كيفية تأمين WordPress الموقع مع قواعد جدار حماية Cloudflare

إذا كنت مشرف موقع تقوم بتشغيل مدونة أو موقع ويب على WordPress، من المحتمل أن يكون أمان الويب أحد أهم أولوياتك. طالما أن المجال الخاص بك ممكّن لـ Cloudflare ، يمكنك ذلك تضيف WordPress-قواعد جدار حماية Cloudflare محددة لتحسين أمان موقعك وحتى منع الهجمات قبل وقت طويل من وصولها إلى الخادم الخاص بك.

إذا كنت تستخدم خطة Cloudflare المجانية ، فلديك القدرة على إضافة 5 قواعد (تمنحك الخطة الاحترافية 20). 

تجعل Cloudflare إنشاء قواعد جدار الحماية أمرًا سهلاً وسريعًا ، وتوفر كل قاعدة مرونة رائعة: لا يمكنك فقط فعل الكثير مع كل قاعدة ، ولكن غالبًا ما يمكن توحيد القواعد ، مما يوفر لك مساحة للقيام بالمزيد.

في هذه المقالة ، سألقي نظرة متعمقة على بعض قواعد جدار الحماية المختلفة التي يمكنك تطبيقها لاستكمال وتحسين WordPress ميزات الأمان الموجودة في الموقع.

ملخص: كيف تحمي ملفات WordPress موقع إلكتروني مزود بجدار حماية Cloudflare

• جدار حماية تطبيق الويب الخاص بـ Cloudflare (WAF) هي أداة برمجية تتيح لك حماية ملفات WordPress موقع الكتروني. 
• تسمح لك قواعد جدار حماية Cloudflare طلبات القائمة السوداء أو القائمة البيضاء وفقًا لمعايير مرنة تحددها. 
• إلى إنشاء حماية محكمة الإغلاق WordPress الموقع، مع Cloudflare يمكنك: إدراج عنوان IP الخاص بك في القائمة البيضاء ، وحماية منطقة الإدارة الخاصة بك ، وحظر الزائرين حسب المنطقة أو البلد ، وحظر الروبوتات الضارة وهجمات القوة الغاشمة ، ومنع هجمات XML-RPC ، ومنع التعليقات غير المرغوب فيها.

أضف عنوان IP الخاص بك إلى القائمة البيضاء

لتجنب المشاكل في المستقبل ، يجب أن تكون القائمة البيضاء لعنوان IP الخاص بموقعك على الويب هي المهمة الأولى في قائمتك قبل يمكنك تمكين أي قواعد جدار الحماية.

لماذا وكيف تضيف عنوان IP الخاص بك إلى القائمة البيضاء في Cloudflare

هذا في المقام الأول لأنك قد تجد نفسك مغلقًا من موقع الويب الخاص بك إذا اخترت حظر WordPress منطقة الإدارة من الآخرين.

لإدراج عنوان IP الخاص بموقعك في القائمة البيضاء ، انتقل إلى قسم أمان لوحة معلومات Cloudflare وحدد "WAF". ثم انقر فوق "أدوات" وأدخل عنوان IP الخاص بك في مربع "قواعد الوصول إلى IP" ، واختر "القائمة البيضاء" من القائمة المنسدلة.

للعثور على عنوان IP الخاص بك ، يمكنك القيام بـ Google ابحث عن "ما هو عنوان IP الخاص بي" وسيعيد عنوان IPv4 الخاص بك ، وإذا كنت بحاجة إلى IPv6 الخاص بك ، فيمكنك الانتقال إلى https://www.whatismyip.com/

تذكر أن إذا تغير عنوان IP الخاص بك ، فسيتعين عليك إعادة إدخال / إضافة عنوان IP الجديد إلى القائمة البيضاء لتجنب قفل منطقة الإدارة الخاصة بك.

بالإضافة إلى إدراج عنوان IP الدقيق لموقعك في القائمة البيضاء ، يمكنك أيضًا اختيار إدراج نطاق IP بالكامل في القائمة البيضاء.

إذا كان لديك عنوان IP ديناميكي (على سبيل المثال ، عنوان IP مضبوط على تغيير طفيف باستمرار) ، فمن المؤكد أن هذا هو الخيار الأفضل لك ، حيث أن إعادة إدخال عناوين IP الجديدة وإدراجها في القائمة البيضاء باستمرار ستكون بمثابة ألم كبير.

بامكانك ايضا قم بإدراج بلدك بالكامل في القائمة البيضاء. 

هذا بالتأكيد هو الخيار الأقل أمانًا لأنه من المحتمل أن يترك منطقة الإدارة مفتوحة أمام الهجمات القادمة من داخل بلدك.

ومع ذلك، إذا كنت تسافر كثيرًا للعمل وتجد نفسك في كثير من الأحيان تصل إلى WordPress موقع من اتصالات Wi-Fi مختلفة ، قد يكون إدراج بلدك في القائمة البيضاء هو الخيار الأكثر ملاءمة لك.

ضع في اعتبارك أن أي عنوان IP أو بلد أدرجته في القائمة البيضاء سيتم إعفاؤه من جميع قواعد جدار الحماية الأخرى ، وبالتالي لا داعي للقلق بشأن تعيين استثناءات فردية مع كل قاعدة.

حماية WordPress لوحة المعلومات (منطقة إدارة WP)

الآن بعد أن أضفت عنوان IP الخاص بك و / أو البلد إلى القائمة البيضاء ، فقد حان الوقت لقفل لوحة تحكم wp-admin الخاصة بك بإحكام بحيث يمكنك فقط الوصول إليها.

لماذا وكيف تحمي WordPress لوحة القيادة في Cloudflare

وغني عن القول أنك لا تريد أن يتمكن الغرباء المجهولون من الوصول إلى منطقة الإدارة الخاصة بك وإجراء تغييرات دون علمك أو إذنك.

على هذا النحو، ستحتاج إلى إنشاء قاعدة جدار حماية تمنع الوصول الخارجي إلى لوحة المعلومات الخاصة بك.

ومع ذلك، قبل قمت بإغلاق الخاص بك WordPress لوحة القيادة، سيتعين عليك إجراء استثناءين مهمين.

1. /wp-admin/admin-ajax.php. يسمح هذا الأمر لموقع الويب الخاص بك بعرض محتوى ديناميكي وبالتالي يحتاج إلى الوصول إليه من الخارج بواسطة مكونات إضافية معينة حتى يعمل. على هذا النحو ، على الرغم من تخزينه في / wp-admin / المجلد ، يجب أن يكون الوصول إليه متاحًا من الخارج إذا كنت لا تريد أن يعرض موقع الويب الخاص بك رسائل الخطأ للزائرين.
2. /wp-admin/theme-editor.php. هذا الأمر يتيح WordPress لإجراء فحص خطأ في كل مرة تقوم فيها بتغيير أو تعديل سمة موقعك. إذا أهملت إضافة هذا كاستثناء ، فلن يتم حفظ تغييراتك ، وستتلقى رسالة خطأ نصها ، "غير قادر على التواصل مرة أخرى مع الموقع للتحقق من الأخطاء الفادحة."

لإنشاء قاعدة جدار حماية ، انتقل أولاً إلى الأمان> WAF في لوحة معلومات Cloudflare ، ثم انقر فوق الزر "إنشاء قاعدة جدار الحماية".

لإضافة هذه الاستثناءات عند حماية منطقة لوحة تحكم wp-admin ، ستحتاج إلى إنشاء هذه القاعدة:

• الحقل: مسار URI
• المشغل: يحتوي على
• القيمة: / wp-admin /

[و]

• الحقل: مسار URI
• المشغل: لا يحتوي على
• القيمة: /wp-admin/admin-ajax.php

[و]

• الحقل: مسار URI
• المشغل: لا يحتوي على
• القيمة: /wp-admin/theme-editor.php

[الإجراء: حظر]

عند الانتهاء ، انقر فوق "نشر" لتعيين قاعدة جدار الحماية الخاص بك.

بدلاً من ذلك ، يمكنك النقر فوق "تحرير التعبير" ولصق ما يلي في:

(http.request.uri.path contains "/wp-admin/" and not http.request.uri.path contains "/wp-admin/admin-ajax.php" and not http.request.uri.path contains "/wp-admin/theme-editor.php")

كتلة البلدان / القارات

تمامًا كما يمكنك إدراج بلد في القائمة البيضاء للوصول إلى لوحة تحكم المشرف.

بامكانك ايضا قم بتعيين قاعدة جدار الحماية لإدراج البلدان في القائمة السوداء وحتى قارات بأكملها من عرض موقعك أو الوصول إليه.

لماذا وكيف تحجب البلدان / القارات في Cloudflare

لماذا قد ترغب في منع بلد أو قارة بأكملها من الوصول إلى موقعك؟

حسنًا ، إذا كان موقع الويب الخاص بك يخدم بلدًا معينًا أو منطقة جغرافية معينة ولم يكن ذا صلة عالميًا ، إذن يعد حظر الوصول من البلدان و / أو القارات غير ذات الصلة طريقة سهلة للحد من مخاطر هجمات البرامج الضارة وحركة المرور الضارة القادمة من الخارج ، دون منع الوصول إلى الجمهور المستهدف الشرعي لموقعك على الويب.

لإنشاء هذه القاعدة ، ستحتاج مرة أخرى إلى فتح لوحة معلومات Cloudflare والانتقال إلى الأمان> WAF> إنشاء قاعدة جدار الحماية.

لتغيير الإعدادات للسماح فقط ببلدان معينة ، أدخل ما يلي:

• المجال: الدولة أو القارة
• المشغل: "موجود"
• القيمة: اختر البلدان أو القارات التي تريدها القائمة البيضاء

(ملاحظة: إذا كنت تريد السماح بحركة المرور من بلد واحد فقط ، فيمكنك إدخال "يساوي" كمشغل.)

إذا اخترت حظر بلدان أو قارات معينة بدلاً من ذلك ، فأدخل ما يلي:

• المجال: الدولة أو القارة
• المشغل: "ليس في"
• القيمة: اختر البلدان أو القارات التي تريدها منع

ملاحظة: قد تأتي هذه القاعدة بنتائج عكسية إذا كنت بحاجة إلى دعم فني وكان فريق دعم مضيف الويب الخاص بك موجودًا في بلد أو قارة قمت بحظرها.

من المحتمل ألا يمثل هذا مشكلة لمعظم الناس ، لكنه شيء يجب أن تكون على دراية به.

فيما يلي مثال على كيفية رفض الوصول إلى موقعك من بلد معين ، حيث يظهر المستخدمون من هذا البلد ملف تحدي جافا سكريبت قبل محاولة الوصول إلى موقعك.

حظر الروبوتات الخبيثة

بناءً على وكيل المستخدم الخاص بهم ، يمكّنك Cloudflare من حظر الوصول إلى برامج الروبوت الضارة التي تحاول اختراق موقعك.

إذا كنت تستخدم 7G بالفعل ، فلا داعي للقلق بشأن تعيين هذه القاعدة: يحظر 7G WAF التهديدات على مستوى الخادم من خلال الرجوع إلى قائمة شاملة من الروبوتات الضارة.

ومع ذلك ، إذا كنت لا تستخدم 7G ، سترغب في تكوين قاعدة جدار حماية تحدد برامج الروبوت السيئة وتحظرها قبل أن تتسبب في أي ضرر.

لماذا وكيف تحظر الروبوتات السيئة في Cloudflare

كالعادة ، انتقل أولاً إلى لوحة معلومات Cloudflare وانتقل إلى الأمان> WAF> إنشاء قاعدة جدار الحماية.

بعد ذلك ، قم بتعيين تعبير قاعدة جدار الحماية الخاص بك على هذا النحو:

• المجال: وكيل المستخدم
• عامل التشغيل: "يساوي" أو "يحتوي على"
• القيمة: اسم الروبوت السيئ أو الوكيل الضار الذي تريد حظره

تمامًا كما هو الحال مع البلدان المحظورة ، يمكن حظر برامج الروبوت بشكل فردي بالاسم. لحظر أكثر من روبوت واحد في نفس الوقت ، استخدم خيار "OR" على اليمين لإضافة روبوتات إضافية إلى القائمة.

ثم انقر فوق "نشر" زر عند الانتهاء.

ومع ذلك ، فقد أصبح حظر الروبوتات السيئة يدويًا زائداً عن الحاجة لأن Cloudflare قد تم إطلاقه "وضع قتال الروبوت" لجميع المستخدمين المجانيين.

و "وضع Super Bot Figth" لمستخدمي Pro أو Business Plan.

يتم الآن حظر برامج الروبوت السيئة تلقائيًا لجميع أنواع مستخدمي Cloudflare.

منع هجمات القوة الغاشمة (wp-login.php)

هجمات القوة الغاشمة ، والمعروفة أيضًا باسم هجمات wp-login ، هي أكثر الهجمات المستهدفة شيوعًا WordPress المواقع. 

في الواقع ، إذا نظرت إلى سجلات الخادم ، فمن المحتمل أن تجد دليلًا على مثل هذه الهجمات في شكل عناوين IP من مواقع مختلفة حول العالم تحاول الوصول إلى ملف wp-login.php الخاص بك.

لحسن الحظ، يتيح لك Cloudflare تعيين قاعدة جدار الحماية لمنع هجمات القوة الغاشمة بنجاح.

لماذا وكيفية حماية ملف wp-login.php في Cloudflare

على الرغم من أن معظم هجمات القوة الغاشمة هي عمليات مسح آلية وليست قوية بما يكفي لاجتيازها WordPressدفاعاتها ، لا تزال فكرة جيدة أن تضع قاعدة لمنعها وتريح عقلك.

ومع ذلك، تعمل هذه القاعدة فقط إذا كنت المسؤول / المستخدم الوحيد على موقعك. إذا كان هناك أكثر من مسؤول واحد ، أو إذا كان موقعك يستخدم مكونًا إضافيًا للعضوية ، فعليك تخطي هذه القاعدة.

لإنشاء هذه القاعدة ، ارجع إلى  الأمان> WAF> إنشاء قاعدة جدار الحماية.

بعد اختيار اسم لهذه القاعدة ، أدخل ما يلي:

• الحقل: مسار URI
• المشغل: يحتوي على
• القيمة: /wp-login.php

[الإجراء: حظر]

بدلاً من ذلك ، يمكنك النقر فوق "تحرير التعبير" ولصق ما يلي في:

(http.request.uri.path contains "/wp-login.php")

بمجرد نشر القاعدة ، ستبدأ Cloudflare في حظر جميع محاولات الوصول إلى wp-login التي تأتي من أي مصدر بخلاف عنوان IP المدرج في القائمة البيضاء.

اضاف باعتبارها مكافأة، يمكنك التحقق من تشغيل هذه الحماية من خلال البحث في قسم أحداث جدار الحماية في Cloudflare ، حيث يجب أن تكون قادرًا على رؤية سجل لأي محاولة هجوم بالقوة الغاشمة.

منع هجمات XML-RPC (xmlrpc.php)

نوع آخر أقل شيوعًا (لكنه لا يزال خطيرًا) هو هجوم هجوم XML-RPC.

XML-RPC هو إجراء بعيد يستدعي WordPress، والتي من المحتمل أن يستهدفها المهاجمون في هجوم القوة الغاشمة للحصول على بيانات اعتماد المصادقة.

لماذا وكيف يتم حظر XML-RPC في Cloudflare

على الرغم من وجود استخدامات مشروعة لـ XML-RPC ، مثل نشر المحتوى إلى ملفات WordPress المدونات في وقت واحد أو الوصول إلى WordPress موقع من هاتف ذكي ، يمكنك عمومًا نشر هذه القاعدة دون القلق بشأن العواقب غير المقصودة.

لمنع هجمات القوة الغاشمة التي تستهدف إجراءات XML-RPC ، انتقل أولاً إلى الأمان> WAF> إنشاء قاعدة جدار الحماية.

ثم قم بإنشاء القاعدة التالية:

• الحقل: مسار URI
• المشغل: يحتوي على
• القيمة: /xmlrpc.php

[الإجراء: حظر]

بدلاً من ذلك ، يمكنك النقر فوق "تحرير التعبير" ولصق ما يلي في:

(http.request.uri.path contains "/xmlrpc.php")

وبهذه الطريقة ، يمكنك حماية ملفات WordPress موقع من نوعين من أكثر أنواع هجمات القوة الغاشمة شيوعًا.

منع التعليقات غير المرغوب فيها (wp-comments-post.php)

إذا كنت مشرف موقع ، فإن البريد العشوائي على موقعك هو مجرد واحدة من حقائق الحياة المزعجة.

لحسن الحظ، يوفر Cloudflare Firewall العديد من القواعد التي يمكنك نشرها لحظر العديد من الأنواع الشائعة للبريد العشوائي، بما في ذلك التعليقات غير المرغوب فيها.

لماذا وكيف يتم حظر wp-comments-post.php في Cloudflare

إذا أصبحت التعليقات غير المرغوب فيها مشكلة على موقعك (أو الأفضل من ذلك ، إذا كنت تريد منعها بشكل استباقي من أن تصبح مشكلة) ، فيمكنك تقييد wp-comments-post.php لتقييد حركة مرور الروبوت.

يتم ذلك على مستوى DNS مع Cloudflare تحدي JS، والطريقة التي يعمل بها بسيطة نسبيًا: التعليقات غير المرغوب فيها تلقائية ، والمصادر الآلية لا يمكنها معالجة JS.

ثم فشلوا في تحدي JS ، وفويلا - يتم حظر البريد العشوائي على مستوى DNS ، ولا يصل الطلب أبدًا إلى الخادم الخاص بك.

إذن ، كيف تنشئ هذه القاعدة؟

كالعادة، انتقل إلى صفحة الأمان> WAF وحدد "إنشاء قاعدة جدار الحماية".

تأكد من تسمية هذه القاعدة باسم معروف ، مثل "تعليق غير مرغوب فيه".

ثم قم بتعيين ما يلي:

• المجال: URI
• المشغل: يساوي
• القيمة: ملف wp-comments-post.php

[و]

• المجال: طريقة الطلب
• المشغل: يساوي
• القيمة: POST

[و]

• المجال: المرجع
• المشغل: لا يحتوي على
• القيمة: [yourdomain.com]

[الإجراء: تحدي JS]

كن حذرًا لتعيين الإجراء على تحدي JS، حيث سيؤدي ذلك إلى التأكد من حظر التعليق دون التدخل في إجراءات المستخدم العامة على الموقع.

بمجرد إدخال هذه القيم ، انقر فوق "نشر" لإنشاء القاعدة الخاصة بك.

الختام: كيف يمكنك تأمين جهازك WordPress موقع به قواعد جدار حماية Cloudflare

في سباق التسلح لأمن الويب ، تعد قواعد جدار الحماية Cloudflare واحدة من أكثر الأسلحة فعالية في ترسانتك. 

حتى مع وجود حساب Cloudflare مجاني ، يمكنك نشر العديد من القواعد المختلفة لحماية ملفات WordPress موقع ضد بعض أكثر تهديدات البريد العشوائي والبرامج الضارة شيوعًا.

من خلال بضع نقرات بسيطة (في الغالب) على المفاتيح ، يمكنك تعزيز أمان موقعك و اجعلها تعمل بسلاسة للزوار.

لمزيد من المعلومات حول تحسين WordPress أمان الموقع ، تحقق من دليل التحويل WordPress مواقع إلى HTML ثابت.

مراجع حسابات

https://developers.cloudflare.com/firewall/

https://developers.cloudflare.com/fundamentals/get-started/concepts/cloudflare-challenges/

https://www.websiterating.com/web-hosting/glossary/what-is-cloudflare/