د WordPress فولډر جوړښت خوندي کول: wp-includes ته لاسرسی بندول

د WordPress فولډر جوړښت خوندي کول لپاره، wp-includes فولډر ته مستقیم لاسرسی بندول تر ټولو ښه طریقه دا ده چې یوازې د دې فولډر دننه PHP فایلونه له بهر نه اجرا کېدو بند کړئ او د فولډر فهرست (Directory Listing) هم غیر فعال کړئ. wp-includes د WordPress د کُر (core) د کار لپاره مهم JavaScript، CSS او نور ثابت فایلونه لري؛ نو د ټول فولډر بندول کولی شي د سایټ ډیزاین، ایډیټر یا پلاګینونو فعالیت ته زیان ورسوي. سم کار دا دی چې، که Apache کاروئ نو .htaccess قوانین وکاروئ، که Nginx لرئ نو server block کې location rule، او بیا سایټ ته 403/404 ځوابونه او مهم صفحې وازمایئ.

د WordPress امنیت کې تر ټولو عامه غلطې دا دي چې یوازې قوي رمز یا امنیتي پلاګین ته تکیه کوي. هکران اکثره د کور فایلونو فولډرونه، زاړه پلاګینونه، غلط فایل اجازې یا خلاص فولډر فهرست لټوي. wp-includes هم د همدې هدفونو څخه دی. دلته به تاسو ته عملي هاستینګ مثالونو سره وښیو چې wp-includes ته لاسرسی څنګه محدود کړئ، کوم قواعد سایټ خرابولی شي، د Apache او Nginx لپاره نمونې، د ټیسټ طریقه او د ساتنې چک لیست. د WordPress سایټ لپاره مضبوط بنسټ جوړولو لپاره د WordPress هاستنګ او د عمومي ساتنې لپاره د SSL سند هم وڅېړئ.

wp-includes فولډر څه دی او ولې باید ساتل شي؟

wp-includes د WordPress کُر کتابتونونه لري. د موضوعاتو سیستم، بلاک ایډیټر، REST API برخې، میډیا پروسس، کلاسونه، فنکشنونه او مختلف JavaScript فایلونه پکې راځي. ساده خبره دا ده: wp-includes د WordPress انجن دی؛ دا د عام کاروونکو لپاره د براوز کولو ځای نه دی.

عام کاروونکی به site.com/wp-includes/ ته ضرورت ونه لري. خو د پاڼې سرچینه کې به د wp-includes لاندې ځینې ثابت فایلونه ښکاره شي، لکه JavaScript یا emoji scriptونه. نو امنیتي اقدام باید هدف ته تمرکز ولري: د ثابت فایلونو فعالیت مه بندوئ، یوازې د PHP فایلونو ته مستقیم ویب لاسرسی بند کړئ.

دا فرق د WordPress فولډر جوړښت خوندي کولو اساس دی. فولډرونه تصادفي بندول کېدای شي لنډمهاله خوندي ښکاره شي، خو سایټ کې سپین صفحه، خراب اډمین پینل، نه کاریدونکی بلاک ایډیټر یا ګډوډ موضوع ډیزاین ته لاره هواروي. هدف دا دی چې د WordPress اړتیا لرونکي فایلونه خوندي وساتي او د برید سطحه کوچنۍ کړي.

wp-includes ته لاسرسی بندول څه ګټه لري؟

wp-includes کې د PHP فایلونو مستقیم اجرا بندول، که څه هم ټولې حملې نه بندوي، خو د حملې سطحه کموي. په ځانګړي توګه، که سایټ malware ولري، هکران به هڅه کوي فولډرونو ته زیان رسونکي PHP فایلونه اپلوډ یا موجود فایلونه اجرا کړي. نو wp-includes کې د PHP فایلونو ویب ته مستقیم لاسرسی بندول یو اضافي خنډ دی.

دې اقدام سره لاندې ګټې ترلاسه کیږي:

• د کُر PHP فایلونو URL سره مستقیم اجرا محدودوي.
• که فولډر فهرست خلاص وي، د فولډر دننه فایلونه نندارې ته نه راځي.
• د اتوماتيک bot سکینونو پر وړاندې معلومات نه لېږدول کموي.
• حتی که پلاګین نه وي، د web server کچه ساتنه ورکوي.
• د WAF، SSL، نوې PHP نسخه او فایل اجازې سره یو ځای، د څو پرتونو امنیت تقویه کوي.

دلته مهمه دا ده چې دا یو امنیتي پرت دی. که پلاګینونه زاړه وي، رمزونه کمزوري وي، یا FTP حساب نیول شوی وي، wp-includes قواعد به کافی نه وي. امنیت د هاستینګ بنسټ، اپلیکیشن، کاروونکو مدیریت او منظم ساتنې ترکیب دی. د خوندي اساس لپاره خوندي وېب هاستنګ او د domain مدیریت کې اضافي ساتنې لپاره د ډومېن امنیت هم وګورئ.

wp-includes بندولو کې عامې غلطې

د فولډر ټول لاسرسی بندول

عامه غلطه دا ده چې wp-includes ته هر HTTP request 403 سره بند کړي. دا ظاهراً معقوله ښکاري، خو WordPress ځینې ثابت فایلونه د دې فولډر څخه لېږدوي، نو بلاک ایډیټر نه خلاصیږي، JavaScript فایلونه نه لېږدول کیږي یا ډیزاین ګډوډیږي.

قواعد ټیسټ نه کول او مستقیم تولید ته لېږل

.htaccess یا Nginx تنظیماتو کې یو کوچنی غلطی، 500 Internal Server Error تولیدوي. په مصروف سایټونو کې قواعد مستقیم لېږل خطرناک دي. لومړی باید فایل backup واخلئ، که امکان لري staging محیط کې ټیسټ کړئ، بیا اصلي سایټ ته انتقال کړئ. که Hostragons هاستینګ کې staging یا backup امکانات لرئ، د ویب هاستنګ بیک‌اپ د داخلي لینک په توګه واچوئ.

یوازې امنیتي پلاګین ته تکیه کول

امنیتي پلاګینونه ګټور دي، خو د web server قواعد ژر عمل کوي. که PHP ته request ور نه رسیږي او Apache یا Nginx بند کړی وي، سرچینې نه مصرفیږي. نو حتی که پلاګین وي، اساسي server قواعد مه هېروئ.

د تطبیق نه مخکې چک لیست

wp-includes ته لاسرسی محدودولو نه مخکې یو لنډ تیاری، د قطعې خطر کموي. دا چک لیست، د ژوندیو WordPress سایټونو لپاره اړین دی:

• .htaccess یا Nginx تنظیمات backup کړئ.
• WordPress core، موضوعات او پلاګینونه تازه کړئ.
• PHP نسخه با امن او ملاتړ لرونکی وي.
• فایل اجازې وګورئ: فولډرونه اکثره 755، فایلونه 644.
• wp-config.php او .htaccess ته بیجا لیکلو اجازه مه ورکئ.
• که cache، CDN یا امنیتي پلاګین کاروئ، پس له بدلون cache پاک کړئ.
• admin پینل، اصلي صفحه، مقاله صفحه، د تماس فورم، د پیسو صفحه ټیسټ کړئ.

دا تیاري شاوخوا ۱۰–۱۵ دقیقې اخلي، خو د غلط قواعدو له امله ساعتونه قطعې مخنیوی کوي. په تجارتي سایټونو کې بدلون د کم ترافیک وخت کې وکړئ.

په Apache کې د .htaccess له لارې wp-includes PHP لاسرسی بندول

په Apache هاستینګ کې تر ټولو عامه طریقه .htaccess فایل دی. د WordPress اصلي فولډر کې د .htaccess فایل ته درست قواعد ور اضافه کړئ، wp-includes کې PHP فایلونه بند کړئ. مخکې له تطبیق، فایل backup کړئ یا د هاستینګ فایل منېجر کې backup جوړ کړئ.

سپارښتل شوی .htaccess قاعده

دا قاعده wp-includes کې د PHP فایلونو مستقیم اجرا بندوي، خو ثابت فایلونه فعال ساتي:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-includes/.*[.]php$ - [F,L]
</IfModule>

دا قاعده: URL د wp-includes سره شروع او .php سره ختم شي، request بندوي. نو wp-includes کې PHP فایلونه اجرا نه شي، خو .js، .css، .png، .svg فایلونه فعال پاتې کیږي. دا د سایټ او اډمین لپاره متوازن حل دی.

فولډر فهرست بندول

د فولډر فهرست (Directory Listing) بندول هم مهم دی. که فهرست خلاص وي، کاروونکي فایلونه لیدلی شي. په .htaccess کې دا خط اضافه کړئ:

Options -Indexes

دا خط، فولډر کې چې index فایل نه لري، فایلونه نه ښيي. په عصري هاستینګ کې اکثره دا بند وي، خو بیا هم چک وکړئ.

بدلون وروسته ټیسټ کول

قواعد اضافه کولو وروسته دا ټیسټونه وکړئ:

• siteaddress.com/wp-includes/ خلاص کړئ؛ فولډر فهرست نه باید ښکاره شي.
• wp-includes کې یو PHP فایل مستقیم اجرا کړئ؛ 403 یا 404 باید راشي.
• اصلي صفحه، مقاله او اډمین پینل وګورئ.
• د browser developer tools کې Console او Network وګورئ چې 404/403 خطا نه وي.
• که cache یا CDN لرئ، پاک کړئ.

که ټیسټونه کامیاب وي، قواعد تولید کې پرېږدئ. که 500 خطا راغله، ژر تر ژره قواعد لرې کړئ یا backup .htaccess restore کړئ.

په Nginx کې wp-includes PHP لاسرسی بندول

په Nginx VPS، dedicated یا مدیریت شوي سرورونو کې .htaccess کار نه کوي. قواعد باید د Nginx site config فایل کې، server block کې اضافه شي. د دې لپاره SSH لاسرسی او د فایلونو ترتیب اجازه پکار ده. که نه پوهېږئ، د هاستینګ ملاتړ ته مراجعه وکړئ.

سپارښتل شوې Nginx location قاعده

اساسي قاعده دا ده:

location ~* ^/wp-includes/.*[.]php$ {
deny all;
}

دا قاعده wp-includes کې PHP فایلونو ته لاسرسی بندوي. بدلون وروسته، config ټیسټ کړئ:

nginx -t

که ټیسټ کامیاب وي، Nginx reload کړئ:

systemctl reload nginx

reload له restart څخه بهتر دی؛ فعال اتصالونه نه قطع کوي، config تازه کوي. په مهم سایټونو کې بدلون د کم ترافیک وخت کې وکړئ.

د Nginx کارولو مهم ټکي

• قاعده سم server block ته اضافه کړئ؛ که څو سایټونه وي، هر یو جلا block لري.
• که CDN یا reverse proxy لرئ، ټیسټونو کې CDN cache پاک کړئ.
• PHP-FPM config چک کړئ، یوازې اړین فایلونه اجرا کوي.
• log فایلونه وګورئ: access.log او error.log ژر خطا ښيي.

په Nginx کې غلط location ترتیب ناڅاپي پایلې لري. مطمین اوسئ چې قواعد د WordPress permalink یا PHP handling block سره ګډوډي نه لري.

د طریقو مقایسه

دا جدول wp-includes ته لاسرسی محدودولو مهمې طریقې لنډيز کوي:

عملاً، تر ټولو ښه نتیجه د مختلفو طریقو یو ځای کارولو سره ترلاسه کیږي. مثلاً، په Apache هاستینګ کې .htaccess قاعده، درست فایل اجازې، تازه WordPress core، SSL او منظم backup یو پرتونه دفاع جوړوي. د هاستینګ بنسټ کې firewall او جلا کول هم مهم دي، نو کارپوریټ هاستینګ په مهم سایټونو کې فرق لري.

فایل اجازې او مالکیت تنظیمات

wp-includes لاسرسی بندول، که فایل اجازې غلطې وي، ناکافي دی. WordPress کې معمولاً فولډر 755، فایلونه 644. دا اجازې web server ته د فایلونو لوستلو اجازه ورکوي، خو بیجا لیکلو اجازه نه. په ځینو هاستینګونو کې مختلف user او group تنظیمونه وي، نو د پنل سپارښتنې هم وګورئ.

777 اجازه خورا خطرناکه ده. هر څوک فولډر ته لیکلی شي، نو هکران ته آساني ده. حتی wp-content/uploads کې چې لیکل لازمي وي، PHP اجرا باید بند وي. wp-includes معمولاً د کاروونکو لخوا نه لیکل کیږي، یوازې WordPress update لپاره.

د امنیت چک کې دا اجازې وګورئ:

• wp-includes فولډر: معمولا 755
• wp-includes PHP فایلونه: معمولا 644
• wp-config.php: که امکان وي، 600 یا محدود اجازه
• .htaccess: معمولا 644، بدلون وروسته اضافي لیکلو اجازه مه ورکوئ

هر سرور کې دا اجازې یو ډول نه وي. غلط اجازه سایټ ته update نه ورکوي یا فایلونه نه لوستل کیږي. بدلون وروسته د WordPress health check او error log وګورئ.

امنیتي پلاګینونه دا کار کوي؟

Wordfence، iThemes Security او ورته پلاګینونه ځینې hardening قواعد وړاندیز کوي. دا پلاګینونه brute force، فایلونو بدلون نظارت، malware scan او login امنیت کې ګټور دي. خو wp-includes لاسرسی بندولو کې پلاګین څه کوي، حتماً چک کړئ.

ځینې پلاګینونه .htaccess ته قاعده اضافه کوي، ځینې یوازې application level ساتنه ورکوي. application level ساتنه، request WordPress ته رسیدو وروسته فعال کیږي، نو سرور level بندونه ژر دي. نو مسلکي حل دا دی چې پلاګین او سرور تنظیمات یو ځای وڅېړئ.

که امنیتي پلاګین کاروئ، دا چکونه وکړئ:

• پلاګین .htaccess یا Nginx قاعده اضافه کوي که نه؟
• د مختلفو قواعدو ترمنځ تضاد نه وي.
• د پلاګین update وروسته امنیت تنظیمات نه بدلیږي.
• د performance اثر لپاره cache او سرور resources وګورئ.

د څو امنیتي پلاګینونو یو وخت کارول اکثره ښه نه وي. تضاد firewall، login، rewrite قواعد performance خرابوي یا غلط بندونه تولیدوي.

د wp-includes محافظت ټیسټ: عملي سناریو

صرف د سایټ خلاصول کافی نه دی. دا ۷ قدمه عملي ټیسټ، د کوچني کاروبار سایټونو نه تر e-commerce پورې مناسب دی:

• ۱. اصلي صفحه په Incognito mode خلاص کړئ، د ډیزاین خرابوالی وګورئ.
• ۲. مقاله، category او search صفحې ته لاړ شئ.
• ۳. wp-admin کې login وکړئ، بلاک ایډیټر او میډیا library خلاص کړئ.
• ۴. Browser Developer Tools کې Console وګورئ.
• ۵. Network کې wp-includes ثابت فایلونه بلاک شوي نه وي.
• ۶. wp-includes کې PHP فایل مستقیم اجرا کړئ؛ 403 یا 404 باید راشي.
• ۷. سرور error log کې نوې یا تکراري خطا وګورئ.

دا ټیسټ تقریبا ۵ دقیقې اخلي، غلط تنظیمات ژر ښکاره کوي. په WooCommerce یا پیسو پروسه لرونکو سایټونو کې shopping cart، payment او user account صفحې هم جلا ټیسټ کړئ. په ژوندیو سایټونو کې کوچنی JavaScript خطا هم conversion ته زیان رسوي.

نور WordPress فولډر جوړښت خوندي کولو اقدامات

wp-includes محافظت ښه شروع ده، خو WordPress امنیت باید جامع وي. دا اضافي اقدامات د حملې سطحه نور هم کموي:

• د WordPress نسخه پټولو پر ځای core تازه کړئ.
• نه کاریدونکي موضوعات او پلاګینونه مکمل حذف کړئ.
• Admin username نه اټکل کېدونکی جوړ کړئ.
• دوه پړاوي تصدیق (2FA) وکارئ.
• XML-RPC که نه کاروئ، لاسرسی محدود کړئ.
• wp-login.php ته rate limit یا اضافي تصدیق ورکړئ.
• یوه ورځ backup او restore ټیسټ وکړئ.
• ټول سایټ کې HTTPS وکارئ؛ SSL پرته login معلومات خطرناک دي.

SSL wp-includes ته لاسرسی مستقیم نه بندوي، خو د کاروونکو session، فارم ډیټا او اډمین پینل لپاره اساسي خوندي ساتنه ده. نو WordPress امنیتي لارښودونو کې SSL تل لومړی پرت دی. دلته د SSL سند واخلئ او د وړیا SSL نصب لینکونه هم طبیعي ځای کې ور اضافه کړئ.

کوم وخت مسلکي مرسته واخلئ؟

په ساده Apache هاستینګ کې .htaccess قاعده اکثره کاروونکو ته آسانه ده. خو ځانګړي Nginx تنظیمات، multi-site network، WooCommerce، لوړ ترافیک یا تجارتي سایټ کې مسلکي مرسته لازمي ده. ځکه قواعد باید نه یوازې تخنیکي درست، بلکې د کاروبار دوام ته خوندي تطبیق شي.

په دې حالتونو کې مسلکي مرسته سپارښتنه ده:

• سرور کې څو WordPress سایټونه لرئ.
• Nginx، Varnish، CDN او WAF یو ځای کاروئ.
• بدلون وروسته 403، 404 یا 500 خطا زیات شوي.
• سایټ کې مخکې malware راغلی.
• پیسې، غړیتوب یا شخصي معلومات پروسس کوئ.

خوندي هاستینګ بنسټ، درست جلا کول، منظم backup او مسلکي ملاتړ، د WordPress امنیت هغه پټې خو مهمې برخې دي. د بنسټ انتخاب کې یوازې disk space ته نه، بلکې backup، firewall، PHP نسخه، SSL مدیریت او تخنیکي ملاتړ ته هم وګورئ. دلته Hostragons د هاستنګ بسته‌ګانې او د WordPress سایټ لېږد محتوا هم د لوستونکي لپاره ګټور دی.

پایله

د WordPress فولډر جوړښت خوندي کولو کې wp-includes ته لاسرسی بندولو درست طریقه دا ده چې فولډر مکمل بند نه کړئ، بلکې د wp-includes PHP فایلونو ته مستقیم ویب لاسرسی بند کړئ او فولډر فهرست هم غیر فعال کړئ. په Apache کې .htaccess، په Nginx کې location قواعد، دا کار ژر تطبیق کیږي. خو هر بدلون نه مخکې backup واخلئ، وروسته اډمین پینل او frontend ټیسټ کړئ.

لنډیز: ثابت فایلونه مه خرابوئ، PHP لاسرسی محدود کړئ، فولډر فهرست بند کړئ، فایل اجازې چک کړئ او منظم تازه کول وکړئ. د خوندي او مدیریت وړ WordPress سایټ لپاره Hostragons هاستینګ، domain او SSL حلونه وڅېړئ؛ د اړتیا مطابق تنظیم لپاره مرسته واخلئ.

اکثره پوښتنې

wp-includes فولډر مکمل بندول خوندي دی؟

عموماً سپارښتنه نه کیږي. wp-includes کې WordPress ته مهم JavaScript، CSS او ثابت فایلونه شته. مکمل بندول سایټ یا اډمین خرابوي. خوندي حل دا دی چې یوازې PHP فایلونه محدود کړئ.

.htaccess قاعده اضافه کولو وروسته 500 خطا راغله، څه وکړم؟

اول وروستي قواعد لرې کړئ یا backup .htaccess restore کړئ. بیا قواعد syntax چک کړئ. که خطا دوام کوي، د هاستینګ error log وګورئ یا تخنیکي ملاتړ ته مراجعه وکړئ.

Nginx سرور کې .htaccess کار کوي؟

نه. .htaccess یوازې Apache او LiteSpeed کې کار کوي. Nginx کې ورته محدودیتونه server block کې location قواعدو سره ورکول کیږي، او بدلون وروسته nginx -t سره config ټیسټ کړئ.

دا کار WordPress سایټ مکمل خوندي کوي؟

نه. wp-includes PHP لاسرسی بندول مهم امنیتي پرت دی، خو کافی نه دی. تازه کول، قوي رمزونه، دوه پړاوي تصدیق، SSL، backup، firewall او درست فایل اجازې یو ځای تطبیق کړئ.

امنیتي پلاګین کاروم، wp-includes قاعده باید جلا اضافه کړم؟

دا پلاګین په قواعدو پورې تړاو لري. ځینې پلاګینونه .htaccess قاعده اضافه کوي، ځینې یوازې application level ساتنه ورکوي. د تضاد نه پرته سرور کچه قواعد غالباً قوي حل دی.