আপনার ওয়ার্ডপ্রেস অ্যাডমিন রক্ষা করুন: অপরিহার্য নিরাপত্তা কৌশল

ওয়ার্ডপ্রেস অ্যাডমিন সুরক্ষিত করুন: কি আপনি জানেন প্রতি মিনিটে ৯০,০০০টিরও বেশি হ্যাকের প্রচেষ্টা ওয়ার্ডপ্রেস ওয়েবসাইটে হয়? এর অর্থ হল আপনার সাইট বড় হোক বা ছোট, হ্যাকের আক্রমণ অপরিহার্য। নিরাপত্তা একটি ওয়েবসাইটের জন্য চূড়ান্ত চিন্তা।

হ্যাকাররা ওয়ার্ডপ্রেস সাইট হ্যাক করার জন্য বিভিন্ন কৌশল अपনায় এবং ব্রুট ফোর্স আক্রমণ তাকেই একটি। এতে ওয়েবসাইটের লগইন পেজে সাধারণভাবে ব্যবহৃত ইউজারনেম ও পাসওয়ার্ডের সমন্বয় চেষ্টা করা হয়।

সফল ব্রুট ফোর্স আক্রমণ আপনাকে ওয়ার্ডপ্রেস অ্যাডমিনে অ্যাক্সেস দেয়। ওয়ার্ডপ্রেস অ্যাডমিন এলাকা একটি ওয়ার্ডপ্রেস-চালিত ওয়েবসাইটের প্রশাসনিক কেন্দ্র। যাউকে অ্যাডমিনে পূর্ণ অ্যাক্সেস থাকে, সে সাইটে পূর্ণ নিয়ন্ত্রণ পায়। তাই ব্রুট ফোর্স আক্রমণ থেকে আপনার ওয়ার্ডপ্রেস অ্যাডমিন রক্ষা করা অত্যন্ত গুরুত্বপূর্ণ।

ওয়ার্ডপ্রেস অ্যাডমিন কীভাবে সুরক্ষিত করবেন?

আমরা বেশ কিছু কৌশল নিয়ে এসেছি যা আপনার সাইটের ওয়ার্ডপ্রেস অ্যাডমিনকে হ্যাকের আক্রমণ থেকে রক্ষা করবে।

১. শক্তিশালী পাসওয়ার্ড ব্যবহার করুন

ওয়েবসাইট মালিকরা যা সবচেয়ে সাধারণ ভুল করে সেটি হল দুর্বল পাসওয়ার্ড ব্যবহার। বছরে বছর পাসওয়ার্ড ক্র্যাক করার কৌশল পরিণত হয়েছে। অনুমানযোগ্য পাসওয়ার্ড মিনিটের মধ্যে ক্র্যাক হয়ে যায়। শক্তিশালী পাসওয়ার্ড আপনার সাইটকে ধुरান্দার পাসওয়ার্ড ক্র্যাকিং কৌশল থেকে রক্ষা করে। আপনার ওয়ার্ডপ্রেস সাইটের জন্য খুব শক্তিশালী পাসওয়ার্ড কীভাবে তৈরি করবেন সে নিয়ে একটি চমৎকার আর্টিকেল আছে।

তবে শক্তিশালী পাসওয়ার্ড মনে রাখতে সমস্যা হতে পারে। এই পোস্টে বলা হয়েছে কীভাবে শক্তিশালী ওয়ার্ডপ্রেস পাসওয়ার্ড পরিচালনা করবেন।

এক আরো সাধারণ ভুল হল একই পাসওয়ার্ড একাধিক সাইটে ব্যবহার করা। একটি পাসওয়ার্ড কমপ্রোমাইজ হলে সেই পাসওয়ার্ডের সাথে যুক্ত সকল অ্যাকাউন্ট কমপ্রোমাইজ হয়ে যায়। তাই বিভিন্ন অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করলে এই পরিস্থিতি এড়ানো যায়।

২. সাধারণ ইউজারনেম এড়িয়ে চলুন

ওয়ার্ডপ্রেস পাসওয়ার্ড সুরক্ষিত করা লগইন শংসাপত্র সুরক্ষিত করার দিকেই একটি গুরুত্বপূর্ণ ধাপ। লগইন শংসাপত্রের দ্বিতীয় অংশ হল ইউজারনেম। যদি আপনার ইউজারনেম অনুমান করা সহজ হয়, তবে হ্যাকারকে শুধু পাসওয়ার্ডের ওপর ফোকাস করতে হবে।

সর্বাধিক সাধারণ ওয়ার্ডপ্রেস ইউজারনেম হল "admin"। কিছু বছর আগে ওয়ার্ডপ্রেস "admin" কে ইউজারনেম হিসেবে সুপারিশ করত। যদিও ওয়ার্ডপ্রেস আর "admin" সুপারিশ করে না, অনেক সাইট মালিক এখনও এটি ব্যবহার করছেন। "admin" ইউজারনেমে নতুন ইউজার অ্যাকাউন্ট তৈরি হচ্ছে। এই সকল সাইট নিজেদের সহজ লক্ষ্য বানায়।

যেহেতু ওয়ার্ডপ্রেস অনন্য ইউজারনেম বাধ্যতামূলক করে না, তাই আপনাকে নিশ্চিত করতে হবে আপনার কোনো ব্যবহারকারী সাধারণ ইউজারনেম ব্যবহার করছে না এবং "admin" দিয়ে নতুন অ্যাকাউন্ট তৈরি হচ্ছে না। সাধারণত ব্যবহৃত ইউজারনেমের এই সম্পূর্ণ তালিকা দেখুন যাতে জানতে পারেন কোন ইউজারনেমগুলো এড়িয়ে চলতে হবে।

৩. আপনার ওয়ার্ডপ্রেস লগইন পেজ লুকান

ওয়ার্ডপ্রেস ওয়েবসাইট একটি पूर्वনির্ধারিত পদ্ধতিতে কাজ করে। উদাহরণস্বরূপ, সব ওয়ার্ডপ্রেস ওয়েবসাইটে একটি ডিফল্ট লগইন পেজ থাকে যা দেখতে প্রায় এইরকম: “www.anysite.com/wp-admin”। এতে হ্যাকারদের কাজ সহজ হয় কারণ তারা একসাথে অনেক টার্গেট করা ওয়ার্ডপ্রেস সাইটে স্বয়ংক্রিয় আক্রমণ চালু করতে পারে। কিন্তু আপনি লগইন পেজ পরিবর্তন করে লুকিয়ে দিলে, আপনার সাইটে এমন ধরণের আক্রমণ রোধ করা সম্ভব।

লগইন পেজ পরিবর্তন করার জন্য অনেক প্লাগইন আছে যা প্লাগইন দ্বারা সুপারিশ করা URL ব্যবহার করতে বলে। সম্ভবত একই প্লাগইন ব্যবহারকারী অন্যান্য ওয়েবসাইটও একই URL ব্যবহার করছে। এবং যদি হ্যাকাররা URL ফরম্যাট জানে, তবে আপনার লগইন পেজ লুকানো ব্যর্থ হবে। তাই এমন টুল ব্যবহার করুন যা আপনাকে নিজস্ব কাস্টম লগইন পেজ URL তৈরি করতে দেয়।

৪. HTTP অথেন্টিকেশন বাস্তবায়ন করুন

ওয়ার্ডপ্রেস অ্যাডমিন সুরক্ষিত করতে আপনি সম্পূর্ণ wp-admin ফোল্ডারকে পাসওয়ার্ড-প্রোটেক্ট করতে পারেন। wp-admin ফোল্ডারে প্রশাসনিক ফাইল থাকে যা ওয়ার্ডপ্রেস ড্যাশবোর্ড চালায়। যাকে এই ফোল্ডারে অ্যাক্সেস থাকে, সে পুরো সাইট নিয়ন্ত্রণ করতে পারে। আপনি যদি পুরো ফোল্ডারকে পাসওয়ার্ড দিয়ে রক্ষা করেন, তবে কেউ যখন অ্যাডমিন সেকশনের জন্য অনুরোধ করবে, সার্ভার একটি অথেন্টিকেশন প্রক্রিয়া শুরু করবে। ব্রাউজার ব্যবহারকারী থেকে HTTP অথেন্টিকেশন পাসওয়ার্ড চাইবে। ওয়ার্ডপ্রেস অ্যাডমিনে HTTP অথেন্টিকেশন বাস্তবায়ন করার জন্য অনেক টুল আছে যেমন HTTP Auth, AskApache Password Protect ইত্যাদি।

৫. গুগল অথেনটিকেটর ব্যবহার করুন

ওয়েবসাইট হ্যাক করার কৌশল দিনে দিনে জটিল হচ্ছে, তাই শক্তিশালী ব্যবহারকারী শংসাপত্রের পাশাপাশি লগইন সুরক্ষার আরেকটি লেয়ার যোগ করা সাধারণ। এই কৌশলকে টু-ফ্যাক্টর অথেন্টিকেশন (২FA) বলা হয়। এই পদ্ধতিতে আপনার স্মার্টফোনে শুধু আপনি পাওয়া একটি কোড পাঠানো হয়। আপনার ওয়ার্ডপ্রেস ড্যাশবোর্ডে অ্যাক্সেস পাওয়ার আগে আপনাকে সাইটে সেটি অনন্য কোড দিতে হয়। এই পদ্ধতির সুবিধা হল হ্যাকাররা আপনার শংসাপত্র ক্র্যাক করলেও, আপনার ডিভাইসে পাঠানো কোড ছাড়া অ্যাক্সেস পাবে না।

২-ফ্যাক্টর অথেন্টিকেশনের জন্য অনেক ওয়ার্ডপ্রেস প্লাগইন আছে। আমরা মিনি ওরেঞ্জ ব্যবহার করে আমাদের সাইটে ২FA সক্রিয় করেছি এবং সে নিয়ে একটি গাইড লিখেছি।

৬. ব্যর্থ লগইন প্রচেষ্টার সংখ্যা সীমাবদ্ধ করুন

ব্রুট ফোর্স আক্রমণের শিকার ওয়েবসাইটে শতশত ব্যর্থ লগইন প্রচেষ্টা হয়। আপনার ওয়ার্ডপ্রেস অ্যাডমিনে এই নিরংতর আক্রমণ রোধ করতে আপনি ব্যর্থ লগইন প্রচেষ্টার সংখ্যা সীমাবদ্ধ করতে পারেন। ম্যালকেয়ার সিকিউরিটি প্লাগইন ৩ বার ব্যর্থ লগইন প্রচেষ্টার পর ব্যবহারকারীকে লগইন করার চেষ্টা থেকে বাধা দেয়। তাদের ওয়ার্ডপ্রেস লগইন পেজে আবার অ্যাক্সেস পাওয়ার আগে একটি ক্যাপচা সমাধান করতে হয়। এতে বোঝা যায় ব্যবহারকারী মানব কিনা অথবা স্বয়ংক্রিয় বট যা সাইটে ব্রুট ফোর্স আক্রমণ চালাতে চায়।

৭. SSL সার্টিফিকেট ইনস্টল করুন

আমাদের ওয়েবসাইটের URL দেখুন! কি আপনি "Secure" শব্দের পাশে সবুজ লক দেখতে পাচ্ছেন? আমাদের সাইটে SSL সার্টিফিকেট ইনস্টল করা আছে যার মানে কেউ আমাদের ব্যবহারকারীদের লগইন শংসাপত্র চুরি করতে বা তাকিয়ে দেখতে পারবে না। SSL সার্টিফিকেট ছাড়া ওয়েবসাইট অনিচ্ছাক্রমে সাইটের সংবেদনশীল তথ্য প্রকাশ করার খতরায় থাকে।

পুরনো দিনে SSL সার্টিফিকেট বা পেমেন্ট পেজের জন্য হতো বা ওয়ার্ডপ্রেস অ্যাডমিন এলাকার জন্য। কিন্তু এখন SSL সার্টিফিকেট আপনার পুরো সাইট সুরক্ষিত করতে পারে। ওয়েবকে আরও নিরাপদ বানানোর উদ্দেশ্যে গুগল স্পষ্টভাবে ঘোষণা করেছে যে SSL সার্টিফিকেট একটি র‍্যাঙ্কিং ফ্যাক্টর। আপনি কোমোডো, লেটস এনক্রিপ্টের মতো প্রদানকারীদের থেকে SSL সার্টিফিকেট পেতে পারেন এবং আপনার ওয়েব হোস্ট সেটি আপনার সাইটে সেট আপ করতে সাহায্য করবে।

৮. দূষিত IP ঠিকানা ব্ল্যাকলিস্ট করুন

ইন্টারনেট ব্যবহারকারী সবার একটি IP ঠিকানা থাকে। আপনার ওয়ার্ডপ্রেস ওয়েবসাইটে আক্রমণ চালানোর হ্যাকারদেরও IP ঠিকানা থাকে। আপনি যদি এই IP ঠিকানাগুলোর রেকর্ড রাখেন, তবে সেগুলো আপনার সাইটে অ্যাক্সেস থেকে ব্লক করতে পারেন। ম্যালকেয়ার — সেরা ওয়ার্ডপ্রেস সিকিউরিটি প্লাগইনগুলোর একটি — সাইটে করা ব্যর্থ লগইন প্রচেষ্টার বিস্তারিত (IP ঠিকানা) দেয়। আপনি যদি দেখেন একই IP থেকে নিয়মিত প্রচুর ব্যর্থ প্রচেষ্টা হচ্ছে, তবে আপনার .htaccess ফাইলে নিচের কোড যোগ করে সন্দেহজনক IP গুলো ব্লক করতে পারেন:

order allow,deny deny from 192.168.20.10 allow from all

"192.168.20.10" হলো আমাদের একটি সাইটে ব্লক করতে চাইয়েছিলাম। আপনি আপনার ব্লক করতে চাইয়ে IP দিয়ে প্রতিস্থাপন করতে পারেন।

৯. সিকিউরিটি কী পরিবর্তন করুন

আপনার সাইটে লগইন করার জন্য প্রতিবার লগইন শংসাপত্র দিতে হয় না। কখনো ভাবেছেন ব্রাউজার কীভাবে এই শংসাপত্র সংরক্ষণ করে? আপনার অ্যাকাউন্টে সাইন ইন করার পর, আপনার লগইন তথ্য ব্রাউজার কুকিতে এনক্রিপ্টেড ফর্মে সংরক্ষিত হয়। সিকিউরিটি কী যেন র‍্যান্ডম ভেরিয়েবল যা এই এনক্রিপশন উন্নত করে। আপনার সাইট হ্যাক হলে, সিক্রেট কী পরিবর্তন করলে কুকি অবৈধ হয়ে যায় এবং সব সক্রিয় ব্যবহারকারী স্বয়ংক্রিয়ভাবে লগ আউট হয়ে যায়। একবার বের হলে, হ্যাকার আপনার ওয়ার্ডপ্রেস অ্যাডমিনে অ্যাক্সেস হারিয়ে ফেলে।

আপনার পালা

ওয়ার্ডপ্রেস অ্যাডমিন সুরক্ষিত করার একমাত্র উপায় নেই, তাই একাধিক পদ্ধতি ব্যবহার করতে হবে। আমরা আপনাকে ওয়ার্ডপ্রেস অ্যাডমিন সুরক্ষিত করার সবচেয়ে সুপারিশকৃত উপায়গুলো শেয়ার করেছি। কিন্তু এই পদ্ধতিগুলো বাস্তবায়ন করার আগে আপনাকে অবশ্যই সাইটের ব্যাকআপ নিতে হবে। যদি কিছু ভুল হয়, তবে আপনি সহজে ব্যাকআপ রিস্টোর করে সাইটকে চলে আনতে পারবেন।

এছাড়া আপনি আরও কিছু নিরাপত্তা ব্যবস্থা নিতে পারেন — IP ব্লকিং, লগইন পেজ রক্ষা, wp-config.php দিয়ে সাইট সুরক্ষা, ওয়ার্ডপ্রেস নিরাপত্তার এই সম্পূর্ণ গাইড অনুসরণ, এবং ম্যালকেয়ারের মতো একটি ওয়ার্ডপ্রেস সিকিউরিটি প্লাগইন ইনস্টল করে।

ম্যালকেয়ার আপনাকে উপরে উল্লেখিত কিছু ব্যবস্থা বাস্তবায়ন করতে সাহায্য করবে। উদাহরণস্বরূপ, ম্যালকেয়ার সিকিউরিটি প্লাগইন আপনাকে সিকিউরিটি কী পরিবর্তন, ব্যর্থ লগইন প্রচেষ্টা সীমাবদ্ধ, ওয়েবসাইট আপডেট রাখা, ইত্যাদি বিষয়ে সাহায্য করবে।

এখনই ম্যালকেয়ার সিকিউরিটি প্লাগইন ব্যবহার করুন!