آخر تحديث:
باختصارصفحة دخول ووردبريس (wp-login.php وwp-admin) هي أكثر صفحة في موقعك تتعرض للهجوم، لأن كل المواقع تستخدم نفس الرابط. احمها باسم مستخدم غير متوقع، وكلمة مرور قوية، والتحقق بخطوتين، وتغيير رابط الدخول، وتقييد الدخول إلى wp-admin بعنوان IP مكتبك إن أمكن.
لماذا صفحة الدخول بالذات؟ #
كل موقع ووردبريس صفحة دخوله على نفس الرابط: /wp-login.php. لذلك برامج الهجوم تجرّبها على ملايين المواقع آلياً، دون أن تعرف من أنت. من يدخل إلى لوحتك يتحكم في الموقع كله.
7 خطوات لحماية لوحة التحكم #
- اسم مستخدم غير متوقع: لا تستخدم admin أو اسم موقعك. أنشئ مديراً جديداً باسم مختلف، ثم احذف الحساب القديم وانقل مقالاته للجديد.
- كلمة مرور قوية وفريدة: اقرأ كيف تصنع كلمة مرور قوية.
- التحقق بخطوتين: بإضافة موثوقة، فيطلب الدخول رمزاً من جوالك.
- تحديد محاولات الدخول: إضافة الحماية تقفل الدخول بعد عدة محاولات خاطئة. وسيرفراتنا تفعل ذلك أيضاً. اقرأ حماية القوة الغاشمة.
- تغيير رابط الدخول: إضافة مثل WPS Hide Login تجعل الرابط /my-login مثلاً بدل wp-login.php، فتختفي أغلب المحاولات الآلية.
- تقييد wp-admin بعنوان IP: إذا كان لمكتبك عنوان IP ثابت، فاسمح بالدخول منه فقط (المثال التالي).
- أوقف xmlrpc.php إن لم تحتجه: لأنه باب دخول آخر. اقرأ ملف xmlrpc.php.
مثال: ملف .htaccess داخل مجلد wp-admin يسمح بعنوانك فقط، مع إبقاء admin-ajax.php متاحاً لأن الموقع يحتاجه:
<RequireAny> Require ip 203.0.113.10 </RequireAny> <Files admin-ajax.php> Require all granted </Files>
انتبه: ضع عنوانك الحقيقي مكان المثال. إذا كان عنوانك يتغير (مثل أغلب اتصالات المنازل والجوال)، فلا تستخدم هذه الطريقة لأنك قد تُقفل خارج لوحتك. واحتفظ بنسخة من الملف لتحذفه من cPanel إذا حدث ذلك.
عادات تحمي لوحتك #
- اخرج من اللوحة عند استخدام جهاز غير جهازك.
- أعطِ كل مستخدم الدور الذي يحتاجه فقط: محرر أو كاتب بدل مدير.
- راجع قائمة المستخدمين المديرين كل شهر، واحذف من لا يحتاج الدخول.
- شغّل الموقع على https دائماً. اقرأ شهادة SSL.
كيف نحمي موقعك في حياة هوست؟ #
- cPHulk وCSF يحظران العناوين التي تكرر محاولات الدخول الخاطئة على wp-login.php.
- إذا حُظرت بالخطأ يظهر لك اختبار CAPTCHA لفك الحظر.
- يمكنك أيضاً حماية مجلد بكلمة مرور من cPanel. اقرأ حماية مجلد بكلمة مرور.
تعرّف على استضافة ووردبريس من حياة هوست.
أسئلة شائعة #
هل تغيير رابط الدخول يكفي وحده؟
لا. يقلل المحاولات الآلية، لكنه لا يغني عن كلمة مرور قوية والتحقق بخطوتين.
نسيت رابط الدخول الجديد، ماذا أفعل؟
عطّل إضافة تغيير الرابط من مدير الملفات بإعادة تسمية مجلدها، فيعود الرابط wp-login.php.
أُقفلت خارج wp-admin بعد تقييد العنوان، ما الحل؟
احذف ملف .htaccess من مجلد wp-admin عبر مدير الملفات في cPanel، أو افتح تذكرة ونساعدك.
