افزایش امنیت فایل wp-config.php

wp-config.php چیست و چرا مهم است؟

فایل wp-config.php مهم ترین فایل وردپرسه اطلاعات اتصال به دیتابیس کلیدهای امنیتی پیشوند جداول و خیلی تنظیمات دیگه توش ذخیره شده اگه کسی به این فایل دسترسی پیدا کنه عملا کل سایت شما دستشه

خبر خوب اینه که با چند کار ساده میتونید این فایل رو محکم تر از قبل کنید

فایل رو از پوشه اصلی خارج کنید

به طور پیش فرض فایل wp-config.php توی پوشه ریشه وردپرس قرار داره میتونید اون رو یک پله بالاتر ببرید

فایل رو به پوشه والد (همون جایی که پوشه public_html توشه) منتقل کنید وردپرس خودش پوشه بالا رو هم چک میکنه و فایل رو پیدا میکنه

این کار باعث میشه حتی اگر هکری به پوشه اصلی دسترسی پیدا کنه به فایل تنظیمات دسترسی نداشته باشه

دسترسی به فایل رو محدود کنید

با تنظیم مجوزهای دسترسی (Permission) میتونید مشخص کنید چه کسی میتونه فایل رو بخونه یا تغییر بده

مجوز مناسب برای این فایل معمولا 640 یا 600 هست یعنی فقط حودتون (و گروه سرور) بتونید بخونیدش و بقیه نه

با دستور زیر توی خط فرمان این کار رو انجام بدید:

chmod 640 wp-config.php

اگه از کنترل پنل استفاده میکنید توی بخش File Manager روی فایل راست کلیک کنید و Permissions رو روی ۶۴۰ تنظیم کنید

از کلیدهای امنیتی قوی استفاده کنید

وردپرس از کلیدهای امنیتی برای رمزنگاری کوکی ها و جلسات استفاده میکنه این کلیدها توی فایل wp-config.php تعریف شدن.

توی سایت https://api.wordpress.org/secret-key/1.1/salt/ میتونید کلیدهای جدید و تصادفی بگیرید و جایگزین کلیدهای قبلی کنید

این کار رو هر چند ماه یکبار انجام بدید تا امنیت جلسات کاربران بالا بره

ویرایش فایل رو از طریق مرورگر غیرفعال کنید

با یه خط کد توی فایل .htaccess میتونید جلوی دسترسی مستقیم به wp-config.php از طریق مرورگر رو بگیرید

این کد رو به فایل .htaccess اضافه کنید:

<files wp-config.php>
order allow,deny
deny from all
</files>

حالا اگر کسی آدرس sitename.com/wp-config.php رو تایپ کنه خطای دسترسی میگیره

فایل پشتیبان از فایل اصلی نگهداری کنید

همیشه یه نسخه پشتیبان از wp-config.php توی یه جای امن (مثلا روی کامپیوتر خودتون) داشته باشید اگه فایل اصلی خراب شد یا پاک شد می‌تونید سریع برگردونیدش

دیتابیس رو با نام متفاوت و پیشوند غیرپیشفرض تنظیم کنید

توی تنظیمات این فایل نام دیتابیس و کاربری رو طوری انتخاب کنید که حدس زدنش سخت باشه از اسم های پیش فرض مثل wp_db یا admin استفاده نکنید

همچنین پیشوند جداول دیتابیس رو از wp_ به یه چیز دیگه مثل xyz_ تغییر بدید این کار جلوی حملات تزریق SQL رو کمی سخت تر میکنه

خطاهای نمایشی رو غیرفعال کنید

توی محیط تولید (سایت زنده) بهتره خطاهای PHP رو به کاربر نمایش ندید این کار اطلاعات فنی رو از چشم هکرها پنهان میکنه

توی فایل wp-config.php، این خط رو پیدا کنید یا اضافه کنید:

define('WP_DEBUG', false);

از عبارت های جستجو در فایل جلوگیری کنید

با یه کد ساده میتونید جلوی جستجوی عبارت های خاص توی فایل رو بگیرید این کار باعث میشه اگر هکری فایل رو پیدا کنه نتونه اطلاعات مهم رو به راحتی استخراج کنه