WordPress ফাইল ও ডিরেক্টরি .htaccess দিয়ে সুরক্ষিত করুন: ধাপে ধাপে গাইড

.htaccess ফাইলটি একটি সার্ভার কনফিগারেশন ফাইল যা অনেক ওয়েব সার্ভার সাপোর্ট করে, যার মধ্যে সবচেয়ে জনপ্রিয় Apache ওয়েব সার্ভার সফটওয়্যার। এই সাধারণ সাধারন ফাইলটি কার্যকারিতার সাথে সম্পূর্ণ, যা সঠিকভাবে ব্যবহার করলে আপনার ওয়েব সার্ভার কীভাবে অনুরোধ প্রক্রিয়া করবে তা কার্যকরভাবে সংজ্ঞায়িত করতে পারে। .htaccess ফাইল ব্যবহার করে WordPress ফাইল এবং ডিরেক্টরিতে অ্যাক্সেস সীমাবদ্ধ করার উপায় শিখুন।

ওয়েব সার্ভার কীভাবে অনুরোধ প্রক্রিয়া করবে তা সংজ্ঞায়িত করার পাশাপাশি, এটি হ্যাকারদের অনধিকারप्रবেশ থেকে আপনার WordPress ফাইলগুলো রক্ষা করার জন্যও খুব উপকারী। এই আর্টিকেলে, আমরা .htaccess ব্যবহার করে আপনার WordPress ফাইল ও ডিরেক্টরি রক্ষার বিভিন্ন উপায় নিয়ে আলোচনা করব।

১. .htaccess দিয়ে WordPress ফাইল ও ডিরেক্টরি কীভাবে রক্ষা করবেন?

আপনার WordPress ফাইলগুলো লুকানো চোখ থেকে বাঁচাতে আপনি যে কিছু সহজ কৌশল अपना পারেন তা আলোচনা করা যাক। Click To Tweet

অন্যান্য ফাইলগুলো রক্ষা করার আগে, আমরা প্রথমে .htaccess ফাইলটিই রক্ষা করব। কিন্তু যেমন আমরা সবসময় বলি, যেকোনো পরিবর্তন আনতে হলে (হয় সেটি বড় হোক বা ছোট) সর্বদা আপনার সাইটের ব্যাকআপ নিন এবং এই ক্ষেত্রে আপনার লোকাল সিস্টেমে .htaccess ফাইলটির কয়েকটি কপি সংরক্ষণ করুন। এটি অকস্মাত ফাইলটির সাথে গোলমাল করলে যেকোনো ক্ষতি থামাতে সাহায্য করবে।

i. .htaccess ফাইল রক্ষা করা

.htaccess ফাইলটি সহজেই ওয়েব রুট ফোল্ডার public_html-এ পাওয়া যায়। এই ফাইলটি অ্যাক্সেস করার দুটি উপায় আছে – FTP (যেমন FileZilla) ব্যবহার করে অথবা আপনার WordPress হোস্টিং একাউন্টের ফাইল ম্যানেজার ব্যবহার করে। এই আর্টিকেলে আমরা ফাইল ম্যানেজার ব্যবহার করে ফাইলটি অ্যাক্সেস করব এবং কীভাবে এটি সুরক্ষিত করবেন তা দেখাব।

ধাপ ১: আপনার ইউজারনেম এবং পাসওয়ার্ড ব্যবহার করে ওয়েব হোস্টিং একাউন্টে লগ ইন করুন। আপনার হোস্টিং একাউন্টের শংসাপত্র নিয়ে অনিশ্চিত থাকলে, আমাদের গাইড দেখুন।

ধাপ ২: ফাইল ম্যানেজার-এ ক্লিক করুন।

ধাপ ৩: এরপর public_html ফোল্ডারে ক্লিক করুন।

ধাপ ৪: ভিতরে আপনি .htaccess ফাইলটি দেখবেন। সেটিতে রাইট-ক্লিক করুন এবং এডিট অপশনটি বেছে নিন।

ফাইলটি এক্সেস করার পর, নিচের কোড স্নিপেটটি সেখানে রাখুন।

# .htaccess-এ অ্যাক্সেস নিষিদ্ধ
<Files .htaccess>
Order allow,deny
Deny from all
</Files>

এটি ব্যবহারকারীদের আপনার .htaccess ফাইলটি অ্যাক্সেস করতে বাধা দেবে। সহজ, তো?

এখন .htaccess ফাইলটি সুরক্ষিত হয়ে গেলে, অপর ফাইলগুলো রক্ষার দিকে যেতে পারি। চলুন wp-admin ফোল্ডার সুরক্ষিত করার কাজ শুরু করি।

ii. .htaccess দিয়ে wp-admin ফোল্ডারে অ্যাক্সেস সীমাবদ্ধ করা

wp-admin ফোল্ডারটি এমন ফাইলগুলো ধারণ করে যা মিলে অ্যাডমিন টুলসকে চালায়। এই ফোল্ডারের অধীনে admin.php ফাইলটি নিচের কাজগুলো করে:

• ডাটাবেসের সাথে সংযোগ সক্ষম করে
• WordPress ড্যাশবোর্ড প্রদর্শন করে
• আপনার সাইটের লগইন পেজ নিয়ন্ত্রণ করে

আপনি দেখতে পাচ্ছেন, wp-admin ডিরেক্টরি খুব গুরুত্বপূর্ণ এবং অনধিকারপ্রবেশ থেকে এটি রক্ষা করতে যত্ন নিতে হবে। কারণ অ্যাডমিন প্যানেলে অ্যাক্সেস পেলে হ্যাকার আপনার ওয়েবসাইটে أذিত করতে পারে। .htaccess ফাইল ব্যবহার করে WordPress অ্যাডমিন ফোল্ডারে ব্যবহারকারী অ্যাক্সেস সীমাবদ্ধ করুন। আপনার পছন্দসই নির্দিষ্ট IP ঠিকানাগুলোর মাত্র অ্যাক্সেস দিন। এটি করতে হলে আপনাকে একটি পৃথক .htaccess ফাইল তৈরি করতে হবে নির্দিষ্ট কোডের সাথে (নিচের নীল বাক্সে প্রদত্ত কোড) এবং সেটি আপনার wp-admin ফোল্ডারে আপলোড করতে হবে।

নতুন .htaccess ফাইল তৈরি করতে, আপনার ডিফল্ট টেক্সট এডিটরে একটি নতুন ফাইল খুলুন এবং সেটিকে .htaccess নামে সেভ করুন। .htaccess.txt বা .htaccess.doc বা অন্য কোনো এক্সটেনশন নয়। শুধু সাদা .htaccess। এরপর নিচের কোডটি সেখানে পেস্ট করুন।

# IP দ্বারা লগইন এবং অ্যাডমিন সীমাবদ্ধ
<Limit GET POST PUT>
order deny,allow
deny from all
allow from 12.34.56.78
</Limit>

নতুন তৈরি .htaccess ফাইলটি wp-admin ফোল্ডারে আপলোড করতে, আপনার ওয়েব হোস্ট একাউন্টে লগ ইন করুন এবং নিচের মতো ফাইল ম্যানেজার খুলুন।

ফাইল ম্যানেজারে ক্লিক করলে আপনার সাইটের সকল ফাইল ও ফোল্ডার দেখাবে। এরপর public_html ফোল্ডারে ক্লিক করুন।

wp-admin ফোল্ডারে ক্লিক করুন।

এরপর আগের মতো আপলোড বাটনে ক্লিক করুন।

আপনার লোকাল সিস্টেমে তৈরি করা .htaccess ফাইলটি সিলেক্ট করুন এবং খুলবে উইন্ডোতে আপলোড করুন।

নতুন .htaccess ফাইলটি আপলোড হলে কাজ শেষ! এই নতুন সিকিউরিটি ব্যবস্থা আপনার দ্বারা স্পষ্টভাবে অনুমতি দেওয়া ব্যবহারকারীদের বাদে অন্যদের অ্যাডমিন প্যানেল অ্যাক্সেস করতে বাধা দেবে।

লক্ষ্য করুন এটি শুধু wp-admin-এ অ্যাক্সেস সীমাবদ্ধ করবে, পুরো WordPress সাইটে অ্যাক্সেস নিষিদ্ধ করবে না। রেজিস্টার্ড ব্যবহারকারীরা এখনও wp-admin অ্যাক্সেস করতে পারবে তবে ব্যবহারকারীর ভূমিকা দ্বারা সেটিও সীমাবদ্ধ করা যাবে। নির্দিষ্ট ব্যবহারকারীদের অনুমতি সীমাবদ্ধ করে না প্রতিটি রেজিস্টার্ড ব্যবহারকারী ফোল্ডারটি অ্যাক্সেস করতে পারবে।

iii. wp-config.php-এ অনধিকারপ্রবেশ বাধা দেওয়া

wp-config ফাইলটি WordPress-এর বেস কনফিগারেশন হ্যান্ডেল করে এবং আপনার WordPress ইনস্টলেশন সম্পর্কে সংবেদনশীল তথ্য ধারণ করে যেমন MySQL সেটিংস, সিক্রেট কি, WordPress ডাটাবেস সংযোগের বিবরণ ইত্যাদি। এই ফাইলে থাকা ডাটার গুরুত্ব বিবেচনা করে, এটি লুকানো চোখ থেকে রক্ষা করতে সর্বোচ্চ যত্ন নেওয়া উচিত।

.htaccess ফাইল এই অত্যন্ত গুরুত্বপূর্ণ ফাইলকে ওয়েব ব্যবহারকারীরা অ্যাক্সেস করতে বাধা দিতে সহায়তা করতে পারে। এটি করতে হলে নিচের কোডটি আপনার .htaccess ফাইলে কপি করুন।

‘.htaccess ফাইল রক্ষা করা’ বিভাগে বর্ণিত পথে ফাইল ম্যানেজার থেকে আপনার .htaccess ফাইলটি অ্যাক্সেস করুন এবং নিচের কোডটি যোগ করুন।

<files wp-config.php>
order allow,deny
deny from all
</files>

উপরের কোডটি যোগ করলে wp-config.php-এ অনধিকারপ্রবেশ বাধা দেওয়া হবে।

iv. wp-content/uploads-এ অ্যাক্সেস বাধা দেওয়া এবং PHP এক্সিকিউশন নিষ্ক্রিয় করা

অনেক সময় হ্যাকাররা আপনার সাইটে ফাইল অ্যাক্সেস করার পিছনের দরজা (backdoor) ছেড়ে দেয় যাতে হ্যাক খুঁজে বের হয়ে যাওয়া ও সমাধান হওয়া সত্ত্বেও ভবিষ্যতে সহজে সাইটে প্রবেশ করতে পারে। এই backdoor ফাইলগুলো প্রায়শই wp-includes বা wp-content/uploads/ ডিরেক্টরিতে WordPress ফাইল হিসেবে চাদমারি করে থাকে। এবং এগুলো প্রায়শই .php ফাইল। আপনার WordPress ফাইল ও ফোল্ডার ভালোভাবে সুরক্ষিত করতে, এই ধরনের ফাইলগুলো এক্সিকিউট হতে বাধা দিতে হবে। এটি .htaccess দিয়ে PHP এক্সিকিউশন নিষ্ক্রিয় করে করা যাবে।

আমাদের সহজ নির্দেশনা মেনে .htaccess দিয়ে PHP এক্সিকিউশন নিষ্ক্রিয় করা খুব সহজ।

প্রথমে আপনার টেক্সট এডিটরে একটি নতুন .htaccess ফাইল তৈরি করুন এবং নিচের কোডটি যোগ করুন।

<Files *.php>
deny from all
</Files>

পরবর্তী ধাপ হিসেবে, আপনার ওয়েব হোস্টিং একাউন্টে লগ ইন করুন এবং ফাইল ম্যানেজার খুলুন। এখানে আপনি content এবং upload ফোল্ডার পাবেন। wp-content/uploads/ ফোল্ডারটি খুঁজুন।

আপলোড বাটনে ক্লিক করুন এবং নতুন তৈরি .htaccess ফাইলটি আপলোড করুন।

আপলোড বাটনে ক্লিক করলে একটি নতুন উইন্ডো খুলবে যা আপনাকে লোকাল সিস্টেম থেকে .htaccess ফাইলটি সিলেক্ট করতে দেবে।

wp-content/uploads/ ফোল্ডারে .htaccess ফাইলটি আপলোড করার পর, এটিকে wp-includes ফোল্ডারেও যোগ করতে হবে।

wp-content/uploads/ ফোল্ডারের মতোই, ফাইল ম্যানেজার খুলে আপনার সাইটের হোম ডিরেক্টরি থেকে wp-includes ফোল্ডারটি অ্যাক্সেস করুন।

wp-includes ফোল্ডারে ক্লিক করুন এবং আপলোড বাটনে ক্লিক করুন।

আপলোড বাটনে ক্লিক করলে আপনি আপনার লোকাল সিস্টেম থেকে ফাইল সিলেক্ট করতে পারবেন। অএখন তৈরি করা .htaccess ফাইলটি সিলেক্ট করুন এবং আপলোড করুন।

এই দুটি অত্যন্ত গুরুত্বপূর্ণ ফোল্ডারে .htaccess যোগ হলে, আপনি সফলভাবে এই ফোল্ডারগুলোতে যেকোনো PHP এক্সিকিউশন নিষ্ক্রিয় করেছেন।

v. htaccess দিয়ে WordPress-এ ডিরেক্টরি ব্রাউজিং নিষ্ক্রিয় করা

ডিরেক্টরি ব্রাউজিং হলো একটি ফিচার যেখানে একটি ওয়েবসাইট অ্যাক্সেস করার সময় ওয়েব পেজের বদলে ফাইল ও ফোল্ডারের তালিকা দেখায়। উদাহরণস্বরূপ, আপনার ওয়েবসাইটে private নামে একটি ডিরেক্টরি আছে (উদাহরণ স্বরূপ), যেমন www.example.com। যদি এই নির্দিষ্ট ডিরেক্টরিতে ডিরেক্টরি ব্রাউজিং নিষ্ক্রিয় না করা থাকে, তবে কেউ www.example.com/private/ টাইপ করলে সে private ডিরেক্টরির অধীনে থাকা সকল ফাইল ও ফোল্ডার দেখতে পাবে।

এটি আপনার সাইটের জন্য ধ্বংসাত্মক হতে পারে কারণ এটি চক্রী হ্যাকারের জন্য তথ্যের ভাণ্ডার বানাতে পারে। যারা তখন আপনার সাইটের ফাইল হায়ারার্কি সম্পর্কে জ্ঞান অর্জন করে আপনার সাইটে আক্রমণ পরিকল্পনা করতে পারে। WordPress-এ htaccess দিয়ে ডিরেক্টরি ব্রাউজিং নিষ্ক্রিয় করলে আপনি আপনার ওয়েবসাইটের অ্যাক্সেস লেভেল সীমাবদ্ধ করবেন।

নির্দিষ্ট ডিরেক্টরির জন্য ডিরেক্টরি ব্রাউজিং নিষ্ক্রিয় করতে, আপনার টেক্সট এডিটরে একটি .htaccess ফাইল তৈরি করুন এবং সেটিকে .htaccess নামে সেভ করুন (কোনো অতিরিক্ত এক্সটেনশন ছাড়া)। এরপর নিচের কোডটি যোগ করুন এবং আপনার WordPress ফাইলগুলোর অ্যাক্সেস সীমাবদ্ধ করুন।

# ডিরেক্টরি ব্রাউজিং নিষ্ক্রিয়
Options All -Indexes

কোডটি যোগ করার পর, এই নতুন তৈরি .htaccess ফাইলটি সেই ডিরেক্টরিতে আপলোড করুন যেটির জন্য আপনি এই ফিচারটি নিষ্ক্রিয় করতে চান। উদাহরণস্বরূপ, wp-includes ফোল্ডারের জন্য ডিরেক্টরি ব্রাউজিং নিষ্ক্রিয় করতে চাইলে, আগের মতো ফাইল ম্যানেজার দিয়ে এই .htaccess ফাইলটি wp-includes ফোল্ডারে আপলোড করুন।

vi. নির্দিষ্ট IP ঠিকানা থেকে সাইট অ্যাক্সেস বাধা দেওয়া

আপনি লক্ষ্য করেছেন होंगे নির্দিষ্ট IP ঠিকানা থেকে কিছু ব্যবহারকারী বারবার স্প্যামিং, হ্যাক করার চেষ্টা বা আপনার WordPress সাইটে অনধিকারপ্রবেশ চেষ্টা করছে। .htaccess ফাইল ব্যবহার করে তার IP ঠিকানাকে আপনার সাইটে যেকোনোভাবে অ্যাক্সেস করতে বাধা দিয়ে অনুপস্থিত WordPress ব্যবহারকারী অ্যাক্সেস সম্পূর্ণরূপে থামাতে পারেন। এটি করতে নিচের কোডটি আপনার .htaccess ফাইলে কপি করুন।

<Limit GET POST>
order allow,deny
deny from 123.456.78.9
allow from all
</Limit>

উপরের কোডে থাকা IP ঠিকানাটি শুধু একটি ডামি। আপনি ব্লক করতে চান সেই IP ঠিকানাগুলোর সাথে এই মানগুলো প্রতিস্থাপন করুন। একের বদলে একাধিক থাকলে, প্রতিটি আলাদা লাইনে নিচের রূপে যোগ করুন:

deny from 213.546.87.9

পুরো IP ঠিকানার বদলে IP ঠিকানার একটি ব্লক বাধা দেওয়া চাইলে, শেষ অক্টেটটি বাদ দিয়ে নিচের মতো লিখুন।

deny from 213.546.87

এটি 213.546.87.0 থেকে 213.546.87.255 পর্যন্ত সকল IP ঠিকানাকে বাধা দেবে।

যদি ভুলে আপনার ওয়েবসাইট অ্যাডমিন বা টিম মেম্বারের IP ঠিকানা ব্লক হয়ে যায়, তাহলে IP ঠিকানা হোয়াইটলিস্ট করার গাইড দেখুন।

vii. নির্দিষ্ট ডোমেইন থেকে আপনার সাইট অ্যাক্সেস বাধা দেওয়া

আপনি সবসময় স্প্যাম করার নির্দিষ্ট IP ঠিকানাগুলো জানতে পারবেন না। কিন্তু আপনি জানতে পারেন যে এই আক্রমণগুলো নির্দিষ্ট দুর্ভাবনামূলক ডোমেইনগুলোর লিংক থেকে আসছে। .htaccess আপনাকে এমন ক্ষতিকর সাইটগুলোর লিংক থেকে আপনার সাইটে প্রবেশ করার চেষ্টা করলে যেকোনো ভিজিটরকে বাধা দিতে সক্ষম করে।

একটি ডোমেইন নেম ব্লক করতে, নিচের কোডটি আপনার .htaccess ফাইলে যোগ করুন।

SetEnvIfNoCase Referer "badsite.com" bad_referer
Order Allow,Deny
Allow from ALL
Deny from env=bad_referer

উপরের কোডে ‘badsite’-কে আপনি ব্লক করতে চান সেই ডোমেইনটির সাথে প্রতিস্থাপন করুন। এটি করলে, আপনি যে ডোমেইনটি ব্লক করেছেন সেটি থেকে লিংক ফলো করে আপনার সাইটে প্রবেশ করার চেষ্টা করলে ব্যবহারকারীকে এরর মেসেজ দেখাবে এবং সে আপনার সাইটে প্রবেশ করতে পারবে না।

২. একটি বিকল্প সমাধান

উপরের সব সমাধান WordPress-এ ফাইল ও ডিরেক্টরির অ্যাক্সেস সীমাবদ্ধ করতে কার্যকর হলেও, এটি আপনার ওয়েবসাইটের জন্য বড় ঝুঁকি সৃষ্টি করে তা অস্বীকার করা যাবে না। কেন? কারণ আপনি একটি অত্যন্ত গুরুত্বপূর্ণ কনফিগারেশন ফাইলের সাথে খেলছেন। একটা বিন্দুর ভুলও আপনার সাইটের কার্যকারিতা ভঙ্গ করতে পারে! ভয়াবহ, তো?

তাই আপনি যদি এক্সপার্ট না হন, তবে WordPress সিকিউরিটি প্লাগইন ব্যবহার করা ভালো কারণ এটি আপনার ওয়েবসাইট হার্ডেন করতে সাহায্য করবে। MalCare নামক একটি WordPress প্লাগইন আপনার সাইটের সিকিউরিটি দিকগুলো দখল করতে পারে। নির্দিষ্ট IP ঠিকানা ব্ল্যাকলিস্ট করা, ওয়েবসাইট হার্ডেনিং ব্যবস্থা বাস্তবায়ন করা, লগইন পেজ রক্ষা করা, ম্যালওয়ার স্ক্যান করা, বা এতে moitos গুরুত্বপূর্ণ সিকিউরিটি ব্যবস্থা – MalCare সবকিছু করে!

সম্পূর্ণ ওয়েবসাইট সিকিউরিটি সমাধানের জন্য,

MalCare বিনামূল্যে চেষ্টা করুন!