साल के हर दिन चौबीसों घंटे सहायता सिस्टम की स्थिति बिक्री संबंधी पूछताछ
सहायता के लिए लॉगिन करें ग्राहक लॉगिन
Managed-WP.™ लोगो
ग्राहक लॉगिन शुरू करें

WordPress सुरक्षा हार्डनिंग: अपनी साइट और पहचान की सुरक्षा के लिए चरण-दर-चरण मार्गदर्शिका

← सभी लेख

समीक्षा: 27 सितंबर 2026

WordPress अकाउंट सुरक्षा कोई एक सेटिंग नहीं है; यह कई निर्णयों का क्रम है — कौन साइन इन कर सकता है, आप कौन-सा सॉफ़्टवेयर चला रहे हैं, और संकट में आप कैसे रिकवर करेंगे। आधिकारिक WordPress हार्डनिंग गाइड सुरक्षा को जोखिम घटाने के रूप में देखता है, पूर्ण सुरक्षा के रूप में नहीं। यह मार्गदर्शिका बताती है कि WordPress में सेंध आम तौर पर कहाँ से शुरू होती है, और आज लाइव साइट पर कौन-कौन से कदम उठाए जा सकते हैं।

जोखिम असल में कहाँ से आता है

ज़्यादातर WordPress घटनाएँ कुछ ही कारणों तक सीमित होती हैं: कमज़ोर या दोहराया गया एडमिन पासवर्ड, बिना अपडेट प्लगइन या थीम, ज़रूरत से ज़्यादा अधिकार दिया गया इंटीग्रेशन, और ऐसा बैकअप जिसे कभी टेस्ट नहीं किया गया। लॉगिन URL या WordPress वर्शन छिपाने से इनमें से कुछ भी ठीक नहीं होता। नीचे दिए कदम उन्हीं असली कारणों पर केंद्रित हैं।

चरण 1 — अकाउंट और इंटीग्रेशन की सूची बनाएँ

हर उपयोगकर्ता, हर एप्लिकेशन पासवर्ड और हर थर्ड-पार्टी कनेक्शन की सूची बनाएँ। कर्मचारी के जाने के दिन ही उसका अकाउंट हटाएँ और अब उपयोग न होने वाले इंटीग्रेशन के टोकन रद्द करें। जिस पहुँच को आप भूल चुके हैं, उसकी सुरक्षा नहीं की जा सकती।

चरण 2 — प्रमाणीकरण ठीक करें

  • पासवर्ड मैनेजर में यूनिक पासवर्ड रखें। लंबाई ज़बरदस्ती की जटिलता से ज़्यादा मायने रखती है। मौजूदा NIST मार्गदर्शन (SP 800-63B) लंबे पासफ़्रेज़ को प्राथमिकता देता है, कम से कम 64 अक्षरों की अनुमति देता है, और नियमित बदलाव के बजाय लीक हुए पासवर्ड की सूची से जाँच की सलाह देता है।
  • ऐप-आधारित या हार्डवेयर टू-फ़ैक्टर उपयोग करें। TOTP ऐप और सुरक्षा कुंजी SMS कोड से मज़बूत हैं, जिन्हें इंटरसेप्ट किया जा सकता है या SIM स्वैप से तोड़ा जा सकता है।
  • जहाँ उपलब्ध हो, पासकी इस्तेमाल करें। पासकी और हार्डवेयर कुंजी (WebAuthn/FIDO2) फ़िशिंग-रोधी हैं क्योंकि इन्हें नकली लॉगिन पेज में टाइप नहीं किया जा सकता। WordPress कोर में टू-फ़ैक्टर या पासकी लॉगिन नहीं है, यह आपके सुरक्षा प्लगइन या होस्ट/आइडेंटिटी प्रोवाइडर पर निर्भर करता है।

चरण 3 — न्यूनतम विशेषाधिकार लागू करें

कंटेंट लिखने वाले ज़्यादातर लोगों को Administrator भूमिका की ज़रूरत नहीं होती। हर व्यक्ति को काम के लिए ज़रूरी सबसे कम भूमिका दें, लॉक-आउट से बचने के लिए कम से कम दो एडमिन रखें, और एप्लिकेशन पासवर्ड सिर्फ़ उसी इंटीग्रेशन के लिए दें जिसे वाकई ज़रूरत हो।

चरण 4 — कोर, थीम और प्लगइन पैच करें

WordPress 7.1.2 को 22 सितंबर 2026 को जारी किया गया, 17 सितंबर 2026 के 7.1.1 मेंटेनेंस और सुरक्षा रिलीज़ के तुरंत बाद। सार्वजनिक रूप से दर्ज WordPress कमज़ोरियाँ कोर के बजाय प्लगइन और थीम में ज़्यादा मिलती हैं, इसलिए पैचिंग सबसे मूल्यवान नियमित काम है। जहाँ संभव हो अपडेट ऑटोमैटिक करें, कस्टम कोड वाली साइट पर स्टेजिंग में परीक्षण करें, और बिना उपयोग की चीज़ें हटाएँ — निष्क्रिय कोड सर्वर पर रहता है और उसका रखरखाव भी ज़रूरी होता है।

चरण 5 — अनावश्यक हमले की सतह घटाएँ

  • पूरी साइट HTTPS पर चलाएँ और HTTP को रीडायरेक्ट करें।
  • आधिकारिक हार्डनिंग मार्गदर्शन अपनाएँ: सही फ़ाइल स्वामित्व और अनुमतियाँ, wp-config.php पर सख़्त अनुमतियाँ, DISALLOW_FILE_EDIT से अंतर्निहित फ़ाइल एडिटर बंद करना, और ऐसा डेटाबेस उपयोगकर्ता जिसके पास सिर्फ़ ज़रूरी अधिकार हों।
  • अगर कोई ज़रूरी इंटीग्रेशन XML-RPC का उपयोग नहीं करता, तो उसे ब्लॉक करें।
  • वेब एप्लिकेशन फ़ायरवॉल और लॉगिन रेट लिमिटिंग ऑटोमेटेड दुरुपयोग घटाते हैं, पर ये सहायक नियंत्रण हैं — ये कमज़ोर प्लगइन या कमज़ोर पासवर्ड को ठीक नहीं करते।
  • HSTS, Content-Security-Policy और X-Content-Type-Options जैसे सुरक्षा हेडर जोड़ें।

चरण 6 — ऐसे बैकअप जिन्हें रिस्टोर करके देखा गया हो

जिस बैकअप को कभी रिस्टोर न किया गया हो, वह केवल एक अनुमान है। आधिकारिक बैकअप मार्गदर्शन तीन से पाँच हालिया प्रतियाँ अलग-अलग जगह रखने की सलाह देता है; सामान्य 3-2-1 नियम (तीन प्रतियाँ, दो माध्यम, एक ऑफ़-साइट) एक व्यावहारिक न्यूनतम है। बैकअप एन्क्रिप्ट करें और पहुँच सीमित रखें, क्योंकि लीक हुआ बैकअप आपकी साइट और डेटाबेस की पूरी प्रति होता है। सिर्फ़ बैकअप चलाना नहीं, रिस्टोर भी टेस्ट करें।

चरण 7 — निगरानी रखें और प्रतिक्रिया की तैयारी करें

उपयोगकर्ता सूची, प्लगइन, शेड्यूल किए गए काम और फ़ाइल अखंडता की नियमित जाँच करें। चेतावनी संकेत: ऐसे एडमिन अकाउंट जो आपने नहीं बनाए, अनजान फ़ाइलें या <code>mu-plugins</code>, अप्रत्याशित आउटबाउंड ईमेल, और बिना कारण रीडायरेक्ट। सेंध लगने पर सफ़ाई से पहले लॉग और स्नैपशॉट सुरक्षित रखें, सभी क्रेडेंशियल और <code>wp-config.php</code> के WordPress salts बदलें, घटना से पहले के बैकअप से रिस्टोर करें, फिर अपडेट कर के दोबारा स्कैन करें।

त्वरित चेकलिस्ट

  1. हर एडमिन का पासवर्ड मैनेजर में यूनिक पासवर्ड है।
  2. एडमिन अकाउंट पर टू-फ़ैक्टर या पासकी अनिवार्य है।
  3. बिना उपयोग के उपयोगकर्ता, प्लगइन, थीम और एप्लिकेशन पासवर्ड हटा दिए गए हैं।
  4. कोर, थीम और प्लगइन अपडेटेड हैं, कस्टम कोड का स्टेजिंग टेस्ट हुआ है।
  5. HTTPS लागू है और आधिकारिक गाइड की हार्डनिंग सेटिंग्स अपनाई गई हैं।
  6. ऑफ़-साइट बैकअप एन्क्रिप्टेड हैं और रिस्टोर टेस्ट किया गया है।
  7. आप जानते हैं कि घटना के पहले घंटे में किसे कॉल करना है और क्या करना है।

संबंधित मार्गदर्शिकाएँ

Managed-WP कैसे मदद कर सकता है

Managed-WP मैनेज्ड WordPress क्लाउड होस्टिंग देता है — 24/7 सहायता, प्रबंधित अपडेट और बैकअप, और वेब एप्लिकेशन फ़ायरवॉल के साथ। अगर आप ऊपर की चेकलिस्ट अकेले नहीं उठाना चाहते, या लाइव साइट पर इसे लागू करने में मदद चाहते हैं, तो हमारे प्राइसिंग पेज पर प्लान देखें, WP सुरक्षा और OWASP सेवा पढ़ें, या नीचे लाइव चैट खोलकर बताएँ कि आपकी साइट क्या चलाती है।

स्रोत और आगे पढ़ें