order deny,allow Deny from all # मेरे IP पते से पहुंच की अनुमति दें allow from 192.168.5.1
यदि आप सभी IP पतों को ब्लॉक नहीं करना बल्कि केवल उन विशिष्ट IP पतों को ब्लॉक करना चाहते हैं जो आपके wp-admin या wp-login.php तक पहुंच प्राप्त करना चाहते हैं, तो आप इस कोड का उपयोग करके व्यक्तिगत IP पतों को ब्लॉक कर सकते हैं:
order allow,deny deny from 456.123.8.9 allow from all
आप अपनी साइट डायरेक्टरी को ब्राउज़ न करने योग्य बनाकर लोगों को इसे देखने से भी रोक सकते हैं। आप ऐसा करने के लिए इस कोड स्निपेट का उपयोग कर सकते हैं:
Options All -Indexes
निष्कर्ष
यह आपकी WordPress वेबसाइट की सुरक्षा में सुधार करने में मदद करने के लिए एक कार्रवाई योग्य मार्गदर्शिका रही है। इन विकल्पों में सबसे महत्वपूर्ण वह है जिसे अभी लागू करना काफी सरल है - एक ऐसे होस्ट को ढूंढें जिसकी सुरक्षा के लिए बेदाग प्रतिष्ठा हो, क्योंकि आपकी साइट की आधी सुरक्षा आपके होस्ट पर निर्भर करती है।
कौन सा सुरक्षा टिप आपके लिए सबसे उपयोगी था और क्यों? क्या आपके पास कोई अन्य सुरक्षा टिप्स हैं जो यहां सूचीबद्ध नहीं हैं? टिप्पणियों में इसका (या उनका) उल्लेख करें।
