دانلود رایگان افزونه Really Simple SSL Pro

Really Simple SSL Pro چیست؟

Really Simple SSL Pro نسخه‌ی پولی یکی از پرنصب‌ترین افزونه‌های امنیتی وردپرس است که کارش از فعال کردن HTTPS شروع شد و حالا یک بسته‌ی امنیتی کامل است. سازنده‌ی آن، Really Simple Plugins، در سال ۲۰۲۴ نام محصول را به Really Simple Security تغییر داد و نسخه‌ی پولی هم امروز Really Simple Security Pro نام دارد. یعنی Really Simple SSL Pro و Really Simple Security Pro یک افزونه‌اند و بیشتر کاربران ایرانی آن را هنوز با نام قدیمی می‌شناسند. نسخه‌ی رایگان در مخزن وردپرس بیش از سه میلیون نصب فعال دارد.

فایل این صفحه نسخه‌ی اورجینال Pro است. افزونه بدون وارد کردن کلید لایسنس فعال می‌شود و همه‌ی ماژول‌های Pro در دسترس است.

چرا انتقال به HTTPS به افزونه نیاز دارد؟

نصب گواهی SSL روی هاست فقط نیمی از کار است. بعد از آن باید همه‌ی درخواست‌های HTTP با ریدایرکت ۳۰۱ به HTTPS بروند، کوکی‌ها به‌صورت امن ارسال شوند و هیچ فایلی از آدرس http بارگذاری نشود. اگر حتی یک تصویر، فایل CSS یا اسکریپت با http فراخوانی شود، مرورگر خطای Mixed Content می‌دهد: قفل کنار آدرس از بین می‌رود، بعضی فایل‌ها اصلاً بارگذاری نمی‌شوند و ظاهر سایت به هم می‌ریزد. به گفته‌ی سازنده، بیشتر این خطاها از آدرس‌هایی می‌آیند که داخل فایل‌های CSS و JS نوشته شده‌اند و با جست‌وجو و جایگزینی در پایگاه داده پیدا نمی‌شوند.

Really Simple SSL همین مراحل را خودکار می‌کند. نسخه‌ی رایگان ریدایرکت و کوکی امن را انجام می‌دهد. نسخه‌ی Pro یک قدم جلوتر می‌رود: فایل‌هایی را که با HTTP درخواست می‌شوند، هم در سایت و هم در پیشخوان، پیدا می‌کند و به HTTPS اصلاح می‌کند. بعد از اینکه مطمئن شدید سایت کاملاً روی HTTPS کار می‌کند، می‌توانید HSTS را فعال کنید تا مرورگر دیگر حتی برای یک بار هم نسخه‌ی HTTP سایت را باز نکند.

امکانات کلیدی Really Simple SSL Pro

• انتقال به HTTPS: ریدایرکت ۳۰۱ با PHP یا فایل .htaccess، کوکی‌های امن، نصب گواهی Let's Encrypt روی هاست‌هایی که نصب دستی را اجازه می‌دهند و بررسی سلامت پیکربندی سرور.
• اسکن و رفع Mixed Content: شناسایی فایل‌هایی که با HTTP بارگذاری می‌شوند و اصلاح آن‌ها در فرانت‌اند و پیشخوان.
• HSTS: فعال کردن HTTP Strict Transport Security و آماده کردن سایت برای فهرست HSTS Preload مرورگرها.
• هدرهای امنیتی: تنظیم هدرهای رایج امنیتی مستقل از نوع وب‌سرور و ساخت خودکار Content Security Policy متناسب با وردپرس.
• فایروال: مسدود کردن ربات‌هایی که پشت سر هم خطای ۴۰۴ تولید می‌کنند، محدودیت بر اساس کشور، قوانین خودکار و فهرست سفید و سیاه IP.
• ورود امن: ورود دومرحله‌ای با ایمیل یا اپلیکیشن TOTP مثل Google Authenticator، ورود با Passkey، الزام رمز عبور قوی و دوره‌ای و محدود کردن تلاش‌های ورود همراه با کپچا.
• مقاوم‌سازی پیشرفته: تغییر آدرس صفحه‌ی ورود، بررسی و اصلاح سطح دسترسی فایل‌ها، تغییر پیشوند جدول‌های پایگاه داده، جابه‌جا کردن فایل debug.log و کنترل Application Password، ساخت مدیر جدید و متدهای HTTP.
• مدیریت آسیب‌پذیری: هشدار برای افزونه، قالب یا هسته‌ی آسیب‌پذیر و در نسخه‌ی Pro، به‌روزرسانی اجباری یا قرنطینه کردن افزونه و قالبی که وصله‌ای برایش منتشر نشده.

طراحی افزونه ماژولار است. ماژولی که خاموش باشد هیچ کدی بارگذاری نمی‌کند، پس فعال نکردن بخش‌هایی که لازم ندارید روی سرعت سایت اثری نمی‌گذارد.

تفاوت نسخه‌ی رایگان و Pro

نسخه‌ی رایگان Really Simple Security در مخزن وردپرس برای انتقال ساده به HTTPS و امنیت پایه کافی است. Pro برای سایتی است که می‌خواهد مشکل Mixed Content را ریشه‌ای حل کند و لایه‌های امنیتی جدی‌تری بخواهد:

پیش‌نیازها و نکته‌ی امنیتی

این نسخه به وردپرس ۶٫۶ یا بالاتر و PHP ۷٫۴ یا جدیدتر نیاز دارد و روی وردپرس ۷٫۱ آزمایش شده است. قبل از فعال کردن HTTPS باید گواهی SSL معتبر روی هاست نصب و فعال باشد.

در آبان ۱۴۰۳ (نوامبر ۲۰۲۴) آسیب‌پذیری بحرانی CVE-2024-10924 با امتیاز CVSS ۹٫۸ در نسخه‌های ۹٫۰٫۰ تا ۹٫۱٫۱٫۱ هر سه نسخه‌ی رایگان، Pro و Pro Multisite گزارش شد. اگر ورود دومرحله‌ای فعال بود، مهاجم بدون احراز هویت می‌توانست با حساب هر کاربری، حتی مدیر، وارد شود. این مشکل در نسخه‌ی ۹٫۱٫۲ رفع شد. در شهریور ۱۴۰۵ هم چند اصلاح امنیتی دیگر برای ورود دومرحله‌ای و XML-RPC در نسخه‌های ۹٫۸٫۱ تا ۹٫۸٫۳ منتشر شد. نسخه‌ی این صفحه همه‌ی این اصلاح‌ها را دارد. اگر نسخه‌ی قدیمی‌تری نصب دارید، آن را به‌روز کنید.

راهنمای نصب Really Simple SSL Pro

1. قبل از هر کاری از فایل‌ها و پایگاه داده نسخه‌ی پشتیبان بگیرید.
2. فایل دانلودشده را از حالت فشرده خارج کنید و فایل زیپ افزونه را از «افزونه‌ها › افزودن › بارگذاری افزونه» نصب کنید.
3. اگر نسخه‌ی رایگان Really Simple Security نصب است، بعد از فعال شدن Pro آن را غیرفعال و حذف کنید. تنظیمات در پایگاه داده می‌ماند.
4. افزونه را فعال کنید و مراحل راه‌اندازی اولیه را دنبال کنید. کلید لایسنس خواسته نمی‌شود.
5. در بخش SSL، HTTPS را فعال کنید و صفحه‌های اصلی سایت و پیشخوان را با آدرس https باز کنید تا مطمئن شوید قفل مرورگر کامل است.
6. اسکن Mixed Content را اجرا کنید و موارد پیداشده را اصلاح کنید.
7. بعد از چند روز کار بدون خطا، HSTS و هدرهای امنیتی را روشن کنید.

نکاتی برای استفاده‌ی بهتر

• اگر هاست شما پنل مدیریت گواهی مثل cPanel یا DirectAdmin دارد، گواهی رایگان را از همان‌جا بگیرید. Let's Encrypt داخل افزونه برای هاست‌هایی است که نصب دستی گواهی را اجازه می‌دهند.
• بعد از فعال کردن Content Security Policy، صفحه‌ی پرداخت، فرم‌ها و ابزار آمار را دوباره تست کنید. CSP سخت‌گیرانه می‌تواند اسکریپت درگاه پرداخت یا سرویس‌های خارجی را مسدود کند.
• ورود دومرحله‌ای را حداقل برای نقش مدیر اجباری کنید. TOTP از ایمیل امن‌تر است و به تحویل ایمیل وابسته نیست.
• بعد از تغییر آدرس صفحه‌ی ورود، آدرس جدید را جایی امن یادداشت کنید.
• اگر Wordfence یا افزونه‌ی امنیتی دیگری دارید، قابلیت‌های مشابه را فقط در یکی از آن‌ها روشن کنید. سازنده هم فعال کردن قابلیت‌های تکراری در دو افزونه را توصیه نمی‌کند.

اشتباهات رایج

• فعال کردن HTTPS قبل از نصب گواهی: نتیجه‌اش هشدار امنیتی مرورگر برای همه‌ی بازدیدکنندگان است.
• روشن کردن HSTS در روز اول: HSTS در مرورگر کاربر ذخیره می‌شود. اگر بعداً گواهی منقضی شود یا بخواهید به HTTP برگردید، کاربران تا پایان مدت HSTS نمی‌توانند سایت را باز کنند. ثبت در فهرست Preload هم به این سادگی برگشت ندارد.
• ریدایرکت تکراری در چند لایه: اگر Cloudflare یا هاست هم ریدایرکت HTTPS دارند و افزونه هم ریدایرکت می‌کند، ممکن است حلقه‌ی ریدایرکت ساخته شود. ریدایرکت را در یک لایه نگه دارید.
• فراموش کردن آدرس‌های ثابت در قالب: آدرس‌هایی که با http در فایل‌های قالب یا CSS سفارشی نوشته شده‌اند باید اصلاح شوند؛ اسکنر Pro این فایل‌ها را نشان می‌دهد.
• بستن XML-RPC بدون بررسی: بعضی اپلیکیشن‌های موبایل و سرویس‌های انتشار خودکار به XML-RPC نیاز دارند. قبل از بستن، وابستگی‌ها را بررسی کنید.

این فایل برای چه کسانی مناسب است؟

اگر سایت تازه‌ای راه می‌اندازید یا سایت قدیمی را از HTTP به HTTPS منتقل می‌کنید، Really Simple SSL Pro کار را بدون درگیر شدن با فایل‌های سرور تمام می‌کند. فروشگاه‌های ووکامرسی که با حساب مشتری و اطلاعات پرداخت سروکار دارند، از هدرهای امنیتی، ورود دومرحله‌ای و فایروال بیشترین سود را می‌برند. طراحان سایتی هم که چند سایت مشتری را نگهداری می‌کنند، با یک افزونه SSL، مقاوم‌سازی و هشدار آسیب‌پذیری را یک‌جا مدیریت می‌کنند. اگر فقط به ریدایرکت HTTPS نیاز دارید و سایت Mixed Content ندارد، نسخه‌ی رایگان کافی است.