امنیت هاست وردپرس فقط به معنای داشتن یک رمز عبور قوی نیست؛ مجموعه‌ای از لایه هاست، هسته، افزونه، نسخه PHP و پشتیبان است. راهنمای وطن هاست درباره هاست وردپرس ایمن روی همین نگاه چندلایه تأکید می‌کند: به‌روزرسانی، گواهی SSL، فایروال، پشتیبان منظم و اجرای PHP پشتیبانی‌شده. اگر سایت فروشگاهی یا محتوایی دارید، ضعف در هر کدام از این لایه‌ها می‌تواند به از دست رفتن داده یا اختلال در پیشخوان منجر شود. در این مطلب حداقل کارهایی را مرور می‌کنیم که مدیر سایت باید از هاست و خودش انتظار داشته باشد.
هاست چه سهمی در امنیت دارد؟
ارائه‌دهنده هاست تعیین می‌کند چه نسخه‌های PHP در اختیار شماست، آیا وصله‌های امنیتی به‌موقع نصب می‌شوند، و آیا امکان جدا کردن نسخه PHP برای هر دامنه وجود دارد. هاست مناسب در ۲۰۲۶ باید باران فیلم مسیر استفاده از PHP 8.3 و 8.4 را باز بگذارد و برای 8.5 امکان تست داشته باشد. همچنین OPcache، PHP-FPM یا LSAPI، محدودیت حافظه منطقی و امکان ساخت Staging، بخشی از امنیت عملیاتی‌اند؛ چون بسیاری از نفوذها و خرابی‌ها بعد از یک به‌روزرسانی بدون آزمایش رخ می‌دهد.
گواهی SSL، جداسازی حساب‌ها، اسکن بدافزار و پشتیبان قابل بازیابی هم در سمت سرویس‌دهنده معنا پیدا می‌کند. اگر فقط «فضای دیسک» را مقایسه کنید و نپرسید پشتیبان کجاست و تا چند روز نگهداری می‌شود، در زمان حادثه دستتان خالی می‌ماند. بهتر است یک‌بار فرایند بازگردانی را روی یک سایت آزمایشی تمرین کنید تا مطمئن شوید فایل پشتیبان واقعاً کامل است.
کارهایی که خودتان باید انجام دهید
هسته وردپرس، قالب و افزونه‌ها را به‌روز نگه دارید و افزونه رهاشده را حذف کنید. هر افزونه اضافه یک سطح حمله بالقوه است. ورود دو مرحله‌ای، رمز قوی، محدود کردن تلاش ورود و پرهیز از نام کاربری admin، هزینه کمی دارند و اثر زیادی می‌گذارند. دسترسی FTP و پنل هاست را با افراد غیرضروری به اشتراک نگذارید و برای توسعه‌دهنده موقتی، بعد از پایان کار دسترسی را ببندید.
پیش از تغییر بزرگ مثل تعویض قالب یا ارتقای PHP، پشتیبان کامل بگیرید و روی Staging تست کنید. فایل wp-config و مجوز پوشه‌ها را بررسی کنید و نمایش خطا را در سایت عمومی باز نگذارید. اگر از فروشگاه و درگاه پرداخت استفاده می‌کنید، افزونه‌های پرداخت را فقط از منبع معتبر نصب کنید و پس از هر به‌روزرسانی، یک سفارش آزمایشی ثبت کنید. امنیت ظاهر «اسکنر سبز» نیست؛ امنیت یعنی بتوانید بعد از مشکل، سریع و کامل برگردید.
PHP پشتیبانی‌شده بخشی از امنیت است
وقتی شاخه‌ای از PHP به پایان عمر می‌رسد، وصله رسمی برای آسیب‌پذیری‌های جدید منتشر نمی‌شود. این به معنی هک فوری نیست، اما ریسک را بالا می‌برد. بنابراین به‌روزرسانی PHP در کنار به‌روزرسانی وردپرس قرار می‌گیرد، نه به‌جای آن. فایروال، اسکن، رمز قوی و نسخه PHP پشتیبایی‌شده باید با هم کار کنند. باقی ماندن روی PHP 8.1 یا قدیمی‌تر برای سایت عمومی، یک بدهی امنیتی است بهترین سئو که معمولاً به خاطر یک افزونه کهنه حفظ می‌شود؛ راه‌حل درست پیدا کردن همان افزونه است، نه قفل کردن همیشگی نسخه قدیمی.
لاگ‌ها را هم جدی بگیرید. اگر ورودهای مشکوک، تغییر ناگهانی فایل‌ها یا مصرف غیرعادی منابع دیدید، به‌جای نادیده گرفتن، ابتدا پشتیبان تازه بگیرید و بعد با پشتیبانی هاست یا متخصص امنیت بررسی کنید. نصب پشت‌سرهم چند افزونه امنیتی سنگین گاهی خودش تداخل می‌سازد؛ یک مجموعه منسجم بهتر از چند ابزار تکراری است.
اگر چند سایت روی یک هاست دارید، به‌روزرسانی یکی را به همه تعمیم ندهید بدون تست. همین‌طور از نگهداری نسخه آزمایشی روی همان پیشوند سایت اصلی با افزونه‌های ناقص پرهیز کنید؛ محیط Staging باید جدا و قابل حذف باشد. پس از حادثه امنیتی، فقط پاک کردن فایل مشکوک کافی نیست و باید رمزها، کلیدها و دسترسی کاربران را هم عوض کنید. این کارها زمان‌برند، اما از تکرار نفوذ با همان حفره جلوگیری می‌کنند و بخشی از همان نظم روزانه امنیت هاست به شمار می‌آیند.
جمع‌بندی
امنیت هاست وردپرس وقتی معنا دارد که هم سرویس‌دهنده پشته به‌روز و پشتیبان قابل بازیابی بدهد و هم شما به‌روزرسانی، دسترسی‌ها و آزمون تغییرات را جدی بگیرید. پیش از خرید هاست، درباره نسخه‌های PHP، SSL، Staging، پشتیبان و اسکن بپرسید. بعد از راه‌اندازی، ورود دو مرحله‌ای، حذف افزونه اضافه و ارتقای منظم را به عادت ماهانه تبدیل کنید. امنیت یک محصول یک‌باره نیست؛ یک کار جاری است که هزینه غفلت از آن معمولاً بیشتر از هزینه پیشگیری است.