افزونه ضد هک امنیتی وردپرس وردفنس | Wordfence Security Premium

وردفنس (Wordfence Security) افزونه‌ای امنیتی برای وردپرس است که طبق توضیح خود افزونه، فایروال برنامه‌های وب، اسکنر بدافزار و ابزارهای ورود امن را در یک بسته می‌آورد. در نصب آزمایشی بخش «ورود امنیتی» را بررسی کردیم: احراز هویت دومرحله‌ای با برنامه‌های TOTP، کدهای بازیابی و تنظیم جدا برای هر نقش کاربری.

وردفنس در دسته افزونه‌های کاربردی وردپرس فروشگاه وردپرس نیاز قرار دارد. اگر نمی‌خواهید خودتان آن را نصب و تنظیم کنید، پشتیبانی وردپرس را ببینید.

افزونه امنیتی وردفنس چه بخش‌هایی دارد

توضیح خود افزونه این بخش‌ها را نام می‌برد:

• فایروال برنامه‌های وب که ترافیک مخرب را شناسایی و مسدود می‌کند، همراه با محدودکردن تلاش‌های ورود برای جلوگیری از حدس رمز
• اسکنر بدافزار که فایل‌های هسته، قالب‌ها و افزونه‌ها را با نسخه‌های مخزن وردپرس مقایسه می‌کند و تغییرها را گزارش می‌دهد
• بازگرداندن فایل‌های تغییرکرده به نسخه اصلی، یا حذف فایل‌هایی که در آنجا جایی ندارند
• بررسی آسیب‌پذیری‌های شناخته‌شده و افزونه‌های رهاشده یا بسته‌شده
• مسدودکردن ورود مدیرانی که رمزشان لو رفته است
• بخش «ورود امنیتی»، که در ادامه آمده است

ورود دومرحله‌ای در وردفنس

بخش «ورود امنیتی» (Login Security) زبانه تنظیمات و زبانه «My 2FA» را دارد. در تنظیمات، کلید «Enable 2FA» احراز هویت دومرحله‌ای را روشن می‌کند و بعد از آن برای هر یک از نقش‌های پیش‌فرض وردپرس، از مدیر تا مشترک، می‌توان آن را غیرفعال، دلخواه یا الزامی کرد. پس از روشن‌کردن، همه این نقش‌ها در نصب آزمایشی روی «دلخواه» بودند.

صفحه «My 2FA» در حساب کاربر یک کد QR و یک کلید متنی نشان می‌دهد؛ کاربر کد یک‌بارمصرف برنامه احراز هویت را وارد می‌کند و 2FA فعال می‌شود، و مجموعه‌ای از کدهای بازیابی هم همان‌جا ساخته می‌شود. برای آزمایش، کد را از روی کلید نمایش‌داده‌شده طبق استاندارد TOTP محاسبه کردیم و فعال‌سازی پذیرفته شد.

از آن پس صفحه ورود وردپرس، بعد از نام کاربری و رمز درست، فیلد «کد دوعاملی وردفنس» را نشان می‌دهد. کد درست ورود را کامل می‌کند و کد اشتباه پیام «کد مورد نظر نامعتبر است» را می‌آورد. این فیلد و پیام با بسته زبان فارسی مخزن وردپرس برای افزونه به فارسی نمایش داده شدند.

با روشن‌کردن گزینه «Passkey/2FA management shortcode» در تنظیمات، می‌توان مدیریت 2FA را با یک کد کوتاه در هر برگه گذاشت، مثلاً در برگه حساب کاربری سایت. برگه آزمایشی ما کارت فعال‌بودن 2FA با دکمه خاموش‌کردن و کارت کدهای بازیابی را نشان داد.

طبق متن صفحه تنظیمات، 2FA فقط ورود با نام کاربری و رمز را پوشش می‌دهد و ورود با Passkeys جایگزین این مرحله دوم است.

گزینه‌های دیگر ورود امنیتی

صفحه تنظیمات این گزینه‌ها را هم دارد؛ آن‌ها را دیده‌ایم و آزمایش نکرده‌ایم:

• reCAPTCHA برای صفحه‌های ورود و ثبت‌نام، با آستانه‌ای که انسان را از ربات جدا می‌کند و حالت آزمایشی که امتیاز می‌دهد ولی مسدود نمی‌کند
• فهرست نشانی‌های IP مجاز، که از 2FA و reCAPTCHA معاف‌اند
• الزام 2FA برای درخواست‌های XML-RPC
• غیرفعال‌کردن احراز هویت XML-RPC
• به‌خاطر سپردن دستگاه برای کاربرانی که 2FA دارند
• افزودن reCAPTCHA و 2FA به فرم‌های ورود و ثبت‌نام ووکامرس

صفحه تشخیص در افزونه امنیتی وردفنس

صفحه «تشخیص» (Diagnostics) در ابزارهای وردفنس نشان می‌دهد وردفنس نشانی IP بازدیدکننده را از کدام راه می‌خواند. این راه‌ها در آن فهرست شده‌اند:

• REMOTE_ADDR
• CF-Connecting-IP
• X-Real-IP
• X-Forwarded-For

در نصب آزمایشی فقط REMOTE_ADDR در استفاده بود و بقیه تنظیم نشده بودند. زیر این فهرست، پراکسی‌های مورد اعتماد، تنظیمات وردپرس، افزونه‌ها و قالب‌ها و آزمایش‌هایی مثل ارسال ایمیل آزمایشی از سرور آمده است.