افزونه امنیتی وردپرس دژبان پرو (Dezhban Pro): فایروال، اسکنر بدافزار و حفاظت کامل ووکامرس

دژبان یک افزونه امنیتی وردپرس و ووکامرس است که همه‌ی لایه‌های حفاظت را در یک افزونه‌ی فارسی و راست‌چین جمع کرده: فایروال وب (WAF) با ویرایشگر قوانین، اسکنر بدافزار و یکپارچگی فایل با چهار موتور تشخیص، ورود دو مرحله‌ای، محافظت ضد ربات، لاگ حسابرسی و یک ماژول اختصاصی ضد تقلب برای فروشگاه‌های ووکامرسی. همه‌ی اسکن‌ها روی سرور خودتان انجام می‌شود و هیچ داده‌ای به سرور خارجی نمی‌رود؛ یعنی نه مشکل تحریم دارید، نه کندی و نه وابستگی به سرویس شخص ثالث.

پیشخوان دژبان: دو امتیاز مستقل، کارت‌های وضعیت و مشاور امنیتی با رفع یک‌کلیکی.

چرا سایت وردپرسی شما به افزونه امنیتی نیاز دارد؟

وردپرس بیش از ۴۰ درصد وب را می‌گرداند و همین محبوبیت آن را به هدف اول ربات‌ها و مهاجمان تبدیل کرده است. طبق گزارش‌های سالانه‌ی امنیت وردپرس، بیش از ۹۰ درصد آسیب‌پذیری‌های کشف‌شده مربوط به افزونه‌ها و قالب‌هاست نه هسته. یعنی هر سایتی که افزونه نصب می‌کند به یک لایه‌ی حفاظتی فعال نیاز دارد که:

• درخواست‌های مخرب را قبل از اجرای وردپرس متوقف کند (فایروال)

• فایل‌های تغییریافته و کدهای مخرب را پیدا کند (اسکنر بدافزار و یکپارچگی)

• صفحه‌ی ورود را در برابر حملات بروت‌فورس و ربات‌ها ببندد

• برای فروشگاه‌های ووکامرسی جلوی تست کارت بانکی، سفارش تقلبی و حدس زدن کد تخفیف را بگیرد

دژبان برای همین چهار لایه طراحی شده و جلوگیری از هک وردپرس را از یک کار پراکنده به فرآیندی قابل اندازه‌گیری با امتیاز امنیتی تبدیل می‌کند.

دژبان چه فرقی با سایر پلاگین‌های امنیت وردپرس دارد؟

دژبان یک پلاگین امنیت وردپرس ماژولار است. هر قابلیت یک ماژول مستقل است، همه‌ی تنظیمات در یک صفحه‌ی تب‌دار قرار دارد و هر کاری که افزونه انجام می‌دهد در گزارش فعالیت ثبت و قابل جست‌وجو و خروجی‌گیری است. تفاوت‌های اصلی با افزونه‌های رقیب:

• رابط کاربری کاملاً فارسی و راست‌چین با فونت فارسی؛ ترجمه‌ی رسمی و کامل، نه ترجمه‌ی ناقص جامعه.

• بدون وابستگی به سرور خارجی: تمام اسکن‌ها روی سرور خودتان اجرا می‌شود. نه برای فعال‌سازی و نه برای اسکن به اتصال خارج از کشور نیاز نیست. فید آسیب‌پذیری راه دور و ایمیل هفتگی اختیاری‌اند.

• ماژول اختصاصی امنیت ووکامرس با صف بازبینی سفارش‌های مشکوک؛ قابلیتی که Wordfence، Solid Security و AIOS ندارند.

• دو امتیاز امنیتی شفاف (اسکن و پیکربندی) و مشاور امنیتی که دقیقاً می‌گوید با کدام گزینه چند امتیاز می‌گیرید و با یک کلیک رفع می‌کند.

• کلید اضطراری بازیابی دسترسی: اگر خودتان را قفل کردید، با یک خط در wp-config.php همه‌ی حفاظت‌ها موقتاً خاموش می‌شود.

• ساخته‌شده برای توسعه‌دهندگان: هر نقطه‌ی توسعه یک هوک مستند با پیشوند dezhban_ است و کد با PHPStan و PHPUnit تست شده.

داشبورد و مشاور امنیتی: امنیت سایت را عددی ببینید

داشبورد دژبان دو امتیاز مستقل نشان می‌دهد. امتیاز اسکن نتیجه‌ی آخرین اسکن امنیتی است: نسخه‌ی وردپرس و PHP، نام کاربری admin، پیشوند جدول، ویرایشگر فایل، لیست شدن دایرکتوری، حالت دیباگ، XML-RPC، فایل readme، سیاست رمز، SSL، حساب‌های کاربری، آسیب‌پذیری‌های شناخته‌شده و بررسی‌های ووکامرس. امتیاز پیکربندی امتیازی از ۱۰۰ است که با فعال کردن گزینه‌های مقاوم‌سازی به دست می‌آورید.

کارت‌های وضعیت (وردپرس، PHP، SSL، فایروال ورود، آخرین اسکن، حملات ۲۴ ساعت اخیر، آسیب‌پذیری‌ها، بدافزار، یکپارچگی فایل و امنیت فروشگاه) یک نگاه کلی می‌دهند و مشاور امنیتی فهرست اولویت‌بندی‌شده‌ای از توصیه‌ها را از نتایج واقعی اسکن می‌سازد؛ هر جا یک تنظیم مشکل را حل کند دکمه‌ی «رفع» کنارش هست. مانیتور بلادرنگ هم بدون رفرش صفحه شمارنده‌های زنده، آخرین رویدادها، IPهای مهاجم و تایم‌لاین ۶۰ دقیقه‌ی اخیر مسدودسازی‌ها را نشان می‌دهد.

اسکن امنیتی و اسکن بدافزار وردپرس

بخش اسکن امنیتی پنج تب دارد و هر کدام یک لایه از تشخیص را پوشش می‌دهد:

• بررسی‌های امنیتی با رفع یک‌کلیکی: ممیزی کامل با نوار پیشرفت که بیش از ۱۵ مورد را بررسی می‌کند و برای مواردی که با تغییر تنظیمات خود افزونه قابل حل‌اند دکمه‌ی رفع خودکار دارد.

• اسکنر بدافزار: اسکن بدافزار وردپرس با چهار موتور امضا (Signature)، الگو (Pattern)، اکتشافی (Heuristic) و آنتروپی برای کشف کدهای مبهم‌سازی‌شده. فایل‌های آلوده قرنطینه می‌شوند و اسکن زمان‌بندی‌شده دارد.

• یکپارچگی فایل‌ها: از هسته‌ی وردپرس، افزونه‌ها و قالب‌ها یک خط پایه (Baseline) ساخته می‌شود و هر تغییر غیرمنتظره با اسکن زمان‌بندی‌شده شناسایی و در رابط بازبینی نمایش داده می‌شود.

• آسیب‌پذیری‌ها: هوش آسیب‌پذیری برای افزونه‌ها و قالب‌های نصب‌شده با پایگاه داده‌ی محلی و فید راه دور اختیاری، به‌علاوه اسکن امنیت دیتابیس.

• رفع خودکار با قابلیت بازگشت: موتور Auto-fix مواردی مثل حذف فایل readme یا افزودن htaccess به پوشه‌ی uploads را اعمال می‌کند و برای هر تغییر امکان Rollback نگه می‌دارد.

ممیزی بیش از ۱۵ مورد امنیتی در یک کلیک، با دسته‌بندی بحرانی و هشدار و دکمه‌ی رفع کنار هر مورد.

اسکنر بدافزار با چهار موتور تشخیص، قرنطینه‌ی فایل‌های آلوده و اسکن زمان‌بندی‌شده.

فایروال وردپرس (WAF) و محافظت ضد ربات

فایروال وردپرس دژبان درخواست‌ها را پیش از اجرای وردپرس بازرسی می‌کند و برای شروع بدون ریسک، حالت یادگیری دارد: مواردی که مسدود می‌شدند فقط ثبت می‌شوند تا قوانین را بررسی کنید و بعد به حالت محافظت بروید.

• حفاظت‌های داخلی: مسدودسازی XML-RPC، تشخیص آپلود فایل PHP، لیست مسدودسازی IP و CIDR.

• ویرایشگر قوانین: قوانین سفارشی از روی فیلدهای درخواست (URL، User-Agent، متد، هدر، پارامتر) با عملگرها و اقدام‌های مسدود، چالش، ریدایرکت، فقط لاگ و محدودیت نرخ.

• لیست مسدود پویا و شمارنده‌های نرخ برای مهار IPهای پرتکرار.

• شش آشکارساز ربات: امضای ربات‌های مخرب، ربات‌های جعلی موتور جست‌وجو با تأیید معکوس DNS، کلاینت‌های HTTP، فریم‌ورک‌های اتوماسیون و خزنده‌های تهاجمی؛ در سه حالت لاگ، چالش و مسدود.

• پراکسی مورد اعتماد: اگر پشت Cloudflare یا CDN ایرانی هستید، IP واقعی بازدیدکننده درست تشخیص داده می‌شود. هدرها به طور پیش‌فرض قابل اعتماد تلقی نمی‌شوند.

نمای کلی فایروال: مسدودشده‌ها، چالش‌ها و قفل‌شدگی‌های ۲۴ ساعت اخیر در حالت یادگیری.

ویرایشگر قوانین: فیلد درخواست، عملگر و اقدام؛ بدون نیاز به دانش htaccess.

امنیت ورود: ورود دو مرحله‌ای، مخفی کردن wp-login و ضد بروت‌فورس

بیشتر هک‌های وردپرس از صفحه‌ی ورود شروع می‌شود. دژبان این صفحه را چندلایه می‌کند و برای هیچ‌کدام به سرویس خارجی مثل reCAPTCHA نیاز ندارد:

• محدودکننده‌ی بروت‌فورس با قفل IP، لیست مجاز و هشدار ایمیلی به مدیر

• ورود دو مرحله‌ای وردپرس با اپلیکیشن‌های TOTP (Google Authenticator، Authy و مشابه)، اجباری کردن بر اساس نقش کاربری و کدهای پشتیبان

• مخفی کردن آدرس ورود با اسلاگ دلخواه و پاسخ ۴۰۴ برای wp-login.php

• کپچای ریاضی داخلی و هانی‌پات نامرئی روی فرم‌های ورود، ثبت‌نام و بازیابی رمز، شامل فرم‌های ووکامرس

• مسدودسازی ایمیل‌های یک‌بارمصرف، سیاست رمز قوی بر اساس نقش، خروج خودکار نشست بی‌کار و مسدودسازی احراز هویت از XML-RPC

• صفحه‌ی کاربران و نشست‌ها: نشست‌های فعال با اثرانگشت دستگاه، تشخیص نشست مشکوک و خروج از راه دور

ورود دو مرحله‌ای با TOTP، اجبار بر اساس نقش و کدهای پشتیبان؛ هر گزینه امتیاز پیکربندی خودش را نشان می‌دهد.

نشست‌های فعال با اثرانگشت دستگاه و امکان خروج از راه دور.

امنیت ووکامرس: تشخیص سفارش تقلبی و جلوگیری از تست کارت بانکی

این ماژول دژبان را به یک افزونه امنیت ووکامرس واقعی تبدیل می‌کند؛ قابلیتی که افزونه‌های امنیتی عمومی ندارند. اصل طراحی ساده است: هیچ سفارشی به طور خودکار لغو نمی‌شود و هیچ کپچایی در صفحه‌ی پرداخت نیست تا نرخ تبدیل آسیب نبیند؛ سفارش‌های مشکوک فقط برای بازبینی پرچم می‌خورند.

• محدودیت نرخ پرداخت در تسویه‌حساب: چند پرداخت ناموفق پشت سر هم از یک IP (الگوی Card Testing) تسویه‌حساب را موقتاً قفل می‌کند؛ هم در چک‌اوت کلاسیک و هم در بلوک‌های چک‌اوت.

• هانی‌پات نامرئی در تسویه‌حساب به جای کپچا.

• محدودیت سرعت سفارش بر اساس IP و ایمیل صورت‌حساب، و محافظت کد تخفیف در برابر حدس زدن (فقط کدهای ردشده شمرده می‌شوند و کوپن اعمال‌شده هرگز حذف نمی‌شود).

• تشخیص مبلغ غیرعادی سفارش نسبت به میانگین فروشگاه خود شما؛ برای فروشگاه ریالی همان‌قدر درست کار می‌کند که برای فروشگاه دلاری. تأیید پرداخت در کال‌بک درگاه هم انجام می‌شود.

• صف بازبینی تقلب: ستون «ریسک دژبان» در لیست سفارش‌ها، متاباکس دلایل و امتیاز ریسک و دکمه‌ی «علامت‌گذاری به عنوان ایمن».

• مسدودسازی ایمیل یک‌بارمصرف هنگام ساخت حساب در تسویه‌حساب (خرید مهمان هرگز مسدود نمی‌شود)، محدودیت نرخ Store API، مخفی کردن نسخه‌ی ووکامرس و لاگ کاوش کلید سفارش.

• سازگار کامل با HPOS و بلوک‌های سبد خرید و تسویه‌حساب؛ ووکامرس ۷.۰ به بالا.

تنظیمات ماژول ووکامرس: محافظت از تسویه‌حساب و Store API با پیش‌فرض‌هایی که خریدار عادی هرگز به آن‌ها برخورد نمی‌کند.

پیش‌فرض‌ها طوری تنظیم شده‌اند که یک خریدار عادی هرگز به آن‌ها برخورد نکند: ۱۰ سفارش در ساعت و ۵ پرداخت ناموفق پیش از قفل ۳۰ دقیقه‌ای. همه‌ی اعداد قابل تغییرند.

امنیت API و مقاوم‌سازی وردپرس

• سه حالت دسترسی REST API: باز، فقط کاربران واردشده، یا محدود با لیست مجاز فضای نام مهمان؛ oEmbed و Store API ووکامرس همیشه در دسترس می‌مانند.

• قفل کردن endpoint شمارش کاربران، غیرفعال کردن pingback یا کل XML-RPC، کنترل Application Passwords و محدودیت نرخ REST به ازای هر IP.

• مخفی کردن نسخه‌ی وردپرس، غیرفعال کردن ویرایشگر فایل و جلوگیری از شمارش نویسنده‌ها.

• هدرهای امنیتی: X-Frame-Options، X-Content-Type-Options، Referrer-Policy، Permissions-Policy و Content-Security-Policy.

• SSL: اجبار HTTPS فقط روی GET و HEAD تا هیچ فرم ارسالی گم نشود، رفع محتوای مختلط (Mixed Content)، HSTS و کوکی‌های امن.

تب مقاوم‌سازی: هدرهای امنیتی و گزینه‌های کاهش سطح حمله، هر کدام با امتیاز پیکربندی.

گزارش فعالیت، حسابرسی مدیریتی و گزارش‌ها

• لاگ امنیتی با جست‌وجو، فیلتر، صفحه‌بندی و خروجی CSV.

• سابقه‌ی حسابرسی (Audit Trail): تغییر افزونه، قالب و هسته، ساخت کاربر و تغییر نقش، ورودها، انتشار و حذف محتوا، تغییر تنظیمات با diff فشرده و ذخیره‌ی تنظیمات ووکامرس.

• گزارش‌ها: JSON، CSV و گزارش HTML قابل چاپ (ذخیره به PDF از مرورگر)، تاریخچه‌ی روزانه‌ی امتیاز و خلاصه‌ی ایمیلی هفتگی اختیاری.

• لاگ‌ها در جدول‌های اختصاصی ذخیره و خودکار پاک‌سازی می‌شوند (۳۰ و ۹۰ روز پیش‌فرض، قابل تغییر با فیلتر).

گزارش فعالیت: رویدادهای امنیتی با شدت، نوع، IP و جزئیات؛ قابل فیلتر و خروجی‌گیری.

برای توسعه‌دهندگان: قابل توسعه با هوک‌های مستند

هر نقطه‌ی توسعه یک هوک مستند با پیشوند dezhban_ است: افزودن ماژول، بررسی اسکنر، تب تنظیمات، قانون فایروال، موتور بدافزار، آشکارساز ربات، ارائه‌دهنده‌ی آسیب‌پذیری و کپچا، بدون دست زدن به فایل‌های هسته. مستندات در فایل‌های EXTENDING.md و docs/SDK.md همراه افزونه است. کد افزونه از PHPStan و PHPUnit عبور می‌کند و برای PHP ۷.۴ تا ۸.x تست شده است. اگر خودتان را از سایت قفل کردید، کلید اضطراری همه‌ی حفاظت‌ها را موقتاً خاموش می‌کند:

// wp-config.php
define( 'DEZHBAN_DISABLE_ALL', true );

مقایسه‌ی دژبان با بهترین افزونه‌های امنیتی وردپرس

در این جدول «دارد» یعنی قابلیت در نسخه‌ی رایگان یا اصلی موجود است، «پولی» یعنی فقط در نسخه‌ی پرمیوم، «محدود» یعنی به شکل ناقص یا با وابستگی خارجی.

مشخصات فنی

نصب و شروع در پنج دقیقه

1. فایل افزونه را از وردپرس کالا دریافت و از مسیر افزونه‌ها › افزودن › بارگذاری نصب و فعال کنید.

2. به منوی دژبان › پیشخوان بروید و روی «اسکن سایت» بزنید تا امتیاز اسکن و فهرست توصیه‌های مشاور امنیتی ساخته شود.

3. توصیه‌های دارای دکمه‌ی «رفع» را یکی‌یکی اعمال کنید؛ هر کدام چند امتیاز پیکربندی اضافه می‌کند.

4. فایروال را یک هفته در حالت یادگیری نگه دارید، گزارش فعالیت را بررسی کنید و بعد به حالت محافظت بروید.

5. ورود دو مرحله‌ای را برای نقش مدیر اجباری کنید و کدهای پشتیبان را جای امنی نگه دارید.

6. اگر فروشگاه دارید، تب WooCommerce را فعال کنید و ستون «ریسک دژبان» را در لیست سفارش‌ها دنبال کنید.

پشتیبانی و به‌روزرسانی

هر لایسنس شامل یک سال به‌روزرسانی و پشتیبانی برای یک سایت است. تمدید اختیاری است و افزونه بعد از پایان لایسنس هم کار می‌کند؛ فقط به‌روزرسانی‌های جدید و پشتیبانی متوقف می‌شود. برای پرسش‌های فنی، مستندات فارسی همراه افزونه و تیم پشتیبانی وردپرس کالا در دسترس شماست.