WordPress கோப்புறை அமைப்பு பாதுகாப்பு: "wp-includes" கோப்புறைக்கு அணுகலை முடிவுறுத்துவது

WordPress கோப்புறை அமைப்பு பாதுகாப்பு க்காக "wp-includes" கோப்புறைக்கு நேரடியாக அணுகலை முடிவுறுத்துவது, கோப்புறையின் முழுமையையும் முற்றிலும் அடைப்பதற்குப் பதிலாக, இந்த கோப்புறையின் உள்ளே உள்ள PHP கோப்புகளின் வெளியில் இருந்து இயக்கப்படுவதை மற்றும் அடைவு பட்டியல் பார்க்கப்படுவதை முடிவுறுத்துவதற்கான மிகுந்த பாதுகாப்பான வழி ஆகும். ஏனெனில் wp-includes, WordPress நெட்வொர்க் செயல்பாட்டிற்குத் தேவையான JavaScript, CSS மற்றும் சில நிலையான கோப்புகளை உள்ளடக்கியது; கோப்புறையின் முழுமையையும் அடைப்பதனால், வலைப்பூ வடிவமைப்பை, ஆசிரியரை அல்லது செருகுநிரல்களின் செயல்பாடுகளை பாதிக்கலாம். சரியான அணுகுமுறை; Apache ஐப் பயன்படுத்தினால் .htaccess விதிகளால், Nginx ஐப் பயன்படுத்தினால் சர்வர் பிளாக்கில் இடம் விதியாக நேரடி PHP அணுகலை முடிவுறுத்துவது, பின்னர் வலைத்தளத்தை 403/404 பதில்கள் மற்றும் முக்கியப் பக்கம் சோதனைகளால் உறுதிப்படுத்துவது ஆகும்.

WordPress பாதுகாப்பில் மிகச் சிறந்த பிழைகளில் ஒன்று, வலுவான கடவுச்சொல் அல்லது பாதுகாப்பு செருகுநிரலுடன் மட்டுப்படுத்தப்படுகிறது மாறாக ஆகும். ஆனால், தாக்குதலாளர்கள் பெரும்பாலும் நெட்வொர்க் கோப்புகள் உள்ள அடைவை, பழைய செருகுநிரல்களை, தவறான கோப்பு அனுமதிகளை மற்றும் திறந்த அடைவு பட்டியலை தேடுகிறார்கள். wp-includes கோப்புறை இந்த தேடல்களின் இலக்குகளுள் ஒன்றாகும். இந்த வழிகாட்டியில், உண்மையான ஹோஸ்டிங் சூழல்களில் செயல்படுத்தக்கூடிய நடவடிக்கைகள் மூலம் wp-includes அணுகலை எப்படி கட்டுப்படுத்துவது, எந்த விதிகள் வலைத்தளத்தை பாதிக்கக்கூடும், Apache மற்றும் Nginx க்கான எடுத்துக்காட்டு கட்டமைப்புகள், சோதனை முறைமைகள் மற்றும் பராமரிப்பு கண்டுபிடிப்பு பட்டியல் ஆகியவற்றைப் பார்வையிடலாம். WordPress வலைத்தளத்தை மேலும் பாதுகாப்பான அடிப்படையில் செயல்படுத்த WordPress ஹோஸ்டிங் மற்றும் பொதுவான பாதுகாப்பு அடுக்குக்கான SSL சான்றிதழ் விருப்பங்களைப் பரிசீலிக்கலாம்.

wp-includes கோப்புறை என்ன மற்றும் ஏன் பாதுகாக்க வேண்டும்?

wp-includes, WordPress நெட்வொர்க் அடிப்படைக் கட்டளைகளை உள்ளடக்கிய முக்கிய அடைவுகளில் ஒன்றாகும். தீமை அமைப்பு, பிளாக் ஆசிரியர், REST API கூறுகள், ஊடக செயலாக்கம், வகுப்புகள், செயல்பாடுகள் மற்றும் பல JavaScript கோப்புகள் இந்த அமைப்பில் உள்ளன. எளிதாகச் சொல்ல வேண்டுமானால் wp-includes, WordPress இன் இயந்திர அறைகளில் ஒன்றாகும்; பயனர் நேரடியாக பார்வையிட வேண்டிய உள்ளடக்கம் அல்ல.

சாதாரண பயனர் site.com/wp-includes/ போன்ற முகவரியை திறக்க வேண்டிய அவசியமில்லை. ஆனால் பக்கம் மூலக் குறியீட்டில் wp-includes கீழே உள்ள சில நிலையான சொத்துக்கள் காணப்படலாம். எடுத்துக்காட்டாக, WordPress இன் இயல்புநிலை ஸ்கிரிப்ட் கோப்புகள், எமோஜி ஸ்கிரிப்ட்கள் அல்லது ஆசிரியர் கூறுகள் இந்த அடைவிலிருந்து தளர்த்தப்படலாம். எனவே, பாதுகாப்பு நடவடிக்கை எடுக்கும்போது, இலக்கத்தை சரியாக நிர்ணயிக்க வேண்டும்: நிலையான கோப்புகளின் செயல்பாட்டை தடுப்பதற்கான நேரடி PHP கோப்புகளுக்கு இணைய அணுகலை முடிவுறுத்துவது.

இந்த வேறுபாடு, தொழில்முறை WordPress கோப்புறை அமைப்பு பாதுகாப்பு அணுகுமுறையின் அடித்தளம் ஆகும். கோப்புறைகளை முற்றிலும் அடைப்பது குறுகிய காலத்தில் பாதுகாப்பாகக் காட்சியளிக்கலாம், ஆனால் செயல்பாட்டில் வெள்ளை பக்கம், குற்றம்சாட்டும் நிர்வாகப் பணி, செயல்பாட்டில் செயலிழந்த பிளாக் ஆசிரியர் அல்லது தவறான தீமை தோற்றம் போன்ற சிக்கல்களை ஏற்படுத்தலாம். நோக்கம், WordPress இன் தேவையைப் பூர்த்தி செய்யும் கோப்புகளைப் பாதுகாப்பதன் மூலம் தாக்குதலுக்கு உள்ளடக்கியது குறைக்க வேண்டும்.

wp-includes அணுகலை முடிவுறுத்துவது என்ன பயன் அளிக்கிறது?

wp-includes கோப்புறையில் நேரடியாக PHP ஐ செயல்படுத்துவதை தடுப்பது ஒற்றை முறையில் அனைத்து தாக்குதல்களையும் நிறுத்தாது; ஆனால் தாக்குதலுக்கான உள்ளடக்கத்தை முக்கியமாகக் குறைக்கிறது. குறிப்பாக, கெட்ட நோக்கு என்றால், தாக்குதலாளர்கள், அணுகக்கூடிய அடைவுகளில் தீமை PHP கோப்புகளை சுமக்கும் அல்லது உள்ளமைவுகளை அழைக்க முயற்சிக்கிறார்கள். wp-includes கீழே உள்ள PHP கோப்புகளின் இணையத்திற்கான நேரடி செயல்பாட்டை தடுக்க, இந்த சூழலில் கூடுதல் தடையை உருவாக்குகிறது.

இந்த நடவடிக்கை சில பயன்களை வழங்குகிறது:

• மூல PHP கோப்புகளின் நேரடியாக URL மூலம் அழைக்கப்படுவதைக் கட்டுப்படுத்துகிறது.
• அடைவு பட்டியல் திறக்க இருந்தால் கோப்புறை உள்ளடக்கத்தைக் காண்பதை தடுக்க உதவுகிறது.
• தானாகவே வரும் பாட்டின் தேடல்களுக்கு தேவையில்லாத தகவல் சுழற்சியை குறைக்கிறது.
• பாதுகாப்பு செருகுநிரலுகள் இல்லாமல் இருந்தாலும் வலை சேவையகம் நிலை பாதுகாப்பை வழங்குகிறது.
• WAF, SSL, புதுப்பிக்கப்பட்ட PHP மற்றும் கோப்பு அனுமதிகள் உடன் அடுக்கீட்டிற்கான பாதுகாப்பை அதிகரிக்கிறது.

இங்கு முக்கியமாக உள்ள விஷயம், இந்த செயல்முறை ஒரு பாதுகாப்பு அடுக்காகும். புதுப்பிக்கப்படாத செருகுநிரல், பலவீனமான நிர்வாகக் கடவுச்சொல் அல்லது பிடித்த FTP கணக்கு இருந்தால் wp-includes விதி தனியாக போதுமானது அல்ல. பாதுகாப்பு; ஹோஸ்டிங் அடிப்படையை, பயன்பாடு, பயனர் நிர்வாகம் மற்றும் ஒழுங்கமைக்கப்பட்ட பராமரிப்பு ஒன்றிணைத்து உருவாக்கப்படுகிறது. பாதுகாப்பான அடிப்படைக்கு பாதுகாப்பான வலை உள்நுழைவு மற்றும் டொமைன் மேலாண்மையில் கூடுதல் பாதுகாப்புக்கான அமைப்பு பாதுகாப்பு உள்ளடக்கங்களுக்கு இணைப்புகளை வழங்கலாம்.

wp-includes முடிவுறுத்தும்போது மிகுந்த பொதுவான பிழைகள்

கோப்புறையின் முழுமையையும் அடைக்க

மிகவும் பொதுவான பிழை, wp-includes கோப்புறைக்கு வரும் அனைத்து HTTP கோரிக்கைகளை 403 க்குக் கட்டுப்படுத்துவதாகும். இந்த முறை முதல் பார்வையில் சாத்தியமாகத் தோன்றுகிறது; ஆனால் WordPress சில நிலையான சொத்துகளை இந்த அடைவில் இருந்து ஏற்றுவதால் எதிர்பாராத சிக்கல்களை உருவாக்கலாம். எடுத்துக்காட்டாக, பிளாக் ஆசிரியர் திறக்க முடியாமல் போகலாம், சில JavaScript கோப்புகள் ஏற்றப்பட முடியாமல் போகலாம் அல்லது முன்னணி சிறிய ஆனால் முக்கியமான வடிவமைப்பு முறைகேடுகளில் காணப்படலாம்.

விதியை சோதிக்காமல் நேரடியாக செயலில் எடுத்துக்கொள்ளுதல்

.htaccess அல்லது Nginx கட்டமைப்பில் ஒரே எழுத்துகூட 500 Internal Server Error ஐ உருவாக்கலாம். குறிப்பாக அதிக போக்குவரத்து பெறும் வலைத்தளங்களில் விதியை நேரடியாக செயலில் எடுத்துக்கொள்ளுதல் ஆபத்தானது. முதலில் கோப்பின் காப்பியை எடுத்து, ஏற்கனவே உள்ள சூழல்களில் சோதித்து, பின்னர் செயலில் கட்டுப்பட்ட முறையில் செல்ல வேண்டும். ஹோஸ்ட்ராகன்ஸ் அடிப்படையில் staging அல்லது காப்பீட்டு விருப்பங்கள் பயன்படுத்தப்படுமானால் வலை உருவாக்குதல் காப்பு இயற்கையாக உள்ள உள்ளமைவாகச் சேர்க்கலாம்.

பாதுகாப்பு செருகுநிரலுக்கு முழுமையாக நம்புதல்

பாதுகாப்பு செருகுநிரல்கள் பயன்படுகின்றன; ஆனால் வலை சேவையகம் நிலை விதிகள் முதலில் செயல்படுகின்றன. ஒரு கோரிக்கை PHP க்கு செல்லும் முன் Apache அல்லது Nginx மூலம் மறுக்கப்படும்போது, வளங்கள் செலவினம் குறைக்கப்படுகிறது. எனவே, செருகுநிரல் பயன்படுத்தப்படுமானால் கூட அடிப்படைக் கட்டமைப்பு விதிகள் மறக்கப்பட வேண்டிய அவசியமில்லை.

செயல்படுத்துவதற்கு முன் கண்டுபிடிப்பு பட்டியல்

wp-includes அணுகலை கட்டுப்படுத்துவதற்கு முன் ஒரு சுருக்கமான தயாரிப்பைச் செய்வது, இடைவெளியின் ஆபத்தினைக் கணிசமாகக் குறைக்கிறது. கீழ்க்காணும் கண்டுபிடிப்பு பட்டியல் குறிப்பாக நேரடியாக WordPress வலைத்தளங்களில் பரிந்துரைக்கப்படுகிறது:

• தற்போதைய .htaccess அல்லது Nginx கட்டமைப்பின் காப்பியை எடுக்கவும்.
• WordPress நெட்வொர்க், தீமை மற்றும் செருகுநிரல்களை புதுப்பிக்கவும்.
• PHP பதிப்பு ஆதரிக்கப்படுவதாகவும் பாதுகாப்பானதாகவும் இருப்பதைக் கண்டுபிடிக்கவும்.
• கோப்பு அனுமதிகளை சரிபார்க்கவும்: கோப்புறைகள் பொதுவாக 755, கோப்புகள் 644 ஆக இருக்க வேண்டும்.
• wp-config.php மற்றும் .htaccess போன்ற முக்கிய கோப்புகளுக்கு எழுதும் அனுமதிகளை தேவையற்ற முறையில் திறக்கக் கூடாது.
• முன்பதிவு, CDN அல்லது பாதுகாப்பு செருகுநிரல் பயன்படுத்தினால், மாற்றத்திற்குப் பிறகு cache சுத்தம் செய்ய திட்டமிடவும்.
• நிர்வாகப் பணி, முதன்மை பக்கம், பதிவு பக்கம், தொடர்பு படிவம் மற்றும் கட்டணப் பக்கம் போன்ற முக்கிய பகுதிகளை சோதிக்க ஒரு பட்டியல் உருவாக்கவும்.

இந்த தயாரிப்புகள் சுமார் 10-15 நிமிடங்கள் பிடிக்கும்; ஆனால் தவறான விதி ஏற்படுத்தும் மணி நேரம் ஆகக்கூடிய இடைவேளைத் தடுக்கலாம். நிறுவன வலைத்தளங்களில் மாற்றங்களை குறைவான போக்குவரத்து நேரங்களில் செய்யுதல் மிகவும் பாதுகாப்பானது.

Apache சேவையகத்தில் .htaccess மூலம் wp-includes PHP அணுகலை முடிவுறுத்துவது

Apache ஐப் பயன்படுத்தும் பகிர்ந்துள்ள ஹோஸ்டிங் இல் மிகவும் பொதுவான முறை .htaccess கோப்பாகும். WordPress அச்சு அடைவில் உள்ள .htaccess கோப்பிற்கு சேர்க்கப்பட்ட சரியான விதிகள், wp-includes உள்ள குறிப்பிட்ட PHP அழைப்புகளைத் தடுப்பதற்கு உதவலாம். செயல்பாட்டை ஆரம்பிக்கும் முன், கோப்பின் ஒரு நகலை உங்கள் கணினியில் பதிவிறக்கவும் அல்லது ஹோஸ்டிங் கட்டுப்பாட்டில் உள்ள கோப்பு மேலாண்மையிலிருந்து காப்பியை உருவாக்கவும்.

பரிந்துரைக்கப்பட்ட .htaccess விதி

கீழ்காணும் அணுகுமுறை, wp-includes கீழே நேரடியாக PHP அணுகலை முடிவுறுத்துவதில் கவனம் செலுத்துகிறது மற்றும் நிலையான கோப்புகளின் செயல்பாட்டைக் காத்திருக்கிறது:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-includes/.*[.]php$ - [F,L]
</IfModule>

இந்த விதியின் பொருள் எளிமையானது: URL wp-includes மூலம் ஆரம்பிக்கப்பட்டால் மற்றும் .php மூலம் முடிவுற்றால், கோரிக்கையை தடுப்பதாகும். இதனால் wp-includes உள்ள PHP கோப்புகளை உலாவியில் அழைக்க முடியாது. இதற்குப் பதிலாக .js, .css, .png, .svg போன்ற நிலையான கோப்புகளுக்கு அணுகல் தொடர்கிறது. WordPress இன் முன்னணி மற்றும் நிர்வாகப் பணிக்கு இது மிகவும் பாதுகாப்பான சமநிலை ஆகும்.

அடைவு பட்டியலை முடிவுறுத்துதல்

மற்றொரு முக்கிய அமைப்பு அடைவு பட்டியலை முடிவுறுத்துவது. சேவையகத்தில் அடைவு பட்டியல் திறக்க இருந்தால், பயனர் சில கோப்புறைகளின் உள்ளடக்கத்தை காணலாம். உங்கள் முதன்மை .htaccess கோப்பில் கீழ்காணும் வரியைச் சேர்க்குவது பொதுவாக போதுமானது:

Options -Indexes

இந்த வரி, குறியீட்டு கோப்பு இல்லாத கோப்புறைகளில் கோப்பு பட்டியலின் காட்சியினை தடுக்கும். நவீன ஹோஸ்டிங் இல் பெரும்பான்மையாக இயல்பாக மூடப்பட்டுள்ளது; ஆனால் சரிபார்க்குவது நல்ல பாதுகாப்பு பழக்கம் ஆகும்.

மாற்றத்திற்குப் பிறகு சோதனை

விதியைச் சேர்த்த பிறகு, கீழ்காணும் சோதனைகளைச் செய்யவும்:

• siteaddress.com/wp-includes/ முகவரியைத் திறக்கவும்; அடைவு பட்டியல் காணக்கூடாது.
• wp-includes கீழே உள்ள ஒரு அறியப்பட்ட PHP கோப்பை நேரடியாக அழைக்க முயற்சி செய்யவும்; 403 அல்லது 404 பெற வேண்டும்.
• முதன்மை பக்கம், வலைப்பதிவு மற்றும் நிர்வாகப் பணி ஆகியவற்றைப் பரிசீலிக்கவும்.
• உலாவி மேம்பாட்டு கருவிகளில் Console மற்றும் Network தாவல்களில் 404/403 ஆதார பிழை உள்ளதா என்பதைப் பார்வையிடவும்.
• முன்பதிவு செருகுநிரல் அல்லது CDN பயன்படுத்தினால் cache சுத்தம் செய்யவும்.

சோதனை முழுமையாக வெற்றியுறுத்தப்பட்டால், விதி உற்பத்தி சூழலில் பாதுகாப்பாக வைக்கப்படலாம். 500 பிழை கிடைத்தால், மிகவும் விரைவான தீர்வு, நீங்கள் சேர்த்த வரிகளை நீக்கி, காப்பீட்டு .htaccess கோப்பினைப் மீட்டெடுக்க வேண்டும்.

Nginx சேவையகத்தில் wp-includes PHP அணுகலை முடிவுறுத்துவது

Nginx ஐப் பயன்படுத்தும் VPS, தனிப்பட்ட அல்லது மேலாண்மை செய்யப்பட்ட சேவையக சூழல்களில் .htaccess செயல்படாது. விதியை Nginx தள கட்டமைப்பு கோப்பில், பொதுவாக சர்வர் பிளாக்கில் சேர்க்க வேண்டும். இந்த செயல்முறைக்காக SSH அணுகல் மற்றும் கட்டமைப்பு கோப்புகளைத் திருத்தும் அனுமதி தேவை. நீங்கள் உறுதியாக இல்லையெனில், ஹோஸ்டிங் ஆதரவைப் பெறுவது பாதுகாப்பானது.

பரிந்துரைக்கப்பட்ட Nginx இடம் விதி

அடிப்படை விதி இந்த கருத்துக்களால் செயல்படுத்தப்படலாம்:

location ~* ^/wp-includes/.*[.]php$ {
deny all;
}

இந்த விதி, wp-includes கீழே உள்ள PHP கோப்புகளுக்கு வரும் கோரிக்கைகளை தடுக்கும். மாற்றத்திற்குப் பிறகு கட்டமைப்பைப் சோதிக்க முக்கியமானது:

nginx -t

சோதனை வெற்றியுறுத்தப்பட்டால், Nginx மீண்டும் ஏற்றப்படுகிறது:

systemctl reload nginx

இங்கு reload கட்டளை, restart கட்டளைக்கு விட அதிக கட்டுப்பாட்டாக இருக்கும்; இயங்கும் தொடர்புகளை முற்றிலும் துண்டிக்காமல் கட்டமைப்பைப் புதுப்பிக்கிறது. மீண்டும், முக்கியமான வலைத்தளங்களில் மாற்றங்களை குறைவான போக்குவரத்தில் செய்ய பரிந்துரைக்கப்படுகிறது.

Nginx ஐப் பயன்படுத்தும்போது கவனிக்க வேண்டியவை

• விதியை சரியான சர்வர் பிளாக்கில் சேர்த்திருப்பதற்கு உறுதியாக இருக்கவும்; ஒரே சேவையகத்தில் பல வலைத்தளங்கள் இருக்கலாம்.
• CDN அல்லது மறுபடியும் ப்ராக்ஸி பயன்படுத்தினால், உண்மையான சோதனைகளை CDN cache சுத்தம் செய்த பிறகு செய்யவும்.
• PHP-FPM கட்டமைப்பானது தேவையான கோப்புகளை மட்டுமே செயல்படுத்துவதை உறுதிசெய்யவும்.
• Log கோப்புகளைச் சரிபார்க்கவும்: access.log மற்றும் error.log தவறான விதியை விரைவில் காட்டு.

Nginx சூழலில் தவறான இடம் வரிசை எதிர்பாராத முடிவுகளை உருவாக்கலாம். எனவே, விதி WordPress permalink மற்றும் PHP செயலாக்கப் பிளாக்குகளைச் சந்திக்கவில்லை என்பதற்கு உறுதியாக இருக்க வேண்டும்.

முறைகளை ஒப்பிடுதல்

கீழ்காணும் அட்டவணை, wp-includes அணுகலை கட்டுப்படுத்துவதற்கான முதன்மை முறைகளை சுருக்கமாகக் கூறுகிறது:

நிலையாக, சிறந்த முடிவுகள், இந்த முறைகளை ஒன்றாகப் பயன்படுத்துவதால் கிடைக்கும். எடுத்துக்காட்டாக Apache ஹோஸ்டிங்கில் .htaccess விதி, சரியான கோப்பு அனுமதிகள், புதுப்பிக்கப்பட்ட WordPress நெட்வொர்க், SSL மற்றும் ஒழுங்கமைக்கப்பட்ட காப்பீடு ஒன்றாக வந்தால் அடுக்கீட்டுப் பாதுகாப்பு உருவாக்கும். ஹோஸ்டிங் அடிப்படையில் பாதுகாப்பு சுவரால் மற்றும் தனிமைப்படுத்தல் முக்கியமானவை என்பதால் கொரும்சல் ஹோஸ்டிங் தேர்வு முக்கியமான வலைத்தளங்களில் வித்தியாசம் அளிக்கிறது.

கோப்பு அனுமதிகள் மற்றும் உரிமை அமைப்புகள்

wp-includes அணுகலை முடிவுறுத்துவது, கோப்பு அனுமதிகள் தவறானால், குறைவாகவே இருக்கும். WordPress இல் பொதுவாக ஏற்றுக்கொள்ளப்பட்ட அனுமதிகள் கோப்புறைகளுக்கான 755, கோப்புகளுக்கான 644 மதிப்புகள் ஆகும். இந்த மதிப்புகள், வலை சேவையகம் கோப்புகளைப் படிக்க அனுமதிக்கும்போது தேவையற்ற எழுதும் அதிகாரங்களைக் குறைக்கிறது. சில தனிப்பட்ட ஹோஸ்டிங் சூழல்களில் மாறுபட்ட பயனர் மற்றும் குழு அமைப்புகள் இருக்கலாம்; எனவே, உங்கள் கட்டுப்பாட்டின் பரிந்துரைகளைப் பின்பற்றவும்.

குறிப்பாக 777 அனுமதி, கடுமையான பாதுகாப்பு ஆபத்தாகும். ஒரு கோப்புறைக்கு அனைவரும் எழுத வேண்டும் என்பதால், தீமை கோப்புகளைப் பதிவேற்றுவதற்கான சூழ்நிலைகளை எளிதாக்குகிறது. wp-content/uploads போன்ற எழுதக்கூடியதாக இருக்க வேண்டிய அடைவுகளில் கூட PHP செயல்பாட்டை தடுப்பது வேண்டும். wp-includes, சாதாரண சூழ்நிலைகளில் WordPress புதுப்பிப்புகளுக்கு வெளியே பயனர் மூலம் எழுதக்கூடியதாக இருக்கக் கூடாது.

ஒரு பாதுகாப்பு கணக்கீட்டில், கீழ்காணும் மதிப்புகள் சரிபார்க்கப்படலாம்:

• wp-includes கோப்புறை: பொதுவாக 755
• wp-includes உள்ள PHP கோப்புகள்: பொதுவாக 644
• wp-config.php: யோசிக்கப்படுமானால் 600 அல்லது ஹோஸ்டிங் அமைப்புக்கு ஏற்ப குறைவான அனுமதி
• .htaccess: பொதுவாக 644, மாற்றத்திற்குப் பிறகு தேவையற்ற எழுதும் அதிகாரம் இல்லாமல்

இந்த அமைப்புகள் ஒவ்வொரு சேவையகத்திலும் ஒரே மாதிரியான நடத்தையைக் கொண்டிருக்க முடியாது. தவறான அனுமதி, வலைத்தளத்தை புதுப்பிக்கவோ அல்லது கோப்புகளைப் படிக்கவோ முடியாது. மாற்றத்திற்குப் பிறகு WordPress ஆரோக்கியத்தைக் கண்டுபிடிக்கவும் மற்றும் பிழை பதிவுகளை ஆய்வு செய்யவும் வேண்டும்.

பாதுகாப்பு செருகுநிரல்கள் இந்த செயல்முறையைச் செய்யுமா?

Wordfence, iThemes Security போன்ற பாதுகாப்பு செருகுநிரல்கள் சில கடுமையான விதிகளை தானாகவே பரிந்துரைக்கலாம். இந்த செருகுநிரல்கள் brute force பாதுகாப்பு, கோப்பு மாற்றங்களை கண்காணித்தல், தீமை கண்காணிப்பு மற்றும் உள்நுழைவு பாதுகாப்பு போன்ற துறைகளில் பயனுள்ளதாக இருக்கின்றன. ஆனால் wp-includes அணுகலை முடிவுறுத்துவதில் செருகுநிரல் என்ன செய்கிறது என்பதைச் சரியாகக் கண்காணிக்க வேண்டும்.

சில செருகுநிரல்கள் .htaccess கோப்பிற்கு தானாகவே விதிகளைச் சேர்க்கின்றன. சிலர், செயல்பாட்டு நிலை பாதுகாப்பை மட்டுமே வழங்குகின்றன. செயல்பாட்டு நிலை பாதுகாப்பு, கோரிக்கைகள் WordPress இல் வந்த பிறகு செயல்படுகிறது, எனவே சேவையக நிலை தடுப்பு அளவுக்கு முன்னதாக இல்லை. எனவே, தொழில்முறை அணுகுமுறை, செருகுநிரலைச் சமீபத்திய நிலை அமைப்புடன் ஒன்றாக மதிப்பீடு செய்வது ஆகும்.

பாதுகாப்பு செருகுநிரல் பயன்படுத்தினால், கீழ்காணும் கண்டுபிடிப்புகளைச் செய்யவும்:

• செருகுநிரலானது .htaccess அல்லது Nginx விதியைச் சேர்க்கிறதா என்பதைப் பார்வையிடவும்.
• ஒன்றே வேலை செய்பவருக்கான இரண்டு மாறுபட்ட விதிகள் மோதாததா என்பதை உறுதிசெய்யவும்.
• செருகுநிரல் புதுப்பிப்புக்கு பிறகு பாதுகாப்பு அமைப்புகள் மாறவில்லை என்பதை உறுதிசெய்யவும்.
• செயல்திறனை அளவீடு செய்ய, cache மற்றும் சேவையக வளங்களைப் பயன்படுத்தவும்.

ஒரே நேரத்தில் பல பாதுகாப்பு செருகுநிரல்களைப் பயன்படுத்துவது பெரும்பாலும் நல்ல யோசனை அல்ல. மோதும் firewall, உள்நுழைவு மற்றும் மறுபடியும் எழுதும் விதிகள் செயல்திறனைக் குறைக்கலாம் அல்லது தவறான தடைகளை ஏற்படுத்தலாம்.

wp-includes பாதுகாப்பை சோதனை செய்தல்: நடைமுறை காட்சி

செயல்பாட்டின் வெற்றியைப் புரிந்துகொள்ள, வெறும் வலைத்தளத்தை திறக்க வேண்டும் என்பதுதான் போதுமானது. கீழ்காணும் 7 படி நடைமுறை சோதனை, சிறிய வணிக வலைத்தளங்களில் இருந்து e-கணினி திட்டங்களுக்கு வரை பெரும்பாலும் WordPress அமைப்புகளில் செயல்படுத்தலாம்:

• 1. முதன்மை பக்கத்தை மறைந்த தொடுப்பில் திறந்து, காட்சியியல் முறைகேடு இருக்கிறதா என்பதைச் சரிபார்க்கவும்.
• 2. ஒரு வலைப்பதிவு, வகுப்பு பக்கம் மற்றும் தேடல் முடிவு பக்கத்தைச் பார்வையிடவும்.
• 3. wp-admin கட்டுப்பாட்டில் உள்நுழையவும்; பிளாக் ஆசிரியர் மற்றும் ஊடக நூலகத்தை திறக்கவும்.
• 4. உலாவி மேம்பாட்டு கருவிகளில் Console தாவலைச் சரிபார்க்கவும்.
• 5. Network தாவல்களில் wp-includes கீழே உள்ள நிலையான கோப்புகள் தேவையில்லாமல் தடைக்கப்படவில்லையா என்பதை உறுதிசெய்யவும்.
• 6. wp-includes கீழே நேரடியாக PHP கோப்பு அழைக்கவும்; 403 அல்லது 404 பதிலைக் காத்திருக்கவும்.
• 7. சேவையக பிழை பதிவுகளில் புதிய மற்றும் மீண்டும் நிகழும் பிழைகள் உள்ளனவா என்பதை ஆய்வு செய்யவும்.

இந்த சோதனை சுமார் 5 நிமிடங்கள் பிடிக்கும் மற்றும் தவறான அமைப்புகளை விரைவாகக் கண்டுபிடிக்கிறது. குறிப்பாக WooCommerce போன்ற கட்டண செயல்முறைகளை உள்ளடக்கிய வலைத்தளங்களில், கொள்கை, கட்டணம் மற்றும் பயனர் கணக்கு பக்கங்களையும் தனியாக சோதிக்க வேண்டும். நேர்முக வருவாய் உற்பத்தி செய்யும் வலைத்தளங்களில், சிறிய JavaScript தடையைப் கூட மாற்று விகிதத்தைக் பாதிக்கலாம்.

கூடுதல் WordPress கோப்புறை அமைப்பு பாதுகாப்பு நடவடிக்கைகள்

wp-includes பாதுகாப்பு ஒரு நல்ல தொடக்கம்; ஆனால் WordPress பாதுகாப்பைப் முழுமையாகக் கருத வேண்டும். கீழ்காணும் கூடுதல் நடவடிக்கைகள், தாக்குதலுக்கான உள்ளடக்கத்தை மேலும் குறைக்கிறது:

• WordPress பதிப்பைப் மறைக்க முயற்சிப்பதற்குப் பதிலாக, நெட்வொர்க் புதுப்பிப்பு.
• பயன்படுத்தப்படாத தீமைகளை மற்றும் செருகுநிரல்களை முழுமையாக அழிக்கவும்.
• நிர்வாக பயனர் பெயரை கணிக்க முடியாததாக மாற்றவும்.
• இரு காரண அடையாளத்தைப் பயன்படுத்தவும்.
• XML-RPC ஐப் பயன்படுத்தவில்லை என்றால், அணுகலைக் கட்டுப்படுத்தவும்.
• wp-login.php க்கான விகிதக் கட்டுப்பாடு அல்லது கூடுதல் உறுதிப்படுத்தலை பயன்படுத்தவும்.
• தானாகக் காப்பீடு மற்றும் மீட்டெடுத்தல் சோதனை செய்யவும்.
• மொத்த வலைத்தளத்தில் HTTPS ஐப் பயன்படுத்தவும்; SSL இன்றி உள்நுழைவு தகவல்கள் ஆபத்தில் உள்ளன.

SSL, wp-includes அணுகலை நேரடியாக முடிவுறுத்தவில்லை; ஆனால் பயனர் அமர்வுகள், படிவ தகவல்கள் மற்றும் நிர்வாகப் பணி போக்குவரத்திற்கான அடிப்படை பாதுகாப்பை வழங்குகிறது. எனவே, WordPress பாதுகாப்பு வழிகாட்டிகளில் SSL எப்போதும் முதலாவது அடுக்குகளில் ஒன்றாக இருக்கிறது. இந்த இடத்தில் SSL சான்றிதழ் வாங்க மற்றும் இறுதிப்படுத்தப்பட்ட SSL நிறுவல் இணைப்புகள் உள்ளடக்கத்திற்குள் இயற்கையாகப் பொருந்தலாம்.

எப்போது தொழில்முறை ஆதரவைப் பெற வேண்டும்?

எளிதான Apache ஹோஸ்டிங்கில் .htaccess விதியைச் சேர்க்குவது பெரும்பாலான பயனர்களுக்கான நிர்வாகத்திற்கான செயல்பாடு ஆகும். ஆனால் தனிப்பட்ட Nginx கட்டமைப்பு, பல வலைத்தளங்கள், WooCommerce கடை, அதிக போக்குவரத்து கொண்ட செய்தி வலைத்தளம் அல்லது நிறுவன தளம் என்றால், தொழில்முறை ஆதரவைப் பெறுவது சரியானது. ஏனெனில் பாதுகாப்பு விதி தொழில்நுட்பமாக மட்டுமே சரியானது அல்ல, தொழில்நுட்பம் தொடர்ச்சியான வாழ்வாதாரத்திற்குப் பாதுகாப்பாகவும் செயல்பட வேண்டும்.

அந்த சூழ்நிலைகளில் நிபுணத்துவ ஆதரவைப் பரிந்துரிக்கப்படுகிறது:

• சேவையகத்தில் பல WordPress வலைத்தளங்களை வைத்திருந்தால்.
• Nginx, Varnish, CDN மற்றும் WAF ஒன்றாகப் பயன்படுத்தின்.
• இறுதியாக செய்யப்பட்ட மாற்றங்களுக்குப்பிறகு 403, 404 அல்லது 500 பிழைகள் அதிகரித்தால்.
• வலைத்தளம் முந்தைய முறையில் தீமை அடைந்தால்.
• கட்டணம், உறுப்பினர் அல்லது தனிப்பட்ட தரவுகளை செயல்படுத்தும் ஒரு முறைமையைப் பயன்படுத்தினால்.

பாதுகாப்பான ஹோஸ்டிங் அடிப்படையியல், சரியான தனிமைப்படுத்தல், ஒழுங்கமைக்கப்பட்ட காப்பீடு மற்றும் நிபுணத்துவ ஆதரவு, WordPress பாதுகாப்பின் கண்ணுக்கு தெரியாத ஆனால் முக்கியமான பகுதிகள் ஆகும். அடிப்படையை தேர்வு செய்யும்போது, வெறும் இடம் மட்டுமே அல்ல; காப்பீடு, பாதுகாப்பு சுவர், PHP பதிப்பு ஆதரவு, SSL மேலாண்மை மற்றும் தொழில்நுட்ப ஆதரவு தரத்திற்கு கவனிக்க வேண்டும். இந்த சூழலில் Hostragons ஹோஸ்டிங் தொகுப்புகள் மற்றும் WordPress தளம் மாற்றுதல் உள்ளடக்கங்கள் வாசகர்களுக்கு பயனுள்ளதாக இருக்கலாம்.

தீர்வு

WordPress கோப்புறை அமைப்பு பாதுகாப்பு அளவிலான wp-includes கோப்புறைக்கு அணுகலை முடிவுறுத்துவதற்கான சரியான வழி, கோப்புறையின் முழுமையையும் அடைப்பதும் அல்ல; wp-includes உள்ள PHP கோப்புகளுக்கு நேரடி இணைய அணுகலை முடிவுறுத்துதல் மற்றும் அடைவு பட்டியலை முடிவுறுத்துதல் ஆகும். Apache க்கான .htaccess, Nginx க்கான இடம் விதிகளுடன் இந்த செயல்முறை விரைவில் செயல்படுத்தலாம். ஆனால் ஒவ்வொரு மாற்றத்திற்கும் முன் காப்பியை எடுத்து, பின்னர் நிர்வாகப் பணி மற்றும் முன்னணி சோதனைகளைச் செய்ய வேண்டும்.

சுருக்கமாகச் சொன்னால்: நிலையான கோப்புகளை பாதிக்காதீர்கள், PHP அணுகலைக் கட்டுப்படுத்துங்கள், அடைவு பட்டியலை முடிவுறுத்துங்கள், கோப்பு அனுமதிகளை சரிபார்க்கவும் மற்றும் ஒழுங்கமைக்கப்பட்ட புதுப்பிப்புகள் செய்யுங்கள். மேலும் பாதுகாப்பான மற்றும் நிர்வகிக்கக்கூடிய WordPress அடிப்படைக்காக ஹோஸ்ட்ராகன்ஸின் ஹோஸ்டிங், டொமைன் மற்றும் SSL தீர்வுகளைப் பார்வையிடலாம்; உங்கள் தேவைக்கு உட்பட்ட அமைப்பில் ஆதரவைப் பெறலாம்.

அடிக்கடி கேட்கப்படும் கேள்விகள்

wp-includes கோப்புறையை முற்றிலும் மூடுவது பாதுகாப்பா?

பொதுவாக பரிந்துரைக்கப்படவில்லை. wp-includes இல் WordPress இன் தேவையான JavaScript, CSS மற்றும் நிலையான கோப்புகள் உள்ளன. முழுமையாக மூடுதல், வலைத்தளத்தின் தோற்றத்தை அல்லது நிர்வாகப் பணியை பாதிக்கலாம். அதிக பாதுகாப்பான அணுகுமுறை, இந்த கோப்புறையில் உள்ள PHP கோப்புகளுக்கு நேரடி அணுகலை முடிவுறுத்துவது ஆகும்.

.htaccess விதியைச் சேர்த்த பிறகு 500 பிழை வந்தால் என்ன செய்வது?

முதலில் நீங்கள் சேர்த்த கடைசி விதிகளை நீக்குங்கள் அல்லது காப்பீட்டு .htaccess கோப்பினைப் மீட்டெடுக்கவும். பின்னர் விதியை சொற்பொழிவு பிழைகளுக்குப் பார்க்கவும். பிழை தொடர்ந்தால், ஹோஸ்டிங் பிழை பதிவுகளை ஆய்வு செய்யவும் அல்லது தொழில்நுட்ப ஆதரவிலிருந்து உதவி பெறவும்.

Nginx சேவையகத்தில் .htaccess செயல்படும் தானா?

இல்லை. .htaccess Apache மற்றும் LiteSpeed சூழல்களில் பயன்படுத்தப்படுகிறது. Nginx சேவையகங்களில் ஒத்த தடைகள் சர்வர் பிளாக்கில் உள்ள இடம் விதிகளால் செய்யப்படுகின்றன மற்றும் மாற்றத்திற்குப் பிறகு nginx -t மூலம் கட்டமைப்பைக் கண்டுபிடிக்க வேண்டும்.

இந்த செயல்முறை WordPress எனது வலைத்தளத்தை முற்றிலும் பாதுகாப்பாகக் கொண்டுவருமா?

இல்லை. wp-includes PHP அணுகலை முடிவுறுத்துவது முக்கியமான பாதுகாப்பு அடுக்காகும், ஆனால் தனியாக போதுமானது அல்ல. புதுப்பிப்புகள், வலுவான கடவுச்சொற்கள், இரண்டு காரண அடையாளம், SSL, காப்பீடு, பாதுகாப்பு சுவர் மற்றும் சரியான கோப்பு அனுமதிகள் ஒன்றிணைந்து செயல்படுத்தப்பட வேண்டும்.

பாதுகாப்பு செருகுநிரல் பயன்படுத்தினால், மேலும் wp-includes விதியைச் சேர்க்க வேண்டுமா?

செருகுநிரல் எந்த விதிகளை செயல்படுத்துகிறதென்கிறதற்கேற்ப உள்ளது. சில செருகுநிரல்கள் .htaccess விதியைச் சேர்க்கின்றன, சிலர் செயல்பாட்டு நிலை பாதுகாப்பை மட்டுமே வழங்குகின்றன. மோதல் ஏற்படுத்தாமல் சேவையக நிலை PHP அணுகலை கட்டுப்படுத்துவது பொதுவாக ஒரு வலுவான தீர்வு ஆகிறது.