آموزش امنیت وردپرس فقط به افزونه‌های امنیتی یا تنظیمات فنی سرور محدود نمی‌شود؛ حساب‌هایی که به پیشخوان دسترسی دارند هم بخشی از سطح حفاظت سایت‌اند. اگر چند نفر از یک نام کاربری مشترک استفاده کنند یا هر نویسنده دسترسی مدیر داشته باشد، تشخیص اینکه چه کسی تغییری داده دشوار می‌شود و یک رمز افشاشده می‌تواند اختیار زیادی در اختیار فرد نامجاز بگذارد. با چند تنظیم ساده می‌توان دسترسی را متناسب با کار هر شخص کرد و ورودهای روزانه را امن‌تر پیش برد.
هر همکار حساب جداگانه داشته باشد
برای هر فرد یک حساب مستقل بسازید و گذرواژه را در پیام‌رسان یا ایمیل گروهی نفرستید. حساب مشترک شاید در ابتدا ساده به نظر برسد، اما در صورت تغییر اعضای تیم مجبور می‌شوید رمز را برای همه عوض کنید و نمی‌دانید کدام کاربر وارد شده است. حساب جداگانه کمک می‌کند فعالیت‌ها به کاربر درست نسبت داده شوند و هنگام پایان همکاری بتوان دسترسی همان شخص را لغو کرد، بدون آنکه ورود بقیه مختل شود.
در پیشخوان، بخش «کاربران» و سپس «همه کاربران» را بازبینی کنید. نام‌های قدیمی، حساب‌های تکراری و افرادی را که دیگر در سایت کار نمی‌کنند شناسایی کنید. پیش از حذف یک کاربر، مالکیت نوشته‌های او را بررسی کنید؛ وردپرس هنگام حذف می‌تواند محتوا را به کاربر دیگری منتقل کند یا حذف کند. اگر مطمئن سایت تفریحی نیستید، حذف را متوقف کنید و از مدیر سایت کمک بگیرید تا نوشته‌های مهم از دست نروند.
نقش را بر اساس وظیفه انتخاب کنید
در وردپرس هر نقش مجموعه‌ای از اختیارها دارد. مدیر سایت می‌تواند تنظیمات گسترده را تغییر دهد و افزونه و پوسته را مدیریت کند. ویرایشگر نوشته‌های خودش و دیگران را مدیریت و منتشر می‌کند؛ نویسنده نوشته‌های خودش را منتشر می‌کند؛ مشارکت‌کننده نوشته می‌نویسد اما معمولاً انتشار نهایی با نقش دیگری است؛ و مشترک عمدتاً به صفحهٔ نمایهٔ خود دسترسی دارد. نام نقش‌ها به‌تنهایی رتبه‌بندی کامل نیست، اما اصل کاربردی روشن لایسنس نود 32 است: اختیارهایی را بدهید که برای انجام مسئولیت لازم‌اند.
اگر کسی فقط مقاله می‌نویسد، معمولاً نیازی ندارد مدیر باشد. برای بازبین محتوا ممکن است ویرایشگر مناسب باشد؛ برای نویسنده‌ای که فقط مطالب خودش را منتشر می‌کند، نقش نویسنده را بررسی کنید. مدیر را به افرادی محدود کنید که واقعاً باید کاربران، تنظیمات یا ابزارهای سایت را مدیریت کنند. در سایت چندگانهٔ وردپرس، اختیارهای مدیر سایت با مدیر شبکه فرق دارد؛ اگر این تفاوت برایتان روشن نیست، پیش از تغییر نقش از مسئول فنی کمک بگیرید.
گذرواژهٔ قوی، یکتا و قابل‌بازیابی
برای هر حساب از گذرواژه‌ای جداگانه استفاده کنید؛ نام سایت، نام کاربری، تاریخ تولد یا عبارت‌های کوتاه و قابل حدس انتخاب‌های خوبی نیستند. اگر همان رمز را در چند سرویس به‌کار ببرید، افشای آن در یک سرویس می‌تواند حساب‌های دیگر را هم در معرض خطر بگذارد. ابزار مدیریت گذرواژه می‌تواند رمزهای طولانی و تصادفی بسازد و آن‌ها را در فضای امن نگه دارد. هنگام تغییر رمز در وردپرس نیز نشانگر قدرت رمز را جدی بگیرید و از رمز پیشنهادی قوی استفاده کنید.
نشانی ایمیل بازیابی حساب را به‌روز نگه دارید و مطمئن شوید به آن دسترسی دارید. اگر رمز را فراموش کردید، از گزینهٔ «رمز عبورتان را گم کرده‌اید؟» در صفحهٔ ورود استفاده کنید و پیوند بازیابی را فقط در همان مرورگر و سایت درست باز کنید. هیچ‌وقت پیوند بازنشانی را برای فرد ناشناس نفرستید. اگر ایمیل بازیابی به صندوقی می‌رود که چند نفر به آن دسترسی دارند، پیش از هر تغییر امنیتی با مدیر سایت هماهنگ کنید.
ورود دومرحله‌ای و نشست‌های فعال
در کنار گذرواژه، احراز هویت دومرحله‌ای می‌تواند یک لایهٔ اضافه فراهم کند: ورود علاوه بر رمز به تأیید دوم از وسیله یا برنامهٔ مورد اعتماد نیاز دارد. راهنمای امنیت WordPress آن را به‌عنوان اقدام تکمیلی پیشنهاد می‌کند. اگر این قابلیت را راه‌اندازی می‌کنید، از راهکار شناخته‌شده و نگهداری‌شده استفاده کنید، توضیحات ناشر و سازگاری آن را بررسی کنید و کدهای بازیابی را در مکانی امن و جدا از خود سایت نگه دارید. اگر پس از فعال‌سازی دیگر نمی‌توانید وارد شوید، از روش بازیابی رسمی همان ابزار پیروی کنید؛ تغییر تصادفی فایل‌های سایت ممکن است دسترسی را بدتر کند.
برای ورود، نشانی سایت را بررسی کنید و مطمئن شوید اتصال با HTTPS برقرار است. وقتی از رایانهٔ عمومی یا دستگاه مشترک استفاده می‌کنید، گزینهٔ ماندن در حالت ورود را انتخاب نکنید و پس از پایان کار خارج شوید. وردپرس در صورت انتخاب «مرا به خاطر بسپار» نشست را تا ۱۴ روز نگه می‌دارد؛ این گزینه را فقط روی دستگاه شخصی و محافظت‌شده به کار ببرید. در پایان، مرورگر را ببندید و از نگه‌داشتن رمز در رایانه‌ای که دیگران استفاده می‌کنند خودداری کنید.
ثبت‌نام عمومی را آگاهانه تنظیم کنید
اگر سایت نیازی به ساخت حساب توسط بازدیدکنندگان ندارد، تنظیم ثبت‌نام عمومی را بررسی کنید. این گزینه در «تنظیمات» و سپس «همگانی» قرار دارد و بهتر است فقط وقتی روشن باشد که واقعاً قابلیت عضویت، فروشگاه یا بخش کاربری دارید. اگر ثبت‌نام باز لازم است، نقش پیش‌فرض کاربر جدید را بررسی کنید تا افراد تازه‌وارد بدون بررسی، اختیار انتشار محتوا یا مدیریت تنظیمات را نگیرند. بعد از هر تغییر، با یک حساب آزمایشی یا کمک مدیر بررسی کنید کاربر جدید چه چیزی می‌تواند ببیند و انجام دهد.
هیچ تنظیمی تضمین نمی‌کند که سایت هرگز دچار مشکل نشود، اما حساب‌های مجزا، نقش‌های سنجیده، گذرواژهٔ یکتا و ورود دومرحله‌ای احتمال سوءاستفاده از دسترسی را کاهش می‌دهند. این بخش کوچک از آموزش امنیت وردپرس را می‌توان با یک بازبینی دوره‌ای زنده نگه داشت: کاربران فعال را بشناسید، نقش هر فرد را با وظیفه‌اش بسنجید، ایمیل بازیابی را کنترل کنید و دسترسی همکاری‌های تمام‌شده را لغو کنید. اگر کنترل دسترسی یا بازیابی حساب به تنظیمات فنی نیاز دارد، آن را با مدیر سایت یا پشتیبانی هاست انجام دهید، نه با تغییرهای حدسی.