در بخش امنیت ورود جم پک، دو کار جدا انجام می‌دهید: محدودکردن تلاش‌های ناموفق و ثبت سابقه ورود. محدودیت، ادامه تلاش از یک IP را متوقف می‌کند؛ گزارش، سابقه‌ای برای بررسی ورودها در اختیار شما می‌گذارد.
بهتر است ابتدا ثبت گزارش را فعال و اطلاعات آن را بررسی کنید، سپس محدودیت ورود را در محیط آزمایشی تنظیم کنید. به‌خصوص اگر سایت پشت CDN یا پراکسی است، تشخیص درست IP پیش از فعال‌کردن محدودیت اهمیت دارد.
تفاوت محدودیت ورود و ثبت گزارش
| تنظیم | کارکرد |
|---|---|
| محافظت در برابر تلاش‌های مکرر | شمارش شکست‌ها و قفل موقت IP پس از رسیدن به حد تعیین‌شده |
| ثبت تلاش‌های ورود | ذخیره رویدادهای موفق و ناموفقِ دریافت‌شده از مسیرهای ورود مرتبط |
| پاک‌کردن قفل‌ها | برداشتن شمارنده‌ها و قفل‌های این بخش؛ نه حذف گزارش‌ها |
| پاک‌کردن گزارش‌ها | حذف سابقه ذخیره‌شده؛ نه بازکردن قفل IP |
می‌توانید فقط گزارش‌گیری یا فقط محدودیت را فعال کنید. برای بررسی علت مسدودی، داشتن گزارش مفید است؛ اما خاموش‌بودن گزارش به معنی خاموش‌بودن محدودیت نیست.
فعال‌کردن ثبت گزارش
- از منوی جم پک، «امنیت ورود مدیریت» را باز کنید.
- وارد «گزارش‌های ورود» شوید.
- گزینه «ثبت تلاش‌های ورود» را روشن کنید.
- «نگهداری گزارش‌ها (روز)» و «حداکثر تعداد موارد نگهداری‌شده» را بررسی کنید.
- تنظیمات را ذخیره کنید.
- در پنجره آزمایشی یک ورود موفق انجام دهید و دوباره جدول گزارش را باز کنید.
ثبت از رویدادهای بعد از فعال‌سازی آغاز می‌شود؛ ورودهای قبلی سایت به‌صورت خودکار بازسازی نمی‌شوند. اگر ثبت خاموش باشد و گزارش‌های قدیمی باقی مانده باشند، جدول ممکن است همچنان آن‌ها را نشان دهد.
اطلاعات هر ردیف
| ستون | شیوه خواندن |
|---|---|
| تاریخ و زمان | زمان ثبت رویداد با قالب نمایش تاریخ و ساعت سایت |
| نام کاربری | شناسه ثبت‌شده برای تلاش ورود؛ در رویداد ناموفق لزوماً متعلق به حساب موجود نیست |
| آدرس IP | نشانی تشخیص‌داده‌شده برای درخواست؛ مبنای محدودیت همین نشانی است |
| وضعیت | موفق یا ناموفق‌بودن رویداد ثبت‌شده |
| مرورگر کاربر | اطلاعات اعلام‌شده توسط نرم‌افزار درخواست‌کننده؛ مدرک قطعی هویت دستگاه نیست |
گزارش‌های تازه در بالای جدول قرار می‌گیرند. جدول ۵۰ رویداد اخیر را نشان می‌دهد؛ اگر موارد بیشتری ذخیره شده باشند، تعداد کل نگهداری‌شده در توضیح جدول مشخص می‌شود.
ردیف ناموفق نشان می‌دهد ورود موفق نشده است، نه اینکه الزاماً حساب هک شده یا صاحب همان نام کاربری اقدام کرده باشد. برای تفسیر، زمان، تکرار و IP را کنار هم بررسی کنید.
تنظیم مدت و تعداد نگهداری
دو محدودیت هم‌زمان روی گزارش‌ها اعمال می‌شوند:
- نگهداری گزارش‌ها (روز): رویدادهای قدیمی‌تر طبق این بازه کنار گذاشته می‌شوند. صفر یعنی فقط امروز، نه نگهداری نامحدود.
- حداکثر تعداد موارد نگهداری‌شده: پس از بررسی زمان، فقط تا سقف تعیین‌شده از تازه‌ترین رویدادها باقی می‌مانند.
مقدارهای پیش‌فرض، ۳۰ روز و ۱۰۰ رویداد هستند؛ تنظیم ذخیره‌شده سایت شما ممکن است متفاوت باشد. در پنل، بازه روز از صفر تا ۳۶۵ و سقف تعداد از ۲۰ تا ۵۰۰ نمایش داده شده است.
برای مثال، با مدت ۳۰ روز و سقف ۱۰۰ رویداد، اگر تعداد ورودها زیاد باشد، رویدادهای قدیمی‌تر پیش از رسیدن به ۳۰ روز هم به دلیل سقف تعداد حذف می‌شوند. این تنظیم تضمین نمی‌کند سابقه کامل یک ماه را داشته باشید.
کاهش این مقادیر و ذخیره تغییر می‌تواند همان زمان گزارش‌های خارج از محدوده را حذف کند. افزایش دوباره مقدار، رویداد حذف‌شده را برنمی‌گرداند.
پاک‌سازی در مسیر ثبت رویداد و تغییر تنظیمات اجرا می‌شود؛ حذف دقیق در یک ساعت مشخص از شبانه‌روز را از این تنظیم برداشت نکنید. این جدول یک بایگانی نامحدود یا جایگزین سامانه ثبت رخداد مستقل نیست.
فعال‌کردن محدودیت تلاش‌های ناموفق
- در «امنیت ورود مدیریت»، بخش «تنظیمات امنیتی» را باز کنید.
- گزینه «محافظت در برابر حملات Brute Force» را روشن کنید. منظور از این عنوان، محدودکردن تلاش‌های مکرر برای حدس رمز است.
- مقدار «حداکثر تلاش‌های ورود» را مشخص کنید.
- «مدت زمان قفل (دقیقه)» را تنظیم کنید.
- تغییرات را ذخیره کنید.
در تعریف پیش‌فرض کد، حد تلاش ۵ و مدت قفل ۶۰ دقیقه است. پنل برای تعداد تلاش بازه ۳ تا ۲۰ و برای مدت قفل بازه ۵ تا ۱۴۴۰ دقیقه نشان می‌دهد. برای خاموش‌کردن محافظت، از کلید فعال‌سازی استفاده کنید؛ صفر واردکردن جای آن نیست.
قفل بر اساس IP است، نه نام کاربری
با رسیدن شمارش شکست‌ها به حد تعیین‌شده، IP به‌طور موقت قفل می‌شود. تا رفع قفل، حتی با رمز صحیح هم نمی‌توانید از همان IP در فرم‌های تحت کنترل این قابلیت وارد شوید.
اگر چند نفر از یک اینترنت مشترک استفاده کنند، ممکن است IP یکسان داشته باشند و از قفل یکدیگر تأثیر بگیرند. تغییر نام کاربری یا بازکردن پنجره خصوصی، لزوماً محدودیت IP را دور نمی‌زند یا آن را پاک نمی‌کند.
ورود موفق، شمارنده تلاش‌های ناموفق قبلی را صفر نمی‌کند. بنابراین ممکن است تلاش‌های ناموفق قبل و بعد از یک ورود موفق، در رسیدن به حد قفل اثر داشته باشند.
زمان قفل چگونه محاسبه می‌شود؟
پیش از رسیدن به حد قفل، هر تلاش ناموفق زمان نگهداری شمارنده را از نو آغاز می‌کند. پس از قفل‌شدن IP، تلاش‌های مسدودشده مدت همان قفل را دوباره تمدید نمی‌کنند.
پیام صفحه ممکن است مدت تنظیم‌شده را نشان دهد؛ آن را شمارش معکوس دقیق زمان باقی‌مانده ندانید. تغییر مدت در پنل هم نباید به معنی بازنویسی خودکار زمان همه قفل‌های قبلی فرض شود.
آزمون کنترل‌شده
آزمون قفل را روی سایت اصلی با حساب تنها مدیر یا شبکه مشترک کاربران انجام ندهید. نشست مدیریتی باز و راه بازیابی مستقل را حفظ کنید.
بررسی کم‌خطر گزارش
- زمان شروع آزمون و حساب آزمایشی را یادداشت کنید.
- یک ورود موفق انجام دهید و ردیف مربوط را پیدا کنید.
- اگر از وضعیت شمارنده و نبود خطر قفل مطمئن هستید، یک تلاش ناموفق محدود با همان حساب انجام دهید.
- زمان، وضعیت و IP رویداد را با آزمون تطبیق دهید.
ارسال فرم خالی آزمون قابل اتکایی برای ثبت شکست نیست؛ مسیر بعضی ورودی‌های خالی پیش از ثبت رویداد برمی‌گردد.
بررسی قفل در محیط آزمایشی
برای یک مثال، در محیط آزمایشی و با شمارنده پاک، حد را ۳ تلاش و مدت را ۵ دقیقه بگذارید. این مقادیر صرفاً نمونه آزمون‌اند، نه توصیه یکسان برای همه سایت‌ها.
- از دستگاه یا شبکه آزمایشی سه بار رمز نادرست وارد کنید.
- پیام محدودیت را بررسی کنید.
- یک بار ورود با رمز صحیح را از همان IP امتحان کنید؛ مسیر تحت کنترل باید همچنان محدود باشد.
- تا پایان مدت تعیین‌شده صبر کنید یا از نشست مدیریتی مجاز قفل را طبق بخش بعد بردارید.
- صفحه تازه‌ای باز کنید و ورود صحیح را دوباره بررسی کنید.
- تنظیمات را به مقادیر موردنظر سایت برگردانید.
تلاش‌های مسدودشده را پشت سر هم تکرار نکنید. نتیجه این آزمون باید برای فرم واقعی سایت ثبت شود؛ موفقیت در یک فرم، پوشش همه روش‌های احراز هویت را ثابت نمی‌کند.
رفع قفل IP
در «تنظیمات امنیتی»، دکمه «پاک کردن قفل همه آدرس‌های IP» وجود دارد. این عملیات فقط قفل حساب آزمایشی را هدف نمی‌گیرد؛ برای همه قفل‌های این بخش طراحی شده است.
- ابتدا علت قفل را بررسی کنید. اگر نشانه‌ای از ترافیک مشکوک وجود دارد، پیش از رفع همه قفل‌ها موضوع را بررسی کنید.
- اگر رفع همه قفل‌ها مناسب است، از نشست مدیریتی مجاز دکمه را بزنید.
- پیام تأیید را بخوانید و عملیات را تأیید کنید.
- نتیجه را با ورود تازه از دستگاه آزمایشی بررسی کنید.
این کار محافظت را خاموش نمی‌کند؛ شکست‌های بعدی می‌توانند دوباره شمارش شوند. گزارش‌های قبلی هم با رفع قفل پاک نمی‌شوند.
محدودیت مهم: در محیط دارای کش اشیای ماندگار، پیام موفقیت این دکمه به‌تنهایی رفع واقعی قفل را ثابت نمی‌کند. این دکمه داده‌های قفل را از پایگاه داده پاک می‌کند، اما پاک‌سازی همان داده‌ها از کش خارجی در مسیر بررسی‌شده تأیید نشده است. اگر قفل باقی ماند، از پشتیبانی فنی بخواهید این مورد را بررسی کند؛ پاک‌سازی بی‌هدف همه کش‌های سایت راه‌حل پیش‌فرض نیست.
در رابط بررسی‌شده، فهرست انتخابی IPهای قفل‌شده و دکمه رفع قفل تک‌به‌تک تأیید نشد. جدول تلاش‌های ورود را با فهرست قفل‌های فعال یکی ندانید.
پاک‌کردن گزارش‌ها
در «گزارش‌های ورود»، دکمه «پاک کردن همه گزارش‌ها» کل سابقه نگهداری‌شده این بخش را حذف می‌کند، نه فقط ۵۰ ردیفی که در جدول می‌بینید.
پیش از تأیید، مطمئن شوید برای پیگیری رخداد به اطلاعات نیاز ندارید. امکان بازگردانی گزارش‌های حذف‌شده از داخل همین صفحه تأیید نشده است. اگر ثبت روشن بماند، رویدادهای تازه بعد از پاک‌سازی دوباره اضافه می‌شوند.
پاک‌کردن گزارش‌ها، قفل ورود را باز نمی‌کند و تنظیمات محافظت را تغییر نمی‌دهد.
مشکلات رایج و روش بررسی آن‌ها
هیچ گزارشی نمی‌بینم
روشن‌بودن «ثبت تلاش‌های ورود» و ذخیره تنظیمات را بررسی کنید. سپس یک ورود تازه از فرم استاندارد یا فرم آزموده‌شده سایت انجام دهید و جدول را دوباره باز کنید.
نبود گزارش را به معنی نبود تلاش ورود ندانید. ممکن است ثبت خاموش بوده، رویداد به دلیل محدودیت نگهداری حذف شده یا مسیر ورود افزونه دیگر رویداد مورد انتظار را ایجاد نکرده باشد.
همه کاربران با یک IP ثبت می‌شوند
اگر کاربران واقعاً شبکه مشترک ندارند، پراکسی یا CDN را بررسی کنید. در حالت پیش‌فرض، کد به نشانی اتصال مستقیم سرور تکیه می‌کند؛ اعتماد به هدرهای پراکسی به پیکربندی مشخص نیاز دارد.
تا پیش از تأیید IP درست، محدودیت سخت‌گیرانه را عمومی نکنید. تنظیم اعتماد پراکسی را به فرد فنی بسپارید؛ پذیرفتن هر هدر ارسالی بدون تعیین پراکسی مجاز راه‌حل درستی نیست.
رمز درست است، اما ورود انجام نمی‌شود
قفل IP، محدودیت افزونه دیگر و پیام واقعی فرم را بررسی کنید. اگر IP قفل باشد، رمز صحیح به‌تنهایی قفل این بخش را باز نمی‌کند.
اگر نشست مدیریتی مستقلی ندارید، از مسیر پشتیبانی برای بازیابی کنترل‌شده کمک بگیرید. داده‌های پایگاه داده یا فایل‌های افزونه را بدون نسخه پشتیبان حذف نکنید.
همه رویدادهای ذخیره‌شده در جدول نیستند
نمایش به ۵۰ مورد اخیر محدود است. عدد کل نگهداری‌شده را بررسی کنید. همچنین سقف تعداد می‌تواند پیش از پایان مدت روزانه، رویدادهای قدیمی‌تر را کنار بگذارد.
ثبت را خاموش کرده‌ام، اما جدول هنوز اطلاعات دارد
خاموش‌کردن ثبت، سابقه قبلی را خودکار پاک نمی‌کند. توضیح جدول وضعیت خاموش‌بودن ثبت را نشان می‌دهد. اگر قصد حذف دارید، اثر دکمه پاک‌کردن همه گزارش‌ها را جدا در نظر بگیرید.
رفع قفل موفق اعلام می‌شود، اما مشکل باقی است
صفحه تازه‌ای باز کنید و مطمئن شوید IP آزمایشی همان IP مورد بررسی است. کش اشیای ماندگار و محدودیت‌های ابزارهای امنیتی دیگر را بررسی کنید. این دکمه قفل CDN، دیواره امنیتی یا افزونه دیگر را حذف نمی‌کند.
محدوده عملکرد
این ماژول از سازوکار احراز هویت وردپرس استفاده می‌کند و اثر آن ممکن است به ورود کاربران با نقش‌های دیگر هم برسد. مسیرهای دیگری که از همان سازوکار استفاده می‌کنند نیز ممکن است گزارش یا محدود شوند.
پوشش درخواست‌های API، رمزهای برنامه، ورود پیامکی، ورود بیومتریک و فرم‌های اختصاصی ممکن است متفاوت باشد. رفتار هر مسیر به نحوه اتصال آن به احراز هویت وردپرس بستگی دارد و نیازمند آزمون جداست.
این بخش همچنین همه تغییرات سایت، ویرایش نوشته‌ها یا عملیات مدیر را ثبت نمی‌کند؛ موضوع آن رویدادهای ورود است. برای رمز مناسب، به‌روزرسانی و دیگر لایه‌های حفاظت همچنان برنامه جدا داشته باشید.
غیرفعال‌کردن
برای توقف ثبت تازه، «ثبت تلاش‌های ورود» را خاموش و ذخیره کنید. برای توقف اعمال محدودیت این بخش، کلید محافظت را جدا خاموش کنید.
خاموش‌کردن محافظت به معنی حذف تضمین‌شده شمارنده‌های قبلی نیست؛ اگر قبل از انقضای آن‌ها دوباره روشن شود، وضعیت قبلی می‌تواند اثر داشته باشد. پس از هر تغییر، نتیجه را با یک ورود کنترل‌شده بررسی کنید.
اجرای این بخش به مجوز لایسنس وابسته است. پس از تغییر وضعیت لایسنس، ادامه خودکار ثبت و محافظت را فرض نکنید. تغییر آدرس ورود و ظاهر آن نیز گزینه‌های مستقلی هستند که در راهنمای صفحه و آدرس سفارشی ورود مدیریت آمده‌اند.
قدم بعدی
پس از بررسی امنیت ورود، می‌توانید راه‌اندازی فاکتور حرفه‌ای ووکامرس را دنبال کنید. تنظیمات فاکتور مستقل از این ماژول است.