بهترین افزونه امنیتی وردپرس؛ کدام برای شما مناسب است؟
جمعه‌شب ساعت ۲۳، فروشگاهی با ۶۰۰ محصول تماس گرفت: صفحهٔ اصلی به مسیرهایی بیرون از سایت ریدایرکت شده بود. پشتیبان موجود سه هفته قبل بود؛ افزونهٔ امنیتی هم نصب بود اما اسکن زمان‌بندی‌شده نداشت. مشکل با پشتیبان سالم و نصب تمیز بسته شد، نه با خرید افزونهٔ گران‌تر. این مقاله همان تصمیم‌گیری است که آن فروشگاه پیش از حادثه لازم داشت.
شش قابلیتی که یک افزونهٔ امنیتی واقعی دارد
پیش‌زمینهٔ کامل این بحث در خوشهٔ امنیت و پشتیبانگیری وردپرس آمده است؛ اینجا خلاصهٔ کاربردی را می‌بندیم. شش قابلیت زیر، مرز میان «افزونهٔ امنیتی» و «جعبه‌ابزار نیمه‌کاره» است.
- فایروال برنامه‌ای (WAF): فیلتر کردن درخواست‌های مخرب پیش از رسیدن به هستهٔ وردپرس.
- اسکن بدافزار زمان‌بندی‌شده: بررسی روزانهٔ فایل‌ها و هسته در برابر نسخهٔ مرجع.
- ورود دومرحله‌ای (2FA): رمز عبور تنها، دیگر سد نیست؛ کد دوم برای همهٔ مدیرها اجباری است.
- محدودسازی تلاش ورود: بستن حملات جستجوی رمز عبور پشت‌به‌پشت.
- گزارش و لاگ رویداد: بعد از حادثه، پاسخ به «کی، کِی، از کجا» فقط با لاگ ممکن است.
- مدیریت نقش و دسترسی: هر نقش فقط دسترسی‌ای که لازم دارد.
چرا این اهمیت دارد؟ چون سهم اصلی آسیب‌پذیری از درگاه افزونه‌ها و قالب‌ها می‌آید. طبق گزارش‌های سالانهٔ Patchstack (گردآوری آبان ۱۴۰۵)، سهم افزونه‌ها و قالب‌ها از آسیب‌پذیری‌های جدید اکوسیستم وردپرس به‌مراتب بیشتر از هسته است؛ خط دفاع اول همان‌جایی است که افزونهٔ امنیتی شما می‌نشیند.
این فهرست را از بالا به پایین اجرا کنید، نه سلیقه‌ای؛ فایروال بدون لاگ، حادثه را ناشناخته می‌گذارد و لاگ بدون پشتیبان، تشخیص را می‌دهد اما درمان را نه. ترکیب شش قابلیت یک فرآیند است: پیشگیری، تشخیص، ثبت، بازیابی. افزونه‌ای که سه ضلع را پوشش دهد و دو ضلع دیگر را به ابزار مکمل بسپارد، انتخاب قابل‌دفتری است؛ به شرط آنکه مکمل‌ها واقعاً نصب شوند.
معیار مقایسه: پنج آزمون عملی
افزونه‌ای که دموهایش جذاب است، لزوماً در میدان خوب می‌ایستد. پنج آزمون زیر را قبل از انتخاب اجرا کنید:
- سربار عملکرد: فایروالی که TTFB را دو برابر کند، امنیت را با سرعت معامله کرده؛ قبل و بعد از نصب را با PageSpeed Insights اندازه بگیرید.
- نرخ هشدار کاذب: اگر هفته‌ای ده هشدار بی‌پایه بدهد، تیم به هشدارها بی‌اعتنا می‌شود و هشدار واقعی هم گم می‌شود.
- تداخل با افزونه‌های دیگر: با کش، فرم‌ساز و افزونهٔ فروشگاهی شما هم‌زیستی میکند؟
- سرعت و کیفیت پشتیبانی: در حادثه، پاسخ چند ساعته می‌دهد و از چه کانالی؟
- توان بازیابی: پشتیبان می‌گیرد و مهم‌تر از آن، بازیابی را راحت میکند؟
یک آزمون کارگاهی هم داریم: افزونهٔ منتخب را یک هفته روی محیط آزمایشی بگذارید، یک ورود ناموفق عمدی بسازید و ببینید هشدار چند دقیقه بعد می‌رسد و گزارشش چقدر قابل‌فهم است. کیفیت هشدار، معیار پنهان انتخاب است؛ عدد آزمایشگاهی افزونه در حادثهٔ سه‌صبح به کار شما نمی‌آید.
تعهد زمان پاسخ‌گویی اگر از یک سرویس بزرگ می‌خرید، حتماً کتبی باشد؛ نمونهٔ شفاف آن را در قرارداد سطح خدمات (SLA) سوئیت می‌بینید.
مقایسهٔ سر‌به‌سر افزونه‌های شناخته‌شده
| افزونه | تمرکز اصلی | فایروال | اسکن | 2FA | لاگ رویداد | پشتیبانگیری | قیمت شروع | مناسب برای |
|---|---|---|---|---|---|---|---|---|
| Wordfence | فایروال و اسکن سمت میزبان | بله | بله | بله | گزارش فایروال و ورود | در نسخهٔ پرمیوم | پلن رایگان؛ نسخهٔ پرمیوم سالانه | سایت‌های عمومی و فروشگاه‌های متوسط |
| Sucuri Security | فایروال ابری و پاکسازی | ابری | بله | بله | بازرسی فعالیت | نه در افزونه؛ سرویس جانبی | طبق صفحهٔ قیمت Sucuri، فایروال ۱۹۹٫۹۹ دلار در سال (گردآوری آبان ۱۴۰۵) | سایت‌های با ترافیک و ریسک بالاتر |
| Solid Security | سخت‌سازی پیشگیرانه | محدود | بله | بله | گزارش فعالیت کاربران | با افزونهٔ مکمل همین خانواده | پلن رایگان؛ نسخهٔ حرفه‌ای سالانه | وبلاگ و سایت شرکتی |
| All In One WP Security | سخت‌سازی بدون پنل ابری | محدود | بله | بله | گزارش پایه | نه؛ افزونهٔ جدا لازم است | رایگان | شروع با بودجهٔ صفر |
| Jetpack Protect | اسکن با داشبورد ابری | محدود | بله | در ماژول‌های مرتبط | محدود | در ماژول‌های پشتیبان | پلن رایگان پایه | تیم‌های چندسایتی |
قیمت فقط برای Sucuri به عدد دقیق آورده شده چون در صفحهٔ قیمت رسمی شفاف است؛ برای بقیه، صفحهٔ قیمت هر افزونه را هنگام خرید ببینید (گردآوری آبان ۱۴۰۵).
دو ستون آخر اغلب همان‌جایی است که تصمیم عوض می‌شود؛ فایروال خوب با پشتیبان ضعیف، سایت را در حادثهٔ واقعی بی‌دفاع می‌گذارد. به تجربهٔ ما ترکیب «افزونهٔ امنیتی + افزونهٔ پشتیبان مستقل» برای اکثر سایت‌ها از «افزونهٔ همه‌کاره» مطمئن‌تر است؛ چون شکست هر لایه، لایهٔ دیگر را از کار نمی‌اندازد. اعتراف صادقانه: نرخ هشدار کاذب هر افزونه را فقط با یک هفته اجرای واقعی می‌فهمید؛ جدول، این را نشان نمی‌دهد.
ستون «مناسب برای» را جدی بگیرید؛ مقایسهٔ افزونه‌ها بدون پروفایل سایت، مثل انتخاب کفش با نگاه کردن فقط به قیمت است. در بخش بعد، همان ستون را برای سه پروفایل باز می‌کنیم.
بهترین افزونه امنیتی وردپرس برای سه پروفایل سایت
وبلاگ و سایت شرکتی کم‌ترافیک
اینجا بودجهٔ صفر معنادار است: Solid Security یا All In One برای سخت‌سازی و اسکن، به‌علاوهٔ یک افزونهٔ مستقل پشتیبانگیری با ذخیرهٔ بیرون از سرور. سربار را هم کنترل کنید؛ سایت کم‌ترافیک معمولاً هاست اشتراکی دارد و منابع محدود.
حداقل معیار ورود به این سطح را از اینجا بگذارید: اسکن هفتگی، ورود دومرحله‌ای برای حساب مدیر، محدودسازی تلاش ورود و یک پشتیبان هفتگی بیرون از سرور. همین چهار تنظیم بخش بزرگی از ریسک رایج را می‌بندد و هنوز سنگینی‌ای روی هاست اشتراکی نمی‌گذارد.
فروشگاه ووکامرس
فایروال قویتر لازم است: Wordfence سمت میزبان یا فایروال ابری Sucuri، به‌علاوهٔ 2FA اجباری برای همهٔ نقشهای مدیریتی و پشتیبان روزانهٔ خارج از سرور. یک اصل را هم نگه دارید: پرداخت را در درگاه پرداخت نگه دارید و اطلاعات کارت را روی سرور ذخیره نکنید. راهکارهای تخصصی‌تر در سئو و رشد فروشگاه اینترنتی آمده است.
سایت چندنویسنده و شرکتی
ریسک از داخل می‌آید: نقشهای بی‌دقت. مدیریت نقش سخت‌گیرانه، لاگ فعالیت کاربران و 2FA اجباری، بیش از هر فایروالی اثر دارد. افزونهٔ امنیتی اینجا نگهبان دروازه است؛ انضباط دسترسی، خودِ دروازه.
به تجربهٔ ما فروشگاه‌ها بیش از افزونهٔ گران‌تر به انضباط پشتیبانگیری نیاز دارند؛ چون اکثر حادثه‌ها با یک پشتیبان سالم و تست‌شده بسته می‌شوند، نه با فایروال جدیدتر.
دو تنظیم کاربردی برای همین پروفایل: گزارش هفتگی تغییر نقش‌ها و حذف خودکار حساب کاربران غیرفعال بعد از نود روز. به تجربهٔ ما حساب‌های فراموش‌شدهٔ همکاران رفته، درگاه ورود پرتکرار در حادثه‌هاست؛ همین یک تنظیم، ارزش یک افزونهٔ اضافه را دارد.
سوئیت چطور لایهٔ امنیت را کامل میکند
افزونه‌های امنیتی تا مرز سایت می‌روند؛ سوئیت، لایهٔ ارتباط و انتشار را پوشش می‌دهد. افزونهٔ اتصال وردپرس نسخهٔ ۱٫۶٫۴ با کلید اختصاصی هر سایت کار میکند و در صورت مشاهدهٔ رفتار مشکوک، توقف اضطراری در دسترس است.
ارتباط میان افزونه و پنل با امضای HMAC-SHA256 تأیید می‌شود و داده‌ها با رمزنگاری AES-256 جابه‌جا می‌شوند؛ یعنی دستورهای انتشار، جعل‌ناپذیر و محرمانه می‌مانند. جزئیات معماری در صفحهٔ امنیت ویژن‌پرایم سوئیت آمده است.
روی خط تولید محتوا هم ۳۰ گیت امنیتی در افزونهٔ اتصال، ۹۰۰+ تست خودکار و ۳۰ لایهٔ بازرسی اجرا می‌شود تا محتوای تأییدشده بدون پیوست بدخواه به سایت برسد. این لایه جایگزین فایروال شما نیست؛ حلقهٔ گم‌شدهٔ زنجیرهٔ انتشار است. عکس این ماجرا هم صادقانه بگوییم: امنیتِ ارتباط، جای اسکن بدافزار را نمی‌گیرد و هر دو لازم‌اند.
برای عملیات مداوم هم دو مسیر مکمل در سوئیت هست: خدمت‌های انسانی مأموریت رشد که امنیت و پشتیبانگیری را پوشش می‌دهند، و خط تولید محتوا که با ۳۰ گیت امنیتی در افزونهٔ اتصال و ۹۰۰+ تست خودکار، انتشار را کنترل‌شده نگه می‌دارد. در کیس ثبت‌شدهٔ سوئیت liuna، در بازهٔ اندازه‌گیری سه‌ماهه، ۲۸۶ صفحهٔ محصول از همین زنجیرهٔ کنترل‌شده عبور کرد و به صفحهٔ اول رسید؛ انتشار امن پیش‌شرط آن رشد بود، نه مانعش.
چک‌لیست راه‌اندازی در یک بعدازظهر
شش قدم، به همین ترتیب:
- پشتیبان کامل از فایل و دیتابیس، قبل از هر تغییری.
- نصب افزونهٔ منتخب و فعال‌سازی اسکن زمان‌بندی‌شدهٔ روزانه.
- فعال‌سازی 2FA برای همهٔ حساب‌های مدیر.
- محدودسازی تلاش ورود و قفل حساب پس از چند خطا.
- پشتیبان خودکار روزانه، ذخیره در فضای بیرون از سرور.
- تست بازیابی کامل روی سایت آزمایشی.
قدم ششم را حذف نکنید؛ پشتیبانی که بازیابی‌اش را تست نکرده‌اید، امید است نه ابزار. یک بار در هر فصل، بازیابی کامل را روی محیط آزمایشی اجرا کنید.
محدودیت این چک‌لیست را هم بگوییم: پایه است. سایت‌های با درگاه سفارشی، اپلیکیشن متصل یا چند سرور، تست نفوذ دوره‌ای جداگانه می‌خواهند و این چک‌لیست جانشین آن نمی‌شود.
زمان‌بندی پیشنهادی برای اجرا: پشتیبان و نصب، صبح پنجشنبه؛ اسکن و ورود دومرحله‌ای، همان روز بعدازظهر؛ تست بازیابی، جمعهٔ هفتهٔ بعد وقتی ذهن از نصب سرد شده است. فاصلهٔ عمدی میان نصب و تست، جلوی «تست نمایشی» را می‌گیرد؛ همان تستی که فقط برای گزارش انجام می‌شود و چیزی را ثابت نمی‌کند.
جمع‌بندی: تصمیم در پنج دقیقه
سه کار برای امروز: پروفایل سایت‌تان را از سه گزینهٔ بخش پروفایل‌ها انتخاب کنید؛ افزونهٔ متناظر را با چک‌لیست شش‌قدمی راه بیندازید؛ و یک بار بازیابی پشتیبان را تست کنید تا حادثهٔ بعدی، خبر بد نباشد. اگر امنیتِ زنجیرهٔ تولید و انتشار محتوا را هم می‌خواهید، از دموی پلتفرم شروع کنید و لایهٔ ارتباط امن را خودتان ببینید. نمونهٔ اجرای واقعی را در امکانات پلتفرم ویژن‌پرایم سوئیت دنبال کنید.
یک بازبینی فصلی را هم در تقویم بگذارید: نسخهٔ افزونه‌ها، سالم‌بودن حساب‌های مدیر و یک بازیابی کامل. امنیت وضعیت نیست؛ روالی است که با تقویم زنده می‌ماند.
رصد ما، رشد شما.
سؤالات پرتکرار
آیا یک افزونهٔ امنیتی کافی است یا چند تا لازم است؟
یک افزونهٔ کامل کافی است؛ نصب چند افزونهٔ امنیتی همزمان تداخل فایروال و هشدار کاذب میسازد. برای پشتیبانگیری، یک افزونهٔ مستقل بکاپ انتخاب منطقی است.
افزونهٔ امنیتی سرعت سایت را کم میکند؟
فایروالهای سمت میزبان سربار دارند؛ قبل و بعد از نصب را با PageSpeed Insights اندازه بگیرید. فایروال ابری بار را از سرور برمیدارد ولی تأخیر شبکه اضافه میکند.
پشتیبانگیری چه ربطی به افزونهٔ امنیتی دارد؟
بازیابی نهایی هر حادثه با پشتیبان سالم است؛ اسکن بدون بازیابی فقط خبر بد را زودتر می‌آورد. پشتیبان روزانهٔ خارج از سرور، ستون چهارم امنیت است.
برای فروشگاه ووکامرس کدام گزینه بهتر است؟
فایروال قویتر با 2FA اجباری برای نقشهای مدیریتی و پشتیبان روزانهٔ خارج از سرور؛ پرداخت را در درگاه نگه دارید و اطلاعات کارت را روی سرور ذخیره نکنید.
امضای HMAC-SHA256 در سوئیت چه میکند؟
تأیید میکند که دستورهای میان پنل و افزونهٔ اتصال از منبع اصلی آمده و در مسیر دستکاری نشدهاند؛ همراه رمزنگاری AES-256 و توقف اضطراری، لایهٔ امنیت انتشار را میسازد.