WordPress ફોલ્ડર સુરક્ષા: "wp-includes" ફોલ્ડર માટે સીધી ઍક્સેસ બંધ કરવી કેવી રીતે?

WordPress ફોલ્ડર સુરક્ષા માટે "wp-includes" ફોલ્ડર પર સીધા ઍક્સેસને સંપૂર્ણ રીતે બંધ કરવાને બદલે, આ ફોલ્ડરમાં રહેલ PHP ફાઇલોને બહારથી ચાલતા અટકાવવી અને ડિરેક્ટરી લિસ્ટિંગ બંધ કરવી સૌથી સુરક્ષિત રીત છે. કારણ કે wp-includes, WordPress ના કોરને ચાલવા માટે જરૂરી JavaScript, CSS અને કેટલીક સ્ટેટિક ફાઇલો ધરાવે છે; આ ફોલ્ડરનું આખું ઍક્સેસ બંધ કરવું સાઇટના ડિઝાઇન, એડિટર અથવા પ્લગઇન ફંક્શન્સને ખરાબ કરી શકે છે. યોગ્ય રીત એ છે કે, જો તમે Apache સર્વર ઉપયોગ કરતા હો તો .htaccess નિયમો વડે અને Nginx માટે સર્વર બ્લોકમાં location નિયમ વડે સીધા PHP ઍક્સેસને રોકવું, પછી સાઇટને 403/404 રિસ્પોન્સ અને મહત્વપૂર્ણ પેજ ટેસ્ટ દ્વારા ચકાસવું.

WordPress સુરક્ષામાં સૌથી સામાન્ય ભૂલ એ છે કે ફક્ત મજબૂત પાસવર્ડ કે સુરક્ષા પ્લગઇન પર નિર્ભર રહેવું. હકીકતમાં હેકર્સ ઘણીવાર કોર ફોલ્ડર્સ, જૂના પ્લગઇન્સ, ખોટા ફાઇલ પરવાનગીઓ અને ખુલ્લા ડિરેક્ટરી લિસ્ટિંગને સ્કેન કરે છે. wp-includes ફોલ્ડર આ સ્કાનિંગ માટે ખાસ ટાર્ગેટ બને છે. આ માર્ગદર્શિકામાં તમે વિવિધ હોસ્ટિંગ પરિસ્થિતિઓ માટે wp-includes ઍક્સેસ કેવી રીતે મર્યાદિત કરશો, કયા નિયમો સાઇટને નુકસાન પહોંચાડી શકે, Apache અને Nginx માટે ઉદાહરણ કન્ફિગરેશન, ટેસ્ટિંગ પદ્ધતિઓ અને જાળવણી ચેકલિસ્ટ શોધી શકશો. તમારા WordPress સાઇટને વધુ સુરક્ષિત બનાવવા માટે WordPress હોસ્ટિંગ અને સર્વસામાન્ય સુરક્ષા માટે SSL પ્રમાણપત્ર વિકલ્પો પણ વિચારવા યોગ્ય છે.

wp-includes ફોલ્ડર શું છે અને કેમ સુરક્ષિત કરવો જરૂરી છે?

wp-includes એ WordPress કોરના મુખ્ય લાઇબ્રેરીઝ ધરાવતો એક ફોલ્ડર છે. તેમાં થીમ સિસ્ટમ, બ્લોક એડિટર, REST API ઘટકો, મીડિયા પ્રોસેસિંગ, ક્લાસીસ, ફંક્શન્સ અને વિવિધ JavaScript ફાઇલો શામેલ છે. સરળ શબ્દોમાં કહીએ તો wp-includes એ WordPress નું એન્જિન રૂમ છે; તે વપરાશકર્તાઓ માટે સીધી મુલાકાત લેવાનું સ્થળ નથી.

સામાન્ય વપરાશકર્તાઓ માટે site.com/wp-includes/ જેવા એડ્રેસ ખોલવાની જરૂર નથી. પરંતુ પેજના સોર્સમાં wp-includes હેઠળની કેટલીક સ્ટેટિક ફાઇલો જોવા મળી શકે છે. ઉદાહરણ તરીકે WordPress ના ડિફોલ્ટ સ્ક્રિપ્ટ ફાઇલો, ઇમોજી સ્ક્રિપ્ટ કે એડિટર ઘટકો આ ફોલ્ડર પરથી લોડ થાય છે. તેથી સુરક્ષા માટે ટાર્ગેટ સ્પષ્ટ હોવો જોઈએ: સ્ટેટિક ફાઇલોને ચાલવા દેતા PHP ફાઇલો માટે સીધી વેબ ઍક્સેસ બંધ કરવી.

આ ભેદ એ પ્રોફેશનલ WordPress ફોલ્ડર સુરક્ષા અભિગમનું મુખ્ય સિદ્ધાંત છે. ફોલ્ડર્સને અનિયમિત રીતે સંપૂર્ણ બંધ કરવું ટૂંકા ગાળામાં સુરક્ષિત લાગતું હોય પણ જીવંત સાઇટમાં વ્હાઇટ સ્ક્રીન, મેનેજમેન્ટ પેનલ તૂટવું, બ્લોક એડિટર ન ચાલવું કે થીમ ખોટું દેખાવું જેવી સમસ્યાઓ લાવી શકે છે. હેતુ એ છે કે WordPress ને જરૂરી ફાઈલો સુરક્ષિત રાખી હમલાઓના દરવાજા ઘટાડવા.

wp-includes ઍક્સેસ બંધ કરવાથી શું લાભ થાય?

wp-includes ફોલ્ડરમાં સીધા PHP ફાઇલો ચલાવવાનું અટકાવવું તમામ હમલાઓ રોકતું નથી, પણ હમલાના દરવાજાને નોંધપાત્ર રીતે ઘટાડી શકે છે. ખાસ કરીને મેલિશિયસ સાઇટ્સમાં હેકર્સ ઍક્સેસ કરી શકાય તેવી ડિરેક્ટરીઝમાં ખરાબ PHP ફાઈલો અપલોડ કે ચલાવવાનો પ્રયાસ કરે છે. wp-includes ની PHP ફાઇલોને વેબથી સીધા ચલાવવાનું બંધ કરવું આમાં એક વધારાનું સુરક્ષા અવરોધ ઉભો કરે છે.

આ પગલાં નીચેના લાભ આપે છે:

• કોર PHP ફાઇલોને સીધી URL દ્વારા કોલ થવાનું રોકે છે.
• જો ડિરેક્ટરી લિસ્ટિંગ ખુલ્લું હોય તો ફોલ્ડરનો અંદરનો સામગ્રી દેખાવાનું અટકાવે છે.
• ઓટોમેટેડ બોટ સ્કાનિંગથી ગેરજરૂરી માહિતી લિકેજ ઘટાડે છે.
• જ્યારે સુરક્ષા પ્લગઇન ન હોય ત્યારે પણ વેબ સર્વર સ્તરે સુરક્ષા આપે છે.
• WAF, SSL, અપડેટેડ PHP અને ફાઈલ પરવાનગી સાથે મજબૂત સ્તરવાળી સુરક્ષા બનાવે છે.

અહીં મહત્વપૂર્ણ છે કે આ માત્ર એક સુરક્ષા સ્તર છે. જો જૂના પ્લગઇન, કમજોર એડમિન પાસવર્ડ કે હેક થયેલ FTP હોય તો wp-includes નિયમ પૂરતો નથી. સુરક્ષા એ હોસ્ટિંગ ઈન્ફ્રાસ્ટ્રક્ચર, એપ્લિકેશન, વપરાશકર્તા મેનેજમેન્ટ અને નિયમિત જાળવણીનું સંયોજન છે. મજબૂત આધાર માટે સુરક્ષિત વેબ હોસ્ટિંગ અને ડોમેન સંભાળ માટે ડોમેન સુરક્ષા વિષયક લિંક જોઈ શકાય.

wp-includes બંધ કરતી વખતે સામાન્ય ભૂલો

ફોલ્ડર પૂરું જ બ્લૉક કરવું

સૌથી મોટી ભૂલ એ છે કે wp-includes ફોલ્ડર માટે આવતા તમામ HTTP રિક્વેસ્ટને 403થી રદ કરી દેવી. આ પહેલી નજરમાં યોગ્ય લાગે છે, પરંતુ WordPress કેટલાક સ્ટેટિક એસેટ્સ આ ફોલ્ડરમાંથી લોડ કરે છે. પરિણામે બ્લોક એડિટર ખોલાતો નથી, કેટલાક JavaScript કામ નથી કરતા, અથવા ફ્રન્ટએન્ડમાં નાનાં પરંતુ મહત્વપૂર્ણ ડિઝાઇન ત્રુટિઓ થાય છે.

નિયમ ચકાસ્યા વિના લાઈવ પર લગાડવું

.htaccess કે Nginx કન્ફિગરેશનમાં એક પણ ટાઈપો 500 Internal Server Error આપી શકે છે. ખાસ કરીને ટ્રાફિક વાળી સાઇટમાં નિયમને સીધા લાઈવ પર લગાવવું જોખમી છે. પહેલા ફાઈલ બેકઅપ લેવું, શક્ય હોય તો સ્ટેજિંગ પર અજમાવવું અને પછી નિયંત્રિત રીતે લાઈવમાં જવું જોઈએ. જો Hostragons પ્લેટફોર્મ પર સ્ટેજિંગ કે બેકઅપ વિકલ્પો હોય તો વેબ હોસ્ટિંગ બેકઅપ એક ઉપયોગી લિંક બની શકે છે.

ફક્ત સુરક્ષા પ્લગઇન પર ભરોસો કરવો

સુરક્ષા પ્લગઇન્સ ઉપયોગી છે, પણ સર્વર સ્તરના નિયમો વહેલા લાગુ પડતાં હોવાથી PHP સુધી રિક્વેસ્ટ પહોંચતાં પહેલા રદ્દ થાય છે અને રિસોર્સ બચે છે. તેથી પ્લગઇન સાથે સાથે સર્વર નિયમો પણ અવગણવા ન જોઈએ.

લાગુ કરતા પહેલા ચેકલિસ્ટ

wp-includes ઍક્સેસ મર્યાદિત કરતા પહેલા થોડું તૈયારી કરવી જરૂરી છે જેથી તૂટી પડવાનું જોખમ ઘટાડાય. નીચેનું ચેકલિસ્ટ ખાસ કરીને જીવંત WordPress સાઇટ માટે ઉપયોગી છે:

• હાલનું .htaccess અથવા Nginx કન્ફિગરેશન બેકઅપ કરો.
• WordPress કોર, થીમ અને પ્લગઇન અપડેટ કરો.
• PHP વર્ઝન સુરક્ષિત અને સપોર્ટેડ છે તેની ખાતરી કરો.
• ફાઇલ પરવાનગીઓ તપાસો: ફોલ્ડર્સ માટે સામાન્ય રીતે 755 અને ફાઇલો માટે 644 હોવી જોઈએ.
• wp-config.php અને .htaccess જેવી મહત્વપૂર્ણ ફાઇલો પર અનાવશ્યક લખાણ પરવાનગી ન આપો.
• જો કેશિંગ, CDN કે સુરક્ષા પ્લગઇન હોય તો બદલાવ પછી કેશ ક્લીયર કરો.
• એડમિન પેનલ, હોમપેજ, પોસ્ટ પેજ, કોન્ટેક્ટ ફોર્મ અને પેમેન્ટ પેજ જેવા મહત્વપૂર્ણ પેજોની ફંક્શનાલિટી ચકાસવા માટે ટેસ્ટ લિસ્ટ બનાવો.

આ તૈયારી 10-15 મિનિટમાં પૂરી થાય છે, પણ ખોટા નિયમથી કલાકોની ડાઉનટાઈમ ટાળી શકાય છે. મોટા સાઇટમાં બદલાવ ઓછા ટ્રાફિક સમયે કરવો શ્રેષ્ઠ.

Apache સર્વર પર .htaccess વડે wp-includes PHP ઍક્સેસ બંધ કરવી

Apache વાળા શેયર્ડ હોસ્ટિંગમાં સૌથી લોકપ્રિય રીત .htaccess ફાઈલમાં નિયમ ઉમેરવાની છે. WordPress રુટ ફોલ્ડરમાં રહેલી .htaccess ફાઈલમાં યોગ્ય નિયમ ઉમેરવાથી wp-includes ની PHP ફાઇલોને રોકી શકાય છે. આ માટે પહેલા ફાઈલનો બેકઅપ લેવું જરૂરી છે.

સલાહકાર .htaccess નિયમ

નીચેનો નિયમ સીધા PHP ફાઇલો પર જ લગાડવામાં આવે છે, સ્ટેટિક ફાઇલો પર અસર નહીં થાય:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-includes/.*[.]php$ - [F,L]
</IfModule>

આ નિયમનો અર્થ: જો URL wp-includes થી શરૂ થાય અને .php પર 끝 થાય તો રિક્વેસ્ટ રોકી દેવી. તેથી wp-includes ની PHP ફાઇલો બ્રાઉઝરથી સીધી ઍક્સેસ ન થાય. .js, .css, .png, .svg જેવી સ્ટેટિક ફાઇલો માટે ઍક્સેસ ચાલુ રહેશે. આ WordPress ના ફ્રન્ટએન્ડ અને એડમિન પેનલ માટે સુરક્ષિત સંતુલન છે.

ડિરેક્ટરી લિસ્ટિંગ બંધ કરવી

જો સર્વર પર ડિરેક્ટરી લિસ્ટિંગ ચાલુ હોય તો યૂઝર્સ કઈ ફાઇલો છે તે જોઈ શકે છે. મુખ્ય .htaccessમાં નીચેનો કમાન્ડ ઉમેરવો સામાન્ય રીતે પૂરતો હોય છે:

Options -Indexes

આ કમાન્ડથી ઈન્ડેક્સ ફાઇલ વગર ફોલ્ડર્સમાં ફાઇલ લિસ્ટ દેખાતું અટકાય છે. આધુનિક હોસ્ટિંગમાં ડિફોલ્ટે આ બંધ હોય છે, પણ ચકાસવું સારું છે.

નિયમ લાગુ કર્યા પછી ટેસ્ટ કરવો

નિયમ ઉમેર્યા પછી આ ટેસ્ટ કરો:

• siteadresiniz.com/wp-includes/ ખોલો; ડિરેક્ટરી લિસ્ટિંગ ન દેખાવું જોઈએ.
• wp-includes ની જાણીતી PHP ફાઈલ સીધી ખોલવાનો પ્રયાસ કરો; 403 કે 404 લાગે તે જોઈએ.
• હોમપેજ, બ્લોગ પોસ્ટ અને એડમિન પેનલ ચકાસો.
• બ્રાઉઝર ડેવલપર ટૂલ્સના Console અને Network ટેબમાં 403/404 એરર છે કે નહીં જોવો.
• જો કેશિંગ, CDN હોય તો કેશ ક્લિયર કરો.

બધા ટેસ્ટ પાસ થાય તો નિયમ પ્રોડક્શન પર રાખી શકાય. 500 એરર આવે તો તરત નિયમ હટાવીને બેકઅપ રીસ્ટોર કરવો.

Nginx સર્વર પર wp-includes PHP ઍક્સેસ બંધ કરવી

Nginx સર્વર પર .htaccess કામ નથી કરતી. અહીં નિયમ Nginx ની સાઇટ કન્ફિગરેશન ફાઈલમાં સર્વર બ્લોકની અંદર ઉમેરવો પડે છે. આ માટે SSH ઍક્સેસ અને કન્ફિગરેશન ફેરફાર કરવાની ક્ષમતા જરૂરી છે. જરૂર પડે તો હોસ્ટિંગ સપોર્ટની મદદ લો.

સલાહકાર Nginx location નિયમ

આ નિયમ આ રીતે લગાડો:

location ~* ^/wp-includes/.*[.]php$ {
deny all;
}

આથી wp-includes ની PHP ફાઇલો માટેની રિક્વેસ્ટ નકારી દેવામાં આવે છે. ફેરફાર પછી કન્ફિગરેશન ચકાસો:

nginx -t

જ્યારે ટેસ્ટ સફળ થાય ત્યારે Nginx ફરી લોડ કરો:

systemctl reload nginx

reload restart કરતા નરમ રીતે સર્વર નિયમોને અપડેટ કરે છે. મહત્વપૂર્ણ સાઇટમાં ઓછા ટ્રાફિક સમયે આ બદલાવ કરવો યોગ્ય.

Nginx ઉપયોગ સમયે ધ્યાનમાં રાખવા જેવી વાતો

• નિયમ યોગ્ય સર્વર બ્લોકમાં ઉમેર્યો છે કે નહીં તે ખાતરી કરો; એક સર્વર પર અનેક સાઇટ હોઈ શકે.
• CDN અથવા રિવર્સ પ્રોક્સી હોય તો CDN કેશ સાફ કર્યા પછી ટેસ્ટ કરો.
• PHP-FPM સુયોજિત છે તે ફક્ત જરૂરી ફાઈલો માટે કામ કરે તે ચકાસો.
• લોગ ફાઇલો access.log અને error.log તપાસો; ખોટા નિયમની તાત્કાલિક ઓળખ થાય છે.

Nginxમાં ખોટી location ક્રમવાર્તા અપેક્ષિત પરિણામ નહિ આપે. WordPress permalink અને PHP હેન્ડલિંગ બ્લોક સાથે કોઈ ઝઘડો નથી તે ખાતરી કરો.

પદ્ધતિઓની તુલના

નીચેના ટેબલમાં wp-includes ઍક્સેસ મર્યાદિત કરવા માટેની મુખ્ય પદ્ધતિઓ સરવાળો છે:

અમે પ્રેક્ટિસમાં આ બધાને સાથે મળીને ઉપયોગ કરવો જોઈએ. ઉદાહરણ તરીકે Apache હોસ્ટિંગમાં .htaccess નિયમ, યોગ્ય ફાઇલ પરવાનગી, અપડેટેડ WordPress કોર, SSL અને નિયમિત બેકઅપ સાથે સ્તરવાળી સુરક્ષા બને છે. હોસ્ટિંગ ઈન્ફ્રાસ્ટ્રક્ચરમાં ફાયરવોલ અને આઈસોલેશન પણ મહત્વ ધરાવે છે, તેથી કોર્પોરેટ હોસ્ટિંગ પસંદગી મહત્વપૂર્ણ છે.

ફાઇલ પરવાનગી અને માલિકીની સેટિંગ્સ

wp-includes ઍક્સેસ બંધ કરવું ફાઇલ પરવાનગી ખોટી હોય તો અધૂરું રહે છે. WordPress માટે સામાન્ય પરવાનગીઓFolders માટે 755 અને ફાઇલો માટે 644 છે. આ રીતે સર્વર ફાઇલ વાંચી શકે છે, પણ અનાવશ્યક લખાણ પરવાનગી ઓછી થાય છે. કેટલાક ખાસ હોસ્ટિંગમાં યુઝર અને ગ્રુપ સેટિંગ અલગ હોઈ શકે, તેથી પેનલ સૂચનો ધ્યાનમાં લેવી.

ખાસ કરીને 777 પરવાનગી ખૂબ જોખમી છે. કોઈ પણ વ્યક્તિને લખવાની છૂટ મળે તો ખરાબ ફાઈલો અપલોડ થવાની શક્યતા વધે છે. wp-content/uploads જેવા લખવાના ફોલ્ડર્સમાં પણ PHP ચલાવવાનું રોકવું જોઈએ. wp-includes સામાન્ય રીતે વપરાશકર્તા દ્વારા નહીં બદલાતું હોય.

સુરક્ષા ચકાસણીમાં નીચેના મૂલ્યો તપાસો:

• wp-includes ફોલ્ડર: સામાન્ય રીતે 755
• wp-includes ની PHP ફાઇલો: સામાન્ય રીતે 644
• wp-config.php: શક્ય હોય તેટલું 600 કે વધુ કડક પરવાનગી
• .htaccess: સામાન્ય રીતે 644, બિનજરૂરી લખાણ પરવાનગી વિના

આ સેટિંગ દરેક સર્વર પર સમાન રીતે કામ ન કરી શકે. ખોટી પરવાનગી સાઇટ અપડેટ થવામાં સમસ્યા લાવી શકે. બદલાવ પછી WordPress હેલ્થ ચેક અને એરર લોગ તપાસવું જરૂરી.

સુરક્ષા પ્લગઇન આ કામ કરે?

Wordfence, iThemes Security જેવા પ્લગઇન કેટલીક હાર્ડનિંગ સેટિંગ આપમેળે સૂચવી શકે છે. તેઓ બ્રૂટ ફોર્સ રક્ષણ, ફાઇલ ચેન્જ મોનિટરિંગ, માલવેર સ્કેનિંગ અને લોગિન સુરક્ષા માટે ઉપયોગી છે. પરંતુ wp-includes ઍક્સેસ બંધ કરવાનું પ્લગઇન શું કરે છે તે ચોક્કસ તપાસવું જોઈએ.

કેટલાક પ્લગઇન .htaccess માં નિયમ ઉમેરે છે, જ્યારે કેટલાક ફક્ત એપ્લિકેશન સ્તર પર સુરક્ષા આપે છે. એપ્લિકેશન સ્તરનું રક્ષણ PHP સુધી રિક્વેસ્ટ પહોંચ્યા પછી લાગુ પડે છે, જે સર્વર સ્તરના રોકાણ કરતા મોડું છે. તેથી પ્રોફેશનલ રીત એ છે કે પ્લગઇન અને સર્વર કન્ફિગરેશન બંનેનું સંયોજન જોવું.

જો સુરક્ષા પ્લગઇન વાપરો છો તો નીચે ચેક કરો:

• પ્લગઇન .htaccess કે Nginx નિયમ ઉમેર્યું છે કે નહીં તે તપાસો.
• સમાન કાર્ય કરતી બે નિયમો વચ્ચે ટકરાવ નથી તે ખાતરી કરો.
• પ્લગઇન અપડેટ પછી સુરક્ષા સેટિંગ્સ બદલાતા નથી તેની ખાતરી કરો.
• પ્રદર્શન માટે કેશ અને સર્વર રિસોર્સનું મોનિટરિંગ કરો.

એકસાથે બહુ પ્લગઇન વાપરવું સામાન્ય રીતે સારું નથી. ફાયરવોલ, લોગિન અને rewrite નિયમો ટકરાવાથી પ્રદર્શન ઘટી શકે કે ખોટા બ્લોક થઈ શકે.

wp-includes સુરક્ષા ટેસ્ટ: પ્રેક્ટિકલ સ્ટેપ્સ

લાગુ કરવાનું સફળ છે કે નહીં તે સમજવા માટે ફક્ત સાઇટ ખુલવું જ પૂરતું નથી. નીચેના 7 સ્ટેપ વાળું ટેસ્ટ નાના બિઝનેસ સાઇટથી લઈને ઇ-કોમર્સ પ્રોજેક્ટ સુધી બધાં WordPress પર લાગુ પડે છે:

• 1. હોમપેજ પ્રાઈવેટ વિન્ડોમાં ખોલો અને વિઝ્યુઅલ ત્રુટિઓ તપાસો.
• 2. એક બ્લોગ પોસ્ટ, કેટેગરી પેજ અને સર્ચ રિઝલ્ટ પેજ જોઈ લો.
• 3. wp-admin પેનલમાં લોગિન કરો; બ્લોક એડિટર અને મિડિયા લાઇબ્રેરી ખોલો.
• 4. બ્રાઉઝર ડેવલપર ટૂલ્સમાં Console ટેબ તપાસો.
• 5. Network ટેબમાં wp-includes ની સ્ટેટિક ફાઇલો અવરોધિત નથી તે ચકાસો.
• 6. wp-includes ની કોઈ PHP ફાઈલ સીધી ખોલવાનો પ્રયાસ કરો; 403 કે 404 રિસ્પોન્સ જોઈએ.
• 7. સર્વર એરર લોગમાં નવી કે વારંવાર આવતી ભૂલો તપાસો.

આ ટેસ્ટ લગભગ 5 મિનિટમાં થાય છે અને ખોટા કન્ફિગરેશન ઝડપથી શોધી કાઢે છે. ખાસ કરીને WooCommerce જેવી પેમેન્ટ વાળી સાઇટમાં કાર્ટ, પેમેન્ટ અને યુઝર એકાઉન્ટ પેજ્સ પણ જુએ.

વધારાના WordPress ફોલ્ડર સુરક્ષા પગલાં

wp-includes સુરક્ષા શરુઆત માટે સારી છે, પણ સંપૂર્ણ WordPress સુરક્ષા માટે વધારે પગલાં લેવા જોઈએ. નીચેના પગલાં હમલાના દરવાજા વધુ ઘટાડી શકે છે:

• WordPress વર્ઝન છુપાવવાને બદલે હંમેશા અપડેટ રાખો.
• અનઉપયોગી થીમ અને પ્લગઇન સંપૂર્ણ રીતે દૂર કરો.
• એડમિન યૂઝરનેમ ધારણ કરવો મુશ્કેલ બનાવો.
• ટૂ ફેક્ટર ઓથેન્ટિકેશન લગાવો.
• જો XML-RPC નો ઉપયોગ ન કરતા હોય તો તેને મર્યાદિત કરો.
• wp-login.php માટે રેટ લિમિટ કે વધારાનું વેરિફિકેશન લગાવો.
• દૈનિક ઓટોમેટેડ બેકઅપ અને રસ્ટોર ટેસ્ટ કરો.
• સંપૂર્ણ સાઇટમાં HTTPS લાગુ કરો; SSL વગર લોગિન માહિતી જોખમી રહે છે.

SSL સીધા wp-includes ઍક્સેસ બંધ કરતું નથી, પણ વપરાશકર્તા સેશન, ફોર્મ ડેટા અને એડમિન ટ્રાફિક માટે મૂળભૂત સુરક્ષા આપે છે. આથી WordPress સુરક્ષા માર્ગદર્શિકાઓમાં SSL હંમેશા પ્રથમ સ્તર તરીકે ગણાય છે. આ બાબતો માટે SSL પ્રમાણપત્ર ખરીદો અને મુકત SSL સ્થાપના લિંક સ્વાભાવિક છે.

ક્યારે પ્રોફેશનલ સહાય લેવી જોઈએ?

સરળ Apache હોસ્ટિંગમાં .htaccess નિયમ ઉમેરવું મોટા ભાગના વપરાશકર્તાઓ માટે સરળ છે. પણ ખાસ Nginx કન્ફિગરેશન, મલ્ટી સાઇટ નેટવર્ક, WooCommerce સ્ટોર, હાઈ ટ્રાફિક ન્યૂઝ સાઇટ કે કોર્પોરેટ પોર્ટલ હોય તો પ્રોફેશનલ સહાય લેવી વધુ યોગ્ય છે. કારણ કે સુરક્ષા નિયમ ન માત્ર ટેકનિકલી સાચો હોતો જોઈએ, પણ બિઝનેસ સતત ચાલતો રહે તે રીતે લાગુ કરવો જરૂરી છે.

આ સ્થિતિઓમાં નિષ્ણાત મદદ લેવી જરૂરી છે:

• સર્વર પર ઘણા WordPress સાઇટ હોસ્ટ કરેલા હોય.
• Nginx, Varnish, CDN અને WAF સાથે સંયુક્ત હોય.
• હાલમાં 403, 404 કે 500 એરર વધ્યા હોય.
• સાઇટ પહેલા મેલવેરથી પીડિત રહી હોય.
• પેમેન્ટ, સભ્યત્વ કે વ્યક્તિગત ડેટા સંભાળતું સિસ્ટમ ચલાવે.

સુરક્ષિત હોસ્ટિંગ ઈન્ફ્રાસ્ટ્રક્ચર, યોગ્ય આઈસોલેશન, નિયમિત બેકઅપ અને નિષ્ણાત સહાય WordPress સુરક્ષાના અદૃશ્ય પણ મહત્વના હિસ્સા છે. પ્લાન કરતી વખતે ફક્ત ડિસ્ક જગ્યા નહિ, બેકઅપ, ફાયરવોલ, PHP સપોર્ટ, SSL મેનેજમેન્ટ અને ટેકનિકલ સપોર્ટની ગુણવત્તા પણ જોવી જોઈએ. આ માટે Hostragons હોસ્ટિંગ પેકેજ અને વોર્ડપ્રેસ સાઇટનો અંતરાંત માહિતી વધુ મદદરૂપ થશે.

નિષ્કર્ષ

WordPress ફોલ્ડર સુરક્ષા હેઠળ wp-includes ફોલ્ડર પર સીધી ઍક્સેસ બંધ કરવાની યોગ્ય રીત એ છે કે ફોલ્ડર આખું બ્લૉક કરવું નહીં પરંતુ તેમાં રહેલી PHP ફાઇલોની સીધી વેબ ઍક્સેસ રોકવી અને ડિરેક્ટરી લિસ્ટિંગ બંધ કરવું. Apache માટે .htaccess અને Nginx માટે location નિયમો સાથે આ સરળતાથી થઈ શકે છે. પણ દરેક બદલાવ પહેલા બેકઅપ લેવો અને એડમિન પેનલ તથા ફ્રન્ટએન્ડનું પરીક્ષણ કરવું જરૂરી છે.

સંક્ષિપ્તમાં: સ્ટેટિક ફાઇલોને અસર ન થાય તે મુજબ PHP ઍક્સેસ મર્યાદિત કરો, ડિરેક્ટરી લિસ્ટિંગ બંધ કરો, ફાઇલ પરવાનગી તપાસો અને નિયમિત અપડેટ્સ કરો. વધુ સુરક્ષિત અને સંચાલિત WordPress માટે Hostragons ના હોસ્ટિંગ, ડોમેન અને SSL સોલ્યુશન્સ જોઈને જરૂરી મદદ લઈ શકો છો.

વારંવાર પૂછાતા પ્રશ્નો

wp-includes ફોલ્ડરને સંપૂર્ણ રીતે બંધ કરવું સલામત છે?

સામાન્ય રીતે નહી. wp-includes માં WordPress માટે જરૂરી JavaScript, CSS અને સ્ટેટિક ફાઇલો હોય છે. સમગ્ર ફોલ્ડર બ્લૉક કરવાથી સાઇટનું દેખાવ કે મેનેજમેન્ટ પેનલ બગડી શકે છે. સુરક્ષિત રીત એ છે કે ફક્ત PHP ફાઇલોની સીધી ઍક્સેસ રોકવી.

.htaccess નિયમ ઉમેર્યા પછી 500 એરર આવે તો શું કરવું?

સૌપ્રથમ છેલ્લું ઉમેરેલું નિયમ હટાવો અથવા બેકઅપ .htaccess રીસ્ટોર કરો. પછી નિયમની સિન્ટેક્સ ચકાસો. જો સમસ્યા યથાવત રહે તો હોસ્ટિંગના એરર લોગ્સ તપાસો અથવા ટેકનિકલ સહાય લો.

Nginx સર્વર પર .htaccess કામ કરે છે?

નહીં. .htaccess ફાઈલ Apache અને LiteSpeed માટે હોય છે. Nginx પર સમાન નિયંત્રણ server block માં location નિયમ વડે કરવો પડે અને બદલાવ પછી nginx -t થી ચકાસવું જરૂરી.

આ પગલાં WordPress સાઇટને સંપૂર્ણ સુરક્ષિત બનાવે છે?

નહીં. wp-includes PHP ઍક્સેસ બંધ કરવું મહત્વપૂર્ણ સ્તર છે, પણ પૂરતું નથી. અપડેટ્સ, મજબૂત પાસવર્ડ, टू-ફેક્ટર ઓથેન્ટિકેશન, SSL, બેકઅપ, ફાયરવોલ અને યોગ્ય ફાઇલ પરવાનગીઓ સાથે મળીને સુરક્ષા પૂરતી થાય છે.

સુરક્ષા પ્લગઇન વાપરું છું તો પણ wp-includes નિયમ ઉમેરવો જરૂરી છે?

પ્લગઇન જે નિયમો લગાવે છે તે પર આધાર રાખે છે. કેટલાક .htaccess નિયમ ઉમેરે છે, કેટલાક ફક્ત એપ્લિકેશન સ્તર પર સુરક્ષા આપે છે. ટકરાવ વગર સર્વર સ્તરે PHP ઍક્સેસ મર્યાદિત કરવી વધુ મજબૂત ઉકેલ છે.