গত এক বছরে আমাদের কাছে যত “সাইট হ্যাক হয়ে গেছে”, “হোমপেজে কোথা থেকে জাপানি লেখা চলে এসেছে” বা “সাইট খুলতেই ১৪ সেকেন্ড লাগছে” — এমন টিকিট এসেছে, তার বেশিরভাগেরই মূলে কোনো চতুর হ্যাকার নেই। সমস্যাটা তৈরি হয়েছিল প্রথম দিনেই, যেদিন কেউ তাড়াহুড়ো করে WordPress installation সেরে ফেলে ধরে নিয়েছিল কাজ শেষ।
WordPress-এর সবচেয়ে বড় ফাঁদ হলো এটা এতটাই সহজ যে সহজ মনে হয়। cPanel-এ ঢুকে দুইটা ক্লিক করলেই সাইট দাঁড়িয়ে যায়। আর এই সহজতা থেকেই জন্ম নিয়েছে একগাদা ভুল ধারণা, যা বাংলাদেশের ফ্রিল্যান্সার, ছোট ব্যবসা আর নতুন এজেন্সির মধ্যে এত বেশি ছড়িয়ে গেছে যে অনেকে এগুলোকেই “নিয়ম” বলে জানে। নিচের ছয়টা কথা আমরা প্রায় প্রতি সপ্তাহে শুনি — এবং ছয়টাই ভুল।
ভুল ধারণা ১: এক-ক্লিক ইনস্টলার চাপলেই সাইট “তৈরি”
Softaculous বা Installatron দিয়ে WordPress বসানো আর সাইট প্রস্তুত করা এক জিনিস নয়। ইনস্টলার আপনাকে দেয় একটা কাঁচা কঙ্কাল — Hello World পোস্ট, Sample Page, ডিফল্ট থিম, খোলা XML-RPC, চালু থাকা ফাইল এডিটর। এর একটাও আপনার ব্যবসার জন্য কনফিগার করা নয়। ইনস্টল হলো শুরু, শেষ নয়।
সবচেয়ে বিপজ্জনক ডিফল্টটা লুকিয়ে থাকে Settings → Reading-এ: “Discourage search engines from indexing this site” চেকবক্স। ডেভেলপমেন্টের সময় অনেকে ইচ্ছা করেই এটা টিক দেয়, তারপর লাইভ করার দিন খুলতে ভুলে যায়। ফলাফল — সাইট মাসের পর মাস গুগলে আসে না, আর ক্লায়েন্ট ভাবেন “SEO কাজ করছে না, আরও টাকা ঢালতে হবে”। আমরা একটা সাইট পেয়েছিলাম যেটা আট মাস ধরে noindex অবস্থায় বসে ছিল; চেকবক্সটা খোলার তিন সপ্তাহের মধ্যে অর্গানিক ট্রাফিক আসতে শুরু করে।
ইনস্টলের পরপরই ৬০ সেকেন্ডে তিনটা জিনিস মিলিয়ে নিন — Reading সেটিংসে ইনডেক্সিং ব্লক করা আছে কি না, Permalinks “Post name”-এ সেট আছে কি না, আর সাইট URL সত্যিই https দিয়ে শুরু হচ্ছে কি না। তিনটা ভুলে গেলে মাসের পর মাস ভুগতে হয়।
ভুল ধারণা ২: হোস্টিং যা-ই হোক, WordPress তো WordPress-ই
বছরে ১,২০০ টাকার শেয়ার্ড প্যাকেজ আর ৬,০০০ টাকার প্যাকেজে WordPress-এর কোড হুবহু এক — এটুকু সত্যি। কিন্তু কোডটা যে পরিবেশে চলছে সেটা এক নয়, আর ওই পরিবেশই ঠিক করে দেয় সাইট টিকবে নাকি ছয় মাসে ভেঙে পড়বে। হোস্টিং কেনার আগে সাপোর্টকে সরাসরি এই প্রশ্নগুলো করুন; উত্তর এড়িয়ে গেলে বুঝে নেবেন ওখানে যাওয়া ঠিক হবে না।
- PHP-র কোন ভার্সন চলে? ২০২৬-এ এসে PHP 8.2 বা 8.3-এর নিচে কিছু গ্রহণযোগ্য নয়। PHP 7.4-এর সিকিউরিটি সাপোর্ট শেষ হয়েছে ২০২২ সালের নভেম্বরে — অথচ এখনো বহু লোকাল হোস্ট চুপচাপ ওটাই দিয়ে রাখে।
- PHP memory_limit কত? WooCommerce বা Elementor চালাতে গেলে বাস্তবে ২৫৬M লাগে। ৬৪M দিলে এডিটর মাঝপথে সাদা স্ক্রিন দেখাবে, আর আপনি ভাববেন থিমে সমস্যা।
- সার্ভার Apache না LiteSpeed? LiteSpeed হলে LiteSpeed Cache প্লাগিন দিয়েই বিনা খরচে সার্ভার-লেভেল ক্যাশিং পাবেন — যেটার জন্য অন্য জায়গায় আলাদা প্রিমিয়াম ক্যাশিং প্লাগিন কিনতে হয়।
- ব্যাকআপ কত দিনের রাখা হয়, আর রিস্টোর করতে আলাদা টাকা লাগে কি না? “ডেইলি ব্যাকআপ আছে” শুনতে দারুণ, কিন্তু বিপদের দিন রিস্টোরের জন্য ২,০০০ টাকা চাইলে সেটা আর ব্যাকআপ থাকে না, ওটা তখন জিম্মি।
ভুল ধারণা ৩: nulled থিম-প্লাগিন দিয়ে শুরু করলে ক্লায়েন্টের টাকা বাঁচে
এটাই আমাদের বাজারের সবচেয়ে ব্যয়বহুল “সাশ্রয়”। ফেসবুক গ্রুপে Elementor Pro বা WP Rocket-এর ক্র্যাক ভার্সন ফ্রি মেলে, আর নতুন ফ্রিল্যান্সার ভাবেন ক্লায়েন্টের ছয় হাজার টাকা বেঁচে গেল। বাস্তবে ওই ZIP ফাইলের ভেতরে যা থাকে তা হলো base64-এ মোড়ানো একটা ব্যাকডোর, লুকানো ক্রন জব, আর ধীরে ধীরে সাইটে ঢুকে পড়া স্প্যাম লিংক।
একটা ছোট ই-কমার্স ক্লায়েন্টের সাইটে আমরা nulled প্লাগিনের ভেতর লুকানো এমন একটা ফাইল পেয়েছিলাম, যেটা রাত দুইটায় চুপচাপ জুয়ার সাইটের লিংক বসিয়ে যেত। গুগল সাইটটাকে ফ্ল্যাগ করে, ব্রাউজারে লাল ওয়ার্নিং দেখাতে শুরু করে, তারপর হোস্ট অ্যাকাউন্ট সাসপেন্ড করে দেয়। ক্লিন করতে যে সময় গেল আর যে র্যাংক হারাল, তার সামনে লাইসেন্সের দামটা ছিল হাস্যকর রকম ছোট।
বৈধ পথটা দামিও নয়। বেশিরভাগ ব্রশিওর সাইট Elementor-এর ফ্রি ভার্সনেই দাঁড়িয়ে যায়; ক্যাশিংয়ের জন্য LiteSpeed Cache বা W3 Total Cache ফ্রি; ফর্মের জন্য Fluent Forms বা WPForms Lite যথেষ্ট। যেটার লাইসেন্স সত্যিই দরকার, সেটার দাম শুরুতেই ক্লায়েন্টের কোটেশনে ঢুকিয়ে দিন — লুকিয়ে ক্র্যাক বসিয়ে দায় নিজের ঘাড়ে নেবেন না।
ভুল ধারণা ৪: লোকালহোস্টে যা চলে, লাইভ সার্ভারেও তাই চলবে
XAMPP-এ উইন্ডোজ মেশিনে সাইট বানালেন, সব নিখুঁত। লাইভে তুলতেই ইমেজ ভাঙা, CSS উধাও, মিক্সড কনটেন্ট ওয়ার্নিং। এর মধ্যে কোনো রহস্য নেই — তিনটা চেনা কারণ আছে।
- উইন্ডোজ ফাইলের নামের ছোট-বড় হাতের অক্ষর আলাদা করে দেখে না, লিনাক্স দেখে। Logo.PNG আর logo.png লোকালে একই ফাইল, লাইভ সার্ভারে দুটো আলাদা জিনিস — তাই ইমেজ ভাঙে।
- ডাটাবেসে সাইটের পুরনো ঠিকানা হার্ডকোড হয়ে বসে থাকে (http://localhost/mysite)। WP-CLI থাকলে
wp search-replace 'http://localhost/mysite' 'https://example.com.bd' --all-tablesচালান — এটা সিরিয়ালাইজড ডেটা ঠিক রেখে বদলায়, তাই SQL ফাইল খুলে হাতে Find & Replace করার চেয়ে অনেক নিরাপদ। - ফাইল পারমিশন লোকালহোস্টে অর্থহীন, লাইভে জরুরি: ফোল্ডার ৭৫৫, ফাইল ৬৪৪, আর wp-config.php ৬০০ বা ৬৪০। কোনো ফোল্ডারে ৭৭৭ দেখলে ধরে নিন ওটা সমস্যার অপেক্ষায় আছে।
ভুল ধারণা ৫: ব্যাকআপের কথা পরে ভাবলেও চলবে
ব্যাকআপ ছাড়া চলা মানে হেলমেট ছাড়া বাইক চালানো — যতক্ষণ কিছু হচ্ছে না, ততক্ষণ সিদ্ধান্তটা বুদ্ধিমানের মনে হয়। UpdraftPlus-এর ফ্রি ভার্সন দিয়ে গুগল ড্রাইভে অটো-ব্যাকআপ সেট করতে দশ মিনিটও লাগে না, আর সেটা ইনস্টলের দিনেই করা উচিত — সাইট খালি থাকতেই, কারণ পরে আর সময় হয় না।
একটা কথা মনে রাখবেন: হোস্টের ব্যাকআপ আর আপনার ব্যাকআপ একই সার্ভারে থাকলে সেটা আসলে একটাই ব্যাকআপ। সার্ভার গেলে দুটোই যাবে। তাই অন্তত একটা কপি সার্ভারের বাইরে — ড্রাইভ, ড্রপবক্স বা আলাদা স্টোরেজে — রাখুন।
মাসে একবার স্টেজিং সাইটে ব্যাকআপটা রিস্টোর করে দেখুন। যে ব্যাকআপ কখনো রিস্টোর করে পরীক্ষা করা হয়নি, সেটা ব্যাকআপ নয় — সেটা আশা।
ভুল ধারণা ৬: লগইন URL লুকালেই সাইট সিকিউর
wp-login.php-কে /my-secret-door বানিয়ে ফেললে ব্রুট-ফোর্স বটের অটোমেটেড নক কমে, লগে জঞ্জাল কমে — এটুকু উপকার আছে। কিন্তু এটা সিকিউরিটি নয়, এটা লুকোচুরি। যে আক্রমণগুলো সত্যিই সাইট নামায়, সেগুলো লগইন পেজ দিয়ে আসেই না; আসে পুরনো প্লাগিনের পরিচিত ভালনারেবিলিটি দিয়ে। আসল কাজগুলো এগুলো:
- ইউজারনেম “admin” রাখবেন না, আর প্রতিটা সাইটে আলাদা শক্ত পাসওয়ার্ড দিন — একই পাসওয়ার্ড দশটা ক্লায়েন্ট সাইটে বসানো মানে একটা ফাঁস হলে দশটাই গেল।
- wp-config.php-তে
define('DISALLOW_FILE_EDIT', true);বসান, যাতে অ্যাডমিন অ্যাকাউন্ট কারো হাতে গেলেও ড্যাশবোর্ড থেকে সরাসরি থিম ফাইলে কোড ঢোকানো না যায়। - নিষ্ক্রিয় থিম আর প্লাগিন ডিলিট করুন। ডিঅ্যাক্টিভেট করা মানে নিরাপদ নয় — ফাইলটা সার্ভারে থেকে যায় এবং সরাসরি হিট করা যায়।
- অ্যাডমিন অ্যাকাউন্টে টু-ফ্যাক্টর চালু করুন। WP 2FA বা Wordfence-এর ফ্রি ভার্সনেই কাজটা হয়ে যায়, সময় লাগে পাঁচ মিনিট।
তাহলে সঠিক ইনস্টলেশনটা দেখতে কেমন
আমরা যে সাইটগুলো হ্যান্ডওভার করি, তার প্রতিটিতে একই ক্রম মানা হয়: হোস্টের PHP ভার্সন ও মেমোরি আগে যাচাই করা হয়, তারপর ইনস্টল, তারপর SSL ও https রিডাইরেক্ট, permalinks ঠিক করা, ইনডেক্সিং চেকবক্স খোলা, ডিফল্ট কনটেন্ট ও অব্যবহৃত থিম মুছে ফেলা, অ্যাডমিন ইউজার আলাদা নামে তৈরি করে 2FA চালু করা, SMTP প্লাগিন দিয়ে ইমেইল ডেলিভারি ঠিক করা (নইলে কনট্যাক্ট ফর্মের মেইল স্প্যামে পড়ে থাকবে), আর সবশেষে অফ-সাইট ব্যাকআপ চালু করা। পুরোটা মিলে আধা ঘণ্টা — কিন্তু এই আধা ঘণ্টাই পরের দুই বছরের অর্ধেক সমস্যা মুছে দেয়।
সচরাচর জিজ্ঞাসা
ইনস্টলের পর সবার আগে কোন কাজটা করব? Settings → Reading-এ গিয়ে ইনডেক্সিং ব্লক করা আছে কি না দেখুন, আর Permalinks “Post name”-এ সেট করুন। দুটোই এক মিনিটের কাজ, আর দুটোই ভুলে গেলে SEO-র সবচেয়ে বেশি ক্ষতি হয়।
শেয়ার্ড হোস্টিংয়ে কি সিরিয়াস সাইট চালানো যায়? যায়, যদি হোস্ট PHP 8.2+, পর্যাপ্ত memory_limit আর অফ-সাইট ব্যাকআপ দেয়। মাসে ৫০ হাজারের বেশি ভিজিটর বা লাইভ WooCommerce চেকআউট থাকলে তখন ক্লাউড বা ম্যানেজড হোস্টিংয়ের দিকে যাওয়াই বুদ্ধিমানের কাজ।
nulled প্লাগিন ব্যবহার করে ফেলেছি, এখন কী করব? ধরে নিন সাইটটা কম্প্রোমাইজড। প্লাগিন ডিলিট করে বৈধ কপি বসান, সব পাসওয়ার্ড ও ডাটাবেস ইউজারের পাসওয়ার্ড বদলান, wp-content/uploads-এ কোনো .php ফাইল আছে কি না খুঁজুন, আর একটা ম্যালওয়্যার স্ক্যান চালান। সন্দেহ থাকলে পরিষ্কার ব্যাকআপ থেকে রিস্টোরই দ্রুততম পথ।
লোকাল সাইট লাইভে নেওয়ার সবচেয়ে নিরাপদ উপায় কী? ম্যানুয়ালি ফাইল-ডাটাবেস টানাটানির বদলে All-in-One WP Migration বা Duplicator ব্যবহার করুন, তারপর WP-CLI দিয়ে search-replace চালিয়ে URL ঠিক করুন এবং পারমিশন মিলিয়ে নিন।
নতুন সাইট বানাচ্ছেন, নাকি একটা এলোমেলো ইনস্টলেশন ঠিক করতে চান — স্ট্যাক অ্যালিক্সের টিম দুটোই করে। সাইটের বর্তমান অবস্থা জানাতে চাইলে একটা মেসেজ দিন; আমরা হোস্টিং, ইনস্টলেশন আর সিকিউরিটি সেটআপ দেখে সোজাসুজি বলে দেব কোথায় ফাঁক আছে।