ওয়ার্ডপ্রেস লগইন সিকিউরিটি: সিকিউরিটি প্লাগইন বসালেই ব্রুট ফোর্স অ্যাটাক বন্ধ হয় না
আপনার ওয়ার্ডপ্রেস সাইটে প্রতিদিন কতবার লগইন করার চেষ্টা হচ্ছে, খেয়াল করে দেখেছেন কখনো? বেশিরভাগ সাইটেই এই সংখ্যাটা ধারণার চেয়ে অনেক বেশি, আর তার প্রায় পুরোটাই বট। ওয়ার্ডপ্রেস লগইন সিকিউরিটি নিয়ে সবচেয়ে বড় ভুল ধারণা হলো, একটা সিকিউরিটি প্লাগইন ইনস্টল করলেই ব্রুট ফোর্স অ্যাটাক পুরোপুরি বন্ধ হয়ে যায়।
উত্তরটা হলো, না। সিকিউরিটি প্লাগইন আক্রমণের গতি কমাতে সাহায্য করে, কিন্তু আক্রমণ বন্ধ করে দেয় না। যেসব সাইট বছরের পর বছর নিরাপদ থাকে, তাদের পেছনে একটা প্লাগইন কাজ করে না, বরং কয়েকটা স্তরের সুরক্ষা একসাথে কাজ করে।
ব্রুট ফোর্স অ্যাটাক আসলে কীভাবে কাজ করে
ব্রুট ফোর্স অ্যাটাক মানে একটা বট বা স্ক্রিপ্ট wp-login.php পেজে হাজার হাজার username আর password এর কম্বিনেশন বসিয়ে ঢোকার চেষ্টা চালায়। এই কম্বিনেশনগুলো এলোমেলো না, বরং আগে থেকে ফাঁস হওয়া রিয়েল পাসওয়ার্ড লিস্ট থেকে নেওয়া হয়।
বিভিন্ন সাইট থেকে ফাঁস হওয়া কোটি কোটি username-password কম্বিনেশন ডার্ক ওয়েবে সহজলভ্য। বট এই লিস্ট নিয়ে হাজার হাজার ওয়ার্ডপ্রেস সাইটে একসাথে ট্রাই করে দেখে, কোথাও মিলে যায় কিনা। “admin” নামের ইউজারনেম আর সাধারণ পাসওয়ার্ন প্যাটার্ন সবচেয়ে বেশি টার্গেট হয়।
সিকিউরিটি প্লাগইন যথেষ্ট নয় কেন
বেশিরভাগ সিকিউরিটি প্লাগইন একটাই নিয়মে কাজ করে: নির্দিষ্ট সংখ্যক ভুল চেষ্টার পর সেই IP ব্লক করে দেওয়া। Wordfence বা Sucuri-এর মতো জনপ্রিয় প্লাগইনও মূলত এই লজিকের উপর দাঁড়িয়ে।
সমস্যা হলো, আধুনিক বটনেট একটা IP থেকে আক্রমণ চালায় না। হাজার হাজার আলাদা আলাদা IP থেকে একসাথে অল্প অল্প করে চেষ্টা আসে, যাতে কোনো একটা IP সন্দেহজনক না লাগে। একটা IP ব্লক হলে পরের সেকেন্ডেই আরেকটা IP থেকে চেষ্টা শুরু হয়। শুধু IP ব্লকিং দিয়ে এই ধরনের ডিস্ট্রিবিউটেড অ্যাটাক পুরোপুরি ঠেকানো যায় না।
টু ফ্যাক্টর অথেন্টিকেশন (2FA) কীভাবে সেটআপ করবেন
লগইন সিকিউরিটির সবচেয়ে কার্যকর সমাধান হলো 2FA, কারণ পাসওয়ার্ড চুরি হয়ে গেলেও দ্বিতীয় ধাপ ছাড়া কেউ অ্যাকাউন্টে ঢুকতে পারে না। ধাপগুলো নিচে দেওয়া হলো।
- একটা নির্ভরযোগ্য 2FA প্লাগইন ইনস্টল করুন, যেমন WP 2FA বা Wordfence Login Security।
- Google Authenticator বা Authy অ্যাপ দিয়ে QR কোড স্ক্যান করে অ্যাকাউন্ট যুক্ত করুন।
- প্রতিটা অ্যাডমিন ও এডিটর ইউজারের জন্য 2FA বাধ্যতামূলক করে দিন, ঐচ্ছিক রাখলে অনেকেই সেট করবে না।
- ব্যাকআপ কোডগুলো নিরাপদ জায়গায় সংরক্ষণ করুন, ফোন হারিয়ে গেলে বা প্লাগইন রিসেট হলে এগুলোই একমাত্র পথ।
- পুরনো লগইন সেশন নিয়মিত রিভোক করুন, বিশেষ করে শেয়ার্ড কম্পিউটার থেকে লগইন করা থাকলে।
লগইন সিকিউরিটির আরও কিছু বাস্তব পদক্ষেপ
শুধু 2FA বসিয়ে দিলেই কাজ শেষ হয়ে যায় না। নিচের অভ্যাসগুলো একসাথে মেনে চললে ব্রুট ফোর্স অ্যাটাক সফল হওয়ার সম্ভাবনা অনেকটাই কমে যায়।
XML-RPC এবং REST API নিয়ে কী করবেন
XML-RPC ব্যবহার না করলে সেটা বন্ধ রাখাই ভালো, কারণ এটা ব্রুট ফোর্স অ্যাটাকের প্রিয় টার্গেট। xmlrpc.php-এর system.multicall ফিচার দিয়ে একটা মাত্র রিকোয়েস্টে শত শত username-password কম্বিনেশন একসাথে টেস্ট করা যায়, যা সাধারণ রেট-লিমিটিংকে সহজে ফাঁকি দেয়।
Jetpack বা কোনো মোবাইল অ্যাপ দিয়ে পোস্ট করার দরকার না থাকলে XML-RPC নিরাপদে বন্ধ করে দেওয়া যায়। REST API পুরোপুরি বন্ধ না করে বরং Application Passwords ব্যবহার করে নির্দিষ্ট প্রয়োজনে সীমিত অ্যাক্সেস দেওয়াই ভালো অভ্যাস।
হোস্টিং লেভেল সুরক্ষা কেন গুরুত্বপূর্ণ
প্লাগইন লেভেলের সুরক্ষা যতই ভালো হোক, হোস্টিং সার্ভারে ফায়ারওয়াল বা ModSecurity না থাকলে সেটা অর্ধেক কাজ। সস্তা শেয়ার্ড হোস্টিংয়ে অনেক সময় সার্ভার-লেভেল প্রোটেকশন খুবই সীমিত থাকে, ফলে পুরো বোঝা গিয়ে পড়ে একটা প্লাগইনের উপর।
এই কারণে শুরু থেকেই সঠিক ডোমেইন ও হোস্টিং সার্ভিস বেছে নেওয়া জরুরি, যেখানে সার্ভার-লেভেল ফায়ারওয়াল আর নিয়মিত মনিটরিং থাকে। শুধু আপডেট রাখলেই সাইট নিরাপদ থাকে না, কেন এটা সম্পূর্ণ ধারণা নয় তা নিয়ে আগে ওয়ার্ডপ্রেস আপডেট না করলে সাইট হ্যাক হওয়ার আসল কারণ আর্টিকেলে বিস্তারিত লেখা হয়েছে।
উপরের সব সুরক্ষা ব্যবস্থা মেনে চললেও একটা জিনিস কখনো বাদ দেওয়া যাবে না, নিয়মিত ব্যাকআপ। কোনো কারণে সাইট কমপ্রোমাইজ হলেও একটা ক্লিন ব্যাকআপ থাকলে দ্রুত রিস্টোর করা সম্ভব, এই বিষয়ে ওয়ার্ডপ্রেস ব্যাকআপ স্ট্র্যাটেজি নিয়ে আগের আর্টিকেলে ধাপে ধাপে দেখানো আছে।
শেষ কথা
ওয়ার্ডপ্রেস লগইন সিকিউরিটি একটা প্লাগইন বসিয়ে ভুলে থাকার বিষয় না। ১০+ বছর ধরে ওয়ার্ডপ্রেস সাইট বানানো এবং ৯৫০+ ফাইভার ক্লায়েন্ট প্রজেক্ট সামলানোর অভিজ্ঞতা থেকে একটা জিনিস স্পষ্ট হয়ে ওঠে, যেসব সাইট বছরের পর বছর হ্যাক ছাড়া চলে, তাদের সুরক্ষা কখনোই একটা প্লাগইনের উপর নির্ভর করে না, বরং কয়েকটা স্তর একসাথে কাজ করে।
পুরো প্রসেসটা নিজে শিখে সঠিকভাবে সেট করতে চাইলে WordPress Pro কোর্সে সিকিউরিটি, ব্যাকআপ ও মেইনটেন্যান্স ওয়ার্কফ্লো হাতে-কলমে শেখানো হয়।
