چک لیست جامع امنیت وب سایت

1- استفاده از رمزهای عبور قوی و پیچیده برای تمام حساب‌ها 2- فعال‌سازی احراز هویت دو مرحله‌ای (2FA) 3- محدود کردن تعداد تلاش‌های ناموفق لاگین 4- غیرفعال کردن ورود با نام کاربری admin یا root 5- استفاده از CAPTCHA برای جلوگیری از حملات خودکار 6- محدود کردن دسترسی به پنل مدیریت بر اساس IP 7- تغییر پیشوند جدول دیتابیس در CMSها 8- غیرفعال کردن لیست کردن دایرکتوری‌ها 9- استفاده از هاستینگ معتبر با پروتکل‌های امنیتی 10- به‌روزرسانی مداوم سیستم عامل سرور 11- غیرفعال کردن پورت‌های غیرضروری 12- تنظیم فایروال سرور (CSF, iptables) 13- استفاده از ModSecurity 14- فعال‌سازی SSL/TLS با گواهی معتبر 15- غیرفعال کردن پروتکل‌های قدیمی SSL/TLS 16- پیکربندی هدرهای امنیتی (HSTS, CSP) 17- محدود کردن دسترسی SSH با کلید امنیتی 18- جلوگیری از تزریق SQL (Prepared Statements) 19- جلوگیری از XSS با فیلتر ورودی‌ها 20- جلوگیری از CSRF با توکن امنیتی 21- جلوگیری از LFI/RFI 22- جلوگیری از XXE در فایل‌های XML 23- جلوگیری از Clickjacking 24- محدود کردن دامنه‌های مجاز CORS 25- غیرفعال کردن نمایش خطاهای عمومی 26- استفاده از کدهای رمزنگاری شده 27- به‌روزرسانی مداوم CMS و افزونه‌ها 28- حذف افزونه‌ها و قالب‌های غیرضروری 29- تغییر آدرس پیش‌فرض ورود مدیریت 30- محدود کردن دسترسی به فایل‌های حساس 31- غیرفعال کردن اجرای PHP در پوشه آپلود 32- استفاده از پلاگین‌های امنیتی 33- بررسی و محدود کردن دسترسی کاربران 34- تغییر پیشوند جداول دیتابیس 35- محدود کردن دستورات دیتابیس کاربر 36- پشتیبان‌گیری منظم از دیتابیس 37- رمزهای عبور قوی برای کاربران دیتابیس 38- غیرفعال کردن دستورات خطرناک SQL 39- محدود کردن انواع فایل‌های قابل آپلود 40- اسکن فایل‌های آپلود شده 41- تنظیم صحیح مجوزهای فایل (CHMOD) 42- غیرفعال کردن اجرای PHP در پوشه‌های غیرضروری 43- نصب سیستم لاگگیری (Fail2Ban) 44- تنظیم هشدار برای فعالیت‌های مشکوک 45- مانیتورینگ ترافیک و حملات DDoS 46- اجرای تست نفوذ دوره‌ای 47- بررسی منظم لاگ‌های دسترسی 48- جلوگیری از اسپم کامنت‌ها 49- پیکربندی صحیح robots.txt 50- نظارت بر لینک‌های مخرب 51- پیاده‌سازی سیاست رمز عبور پیچیده (حداقل 12 کاراکتر) 52- الزام به تغییر رمز هر 90 روز 53- ثبت تاریخچه 5 رمز عبور آخر 54- استفاده از سیستم مدیریت رمز عبور سازمانی 55- فعال‌سازی 2FA با روش‌های چندگانه (پیامک/اپلیکیشن) 56- محدودیت 5 تلاش ناموفق و قفل 30 دقیقه‌ای 57- ممنوعیت استفاده از اطلاعات شخصی در رمزها 58- غیرفعال‌سازی کامل حساب‌های پیش‌فرض 59- CAPTCHA پیشرفته با رفتارشناسی کاربر 60- فیلتر IPهای مشکوک به صورت خودکار 61- تغییر پیشوند wp_ به ترکیب حروف و اعداد تصادفی 62- غیرفعال‌سازی کامل directory listing 63- بررسی ماهانه مجوزهای فایل‌ها 64- حذف فایل‌های readme.html و license.txt 65- غیرفعال‌سازی XML-RPC در وردپرس 66- پنهان‌سازی نسخه CMS و فناوری‌های استفاده شده 67- محدودیت دسترسی به فایل wp-config.php 68- حذف متا تگ generator 69- غیرفعال‌سازی پینگ‌بک و trackback 70- تنظیم cookie امن با ویژگی HttpOnly و Secure 71- محدودیت طول sessionها 72- خروج خودکار پس از 30 دقیقه عدم فعالیت 73- ثبت تمام لاگین‌های موفق و ناموفق 74- هشدار فوری برای لاگین از IPهای جدید 75- بررسی هفتگی کاربران و نقش‌های آنها 76- استفاده از سرورهای اختصاصی یا VPS امن 77- به‌روزرسانی خودکار امنیتی سرور 78- حذف تمام سرویس‌های غیرضروری 79- تنظیم فایروال سخت‌گیرانه سطح شبکه 80- بستن تمام پورت‌های غیرضروری 81- پیاده‌سازی سیستم تشخیص نفوذ (IDS) 82- فعال‌سازی ModSecurity با قوانین سفارشی 83- استفاده از TLS 1.3 به صورت انحصاری 84- پیاده‌سازی HSTS با max-age حداقل 6 ماه 85- غیرفعال‌سازی کامل SSLv2, SSLv3, TLS 1.0, 1.1 86- استفاده از سیپهرهای امن و به‌روز 87- فعال‌سازی OCSP Stapling 88- پیاده‌سازی CSP سطح 3 89- تنظیم X-Frame-Options به DENY 90- فعال‌سازی X-XSS-Protection 91- تنظیم Referrer-Policy به strict-origin 92- محدودیت دسترسی SSH به IPهای خاص 93- غیرفعال‌سازی لاگین root از طریق SSH 94- استفاده از پورت غیراستاندارد برای SSH 95- پیاده‌سازی Fail2Ban با تنظیمات سخت‌گیرانه 96- مانیتورینگ لحظه‌ای منابع سرور 97- هشدار برای مصرف غیرعادی منابع 98- پیکربندی مناسب SELinux/AppArmor 99- جداسازی محیط‌های اجرایی 100- محدودیت اجرای دستورات خطرناک