امنیت وردپرس با wp-config.php؛ 7 تنظیم کلیدی 2026

php
<?php
/**
 * کلیدها و نمک‌های امنیتی (Authentication Unique Keys and Salts)
 * مقادیر واقعی را از https://api.wordpress.org/secret-key/1.1/salt/ بگیرید
 * و به‌جای رشته‌های نمونه زیر جایگزین کنید. هرگز این مقادیر را جایی منتشر نکنید.
 */
define( 'AUTH_KEY',         'مقدار-تصادفی-یکتا-اینجا' );
define( 'SECURE_AUTH_KEY',  'مقدار-تصادفی-یکتا-اینجا' );
define( 'LOGGED_IN_KEY',    'مقدار-تصادفی-یکتا-اینجا' );
define( 'NONCE_KEY',        'مقدار-تصادفی-یکتا-اینجا' );
define( 'AUTH_SALT',        'مقدار-تصادفی-یکتا-اینجا' );
define( 'SECURE_AUTH_SALT', 'مقدار-تصادفی-یکتا-اینجا' );
define( 'LOGGED_IN_SALT',   'مقدار-تصادفی-یکتا-اینجا' );
define( 'NONCE_SALT',       'مقدار-تصادفی-یکتا-اینجا' );

php
<?php
// این خطوط را بالاتر از خط «/* همین‌جا کدنویسی را متوقف کنید */» در wp-config.php بگذارید.

// ۱) غیرفعال‌کردن ویرایشگر فایل قالب و افزونه در پیشخوان
define( 'DISALLOW_FILE_EDIT', true );

// ۲) اجبار HTTPS برای صفحه ورود و پیشخوان (نیازمند نصب SSL معتبر)
define( 'FORCE_SSL_ADMIN', true );

// ۳) در محیط واقعی، خطاها فقط لاگ شوند نه نمایش داده شوند
define( 'WP_DEBUG', false );
define( 'WP_DEBUG_DISPLAY', false );

// ۴) اختیاری و سخت‌گیرانه: قفل کامل نصب/به‌روزرسانی فایل‌ها
// هشدار: این خط آپدیت خودکار و نصب افزونه از پیشخوان را هم می‌بندد.
// define( 'DISALLOW_FILE_MODS', true );

apache
# جلوگیری از دسترسی مستقیم به wp-config.php (این را در بالای فایل .htaccess بگذارید)
<Files "wp-config.php">
Require all denied
</Files>

bash
# محدودکردن مجوز فایل wp-config.php به حالت فقط‌خواندنی برای مالک و وب‌سرور
# طبق توصیه رسمی وردپرس مقدار 440 یا 400 مناسب است.
chmod 440 wp-config.php

# بررسی مجوز فعلی فایل
ls -l wp-config.php