🧱 ۱. مبانی امنیت سایت
🔹 امنیت سایت یعنی: جلوگیری از دسترسی غیرمجاز، جلوگیری از تغییر یا سرقت دادهها، و اطمینان از در دسترس بودن خدمات.
🔹 انواع تهدیدات رایج:
-
حملات SQL Injection
-
XSS (Cross Site Scripting)
-
CSRF (Cross Site Request Forgery)
-
حملات Brute Force
-
بدافزارها و باجافزارها
-
نفوذ از طریق افزونهها یا قالبهای آلوده
🔒 ۲. اصول امنیت پایه
✅ الف) استفاده از HTTPS
-
حتماً SSL/TLS نصب کنید تا اطلاعات کاربران رمزنگاری شود.
-
مرورگرها سایتهای بدون HTTPS را ناامن میدانند.
✅ ب) بهروزرسانی مداوم
-
همیشه CMS (مثل WordPress, Joomla, Laravel) و افزونهها را آپدیت نگه دارید.
-
نسخههای قدیمی اغلب دارای باگهای امنیتی هستند.
✅ ج) رمزهای عبور قوی
-
استفاده از ترکیب حروف بزرگ، کوچک، عدد و علامت.
-
فعالسازی احراز هویت دو مرحلهای (2FA) برای مدیران سایت.
✅ د) محدود کردن دسترسیها
-
برای هر کاربر سطح دسترسی مشخصی تعیین کنید.
-
از اکانت “admin” عمومی استفاده نکنید.
🧰 ۳. اقدامات فنی امنیتی
🔹 فایروال برنامه وب (WAF)
-
جلوی بسیاری از حملات (SQLi، XSS و …) را میگیرد.
-
نمونهها: Cloudflare, Sucuri, Wordfence
🔹 امنیت فایل و سرور
-
دسترسی پوشهها و فایلها را محدود کنید (
chmodدر لینوکس). -
از فایل
.htaccessبرای جلوگیری از دسترسی مستقیم به فایلهای حساس استفاده کنید. -
از نسخه PHP بهروز و امن استفاده کنید.
🔹 بکآپ (Backup)
-
همیشه نسخه پشتیبان روزانه یا هفتگی از دیتابیس و فایلها بگیرید.
-
بهتر است بکآپ روی سرور جداگانه نگهداری شود.
🧪 ۴. تست و مانیتورینگ امنیتی
-
از ابزارهایی مثل:
-
OWASP ZAP
-
Burp Suite
-
Qualys SSL Labs
-
WPScan (برای وردپرس)
جهت تست نفوذ استفاده کنید.
-
-
لاگهای سایت را بررسی کنید تا فعالیتهای مشکوک را زودتر شناسایی کنید.
🚨 ۵. سیاستها و رفتارهای امن
-
از ایمیلها یا لینکهای مشکوک خودداری کنید (Social Engineering).
-
کارمندان را با اصول امنیت سایبری آشنا کنید.
-
از بارگذاری فایلهای ناشناس روی سایت جلوگیری کنید.
📘 ۶. مسیر یادگیری حرفهای امنیت سایت
اگر میخواهی بهصورت تخصصیتر وارد امنیت وب بشی (Web Security)، این مسیر یادگیری رو پیشنهاد میکنم:
-
یادگیری HTML, CSS, JavaScript
-
آشنایی با ساختار HTTP و REST API
-
تسلط بر امنیت سرور (Linux / Nginx / Apache)
-
مطالعه OWASP Top 10
-
یادگیری تست نفوذ وب (با ابزارهای Burp Suite, ZAP, Nmap, Metasploit)
-
تمرین در سایتهای آموزشی مثل:
