WordPress फ़ोल्डर संरचना सुरक्षा: "wp-includes" फ़ोल्डर की पहुँच कैसे सीमित करें

WordPress फ़ोल्डर संरचना सुरक्षा के लिए "wp-includes" फ़ोल्डर की सीधे पहुँच को पूरी तरह बंद करने की बजाय, सबसे सुरक्षित तरीका है कि इस फ़ोल्डर के PHP फाइलों को बाहर से चलाने से रोकें और डायरेक्टरी लिस्टिंग बंद करें। क्योंकि wp-includes में WordPress के मूल कोड के लिए जरूरी JavaScript, CSS और कुछ स्थैतिक फाइलें होती हैं; अगर पूरे फ़ोल्डर को ब्लॉक कर दिया जाए तो साइट की डिज़ाइन, एडिटर या प्लगइन की कार्यक्षमता प्रभावित हो सकती है। सही तरीका है: अगर आप Apache सर्वर पर हैं तो .htaccess नियमों से, और Nginx पर हैं तो server block में location नियम के जरिए PHP एक्सेस को रोकें, फिर साइट को 403/404 रिस्पांस और जरूरी पेज टेस्ट से जांचें।

WordPress सुरक्षा में सबसे आम गलती होती है केवल मजबूत पासवर्ड या सुरक्षा प्लगइन पर निर्भर रहना। जबकि हमलावर अक्सर कोर फाइलों वाले डायरेक्टरी, पुराने प्लगइन्स, गलत फ़ाइल परमिशन और खुली डायरेक्टरी लिस्टिंग को स्कैन करते हैं। wp-includes फ़ोल्डर भी ऐसे लक्ष्यों में शामिल है। इस गाइड में, हम असली होस्टिंग वातावरण में लागू करने वाले कदम बताएंगे ताकि आप wp-includes की पहुँच सीमित कर सकें, कौन से नियम साइट को नुकसान पहुँचा सकते हैं, Apache और Nginx के उदाहरण कॉन्फ़िगरेशन, टेस्टिंग के तरीके और रखरखाव चेकलिस्ट भी शामिल है। अपने WordPress साइट को सुरक्षित रखने के लिए WordPress होस्टिंग और व्यापक सुरक्षा के लिए SSL प्रमाणपत्र विकल्प भी देख सकते हैं।

wp-includes फ़ोल्डर क्या है और क्यों इसे सुरक्षित रखना जरूरी है?

wp-includes WordPress के कोर लाइब्रेरीज़ वाला एक मुख्य फ़ोल्डर है। इसमें थीम सिस्टम, ब्लॉक एडिटर, REST API के घटक, मीडिया प्रोसेसिंग, क्लासेज़, फंक्शंस और कई JavaScript फाइलें होती हैं। सरल शब्दों में, wp-includes WordPress का इंजन रूम है; इसे सीधे यूजर द्वारा एक्सेस करने की जरूरत नहीं होती।

एक सामान्य विज़िटर को site.com/wp-includes/ खोलने की आवश्यकता नहीं होती। मगर पेज के सोर्स कोड में wp-includes के कुछ स्थैतिक रिसोर्सेस दिख सकते हैं, जैसे डिफ़ॉल्ट स्क्रिप्ट फाइलें, इमोजी स्क्रिप्ट या एडिटर के कॉम्पोनेंट्स। इसलिए सुरक्षा करते वक्त ध्यान देना चाहिए कि स्थैतिक फाइलों को बिना रोके PHP फाइलों की डायरेक्ट वेब एक्सेस ही बंद की जाए।

यह फर्क समझना WordPress फ़ोल्डर संरचना सुरक्षा का मूल सिद्धांत है। फ़ोल्डर को बिना सोचे-समझे ब्लॉक करना अस्थायी तौर पर सुरक्षित लग सकता है, लेकिन लाइव साइट पर इससे वाइट स्क्रीन, टूटे हुए एडमिन पैनल, खराब ब्लॉक एडिटर या थीम की गड़बड़ी हो सकती है। उद्देश्य है WordPress के जरूरी फाइलों की सुरक्षा करते हुए हमले के रास्ते कम करना।

wp-includes की पहुँच रोकने से क्या फायदा होता है?

wp-includes फ़ोल्डर में सीधे PHP फाइलों को चलाने पर रोक लगाना सभी हमलों को रोक नहीं सकता, लेकिन हमले के संभावित रास्ते को काफी हद तक कम करता है। खासकर मैलवेयर संक्रमित साइटों में, हमलावर ऐसे डायरेक्टरी में खराब PHP फाइल डालने या मौजूदा फाइलों को कॉल करने की कोशिश करते हैं। wp-includes की PHP फाइलों को सीधे वेब से चलाने पर रोक एक अतिरिक्त सुरक्षा दीवार बनाती है।

इससे मिलने वाले फायदे हैं:

• कोर PHP फाइलों को सीधे URL से एक्सेस करने पर रोक लगती है।
• अगर डायरेक्टरी लिस्टिंग खुली हो तो फोल्डर की सामग्री दिखने से बचती है।
• स्वचालित बोट स्कैनिंग से अनावश्यक जानकारी लीक कम होती है।
• सुरक्षा प्लगइन न होने पर भी वेब सर्वर स्तर पर सुरक्षा मिलती है।
• WAF, SSL, अपडेटेड PHP और फ़ाइल परमिशन के साथ मिलकर सुरक्षा की परतें मजबूत होती हैं।

यह ध्यान देने वाली बात है कि यह कदम एक सुरक्षा परत है। अगर आपके प्लगइन पुराने हैं, पासवर्ड कमजोर है या FTP अकाउंट हैक हो चुका है तो wp-includes नियम अकेले पर्याप्त नहीं होगा। सुरक्षा का मतलब है होस्टिंग इंफ्रास्ट्रक्चर, ऐप्लिकेशन, यूजर मैनेजमेंट और नियमित रखरखाव का सही मेल। एक सुरक्षित आधार के लिए सुरक्षित वेब होस्टिंग और डोमेन सुरक्षा के लिए डोमेन सुरक्षा भी देखें।

wp-includes पहुँच बंद करते समय आम गलतियां

पूरे फ़ोल्डर को ब्लॉक करना

सबसे बड़ी गलती होती है wp-includes फ़ोल्डर को पूरी तरह 403 फॉरबिडन कर देना। यह तरीका पहली नजर में सही लगता है, लेकिन चूंकि WordPress कुछ स्टैटिक फाइलें इसी फोल्डर से लोड करता है, इसलिए इससे अप्रत्याशित समस्याएँ हो सकती हैं। उदाहरण के लिए, ब्लॉक एडिटर खुलना बंद हो सकता है, कुछ JavaScript फाइलें लोड नहीं होंगी या फ्रंटेंड की डिज़ाइन में महत्वपूर्ण गड़बड़ी आ सकती है।

किसी टेस्ट के बिना सीधे लाइव में नियम लागू करना

.htaccess या Nginx कॉन्फ़िगरेशन में एक छोटा भी सिंटैक्स एरर 500 Internal Server Error पैदा कर सकता है। खासकर हाई ट्रैफिक साइट्स में बिना टेस्टिंग के सीधे लाइव में बदलाव करना जोखिम भरा है। पहले फाइल का बैकअप लें, स्टेजिंग वातावरण में टेस्ट करें और फिर कंट्रोल्ड तरीके से लाइव करें। Hostragons की इंफ्रास्ट्रक्चर में स्टेजिंग या बैकअप ऑप्शन हो तो वेब होस्टिंग बैकअप लिंक मददगार होगा।

सिर्फ सुरक्षा प्लगइन पर भरोसा करना

सुरक्षा प्लगइन्स मददगार होते हैं, लेकिन वेब सर्वर स्तर के नियम पहले काम करते हैं। अगर कोई रिक्वेस्ट PHP तक पहुँचने से पहले Apache या Nginx द्वारा रोका जाता है तो सर्वर का रिसोर्स बचता है। इसलिए प्लगइन हो या न हो, बेसिक सर्वर नियम ज़रूर लागू होने चाहिए।

लागू करने से पहले चेकलिस्ट

wp-includes की पहुँच सीमित करने से पहले कुछ तैयारी करने से डाउनटाइम का खतरा कम होता है। नीचे दी गई चेकलिस्ट खासकर लाइव WordPress साइट्स के लिए जरूरी है:

• मौजूदा .htaccess या Nginx कॉन्फ़िगरेशन का बैकअप लें।
• WordPress कोर, थीम और प्लगइन्स को अपडेट करें।
• PHP का सुरक्षित और सपोर्टेड वर्शन इस्तेमाल करें।
• फाइल परमिशन्स चेक करें: फोल्डर्स के लिए 755, फाइलों के लिए 644 सही मान हैं।
• wp-config.php और .htaccess जैसी महत्वपूर्ण फाइलों के अनावश्यक लिखने के अधिकार न दें।
• अगर कैश, CDN या सुरक्षा प्लगइन इस्तेमाल कर रहे हैं तो बदलाव के बाद कैश क्लियर करें।
• एडमिन पैनल, होमपेज, पोस्ट पेज, कॉन्टैक्ट फॉर्म और पेमेंट पेज जैसे मुख्य हिस्सों के टेस्ट केस बनाएं।

यह तैयारी लगभग 10-15 मिनट लेती है, लेकिन गलत नियम की वजह से घंटों तक साइट डाउन हो सकती है। कॉर्पोरेट साइट्स में बदलाव कम ट्रैफिक के समय करना बेहतर होता है।

Apache सर्वर पर .htaccess से wp-includes PHP एक्सेस रोकना

Apache के शेयर होस्टिंग में .htaccess फाइल का उपयोग सबसे आम तरीका है। WordPress की रूट डायरेक्टरी में मौजूद .htaccess में सही नियम डालकर wp-includes के PHP फ़ाइलों को ब्लॉक किया जा सकता है। नियम लगाने से पहले फाइल की एक कॉपी अपने पास सेव कर लें या होस्टिंग पैनल से बैकअप लें।

सुझावित .htaccess नियम

नीचे दिया गया नियम wp-includes के PHP फाइलों की डायरेक्ट एक्सेस रोकता है पर स्थैतिक फाइलों को बिना रोक के चलने देता है:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-includes/.*[.]php$ - [F,L]
</IfModule>

इस नियम का मतलब है: URL अगर wp-includes से शुरू होकर .php पर खत्म होता है तो उसे फॉरबिडन कर दो। इससे wp-includes के PHP फाइल ब्राउज़र में नहीं खुलेंगे। वहीं .js, .css, .png, .svg जैसी फाइलों की एक्सेस जारी रहती है। यह WordPress के फ्रंटेंड और एडमिन पैनल के लिए एक सुरक्षित संतुलन है।

डायरेक्टरी लिस्टिंग बंद करना

एक और जरूरी सेटिंग होती है डायरेक्टरी लिस्टिंग बंद करना। अगर सर्वर पर यह चालू हो तो यूजर फोल्डर की फाइलें देख सकते हैं। आपकी मुख्य .htaccess फाइल में ये लाइन जोड़ना पर्याप्त होता है:

Options -Indexes

यह लाइन उन फोल्डरों में फाइल लिस्टिंग रोकती है जिनमें index फाइल नहीं होती। आजकल के होस्टिंग में अक्सर ये डिफ़ॉल्ट बंद होती है, लेकिन चेक करना अच्छा होता है।

बदलाव के बाद टेस्टिंग

नियम डालने के बाद ये टेस्ट करें:

• siteaddress.com/wp-includes/ खोलें; डायरेक्टरी लिस्टिंग नहीं दिखनी चाहिए।
• wp-includes के किसी PHP फाइल को सीधे ब्राउज़र में खोलने की कोशिश करें; 403 या 404 Error आए।
• होमपेज, ब्लॉग पोस्ट और एडमिन पैनल चेक करें।
• ब्राउज़र के डेवलपर टूल्स में Console और Network टैब में 404/403 एरर देखें।
• अगर कैश या CDN इस्तेमाल हो रहा है तो कैश क्लियर करें।

अगर सब ठीक चले तो नियम को प्रोडक्शन में सुरक्षित रखें। 500 Internal Server Error आने पर तुरंत जोड़े गए नियम हटाएं और बैकअप वाली फाइल फिर से लगाएं।

Nginx सर्वर पर wp-includes PHP एक्सेस रोकना

Nginx सर्वर में .htaccess काम नहीं करता। इसके लिए Nginx की साइट कॉन्फ़िगरेशन फाइल में, आमतौर पर server block के अंदर, नियम जोड़ना होता है। इसके लिए SSH एक्सेस और कॉन्फ़िगरेशन फाइल एडिट करने का अधिकार चाहिए। अगर यकीन न हो तो होस्टिंग सपोर्ट की मदद लें।

सुझावित Nginx location नियम

नियम कुछ इस तरह होगा:

location ~* ^/wp-includes/.*[.]php$ {
deny all;
}

यह नियम wp-includes के PHP फाइलों की एक्सेस को रोकता है। नियम जोड़ने के बाद कॉन्फ़िगरेशन जांचें:

nginx -t

अगर टेस्ट सफल हो तो Nginx को रीलोड करें:

systemctl reload nginx

reload कमांड restart से बेहतर है क्योंकि यह चल रही कनेक्शन को तुरंत काटे बिना कॉन्फ़िगरेशन अपडेट करता है। फिर भी लाइव साइट पर कम ट्रैफिक के वक्त बदलाव करें।

Nginx के साथ ध्यान रखने वाली बातें

• नियम सही server block में डालें; एक सर्वर में कई साइट्स हो सकती हैं।
• अगर CDN या रिवर्स प्रॉक्सी इस्तेमाल हो रहा है तो असली टेस्ट CDN कैश क्लियर करने के बाद करें।
• PHP-FPM सेटअप जांचें कि सिर्फ जरूरी फाइलों को प्रोसेस कर रहा हो।
• लॉग फाइलें (access.log, error.log) देखें; गलत नियम की जानकारी मिलती है।

Nginx में location नियम की प्राथमिकता गलत होने पर अजीब परिणाम आ सकते हैं। ध्यान रखें कि ये नियम WordPress के permalink और PHP ब्लॉकिंग नियमों से टकराए नहीं।

तरीकों की तुलना

नीचे दी गई टेबल wp-includes की पहुँच सीमित करने के मुख्य तरीकों का सारांश है:

अक्सर सबसे अच्छा रिजल्ट तब मिलता है जब ये तरीके मिलकर लागू होते हैं। उदाहरण के लिए Apache में .htaccess नियम, सही फ़ाइल परमिशन, अपडेटेड WordPress कोर, SSL और नियमित बैकअप मिलकर मजबूत सुरक्षा देते हैं। होस्टिंग इंफ्रास्ट्रक्चर में फायरवॉल और आइसोलेशन भी जरूरी हैं, इसलिए कॉर्पोरेट होस्टिंग बड़े और संवेदनशील साइट्स के लिए बेहतर विकल्प है।

फ़ाइल परमिशन और ओनरशिप सेटिंग्स

wp-includes की पहुँच रोकना केवल तभी काम करता है जब फ़ाइल परमिशन सही हों। WordPress में आमतौर पर फ़ोल्डर के लिए 755 और फाइलों के लिए 644 परमिशन माना जाता है। ये परमिशन वेब सर्वर को फाइल पढ़ने देते हैं पर अनावश्यक लिखने की अनुमति कम करते हैं। कुछ होस्टिंग में यूजर और ग्रुप सेटिंग अलग होती है, इसलिए अपने कंट्रोल पैनल के सुझाव भी देखें।

विशेष रूप से 777 परमिशन बहुत ख़तरनाक होता है। मतलब कोई भी उस फोल्डर में लिख सकता है, जिससे मैलवेयर फाइल अपलोड करना आसान हो जाता है। wp-content/uploads जैसे फोल्डर को लिखने योग्य होना चाहिए, लेकिन वहां भी PHP एक्सेक्यूशन रोकना चाहिए। wp-includes आमतौर पर अपडेट के अलावा यूजर द्वारा लिखा नहीं जाना चाहिए।

सुरक्षा ऑडिट में नीचे ये परमिशन चेक किए जा सकते हैं:

• wp-includes फ़ोल्डर: आमतौर पर 755
• wp-includes के PHP फाइल: आमतौर पर 644
• wp-config.php: अगर संभव हो तो 600 या होस्टिंग के मुताबिक सख्त
• .htaccess: आमतौर पर 644, बिना अनावश्यक लिखने की अनुमति

हर सर्वर पर ये सेटिंग्स एक जैसी नहीं हो सकतीं। गलत परमिशन साइट को अपडेट या फाइल पढ़ने में दिक्कत दे सकता है। बदलाव के बाद WordPress हेल्थ चेक और एरर लॉग जरूर देखें।

क्या सुरक्षा प्लगइन ये काम करते हैं?

Wordfence, iThemes Security जैसे प्लगइन्स कुछ हार्डनिंग नियम अपने आप लागू कर सकते हैं। ये प्लगइन्स ब्रूट फोर्स प्रोटेक्शन, फाइल मॉनिटरिंग, मैलवेयर स्कैनिंग और लॉगिन सुरक्षा में मदद करते हैं। लेकिन wp-includes की पहुँच रोकने के लिए प्लगइन क्या करता है, यह जांचना जरूरी है।

कुछ प्लगइन्स .htaccess में नियम जोड़ते हैं, कुछ केवल एप्लिकेशन स्तर पर सुरक्षा देते हैं। एप्लिकेशन स्तर की सुरक्षा तब शुरू होती है जब रिक्वेस्ट WordPress तक पहुँच जाए, इसलिए सर्वर स्तर की रोक उससे पहले बेहतर सुरक्षा देती है। इसलिए पेशेवर तरीका है कि प्लगइन और सर्वर कॉन्फ़िगरेशन दोनों को साथ में देखें।

अगर सुरक्षा प्लगइन इस्तेमाल कर रहे हैं तो यह जरूर चेक करें:

• क्या प्लगइन .htaccess या Nginx नियम जोड़ता है?
• दो अलग नियम आपस में टकरा तो नहीं रहे?
• प्लगइन अपडेट के बाद सुरक्षा सेटिंग्स में बदलाव तो नहीं हुआ?
• परफॉर्मेंस पर असर समझने के लिए कैश और सर्वर रिसोर्स मॉनिटर करें।

अक्सर एक से ज्यादा सुरक्षा प्लगइन एक साथ उपयोग करना अच्छा नहीं होता। टकराते हुए फायरवॉल, लॉगिन और रीराइट नियम परफॉर्मेंस खराब कर सकते हैं या गलत ब्लॉकिंग कर सकते हैं।

wp-includes सुरक्षा टेस्ट: व्यावहारिक तरीका

सिर्फ साइट खुलना ही सफल होने का संकेत नहीं है। नीचे 7-स्टेप टेस्ट छोटे बिज़नेस साइट से लेकर ई-कॉमर्स तक सभी WordPress सेटअप में किया जा सकता है:

• 1. होमपेज एक इनकॉग्निटो टैब में खोलें और विज़ुअल खराबी देखें।
• 2. एक ब्लॉग पोस्ट, कैटेगरी पेज और सर्च रिजल्ट पेज विज़िट करें।
• 3. wp-admin में लॉगिन करें; ब्लॉक एडिटर और मीडिया लाइब्रेरी खोलें।
• 4. ब्राउज़र डेवलपर टूल्स के Console टैब देखें।
• 5. Network टैब में wp-includes की स्टैटिक फाइलें ब्लॉक न हों, जांचें।
• 6. wp-includes के किसी PHP फाइल को सीधे खोलने की कोशिश करें; 403 या 404 रिस्पांस देखें।
• 7. सर्वर के एरर लॉग्स में नई या बार-बार हो रही त्रुटियां देखें।

यह टेस्टिंग लगभग 5 मिनट लेती है और गलत सेटिंग जल्दी पकड़ लेती है। खासकर WooCommerce जैसी साइटों में पेमेंट, कार्ट और यूजर अकाउंट पेज भी अलग से टेस्ट करें। लाइव साइट पर छोटा सा JavaScript ब्लॉकिंग भी कन्वर्शन रेट को प्रभावित कर सकता है।

अतिरिक्त WordPress फ़ोल्डर संरचना सुरक्षा उपाय

wp-includes सुरक्षा एक अच्छा शुरुआत है, लेकिन WordPress सुरक्षा को समग्र दृष्टिकोण से देखना चाहिए। नीचे कुछ और सुझाव हैं जो हमले के रास्ते कम करते हैं:

• WordPress वर्शन छुपाने के बजाय इसे हमेशा अपडेट रखें।
• न इस्तेमाल हो रहे थीम और प्लगइन्स पूरी तरह हटा दें।
• एडमिन यूजरनेम को अनुमान लगाना मुश्किल बनाएं।
• दो-चरणीय प्रमाणीकरण (2FA) का उपयोग करें।
• अगर XML-RPC की जरूरत नहीं है तो इसे सीमित या बंद करें।
• wp-login.php के लिए रेट लिमिट या अतिरिक्त वेरिफिकेशन लगाएं।
• रोज़ाना ऑटोमैटिक बैकअप और रिस्टोर टेस्ट करें।
• पूरी साइट पर HTTPS इस्तेमाल करें; SSL के बिना लॉगिन डेटा असुरक्षित रहता है।

SSL सीधे wp-includes की पहुँच नहीं रोकता, लेकिन यूजर सेशंस, फॉर्म डेटा और एडमिन ट्रैफिक के लिए बुनियादी सुरक्षा देता है। इसलिए WordPress सुरक्षा गाइड में SSL हमेशा प्राथमिक स्तर की सुरक्षा होती है। इस संदर्भ में SSL प्रमाणपत्र खरीदें और नि:शुल्क SSL स्थापना लिंक उपयोगी हैं।

कब पेशेवर मदद लें?

साधारण Apache होस्टिंग में .htaccess नियम लगाना ज्यादातर यूज़र्स के लिए आसान होता है। लेकिन अगर Nginx का कस्टम कॉन्फ़िगरेशन, मल्टी-साइट नेटवर्क, WooCommerce स्टोर, हाई ट्रैफिक न्यूज़ साइट या कॉर्पोरेट पोर्टल है तो प्रोफेशनल मदद लेना बेहतर रहता है। क्योंकि सुरक्षा नियम सिर्फ तकनीकी रूप से सही होना ही काफी नहीं, बिज़नेस कंटिन्यूटी के लिहाज से भी सुरक्षित होना चाहिए।

इन परिस्थितियों में विशेषज्ञ से सलाह लें:

• अगर सर्वर पर एक से ज्यादा WordPress साइट्स हैं।
• Nginx, Varnish, CDN और WAF एक साथ उपयोग हो रहे हों।
• नियम लागू करने के बाद 403, 404 या 500 एरर बढ़ गए हों।
• साइट पहले मैलवेयर संक्रमित हो चुकी हो।
• पेमेंट, सदस्यता या व्यक्तिगत डेटा प्रोसेसिंग सिस्टम चल रहा हो।

सुरक्षित होस्टिंग इंफ्रास्ट्रक्चर, सही आइसोलेशन, नियमित बैकअप और विशेषज्ञ सहायता WordPress सुरक्षा के अनदेखे लेकिन अहम पहलू हैं। जब होस्टिंग चुनें तो केवल डिस्क स्पेस नहीं, बैकअप, फायरवॉल, PHP सपोर्ट, SSL मैनेजमेंट और तकनीकी सहायता की गुणवत्ता पर ध्यान दें। ऐसे में Hostragons होस्टिंग पैकेज और WordPress साइट माइग्रेशन जैसे कंटेंट उपयोगी साबित होंगे।

निष्कर्ष

WordPress फ़ोल्डर संरचना सुरक्षा में wp-includes फ़ोल्डर की पहुँच रोकने का सही तरीका है पूरे फ़ोल्डर को ब्लॉक करना नहीं बल्कि wp-includes में मौजूद PHP फाइलों की डायरेक्ट वेब एक्सेस को रोकना और डायरेक्टरी लिस्टिंग बंद करना। Apache के लिए .htaccess और Nginx के लिए location नियम के जरिये यह काम आसानी से हो सकता है। लेकिन हर बदलाव से पहले बैकअप लेना और एडमिन पैनल व फ्रंटेंड का टेस्ट करना जरूरी है।

संक्षेप में: स्थैतिक फाइलों को बाधित न करें, PHP एक्सेस सीमित करें, डायरेक्टरी लिस्टिंग बंद करें, फ़ाइल परमिशन सही रखें और नियमित अपडेट करें। बेहतर और सुरक्षित WordPress इंफ्रास्ट्रक्चर के लिए Hostragons के होस्टिंग, डोमेन और SSL समाधान देखें और ज़रूरत पड़ने पर सहायता लें।

सामान्य प्रश्न

क्या wp-includes फ़ोल्डर को पूरी तरह बंद करना सुरक्षित है?

आमतौर पर यह सलाह नहीं दी जाती। wp-includes में WordPress के लिए जरूरी JavaScript, CSS और स्थैतिक फाइलें होती हैं। पूरा ब्लॉक करने से साइट के दिखावे या एडमिन पैनल में दिक्कत आ सकती है। बेहतर है कि केवल इस फ़ोल्डर के PHP फाइलों की डायरेक्ट पहुँच बंद की जाए।

.htaccess नियम लगाने के बाद अगर 500 एरर आए तो क्या करें?

सबसे पहले जो नियम जोड़े हैं उन्हें हटा दें या बैकअप वाली .htaccess फाइल वापस लगाएं। फिर नियम की सिंटैक्स जांचें। अगर समस्या बनी रहे तो होस्टिंग के एरर लॉग देखें या तकनीकी सहायता लें।

Nginx सर्वर पर .htaccess काम करता है?

नहीं। .htaccess केवल Apache और LiteSpeed सर्वरों पर चलता है। Nginx में यह काम server block के location नियमों से होता है और बदलाव के बाद nginx -t कमांड से जांचना जरूरी होता है।

क्या यह उपाय WordPress साइट को पूरी तरह सुरक्षित बना देता है?

नहीं। wp-includes PHP एक्सेस रोकना एक महत्वपूर्ण सुरक्षा परत है लेकिन अकेला पर्याप्त नहीं है। नियमित अपडेट, मजबूत पासवर्ड, 2FA, SSL, बैकअप, फायरवॉल और सही फ़ाइल परमिशन साथ में लागू होने चाहिए।

अगर सुरक्षा प्लगइन इस्तेमाल कर रहा हूँ तो क्या फिर भी wp-includes नियम लगाना चाहिए?

यह इस बात पर निर्भर करता है कि प्लगइन कौन से नियम लागू करता है। कुछ प्लगइन्स .htaccess में नियम जोड़ते हैं, कुछ केवल एप्लिकेशन स्तर पर सुरक्षा करते हैं। बिना टकराव के सर्वर स्तर पर PHP एक्सेस रोकना आमतौर पर ज्यादा प्रभावी होता है।