امنیت فروشگاه ووکامرس؛ چک‌لیست کامل جلوگیری از هک و سرقت اطلاعات

امنیت فروشگاه ووکامرس فقط به نصب یک افزونه امنیتی خلاصه نمی‌شود. یک فروشگاه اینترنتی هم‌زمان با اطلاعات کاربران، سفارش‌ها، حساب‌های کاربری، فایل‌های دانلودی و درگاه‌های پرداخت سروکار دارد؛ بنابراین هر ضعف کوچک در وردپرس، قالب، افزونه‌ها یا تنظیمات سرور می‌تواند به اختلال در فروش و از دست رفتن اعتماد مشتری منجر شود.

در این راهنما یک چک‌لیست عملی برای افزایش امنیت فروشگاه ووکامرس بررسی می‌کنیم؛ از بروزرسانی و بکاپ گرفته تا محدودکردن دسترسی‌ها، مانیتورینگ ورودها، فایروال، اسکن بدافزار و امن‌سازی فرآیند مدیریت سفارش‌ها.

چرا امنیت ووکامرس مهم‌تر از یک سایت معمولی است؟

در یک سایت شرکتی ساده، خرابی یا نفوذ ممکن است فقط باعث تغییر محتوای صفحات شود؛ اما در فروشگاه ووکامرس، حساب مشتری، سفارش، اطلاعات تماس، فایل‌های خریداری‌شده و عملیات پرداخت هم درگیر هستند. به همین دلیل امنیت باید بخشی از فرآیند روزانه مدیریت فروشگاه باشد، نه کاری که فقط بعد از بروز مشکل انجام شود.

1. وردپرس، ووکامرس و افزونه‌ها را منظم بروزرسانی کنید

یکی از پایه‌ای‌ترین اقدامات امنیتی، استفاده از نسخه‌های پشتیبانی‌شده و به‌روز است. قبل از هر بروزرسانی مهم، از فایل‌ها و دیتابیس نسخه پشتیبان بگیرید و اگر فروشگاه حساس است ابتدا تغییرات را روی محیط آزمایشی بررسی کنید.

افزونه‌هایی که مدت زیادی بروزرسانی نشده‌اند یا دیگر استفاده نمی‌شوند بهتر است حذف شوند. غیرفعال‌کردن به‌تنهایی همیشه کافی نیست، چون فایل افزونه همچنان روی سرور باقی می‌ماند.

2. فقط افزونه و قالب معتبر نصب کنید

افزونه‌های ناشناس، نسخه‌های دستکاری‌شده و فایل‌هایی که منبع مشخصی ندارند می‌توانند ریسک امنیتی ایجاد کنند. قبل از نصب هر افزونه، سازگاری آن با نسخه وردپرس و ووکامرس، سابقه بروزرسانی، نیاز واقعی فروشگاه و سطح دسترسی موردنیاز را بررسی کنید.

برای انتخاب بهتر می‌توانید راهنمای خرید افزونه وردپرس را هم بخوانید.

3. از رمز عبور قوی و احراز هویت دومرحله‌ای استفاده کنید

رمز عبور مدیر وردپرس نباید در سرویس‌های دیگر استفاده شده باشد. حساب‌های مدیریتی بهتر است رمزهای طولانی و منحصربه‌فرد داشته باشند و در صورت امکان احراز هویت دومرحله‌ای برای آن‌ها فعال شود.

همچنین تعداد کاربران دارای نقش Administrator را محدود کنید. هر کاربری باید فقط دسترسی لازم برای کار خودش را داشته باشد.

4. صفحه ورود و تلاش‌های مشکوک را کنترل کنید

حملات خودکار معمولاً با امتحان‌کردن تعداد زیادی نام کاربری و رمز عبور انجام می‌شوند. محدودکردن تلاش‌های ناموفق، ثبت ورودهای مشکوک و بررسی IPهای پرتکرار می‌تواند به شناسایی سریع‌تر حمله کمک کند.

5. فایروال و اسکن بدافزار داشته باشید

یک لایه امنیتی مناسب می‌تواند درخواست‌های مشکوک را قبل از رسیدن به بخش‌های حساس سایت بررسی کند و فایل‌های تغییرکرده یا آلوده را شناسایی کند. برای این کار می‌توانید از ابزارهای امنیتی معتبر استفاده کنید.

در WP-Sell، Wordfence Security فارسی برای فایروال، اسکن بدافزار و کنترل امنیت ورود در دسترس است. قبل از اعمال تنظیمات سخت‌گیرانه، بهتر است آن را ابتدا با تنظیمات متعادل روی فروشگاه تست کنید تا Checkout، REST API یا درخواست‌های AJAX ووکامرس دچار اختلال نشوند.

6. از فایل wp-config.php محافظت کنید

فایل wp-config.php شامل تنظیمات مهم وردپرس است. سطح دسترسی فایل باید مناسب باشد و اطلاعات حساس نباید در دسترس عمومی قرار بگیرند. همچنین فعال‌بودن Debug در سایت اصلی می‌تواند اطلاعات فنی غیرضروری را در معرض کاربران قرار دهد.

برای جزئیات بیشتر، مقاله امن‌سازی وردپرس با wp-config.php را ببینید.

7. بکاپ منظم و قابل بازیابی داشته باشید

بکاپ زمانی ارزش دارد که واقعاً قابل بازیابی باشد. نسخه پشتیبان باید شامل دیتابیس، uploads، افزونه‌ها، قالب و فایل‌های تنظیمات مهم باشد. بهتر است حداقل یک نسخه خارج از همان سرور نگهداری شود تا در صورت خرابی کامل سرور هم قابل استفاده باشد.

8. HTTPS را در تمام بخش‌های فروشگاه اجباری کنید

تمام صفحات فروشگاه، به‌خصوص ورود، حساب کاربری و تسویه حساب، باید از HTTPS استفاده کنند. گواهی SSL به‌تنهایی کافی نیست؛ لینک‌های داخلی، فایل‌های استاتیک و Redirectها هم باید طوری تنظیم شوند که محتوای Mixed Content ایجاد نشود.

9. امنیت صفحه تسویه حساب را جداگانه بررسی کنید

Checkout یکی از حساس‌ترین صفحات ووکامرس است. افزونه‌های پرداخت، کدهای سفارشی، اسکریپت‌های شخص ثالث و افزونه‌های بهینه‌سازی می‌توانند روی آن اثر بگذارند. بعد از هر تغییر مهم، یک سفارش آزمایشی کامل ثبت کنید.

اگر از پرداخت دستی استفاده می‌کنید، بهتر است رسید و وضعیت پرداخت داخل خود سفارش ثبت شود. برای این سناریو می‌توانید راهنمای مدیریت پرداخت کارت به کارت ووکامرس را مطالعه کنید.

10. دسترسی فایل‌ها و پوشه‌ها را بیش از حد باز نگذارید

سطح دسترسی فایل‌ها و پوشه‌ها باید فقط به اندازه موردنیاز سرویس وب باشد. استفاده بی‌دلیل از Permissionهای بسیار باز می‌تواند دامنه آسیب را بیشتر کند. اگر از هاست مدیریت‌شده استفاده می‌کنید، قبل از تغییر دستی Permissionها مستندات همان سرویس را بررسی کنید.

11. گزارش خطا و لاگ‌های امنیتی را بررسی کنید

لاگ‌ها می‌توانند الگوهای غیرعادی مانند تلاش‌های ورود پرتعداد، خطاهای PHP تکراری، درخواست‌های مشکوک و تغییرات غیرمنتظره را نشان دهند. بررسی دوره‌ای لاگ وب‌سرور، وردپرس و افزونه امنیتی به تشخیص زودهنگام مشکل کمک می‌کند.

12. دسترسی کارکنان فروشگاه را تفکیک کنید

صندوقدار، تولیدکننده محتوا و مدیر سفارش لزوماً به دسترسی کامل Administrator نیاز ندارند. استفاده از نقش‌های محدودتر باعث می‌شود اگر رمز یک حساب لو رفت، مهاجم دسترسی کامل به تنظیمات سایت نداشته باشد.

13. افزونه‌های بلااستفاده را حذف کنید

هر افزونه اضافه، سطح نگهداری فروشگاه را بیشتر می‌کند. اگر افزونه‌ای دیگر کاربرد ندارد، پس از اطمینان از عدم وابستگی بخش‌های سایت به آن، حذفش کنید. کاهش تعداد افزونه‌های غیرضروری هم مدیریت امنیت را ساده‌تر می‌کند و هم عیب‌یابی را آسان‌تر.

14. قبل از تغییرات حساس از Staging استفاده کنید

تغییر نسخه PHP، بروزرسانی بزرگ ووکامرس، فعال‌کردن افزونه امنیتی جدید یا تغییرات Checkout بهتر است ابتدا روی نسخه آزمایشی سایت تست شوند. این روش احتمال اختلال ناگهانی در فروشگاه اصلی را کمتر می‌کند.

15. بعد از هر بروزرسانی یک تست امنیتی ساده انجام دهید

• ورود مدیر و کاربر عادی را تست کنید.
• سبد خرید و Checkout را بررسی کنید.
• یک سفارش آزمایشی ثبت کنید.
• ایمیل‌ها و اعلان‌های سفارش را بررسی کنید.
• فایل‌های دانلودی محصول را تست کنید.
• لاگ خطا و لاگ امنیتی را مرور کنید.
• مطمئن شوید صفحات مهم بدون خطای 403 یا 500 باز می‌شوند.

چک‌لیست سریع امنیت ووکامرس

• وردپرس، ووکامرس و افزونه‌ها به‌روز هستند.
• بکاپ منظم و خارج از سرور دارید.
• رمزهای مدیریتی قوی و منحصربه‌فرد هستند.
• احراز هویت دومرحله‌ای برای مدیران فعال است.
• فایروال و اسکن بدافزار فعال است.
• تعداد مدیران سایت محدود است.
• افزونه و قالب ناشناس نصب نشده است.
• HTTPS در تمام فروشگاه فعال است.
• Checkout بعد از تغییرات تست می‌شود.
• لاگ‌های امنیتی دوره‌ای بررسی می‌شوند.

جمع‌بندی

امنیت ووکامرس یک تنظیم یک‌باره نیست؛ یک فرآیند دائمی است. بهترین نتیجه زمانی به دست می‌آید که بروزرسانی، بکاپ، محدودسازی دسترسی، فایروال، اسکن بدافزار و تست سفارش به‌صورت منظم انجام شوند. با این روش، احتمال بروز مشکل کاهش پیدا می‌کند و در صورت وقوع حادثه نیز بازیابی فروشگاه سریع‌تر خواهد بود.

اگر می‌خواهید امنیت کلی وردپرس را عمیق‌تر بررسی کنید، مقاله آموزش تامین امنیت وردپرس و جلوگیری از هک را هم بخوانید.

سوالات متداول

آیا نصب یک افزونه امنیتی برای ووکامرس کافی است؟

خیر. افزونه امنیتی فقط یکی از لایه‌های دفاعی است. بروزرسانی، بکاپ، مدیریت دسترسی و تنظیم امن سرور نیز اهمیت زیادی دارند.

آیا فایروال می‌تواند باعث مشکل در ووکامرس شود؟

اگر قوانین بیش از حد سخت‌گیرانه باشند، ممکن است برخی درخواست‌های AJAX، API یا Checkout مسدود شوند. تنظیمات باید بعد از فعال‌سازی تست شوند.

هر چند وقت یک بار باید از فروشگاه بکاپ گرفت؟

بسته به حجم سفارش‌ها و تغییرات سایت متفاوت است. فروشگاه‌های فعال معمولاً به بکاپ‌های پرتکرارتر از سایت‌های کم‌تغییر نیاز دارند.

مهم‌ترین حساب برای فعال‌کردن ورود دومرحله‌ای کدام است؟

حساب‌های Administrator اولویت اصلی هستند؛ سپس هر حسابی که به سفارش‌ها، تنظیمات پرداخت یا اطلاعات حساس دسترسی دارد.