پایش بیرونی (External Monitoring) در برابر افزونه‌های درون‌برنامه‌ای
در اکوسیستم وردپرس، ابزارهای نگهداری به دو دسته کلی تقسیم می‌شوند:
- افزونه‌های درون‌برنامه‌ای (In-process Plugins): افزونه‌هایی مانند Wordfence یا iThemes ترافیک ورودی را در سطح کدهای PHP و با هوک‌های اجرایی تحلیل می‌کنند. این روش مزیت مسدودسازی حملات روی ورودی‌های فرم‌ها را دارد؛ اما به ازای هر درخواست کاربر، بخشی از توان پردازنده (CPU) و حافظه رم سرور را به خود اختصاص می‌دهد.
- پایش بیرونی و بدون ایجنت (External / Agentless Monitoring): سامانه‌هایی مانند کنسول WP-Hub که بدون نیاز به نصب هرگونه فایل، اسکریپت یا دسترسی ادمین روی هاست، وضعیت سایت را از نگاه یک کلاینت خارجی یا ارزیاب امنیتی بیرونی مورد بازرسی قرار می‌دهند.
تأثیر بر منابع سرور: ممیزی بیرونی بر خلاف ادعاهای غیرواقعی «سربار صفر»، بار کاملاً صفر ندارد. اسکن عمیق امنیتی شامل ارسال حدود ۱۰۰ تا ۲۵۰ درخواست HTTP در بازه ۱۵ تا ۳۵ ثانیه است. درخواست‌هایی که مسیرهای غیرفعال (مانند .env یا wp-config.php.bak) را بررسی می‌کنند، در صورت عدم مسدودسازی در وب‌سرور (Nginx/Litespeed) یا لایه CDN، وارد هسته PHP شده و پاسخ ۴۰۴ برمی‌گردانند. بنابراین بار ایجادشده بسیار کم، منقطع و محدود به زمان اجرای اسکن است و هرگز مانند افزونه‌های سنگین داخلی، روی هر بازدید کاربران عادی اجرا نمی‌شود.
معماری بدون ایجنت (Agentless) و مرزهای دقت شناسایی اجزا
کنسول ابری WP-Hub برای کشف مؤلفه‌ها و نسخه‌ها از ۴ لایه متوالی استفاده می‌کند:
- تحلیل پسیو کدهای فرانت‌اند (Passive HTML Analysis): بازرسی فایل‌های CSS و JS پیوست‌شده در صفحه اصلی برای استخراج شناسه افزونه‌ها (مانند
/wp-content/plugins/slug/). - خزش هدفمند صفحات داخلی (Deep Asset Crawling): بررسی صفحات کلیدی مانند فروشگاه ووکامرس، وبلاگ و فرم‌ها برای شناسایی اسکریپت‌هایی که فقط در بخش‌های داخلی لود می‌شوند.
- پروب گزینشی کاتالوگ افزونه‌های محبوب: ارسال درخواست‌های سبک به مسیرهای دارایی‌های عمومی پرکاربردترین افزونه‌های مخزن رسمی.
- تلاش برای استخراج نگارش (Version Detection): خواندن پارامترهای نسخه در کوئری‌استرینگ‌ها (
?ver=x.y.z) یا محتوای فایل‌های متنی استاندارد در صورت در دسترس بودن (مانندreadme.txt).
مرزهای واقعی و چالش‌های دقت در ممیزی جعبه‌سیاه (Black-box)
- افزونه‌های پس‌زمینه‌ای (Backend-only): افزونه‌هایی که هیچ فایل خروجی در فرانت‌اند ندارند در اسکن بیرونی دیده نمی‌شوند؛ با این حال ممکن است اندپوینت‌های اکشن ناامن در
admin-ajax.phpیا REST API داشته باشند که یک مهاجم هدفمند بتواند از آنها سوءاستفاده کند. کشف این دسته نیازمند ممیزی دسترسی به کد (White-box) است. - چالش پارامتر
?ver=: این پارامتر در بسیاری از قالب‌ها نسخه هسته وردپرس یا نسخه اختصاصی استایل است، نه نسخه واقعی پلاگین. علاوه بر این، افزونه‌های بهینه‌سازی (مانند WP Rocket یا Autoptimize) معمولاً کوئری‌استرینگ‌ها را حذف می‌کنند. - وضعیت نامشخص (Unknown): در صورتی که کنسول نتواند نسخه دقیق یک افزونه را با شواهد قطعی راستی‌آزمایی کند، آن را به عنوان «نامشخص (Unknown)» علامت‌گذاری می‌کند تا از تولید هشدارهای کاذب (False Positives) در تطبیق CVE جلوگیری شود.
سنجش سرعت، Core Web Vitals و تحلیل عمیق دارایی‌ها
موتور ارزیابی سرعت در کنسول WP-Hub بر بستر Google PageSpeed Insights API (موتور رسمی Lighthouse) کار می‌کند و بررسی را در دو نمای موبایل و دسکتاپ انجام می‌دهد.
۱. تفکیک سناریوی آزمایشگاهی (Synthetic) و داده‌های میدانی (CrUX):
- شاخص‌های آزمایشگاهی (Lighthouse): شاخص‌های LCP، FCP، CLS و Speed Index در محیط شبیه‌سازی‌شده سنجیده می‌شوند. از آنجا که شاخص میدانی
INP(Interaction to Next Paint) وابسته به کلیک و لمس کاربران واقعی است، لایت‌هاوس در آزمایشگاه از TBT (Total Blocking Time) به عنوان بهترین جایگزین آزمایشگاهی موجود برای سنجش زمان مسدودی پردازنده استفاده می‌کند. - داده‌های میدانی کاربران واقعی (Chrome User Experience Report - CrUX): برای دامنه‌هایی که ترافیک ماهانه کافی در مرورگر کروم دارند، کنسول داده‌های ۲۸ روز گذشته کاربران واقعی (شامل INP واقعی و تجربه میدانی) را نیز از API گوگل استخراج و گزارش می‌کند.
۲. تحلیل تخصصی حجم و تفکیک منابع صفحه (Asset Breakdown):
یکی از قابلیت‌های کاربردی کنسول که فراتر از نمره‌دهی کلی عمل می‌کند، ماژول اختصاصی تحلیل دارایی‌های صفحه (Page Asset Inspector) است:
- تفکیک حجمی بر اساس نوع فایل: محاسبه دقیق حجم مصرفی به تفکیک اسکریپت‌های جاوااسکریپت (JS)، شیوه‌نامه‌ها (CSS)، تصاویر، فونت‌های وب، کدهای شخص ثالث (Third-party) و سند اصلی HTML.
- شناسایی سنگین‌ترین منابع: نمایش فهرست فایل‌های حجیم مسدودکننده رندر با ذکر آدرس و حجم دقیق.
- بررسی فشرده‌سازی شبکه: عیب‌یابی وضعیت فعال بودن فشرده‌سازی Gzip یا Brotli بر روی تک‌تک دارایی‌های بارگذاری‌شده.
۳. ابزارهای خروجی و گزارش‌گیری اجرایی:
- خروجی ساختاریافته JSON: دریافت کامل داده‌های خام تحلیل عملکرد جهت یکپارچه‌سازی با پایپ‌لاین‌های CI/CD یا داشبوردهای مدیریتی.
- گزارش حرفه‌ای PDF با اصالت‌سنجی: تولید کارنامه رسمی با صفحه‌بندی استاندارد RTL فارسی، تاریخ شمسی، جدول تفکیک نمرات، کد QR و اثرانگشت رمزنگاری‌شده SHA-256 قابل استعلام در پرتال رسمی تایید اصالت مدرک (
/verify). - تحلیل هوشمند با AI: تبدیل جداول خام و هشدارهای فنی لایت‌هاوس به توصیه‌های اولویت‌بندی‌شده، گام‌به‌گام و قابل اقدام به زبان فارسی با بهره‌گیری از مدل‌های زبانی هوش مصنوعی.
⚡ تست آنی سرعت بدون نیاز به ثبت‌نام
اگر پیش از اتصال به کنسول مایلید نمره عملکرد و زمان رندر صفحه خود را به صورت رایگان مشاهده کنید، از ابزار عمومی استفاده کنید:
ورود به ابزار رایگان تست سرعت سایت ⚡موتور ممیزی امنیتی WP Guard و سیاست عدم ذخیره محتوا
موتور ممیزی WP Guard وظیفه بررسی امنیتی سایت‌های ثبت و تاییدشده را بر عهده دارد. ارزیابی‌های این موتور به دو دسته متمایز تفکیک می‌شوند:
۱. کشف نشت‌های بحرانی (Critical Information Disclosure):
بررسی دسترسی‌پذیری فایل‌های حساس شامل نسخه‌های پشتیبان دیتابیس (پسوندهای .sql, .sqlite)، فایل‌های پیکربندی و متغیرهای محرمانه (مانند wp-config.php.bak, .env)، دایرکتوری‌های بدون محافظت .git و لاگ‌های خطای PHP.
🔒 خط‌مشی حریم خصوصی در فایل‌های حساس
کنسول WP-Hub در زمان بررسی فایل‌های نشت‌کرده، صرفاً کدهای وضعیت HTTP، هدرهای پاسخ و امضای چند بایتی اولیه (Magic Bytes مثل PK یا <?php) را جهت راستی‌آزمایی خطای ۴۰۴ کاذب ارزیابی می‌کند. محتوای فایل‌های کشف‌شده، اطلاعات دیتابیس یا کلیدهای امنیتی به هیچ عنوان دانلود، ذخیره یا در پایگاه‌داده کنسول لاگ نمی‌شوند.
۲. ارزیابی هدرهای امنیتی و اقدامات سخت‌سازی (Hardening):
- هدرهای دفاعی وب‌سرور: پایش وضعیت هدرهای
HSTS,Content-Security-Policy,X-Frame-Options,X-Content-Type-OptionsوReferrer-Policy. - کاهش سطح حمله (Attack Surface Reduction): باز بودن رابط
XML-RPCیا دسترسی مستقیم بهwp-cron.phpبه عنوان باگ نفوذ تلقی نمی‌شوند، بلکه به عنوان نقایص سخت‌سازی و بار اضافی سرور ثبت می‌گردند و توصیه استاندارد استفاده از کرون‌جاب سیستم‌عامل (Linux Crontab) به کاربر ارائه می‌شود. - منبع اطلاعات آسیب‌پذیری‌های CVE: بررسی باگ‌های شناخته‌شده با فید پایگاه داده Wordfence Intelligence Community و کاتالوگ آسیب‌پذیری‌های هسته و افزونه‌های وردپرس تطبیق داده می‌شود. این داده‌ها برای پرهیز از تأخیر اسکن، به صورت محلی در سرور همگام‌سازی و کش می‌شوند.
پایش خودکار آپتایم و SSL با مکانیزم تایید مجدد
کارگر پس‌زمینه کنسول (Monitoring Worker) وظیفه پایش ۲۴ ساعته پایداری دامنه‌های ثبت‌شده را بر عهده دارد:
- مکانیزم تایید دو مرحله‌ای قطعی (Zero False-Alarm Logic): برای سایت‌های میزبانی‌شده در ایران، نوسانات مقطعی شبکه بین‌الملل ممکن است باعث خطای کاذب شود. بنابراین اگر در چرخه پایش، سایتی پاسخ خطا یا تایم‌اوت دریافت کند، سیستم پس از یک وقفه ۳.۵ ثانیه‌ای تست تاییدی مجدد را اجرا می‌کند و تنها در صورت تایید قطعی دان‌تایم، هشدار ارسال می‌نماید.
- کانال‌های هشدار چندگانه: ارسال فوری اعلان قطعی و برگشت به مدار از طریق ربات تلگرام و پیامک اعتبارسنجی سریع (SMS.ir) بدون اتکا به ایمیل‌های اسپم‌شونده.
- پایش پیشگیرانه انقضای SSL: محاسبه و رصد روزهای اعتبار گواهی SSL و ارسال هشدار خودکار در بازه‌های ۳۰ روز، ۷ روز و ۱ روز قبل از ابطال گواهی.
جدول مقایسه فنی: رویکردها و ابزارهای مانیتورینگ وردپرس
| شاخص بررسی | افزونه‌های امنیتی داخلی (مانند Wordfence) | ابزارهای عمومی (مانند UptimeRobot / GTmetrix) | اسکنرهای بیرونی (مانند WPScan CLI / SiteCheck) | کنسول ابری WP-Hub (console.wphb.org) |
|---|---|---|---|---|
| شیوه استقرار | نصب در هاست، اجرای کدهای PHP در هر ریکوئست | کاملاً ابری / درخواست HTTP | کاملاً ابری / خط فرمان یا اسکنر تحت وب | کاملاً ابری / بدون نصب ایجنت روی هاست |
| اثر بر منابع سرور | مصرف مداوم رم و پردازنده هاست | بسیار کم و منقطع (پینگ دوره‌ای) | بسیار کم و منقطع در زمان اسکن | بسیار کم و منقطع (محدود به زمان اسکن، ۱۰۰-۲۵۰ درخواست) |
| مسدودسازی در کدهای وردپرس | بسیار قوی در سطح سورس PHP | ندارد | ندارد | ندارد (ارزیابی سطوح حمله بیرونی؛ WAF هاست جداگانه عمل می‌کند) |
| سنجش Core Web Vitals | ندارد | تست سرعت با موتور لایت‌هاوس (GTmetrix) | ندارد | موتور رسمی گوگل + تفکیک وزن منابع و داده‌های CrUX |
| خروجی‌های کاربردی | ایمیل لاگ پیشخوان | خروجی نمودارهای عمومی / PDF | خروجی کنسولی / متنی | گزارش PDF رسمی فارسی با QR، خروجی JSON و تحلیل AI |
| کانال‌های اعلان محلی | ایمیل مدیر | ایمیل / پیامک بین‌المللی / وب‌هوک | ایمیل / وب‌هوک | ربات اختصاصی تلگرام + پیامک سریع ایران (SMS.ir) |
سهمیه‌ها، اثبات مالکیت و حریم خصوصی داده‌ها
خدمات کنسول ابری با مدل شفاف و سهمیه‌های مشخص ارائه می‌شود:
- اثبات الزامی مالکیت دامنه: در حالی که ابزار تست سرعت برای هر دامنه‌ای آزاد است، انجام ممیزی عمیق امنیتی WP Guard منحصراً پس از تایید مالکیت دامنه از طریق رکورد DNS TXT یا آپلود فایل توکن در روت سایت امکان‌پذیر است.
- سهمیه‌های پلن رایگان (Free Tier): امکان ثبت ۱ وب‌سایت تاییدشده، ۱۰ آزمون سرعت روزانه، ۵ اسکن عمیق امنیتی در ماه، و ۵ تحلیل تفسیری هوش مصنوعی در ماه.
- پلن‌های تجاری (Starter, Pro, Agency): شامل مانیتورینگ خودکار آپتایم و SSL (در بازه‌های ۲ دقیقه تا ۳۰ ثانیه)، اسکن‌های زمان‌بندی‌شده منظم، هشدارهای پیامک و تلگرام، و صدور گزارش‌های نامحدود PDF.
- نکته مهم درباره آی‌پی Whitelist و تست‌های گوگل: آی‌پی خروجی سرور کنسول (
91.107.240.253) تنها برای پروب‌های امنیتی و مانیتورینگ آپتایم به کار می‌رود و در صورت فعال بودن WAF یا فایروال کلودفلر باید در لیست سفید قرار گیرد. اما درخواست‌های تست سرعت PageSpeed مستقیماً از سرورهای جهانی گوگل ارسال می‌شوند. همچنین به دلیل موقعیت سرورهای گوگل در خارج از کشور، شاخص آزمایشگاهی TTFB برای هاست‌های ایران ممکن است کمی بالاتر از تجربه کاربران داخلی نمایش داده شود.
راهنمای شروع؛ مسیر دو مرحله‌ای
- ارزیابی اولیه در صفحه رایگان: بدون ثبت‌نام، دامنه خود را در ابزار رایگان تست سرعت سایت وارد کنید تا شاخص‌های LCP، TBT و اندازه منابع صفحه را بسنجید.
- اتصال به کنسول: با ورود به کنسول ابری WP-Hub و تایید دامنه، مانیتورینگ دوره‌ای آپتایم، هشدارهای پیامکی و ممیزی امنیتی مداوم سایتتان را فعال کنید.