የWordPress ፋይል አድራሻ ደህንነት፡ wp-includes ፋይል ወደ ውስጥ የPHP ተዋጽዖ አግድ

WordPress ፋይል ቅርጸ ምንጭ ደህንነት እንዲሁ "wp-includes" ፋይል ማዕከል በቅድሚያ እንዳይደርስ ማድረግ የሚያጠቃልሉ አሳዛኝ ዘዴ ፋይሉን በሙሉ መቆል ሳይሆን ውስጥ ያሉ PHP ፋይሎች ከውጭ እንዳይቀደም እና የፋይል ዝርዝር እንዳይታይ ማድረግ ነው። ይህም wp-includes ውስጥ የWordPress መሰረታዊ አካላት ለመስራት አስፈላጊ JavaScript, CSS እና ሌሎች ስታቲክ ፋይሎች እንደሚገኙ ስለሆነ፣ አባሪውን በሙሉ ማቆል የሳይት ዲዛይን፣ ኤዲተር ወይም እቃ አዋቂነት ሊያበላሽ ይችላል። ትክክለኛ መንገድ፤ Apache በመጠቀም .htaccess ህጎች ወይም Nginx ሲሆን server block ውስጥ location ህግ ማድረግ በቀጥታ PHP ፋይል የመድረሻ ማድረግ ሲሆን፣ በኋላ ሳይትን 403/404 ምላሽ እና አስፈላጊ ገጽ ሙከራዎች በመሞከር ማረጋገጥ ነው።

በWordPress ደህንነት በሚከናወኑ ብዙ ተሳስተ ሥራዎች አንዱ፣ የተሻለ የይለፍ ቃል ወይም የደህንነት እቃ ብቻ እንደበቃ መቆጣጠር ነው። ግን አሳዳጊዎች ብዙውን ጊዜ የመሰረታዊ ፋይሎች የሚገኙበትን ዝርዝር፣ አሮጌ እቃዎች፣ የተሳሳተ ፋይል ፍቃድ፣ ክፍት ፋይል ዝርዝር ይቀድማሉ። wp-includes ደግሞ እነዚህ አጠቃቀም የሚሰጥበት አካባቢ ነው። በዚህ መምሪያ፣ በHostragons የሚተዳደሩ አስተዋጽኦ አካባቢዎች ውስጥ wp-includes እንዴት እንደሚገድቡ፣ ምን ያህል ህጎች ሳይትን ሊያሳድሩ ይችላሉ፣ በApache እና Nginx ለሚያደርጉ አቀማመጦች፣ የፈተና ዘዴዎች እና የጥገና ዝርዝር ይወዳደሩበታል። የWordPress ሳይትዎን በደህንነት አዋቂ አድርጉ ለማድረግ ወርድፕሬስ ሆስቲንግ እና ለአጠቃላይ መከላከያ ምርጫ SSL የማስረጃ ይዘት በቅድሚያ ማርመስ ይችላሉ።

wp-includes በምንድን ነው እና ለምን መጠበቅ አለበት?

wp-includes የWordPress አካል ተሞክሮዎችን የሚያከትት ከፍተኛ ዋና አድራሻዎች አንዱ ነው። የቴማ ስርዓት፣ ብሎክ አርታዊ፣ REST API አካላት፣ የሚዲያ አስተዳደር፣ ክፍሎች፣ ፋንክሽኖችና ብዙ የJavaScript ፋይሎች በዚህ መዋቅር ውስጥ ይገኛሉ። በቀላሉ ለማቅረብ፣ wp-includes የWordPress ሞተር ክፍል አንዱ ነው፤ የተጠቃሚዎች በቀጥታ አሳሽ ያደርጉበት የይዘት አካባቢ አይደለም።

ተወላጅ ተጎታጎት site.com/wp-includes/ ያሉ አድራሻዎችን ማክፈት አያስፈልግውም። ነገር ግን በገፅ ምንጭ ኮድ wp-includes በታች ያሉ የፍላጎት ፋይሎች ሊታዩ ይችላሉ። ለምሳሌ WordPress የተወሰኑ script ፋይሎች፣ emoji script ወይም አርታዊ አካላት ከዚህ አድራሻ ይጭናሉ። ስለዚህ የደህንነት እርምጃ ሲወሰድ ትክክለኛውን አላማ ማቅረብ ያስፈልጋል፤ የፍላጎት ፋይሎች መስራትን አያቋርጠም እና የPHP ፋይሎች በመቀጥታ በድህረ ገፅ ማድረስን ማግኘት ይገባቸዋል።

ይህ ልዩነት የWordPress በሙያ ፋይል መዋቅር ደህንነት አቅራቢ መሠረት ነው። ፋይሎችን በደፋር ማግኘት በአገልጋይ ስፍራ ይደርስ በመሆኑ አዳዲስ ገፅ ፣ ተበላሸ አስተዳደር ፓነል፣ የማይሰራ ብሎክ አርታዊ ወይም የተሳሳተ ተማ አሳየት ያሳያል። አላማው የWordPress የሚፈልጋቸውን ፋይሎች በመጠበቅ የግፊት ሀረግ እንዲቀንስ ነው።

wp-includes እድልን መዘጋት ምን ያበረታታል?

wp-includes ፋይል ቦታው ውስጥ PHP እንዲሰራ በቀጥታ ማቋረጥ ብቻውን የሚከለክለው ሁሉንም ጥቃቶች አይደለም፤ ነገር ግን የጥቃት ቦታን በምንም ደረጃ ይቆረጥ። በተለይ በሚያዳኩ ማህደር የተበከለ ድህረገፅ ላይ ጥቃት ተደርጎ የኮድ ፋይሎች የሚያደርጉ ጥቃኞች ከሚገኙ አዳራሽ ውስጥ የPHP ፋይል ማስገባት ወይም የቀድሞ ፋይሎችን በቀጥታ ማጥፋት ይሞክራሉ። wp-includes ላይ ያሉ PHP ፋይሎችን በድህረ-መረብ በቀጥታ እንዳይሰሩ መከላከል፣ በዚህ ሁኔታ ተጨማሪ መከላከያ ያቀርባል።

ይህ መንበር የሚያበረታታው:

• የብዙ የማኅደር PHP ፋይሎችን በቀጥታ URL ማጥፋትን ይገድላል።
• የዲረክቶሪ ዝርዝር በተከፈተ ሁኔታ ውስጥ የፋይል ቦታው ይዘት እንዳይታየው ይረዳል።
• በሜካኒክ ቦቶች ላይ በሚደርስ ባዶ መረጃ መፍሰስን ይቀንሳል።
• የደህንነት መጨረሻ አትካፈል ቢኖርም በዌብ ሰርቨር ደረጃ መከላከል ይሰጣል።
• WAF፣ SSL፣ ዘመናዊ PHP እና የፋይል ፍቃድ ጋር አብሮ በተያያዥ ደህንነትን ይጠናከራል።

ከእነዚህ ውጤቶች በላይ አስፈላጊው ነገር ይህ እርምጃ ተጨማሪ የደህንነት ጥቅል እንደሆነ መረዳት ነው። ዘመናዊ አይደለም የተጨመረ መጨረሻ፣ ደካማ አስተዳዳሪ የይለፍ ቃል ወይም የተቆረጠ FTP መለያ ካለ wp-includes መከላከል ብቻ የበቃ አይሆንም። ደህንነት በHostragons ማህደር፣ አፕሊኬሽን፣ የተጠቃሚ አስተዳዳሪ እና በየጊዜው የሚደረግ እንክብካቤ ይደርሳል። ለተስፋፋ መሠረት ደህንነታች የድረ-ገጽ እንግዳ ለደህንነት ተጨማሪ መከላከያም ዶማይን ደህንነት ማገናኘት ይችላሉ።

wp-includes እየተዘገየ በጣም በተደጋጋሚ የሚፈጸሙ ስህተቶች

ፋይሉን ሙሉ ማግደም

በጣም የሚደገመው ስህተት wp-includes ፋይሉን የሚደርስበትን ሁሉንም HTTP ጥያቄ በ403 ማቋረጥ ነው። በመጀመሪያ ይህ አካል የተሟላ ይመስላል፤ ነገር ግን WordPress ብዙ ስታቲክ መተግበሪያዎችን ከዚህ ፋይል የሚጫን ስለሆነ ያልታሰበ ችግኝ ሊያመጣ ይችላል። ለምሳሌ block editor አይከፈትም፣ አንዳንድ JavaScript ፋይሎች አይጫኑም፣ የፊት ገፅ አንዳንድ ትንሽ ነገሮች ሆነም በግልጽ ማዕበል የሚታዩ የንዴት ጉዳዮች ሊኖሩ ይችላሉ።

ህግን ሳይፈትን በነጭ ለህዝብ ማውጣት

.htaccess ወይም Nginx ውስጥ አንድ የህግ ስህተት እንኳን 500 Internal Server Error ሊያመጣ ይችላል። በተለይ በጥቅም ላይ የሚውል ሳይት ላይ ህግን በነጭ ማውጣት አደጋ ይሆናል። በመጀመሪያ የፋይሉን ቅድመ ኮፒ ማድረግ፣ ከቻሉ staging አካባቢ ላይ ማሞከር እና በኋላ በትክክል ወደ live ማስተላለፊያ ይደረግ አለበት። በHostragons መድረክ staging ወይም backup አማራጮች የሚጠቀሙ ከሆነ የድር ሆስቲንግ ተደጋጋሚ እንደተወሰነ የውስጥ ማስገናኛ ሊጨምር ይችላል።

በደህንነት እቃ ላይ ፍጹም ተደጋጋሚ መታመን

የደህንነት እቃዎች የተሳሳቱ ናቸው፤ ነገር ግን ህጎች በድህረ ሰርተር ደረጃ ቀደም ብለው ይሰራሉ። ጥያቄው PHP ከልከኝ በፊት Apache ወይም Nginx ቢያግድ የሰርተሩን ሀብት አጠቃቀም ይቀንማል። ስለዚህ እቃ ቢጠቀምም የመሰረታዊ የሰርተር ህጎች አይታወሱ።

በተግባር ሳይጀምሩ የሚያስፈልጉ የመቆጣጠሪያ ዝርዝር

wp-includes መድረሻን ከመግለጫ በፊት አንድ አጭር ዝግጅት ማድረግ የአገልግሎት ትችግርን በጣም አነስቷል። የታች ያሉት የመቆጣጠሪያ ዝርዝሮች በተለይም በሕይወት ላይ ያሉ WordPress ሳይቶች ላይ ይጠቅማሉ፦

• የአሁኑ .htaccess ወይም Nginx አዋቂነት ቅድመ ቅጂ ያዘዙ።
• WordPress አካል፣ መለያዎችና ተጨማሪዎችን ያዘምኑ።
• የPHP ዓይነትዎ የተደገፈና የተጠበቀ ዓይነት መሆኑን ያረጋግጡ።
• የፋይል ፍቃድን ያረጋግጡ፤ ፋይል ቦታዎች ብዙውን ጊዜ 755፣ ፋይሎች 644 መሆን አለባቸው።
• wp-config.php እና .htaccess የሚመረተውን ፋይሎች የማጽደቅ ፍቃድ ሳይወድቁ በግልጽ አይተዋቸው።
• አንድ cache, CDN ወይም የደህንነት ተጨማሪ ካለዎት፣ ከለውጡ በኋላ cache ን ለመጥረግ ይዘጋጁ።
• Admin panel, ዋና ገፅ, ጽሁፍ ገፅ, የአግኝቻ ፎርም እና የክፍያ ገፅ ያሉ አስፈላጊ አካባቢዎችን ለመሞከር የሚያገለግል ዝርዝር ያዘጋጁ።

ይህ ዝግጅት በአካባቢያው 10-15 ደቂቃ ይወስዳል፤ ነገር ግን የተሳሳተ ህግ ስለሚያነሳው ትችግር ብዙ ሰዓት ሊያቆይ ይችላል። በቢያንስ አካላዊ ሳይቶች እንደሆነ ለውጡን በዝቅተኛ ትራፊክ ሰዓት ማድረግ የተሻለ መድረክ ነው።

Apache ሰርቨር ላይ .htaccess በመጠቀም wp-includes PHP መድረሻን መዘጋት

Apache የሚጠቀሙ በአካባቢ ሰርቨሮች ብዙውን ጊዜ .htaccess ፋይል የሚከተለው መንገድ ነው። WordPress ዋና ዳይሬክቶሪ ውስጥ ያለው .htaccess ፋይል ትክክለኛ ህጎችን በመጨመር wp-includes ውስጥ ያሉ የPHP ጥሪዎችን ማግደም ይችላል። እንደመጀመሪያ ደረጃ ፋይሉን በኮምፒውተርዎ ላይ ቅጂ ያውርዱ ወይም በhosting panel ውስጥ ያለው ፋይል አስተዳደር በመጠቀም backup ያዘጋጁ።

የተሰረቀ .htaccess ህግ

ከታች የተቀመጠው መንገድ wp-includes በቀጥታ PHP መድረሻን ለመከላከል ይረዳል እና የstatic ፋይሎች መሥራትን ይጠብቃል፦

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-includes/.*[.]php$ - [F,L]
</IfModule>

ይህ ህግ ቀላል ነው፡ URL በwp-includes ጀምሮ በ.php ያበቃ ከሆነ መጠየቂያው ይከለከላል። ስለዚህ wp-includes ውስጥ ያሉ PHP ፋይሎች በbrowser ሲጠየቁ አይነቃቃም። በሚተደር ግን .js, .css, .png, .svg ያሉ static ፋይሎች ቀጥለው ይገናኛሉ። ይህ WordPress ፊትለፊትና admin panel ላይ የተሻለ የደህንነት ሚዛን ነው።

ዳይሬክቶሪ አሳይ መዘጋት

ሌላ በጣም አስፈላጊ ቅንብር directory listing መዘጋት ነው። በሰርቨርዎ directory listing ከክፍት ነበር ተጠቃሚዎች የአንዳንድ ፎልደሮች ውስጥ ያሉ ፋይሎችን ማየት ይችላሉ። በዋና .htaccess ፋይልዎ ይህ መስፈርት በተደጋጋሚ የበቂ ነው፡

Options -Indexes

ይህ መስፈርት index ፋይል የሌለበት ፎልደር ውስጥ የፋይሎች ዝርዝር እንዳይታየው ያደርጋል። በዘመናዊ hosting ብዙውን ጊዜ የተዘጋ ነው፤ ነገር ግን ማረጋገጥ የተሻለ የደህንነት ውሳኔ ነው።

ከለውጦቹ በኋላ ሙከራ

ህግን ከጨመሩ በኋላ የሚከተሉትን ሙከራዎች ያድርጉ፦

• siteadresiniz.com/wp-includes/ ን በbrowser ይክፈቱ፤ directory listing ማየት አልተገባበትም።
• wp-includes ውስጥ ያለ የታወቀ PHP ፋይል በቀጥታ ለመጠየቅ ይሞክሩ፤ 403 ወይም 404 ማግኘት ይገባል።
• ዋና ገፅ, blog ዶካልንና admin panel ያረጋግጡ።
• በbrowser developer tools Console እና Network ቦታዎች 404/403 የምንጭ ስህተቶች አሉ ወይም የለም ይመልከቱ።
• Cache plugin ወይም CDN በሚጠቀሙ ከሆነ cache ያጸዳው።

ሁሉም ሙከራዎች ሲሳካ ህጉን በproduction ምእመናቤ ተዘምተው ሊቀበሉ ይችላሉ። 500 ስህተት ከተፈጠረ በፍጥነት አስተዳደሩ የጨመሩትን መስፈርቶች በማስወገድ backup .htaccess ፋይልዎን ይመልሱ።

Nginx ሰርቨር ላይ wp-includes PHP መዳረሻን መዘጋት

በNginx የሚሰሩ VPS, dedicated ወይም የተቆጣጠረ ሰርቨር ሁኔታዎች ውስጥ .htaccess አይሰራም። ደንብ በNginx የsite configuration ፋይል ውስጥ፣ ብዙ ጊዜ server block ውስጥ ማካተት ያስፈልጋል። ከዚህ የተነሳ SSH መዳረሻና የconfiguration ፋይሎችን ማስተካከል ፍቃድ ያስፈልጋል። አሳርፎ ካልተረጋገጡ hosting ደጋፊ ቡድንን ማግኘት የተሻለ ነው።

የNginx የተገኘ location ደንብ

ዋናው ደንብ በዚህ ዓይነት ሀሳብ ሊተገበር ይችላል፦

location ~* ^/wp-includes/.*[.]php$ {
deny all;
}

ይህ ደንብ wp-includes በታች ያሉ PHP ፋይሎችን ለሚሰጡ ጥያቄዎች መዳረሻን ይከለከላል። ለዚህ ቀይር ከተደረገ nginx configuration መሙከራ አስፈላጊ ነው፦

nginx -t

ሙከራው አሳካ ብቻ Nginx እንደገና ይሞላ፦

systemctl reload nginx

እዚህ reload ትእዛዝ restart ከሚባለው ይልቅ በተቆጣጠረ መልኩ ይሰራል፤ በሚሰሩ connections አንዴ ሳይቆርጡ configuration ያደስሳል። ነገር ግን በጠባቂ ድር ላይ ለዚህ ቀይር ዝቅተኛ traffic ወቅት እንዲከናወን ይመከራል።

በNginx ስትጠቀም የሚጠናቀቁ ነገሮች

• ደንቡን በትክክል በተገባ server block ውስጥ እንደተጨመሩ ያረጋግጡ፤ በአንድ ሰርቨር ላይ ብዙ sites ሊኖሩ ይችላሉ።
• CDN ወይም reverse proxy ብቻም ትጠቀም CDN cache ከተጠራ በኋላ ትክክለኛ ሙከራ ያድርጉ።
• PHP-FPM configuration በሚስፈልጉ ፋይሎች ብቻ እንዲሰራ ያረጋግጡ።
• Log ፋይሎችን ያረምጡ፦ access.log እና error.log የተሳሳተ ደንብን በፍጥነት ያሳያሉ።

በNginx ሰርቨር ውስጥ የተሳሳተ location ቅደምተከተል ያልተጠበቀ ውጤቶችን ሊያስከትል ይችላል። ስለዚህ ደንቡ ከWordPress permalink እና PHP processing blocks ጋር አይደጋገም እንደሆነ ያረጋግጡ።

መሰረታዊ የዘዴዎች እንደካታይታ

በታች ያለው ሰንጠረዥ wp-includes ግንኙነትን ለመገደብ የተጠቀሱትን ዋና ዘዴዎች ያጠቃልላል፦

በተግባር የሚያበረታታው ውጤት እነዚህ ዘዴዎችን በአንድነት ሲያጠቀሙ ይገኛል። ለምሳሌ Apache hosting ላይ .htaccess መስፈርት፣ አስከፋፋሚ የፋይል ፍቃድ፣ ዘመናዊ WordPress ክፍል፣ SSL እና የመደበኛ ቅድሚያ ቅጂ በአንድ ሲያጠቀሙ ተደባዊ መከላከያ ይፈጠራል። በhosting መሠረት ውስጥ የጥበቃ ግድግዳ እና መቀመጥ አስፈላጊ ስለሆነ የድርጅት ሆስቲንግ ምርጫ በጠባብ ሳይቶች ላይ ልዩነት ያመጣል።

ፋይል ፍቃድና ባለቤትነት ቅንብሮች

wp-includes ግንዛቤን መዘጋት ፋይል ፍቃድ ትክክል ካልሆነ አብዛኛውን ጥቅም ያልሰጠ ይቆያል። WordPress ላይ የተወሰኑ ፋይል ፍቃዶች በቁልፍ ማዕከላዊዎች ላይ 755፣ በፋይሎች ላይ 644 ናቸው። እነዚህ ቁጥሮች የድር ሰርቨሩ ፋይሎቹን እንዲያነብ ይፈቅዳሉ፣ አያስፈልጉ የመጻፍ ፍቃድን ይቀንሳሉ። በአንዳንድ ልዩ የHosting አካባቢዎች የተለያዩ የተጠቃሚ እና የቡድን ቅንብሮች ሊኖሩ ይችላሉ፤ ስለዚህ የpanelዎ ምክርን ማከታተል ይገባው።

ልዩ ከሆነ ፍቃድ 777 ከባድ የደህንነት አደጋ ነው። ማንኛውም ሰው በአንድ ማዕከል ላይ መጻፍ በቀላሉ አካል የተቃወም ፋይሎች እንዲጫኑ ያደርጋል። wp-content/uploads ያሉ የሚጻፉ ማዕከላዊዎች ላይ እንኳን PHP እንዳይሰራ ማዘጋጀት ይገባው። wp-includes በደንብ የWordPress አዳሻ ውጤቶችን በቀር በተጠቃሚ ደረጃ የሚጻፉ አይሆኑ።

በደህንነት ምርመራ ውስጥ እነዚህ ቁጥሮች ሊመረምሩ ይችላሉ፦

• wp-includes ማዕከል፡ ብዙው ጊዜ 755
• wp-includes ውስጥ ያሉ የPHP ፋይሎች፡ ብዙው ጊዜ 644
• wp-config.php፡ ከቻሉ 600 ወይም በHosting አዋጅ የተገባ የተጠቀሰ ፍቃድ
• .htaccess፡ ብዙው ጊዜ 644፣ ከተሻለ ማዕከል አያስፈልጉ የመጻፍ ፍቃድ በኋላ

እነዚህ ቅንብሮች በሁሉም ሰርቨር አካባቢ አንደኛ አይሆኑም። የተሳሳተ ፍቃድ ድህረገፅዎ WordPress እንዳይታደስ ወይም ፋይሎችን እንዳይቆርጥ ሊያደርግ ይችላል። ከቅንብር ቀውስ በኋላ WordPress የጤና ምርመራንና የስህተት መዝገቦችን ማረም ይገባው።

የእምነት ቅጥያዎች ይህን ስራ ያደርጋሉ?

Wordfence, iThemes Security ያሉ የእምነት ቅጥያዎች አንዳንድ የሚያሳዩ የአካል ጥበቃ መመሪያዎችን ራስ በራስ ሊጠቁሙ ይችላሉ። እነዚህ ቅጥያዎች በbrute force መከላከል፣ የፋይል ለውጥ ቅኝት፣ የክፉ ሶፍትዌር መርማሪያና የlogin እምነት ጥበቃ ያሉ አካባቢዎች ጥቅም ላይ ይውላሉ። ግን wp-includes ግዴታን ማግለጫ ሲሆን ቅጥያው ምን እየሰራ እንደሆነ ማረጋገጥ አስፈላጊ ነው።

አንዳንድ ቅጥያዎች .htaccess ፋይል ላይ ራስ በራስ ህጎች ያክላሉ። ሌሎች ግን በአፕሊኬሽን ደረጃ ብቻ ጥበቃ ይሰጣሉ። በአፕሊኬሽን ደረጃ የሚሰጠው ጥበቃ ለመጠየቅ WordPress የደረሰ በኋላ የሚያንሳ ስለሆነ፣ በሰርቨር ደረጃ የሚሰራው እድሳት በጊዜ ይቀየራል። ስለዚህ የሙያ አቀራረብ ቅጥያን ከሰርቨር ማቀናበሪያን ጋር አብረው ማረጋገጥ ነው።

የእምነት ቅጥያ በመጠቀም እንደሚያደርጉ ይህን ያረጋግጡ፦

• ቅጥያው .htaccess ወይም Nginx ህግ ያክላል እንደሆነ ያረጋግጡ።
• አንድ ስራ የሚያደርጉ ሁለት የተለያዩ ህጎች እርስ በእርስ አይተያዩ እንደሆነ ያረጋግጡ።
• ቅጥያው አዲስ ሲደርስ የእምነት ማቀናበሪያዎች አይቀየሩም እንደሆነ ያረጋግጡ።
• የperformance ተጽዕኖ ለማረጋገጥ cache እና የserver ምንጭ አጠቃቀምን ያከታተሉ።

ብዙ የእምነት ቅጥያዎችን በአንድ ጊዜ መጠቀም ብዙ ጊዜ የተሻለ አስተሳሰብ አይደለም። የእምነት የfirewall፣ login እና rewrite ህጎች ተያይዞ performance ያንሳ ወይም የትክክል የእምነት ድንጋጤ ሊያደርጉ ይችላሉ።

wp-includes እንዴት እንደሚጠበቅ ለማረጋገጥ: በተግባር ምሳሌ

የተቀላቀለው መተግበሪያ በትክክል እንደሚሰራ ለማረጋገጥ በጣም የሚበቃው የሳይት መክፈት ብቻ አይደለም። ከታንኳን የንግድ ሳይቶች እስከ የኢ-ንግድ ፕሮጀክቶች ድረስ በብዙ WordPress ማዘጋጃዎች ላይ የሚተገበረው የተግባር ሙከራ በዚህ 7 ደረጃ ላይ ይደረጋል፦

• 1. ዋና ገፅን በግል ማሳያ (incognito) ክፍት ይሁን፤ ምስል ውስጥ ማንሳት ወይም መቀየር አለ እንደሆነ ያረጋግጡ።
• 2. አንድ የብሎግ ልጥፍ፣ የምድብ ገፅ፣ እና የፍለጋ ውጤት ገፅ ይጎብኙ።
• 3. wp-admin ፓነል ውስጥ ይግቡ፤ የብሎክ አርቲት እና ማህደር ቤት ይክፈቱ።
• 4. በቢል አሳዳዲ መሳሪያዎች ውስጥ Console ትምህርትን ያረጋግጡ።
• 5. Network በሚባል ትምህርት ውስጥ wp-includes በታች ያሉ ስታቲክ ፋይሎች በማንኛውም ምክንያት እንዳልታገዱ ያረጋግጡ።
• 6. wp-includes በታች PHP ፋይል በቀጥታ ይጥሩ፤ 403 ወይም 404 ምላሽ ይጠብቁ።
• 7. በሰርቨሩ የስህተት ሎግ አዲስ ወይም የደጋግመ ስህተቶች አሉ እንደሆነ ይመርምሩ።

ይህ ሙከራ በግምት 5 ደቂቃ ይወስዳል፣ ምናልባት የሚታወቀውን የአዋጅ ማደሪያ በፍጥነት ያግኛል። በዚህ ውስጥ በWooCommerce ያሉ የክፍያ ሂደቶች ሳይቶች፣ የግብይት ገጽ፣ የክፍያ ገጽ፣ እና የተጠቃሚ መለያ ገፅ በተጨማሪ ይሙከራሉ። በHostragons ወይም በህይወት ውስጥ ገቢ ሚያመነት ሳይቶች ውስጥ፣ አንዳንድ ትንሽ JavaScript እንኳ የተቀላቀለ ችግር የቅድሚያ መጠንን ሊያዳክም ይችላል።

የ WordPress ፋይል አይነት ተጨማሪ የእርምጃ የደህንነት ማስተናገያዎች

wp-includes እርምጃ መውሰድ የመጀመሪያ ጥሩ ነው፤ ነገር ግን WordPress ደህንነት እንደአንድ ብቻ በቅርብ ማስተናገያ መደርሰው ይገባል። ከሚከተሉት ተጨማሪ የደህንነት እርምጃዎች ለአጥማጅ ጥቃት ዕድል በተጨማሪ ይቀንሳሉ፦

• WordPress ዓይነቱን ማስተናገያ ከሚሰሩበት በተለየ ሁኔታ ማሳየት ይተው፤ ነገር ግን እንደ Hostragons የአካል እቃውን ሁልጊዜ ዘመናዊ ያድርጉ።
• ያልተጠቀሙ ቴማዎችንና አንቀጽ እንደ WordPress plugin ፍጹማን ይውጡ።
• የአስተዳደር ተጠቃሚ ስም አስቸጋሪ አድርጉ።
• ሁለት ደረጃ አረጋጋጭ ስርዓት ይጠቀሙ።
• XML-RPC አትጠቀሙ ከሆነ የድህረገፅ ግንኙነት ያግዱ።
• wp-login.php ላይ የጊዜ ገደብ ወይም ተጨማሪ ማረጋገጫ ያተግቡ።
• የመደበኛ አውቶማቲክ ቅድሚያ፣ እና የመመለስ ሙከራዎች ይሞክሩ።
• በሁሉም ድህረገፅ HTTPS ይጠቀሙ፤ SSL የማይሆን ጊዜ የመግቢያ መረጃዎች በአደጋ ይኖራሉ።

SSL wp-includes የቀጥታ መድረሻን በስተቀር የማይዘጋ፤ ነገር ግን ለተጠቃሚ ክፍሎች፣ ቅጽ መረጃዎችና የአስተዳደር ፓነል ትራፊክ መሰረታዊ ደህንነት ያቀርባል። ይህ ምክንያት በ WordPress ደህንነት መመሪያዎች SSL ሁልጊዜ በመጀመሪያ ሜዳ ይቆማል። በዚህ አውድ SSL የዋጋ ታውቆ ግዢ እና እንዲፈናይ የSSL አውርውር አገናኞች በተፈጥሮ በዚህ የይዘት ማስተናገያ ውስጥ ማቅረብ ይችላሉ።

መተግበሪያ ደጋፊ አስተላላፊ መበለት መቼ ይገባዋል?

በቀላሉ Apache hosting ላይ .htaccess ህግ ማከል አብዛኛውን ተጠቃሚ ለማድረግ የሚችሉ ሂደት ነው። ግን ልዩ Nginx አዋቂነት፣ በርካታ ሳይት አውታረ መረብ፣ WooCommerce መደብር፣ ከፍተኛ ትውልድ የሚያሳየ የዜና ሳይት ወይም የድርጅት ፖርታል ሲሆን ደጋፊ አስተላላፊ አግኝቶ ማድረግ የተሻለ ምርጫ ሊሆን ይችላል። ምክንያቱም የደህንነት ህግ ሳይኖር በተክኒክ ትክክል የተደረገ ብቻ ሳይሆን፣ በስራ ቀጣይነት ደህንነት አካል ሆኖ ማድረግ ያስፈልጋል።

በሚከተሉት ሁኔታዎች የስራ ሙያ ደጋፊ ምክር ይመከራል፦

• በሰርቨርዎ ከአንድ WordPress ሳይት በላይ የሚያቆዩ ከሆነ።
• Nginx, Varnish, CDN እና WAF በአንድ ላይ የሚጠቀሙ ከሆነ።
• ከመጨረሻዎቹ ለውጦች በኋላ 403, 404 ወይም 500 ስህተቶች በጣም ከፍ ቢሆኑ።
• ሳይቱ በፊት በmalware ተጎዳው ከሆነ።
• የክፍያ፣ የአባልነት ወይም የግል ውሂብ የሚያስተናግድ ሲስተም ከሚያስመራ ከሆነ።

የደህንነት የhosting መስመር፣ ትክክለኛ መለያያት፣ የተደጋጋሚ ቅድሚያ ማስቀመጥ እና ሙያዊ ድጋፍ የWordPress ደህንነት የማይታይ ነጥቦች ነው፣ ነገር ግን በግልጽ በጣም አስፈላጊ ናቸው። መስመር ሲመረጥ የዲስክ ቦታ ብቻ አይደለም፤ ቅድሚያ ማስቀመጥ፣ የደህንነት ግንዛቤ፣ የPHP ትርጉም ድጋፍ፣ SSL አስተዳደርና የቴክኒክ ድጋፍ ጥራት ማየት ይገባዋል። በዚህ አይነት Hostragons ሆስቲንግ ፓኬጎች እና WordPress የገፅ ማንቀሳቀስ ይዘቶች ለተንታኙ አስተዋፅኦ ያሳያሉ።

ውስጥ

WordPress የፋይል አዋቂነት ደህንነት በሚከተለው ስፍራ wp-includes ፋይል መድረሻን ማስቆም ትክክለኛው መንገድ ፋይሉን በሙሉ ማስቆም አልፈቀደም፤ wp-includes ውስጥ ያሉ PHP ፋይሎችን በቀጥታ የድር መድረሻን ማስቆልና የዲዝይን ዝርዝር ማስቆል ነው። በApache .htaccess፣ በNginx location መመዝገቢያዎች ይህ ሂደት በቀላሉ ይሰራዋል። ነገር ግን ማንኛውም ለውጥ ከማድረግዎ በፊት ምስክር ማዘጋጀት፣ ከዚያም admin panel እና የድር ቅድመ ምክንያት ፈተና ማድረግ ያስፈልጋል።

በአጭር አጠቃላይ፡ ስታቲክ ፋይሎችን አታጎድሉ፤ PHP መድረሻን ያከላከሉ፤ የዲዝይን ዝርዝርን ያግዱ፤ የፋይል ፍቃድን ያዘዙ፤ በቅድሚያ ይዘው ይዘምኑ። የተሻለ ደህንነት እና የማስተካከያ የWordPress መሠረት ለማግኘት Hostragons የhosting፣ domain፣ SSL መፍትሄዎችን ... ይመልከቱ፤ ለእርስዎ ተስማሚ አዋቂነት ያገኙ።

ብዙ ጊዜ የተጠየቁ ጥያቄዎች

wp-includes ፋይል ቦታን ፈጽሞ መዘጋት ደህንነቱ የተረጋገጠ ነው?

በአብዛኛው አይተከለም። wp-includes ውስጥ WordPress የሚያስፈልጋቸው JavaScript፣ CSS እና ሌሎች ስታቲክ ፋይሎች ሊኖሩ ይችላሉ። ፈጽሞ መከልከል የሳይት አሳይነትን ወይም የአስተዳደር ፓነሉን ሊያበላሽ ይችላል። የተረጋጋ አገልግሎት የሚሰጠው፣ በዚህ ፋይል ቦታ ውስጥ ያሉ PHP ፋይሎችን ወደ ቀጥታ መድረስን መከልከል ነው።

.htaccess መደበሪያ ከጨመረሁ በኋላ 500 ስህተት ከተገኘኝ ምን ልሰራ?

አንዳንድ ጊዜ የተጨመሩትን የመጨረሻ መደበሪያዎች አስወግዱ ወይም የተቀየረውን .htaccess የቅድሚያ ቅጂን አድስ። ከዚያም መደበሪያውን ለአይነት ስህተቶች ያስተካክሉ። ስህተቱ ከቆየ በሆላ የhosting ስህተት log ይመልከቱ ወይም የቴክኒክ ድጋፍ ያግኙ።

Nginx ሰርቨር ላይ .htaccess ይሰራል?

አይደለም። .htaccess በApache እና LiteSpeed ማዕከላዊ ስርዓቶች ውስጥ ይጠቀማል። በNginx ሰርቨር ያሉ አካባቢዎች location መደበሪያዎችን በserver block ውስጥ በመጠቀም ይደጋገባሉ፤ ከቀይርህ በኋላ nginx -t በመስጠት አዋቂነቱን ያረጋግጡ።

ይህ እርምጃ WordPress ሳይትዬን ፈጽሞ ደህንነቱን ያረጋግጣል?

አይደለም። wp-includes PHP መድረስን መከልከል ትልቅ የደህንነት ጥሪ ነው፤ ነገር ግን ብቻውን በቂ አይደለም። የሳይት አዳዲስ አያያዝ፣ ጠንካራ የይለፍ ቃላት፣ አሁን በሁነታ የሚያስተካክሉ ሁሉንም የሁለት ምስክር ማረጋገጫ፣ SSL፣ ቅድሚያ ቅጂ፣ የደህንነት ቅጥፍ፣ ትክክለኛ የፋይል ፈቃድ እና ሌሎች አስፈላጊ እርምጃዎች ማድረግ ያስፈልጋል።

እኔ የደህንነት እቃ ከተጠቀምኩ በስተቀር wp-includes መደበሪያ ይጨመር?

ምን ያህል መደበሪያዎችን እቃው እንደሚያደርግ ይመለከታል። አንዳንድ እቃዎች .htaccess መደበሪያ ያስጨመራሉ፣ አንዳንድዎች በስርዓት ላይ ውስጥ ብቻ ይጠብቁ። በሰርቨር ደረጃ PHP መድረስን በጥብቅ መከልከል የተሻለ መፍትሄ ነው።