ফোনটা সাধারণত আসে রাত দুইটায়। ক্লায়েন্ট বলছেন, তাঁর সাইটে ঢুকলে জুয়ার একটা বিদেশি সাইটে চলে যাচ্ছে, আর গুগলে সার্চ করলে নিচে লাল অক্ষরে লেখা উঠছে — This site may be hacked. তিনি ধরে নিয়েছেন কেউ তাঁর ব্যবসার ক্ষতি করতে চাইছে। প্রায় সবসময়ই ব্যাপারটা তা নয়।
বাস্তবতা আরও নিরস। কেউ আপনার সাইটে বসে ছিল না। একটা বট একটা নির্দিষ্ট প্লাগিনের একটা পুরোনো ভার্সন খুঁজে বেড়াচ্ছিল, চল্লিশ হাজার সাইটে নক করেছে, আর আপনার সাইটে দরজাটা খোলা পেয়েছে। WordPress সিকিউরিটি নিয়ে যত ভয়ের গল্প শোনা যায়, তার প্রায় সবটাই আসলে এই একটা বাক্যে বলা যায়: আপনাকে হ্যাকার হারায়নি, হারিয়েছে অটোমেশন।
এতে সুখবরও আছে। বট যেহেতু বুদ্ধিমান নয়, সেহেতু তাকে ঠেকানোর জন্য আপনাকেও প্রতিভাবান হতে হবে না — শুধু একটু গোছানো হতে হবে। নিচের চার সপ্তাহের রুটিনটা সেই গোছানোর কাজ। প্রতি সপ্তাহে দুই থেকে তিন ঘণ্টা, আর মাসের শেষে আপনার সাইট ওই ৪০ হাজারের তালিকা থেকে বাদ পড়ে যাবে।
শুরুতেই একটা তথ্য মনে গেঁথে নিন: Patchstack ও WPScan-এর বার্ষিক হিসাব বলছে, WordPress-এর নিরাপত্তা দুর্বলতার ৯৫ শতাংশের বেশি আসে প্লাগিন আর থিম থেকে — কোর থেকে নয়। অর্থাৎ আপনার সাইটের ঝুঁকি WordPress নয়, আপনার প্লাগিনের তালিকা।
সপ্তাহ ১: আগে ফেরার রাস্তা বানান, তারপর দরজা আটকান
নিরাপত্তার প্রথম ধাপ ফায়ারওয়াল নয়, ব্যাকআপ। কারণ যত যা-ই করুন, কোনো সাইট ১০০% নিরাপদ নয়; আর যে সাইটটা ৩০ মিনিটে আগের অবস্থায় ফেরানো যায়, সেটা হ্যাক হলেও দুর্ঘটনা — যেটা ফেরানো যায় না, সেটা ব্যবসার ক্ষতি।
UpdraftPlus-এর ফ্রি ভার্সন ইনস্টল করুন, আর ব্যাকআপ যাবে Google Drive বা Dropbox-এ — কোনোভাবেই একই সার্ভারে নয়। হোস্টিংয়ের ভেতরে রাখা ব্যাকআপ ব্যাকআপ নয়; সার্ভার কম্প্রোমাইজ হলে ওটাও যায়। ডাটাবেস প্রতিদিন, ফাইল সপ্তাহে একবার — বেশিরভাগ ছোট সাইটের জন্য এটাই যথেষ্ট। ই-কমার্স হলে ডাটাবেস দিনে দুইবার।
এই সপ্তাহের আসল কাজটা কিন্তু ব্যাকআপ নেওয়া নয় — ফিরিয়ে আনা। একটা টেস্ট সাবডোমেইনে (যেমন test.yoursite.com) বা LocalWP দিয়ে নিজের কম্পিউটারে ব্যাকআপটা রিস্টোর করে দেখুন। যাঁরা এই ড্রিলটা করেননি, তাঁদের অর্ধেকের ব্যাকআপ আসলে অসম্পূর্ণ — কেউ জানতেই পারে না, যতক্ষণ না দরকার পড়ে। সময় লাগবে ৪০ মিনিট, আর এই ৪০ মিনিট আপনার পুরো মাসের সবচেয়ে দামি কাজ।
সপ্তাহ ২: লগইন — বেশিরভাগ সাইট এখানেই হারে
প্রথমে ইউজার তালিকা খুলুন। প্রশ্ন একটাই: এখানে যতজন অ্যাডমিন আছে, তাদের প্রত্যেকের নাম আপনি বলতে পারবেন? বেশিরভাগ ক্লায়েন্ট সাইটে দুই বছর আগের ইন্টার্ন, আগের ডেভেলপার, আর কোনো এক এজেন্সির ‘support’ নামের অ্যাকাউন্ট এখনো অ্যাডমিন হয়ে বসে আছে। যাদের এখন কাজ নেই, তাদের ডিলিট করুন — ডিমোট নয়, ডিলিট।
- ইউজারনেম
adminথাকলে নতুন একটা অ্যাডমিন বানিয়ে পুরোনোটা মুছে দিন। বটের অর্ধেক চেষ্টাই ওই একটা নাম ধরে হয়। - প্রতিটা অ্যাডমিন অ্যাকাউন্টে টু-ফ্যাক্টর চালু করুন। WP 2FA বা Wordfence Login Security — দুটোই ফ্রি, দুটোই ১০ মিনিটে হয়ে যায়।
- Limit Login Attempts Reloaded দিয়ে ব্রুট-ফোর্স আটকান। ৫ বার ভুল পাসওয়ার্ড মানে ২০ মিনিটের লকআউট।
- পাসওয়ার্ড ম্যানেজার ব্যবহার করুন (Bitwarden ফ্রি)। টিমের সবাই একই ‘admin’ অ্যাকাউন্ট শেয়ার করলে হ্যাক হওয়ার পর কে কী করেছে তা কোনোদিন বের করতে পারবেন না।
cPanel আর FTP-র পাসওয়ার্ডও এই সপ্তাহেই বদলান। মজার ব্যাপার, WordPress-এর সবচেয়ে শক্ত পাসওয়ার্ড দিয়েও লাভ নেই যদি হোস্টিং প্যানেলের পাসওয়ার্ড হয় সাইটের নাম আর ব্যবসা শুরুর সাল।
সপ্তাহ ৩: প্লাগিনের তালিকা ছোট করা — সবচেয়ে ফলদায়ক সপ্তাহ
একটা সাইটে কত প্লাগিন আছে, সেটাই তার ঝুঁকির সবচেয়ে ভালো পূর্বাভাস। ২৮টা প্লাগিনের সাইট মানে ২৮টা আলাদা কোডবেস, ২৮ জন আলাদা ডেভেলপারের ওপর আপনার ভরসা। এই সপ্তাহে লক্ষ্য একটাই — সংখ্যাটা কমানো।
নিষ্ক্রিয় (deactivated) প্লাগিনগুলো ডিলিট করুন। অনেকের ধারণা, বন্ধ করা মানে নিরাপদ — ভুল। কোডটা সার্ভারেই পড়ে আছে, আর কিছু দুর্বলতা প্লাগিন চালু না থাকলেও কাজে লাগানো যায়। এরপর প্রতিটা চালু প্লাগিনের ‘last updated’ তারিখ দেখুন। এক বছরের বেশি আপডেট না হলে ধরে নিন ডেভেলপার হাল ছেড়ে দিয়েছেন; বিকল্প খুঁজুন।
এবার সবচেয়ে অস্বস্তিকর কথাটা। আমাদের বাজারে ফেসবুক গ্রুপ থেকে ২০০-৩০০ টাকায় ‘Elementor Pro লাইফটাইম’ বা ‘নাল্ড থিম বান্ডল’ কেনা খুব সাধারণ। এই ফাইলগুলোর একটা বড় অংশে ব্যাকডোর বসানো থাকে — কেউ ইচ্ছে করে ক্ষতি করছে না বলে নয়, বরং যে বিনামূল্যে দিচ্ছে সে অন্য কোনোভাবে টাকা তুলছে বলে। সাইট ঠিকঠাক চলছে মানেই ব্যাকডোর নেই, তা নয়; ব্যাকডোরের কাজই হলো চুপ করে বসে থাকা, আর ছয় মাস পর আপনার সাইটকে স্প্যাম পাঠানোর কাজে লাগানো।
নাল্ড প্লাগিন সরানোর সময় শুধু ডিলিট করলে হবে না। একই নামের অফিশিয়াল ভার্সন ইনস্টল করার আগে wp-content/uploads আর wp-content/plugins ফোল্ডারে অচেনা .php ফাইল খুঁজুন — ব্যাকডোর সাধারণত প্লাগিনের সাথে যায় না, ওখানেই থেকে যায়।শেষে দুটো কাজ: হোস্টিং প্যানেল থেকে PHP ভার্সন ৮.১ বা তার ওপরে নিন (পুরোনো PHP-তে নিরাপত্তা প্যাচ আর আসে না), আর ড্যাশবোর্ড থেকে প্লাগিনের অটো-আপডেট চালু করুন। WordPress কোর নিজের নিরাপত্তা আপডেট এমনিতেই নিয়ে নেয়; প্লাগিনেরটা আপনাকে চালু করতে হয়।
সপ্তাহ ৪: পাহারা আর প্রস্তুতি
এখন পরিধি সামলানোর পালা। Cloudflare-এর ফ্রি প্ল্যানে সাইটটা যোগ করুন — DNS, DDoS প্রতিরোধ আর কয়েকটা কাস্টম রুল বিনামূল্যেই পাবেন। SSL না থাকলে হোস্টিংয়ের AutoSSL বা Let's Encrypt চালু করে HTTPS বাধ্যতামূলক করুন।
- Wordfence-এর ফ্রি ভার্সনে সপ্তাহে একবার স্ক্যান শিডিউল করুন। ফ্রি ভার্সনে ফায়ারওয়াল রুল ৩০ দিন দেরিতে আসে — এটা জেনে রাখুন, তবু কিছু না থাকার চেয়ে ভালো।
- wp-config.php-তে
define('DISALLOW_FILE_EDIT', true);যোগ করুন। ড্যাশবোর্ডে ঢুকে কেউ যেন সরাসরি থিমের কোড এডিট করতে না পারে। - Jetpack বা WordPress মোবাইল অ্যাপ ব্যবহার না করলে XML-RPC বন্ধ করে দিন — ব্রুট-ফোর্সের একটা পুরোনো, ব্যস্ত দরজা।
- UptimeRobot-এর ফ্রি অ্যাকাউন্ট দিয়ে সাইট মনিটর করুন। সাইট ডাউন বা রিডাইরেক্ট হলে ক্লায়েন্টের আগে আপনি জানবেন — এই একটা জিনিস আপনার পেশাদারিত্বকে আলাদা করে দেবে।
সবশেষে এক পাতার একটা রানবুক লিখে রাখুন: হ্যাক হলে কী করব। হোস্টিং সাপোর্টের নম্বর, ব্যাকআপ কোথায় আছে, কার পাসওয়ার্ড বদলাতে হবে। সংকটের সময় মানুষ যুক্তি দিয়ে ভাবে না — লিস্ট দেখে কাজ করে।
যে চারটা জিনিস নিয়ে মাথা ঘামাবেন না
- চালু সাইটের ডাটাবেস টেবিল প্রিফিক্স বদলানো। ঝুঁকি বেশি, লাভ প্রায় শূন্য — বট প্রিফিক্স দেখে আক্রমণ করে না।
- একসাথে পাঁচটা সিকিউরিটি প্লাগিন বসানো। এরা একে অন্যের সাথে ঝগড়া করে, সাইট ধীর করে, আর কোনটা কী করছে আপনি বুঝবেন না। একটা যথেষ্ট।
- WordPress-এর ভার্সন নম্বর লুকানো। বট ভার্সন দেখে না, সরাসরি দুর্বলতা টেস্ট করে বসে।
- বিনামূল্যের কাজগুলো শেষ না করে দামি সিকিউরিটি সার্ভিস কেনা। ব্যাকআপ, 2FA আর প্লাগিন ছাঁটাই — এই তিনটাই আসল ঝুঁকির ৮০% সরিয়ে দেয়, খরচ শূন্য টাকা।
চার সপ্তাহ পর যেভাবে বুঝবেন কাজ হয়েছে
- আপনি একবার সত্যিকারের রিস্টোর করে দেখেছেন, এবং সময় লেগেছে এক ঘণ্টার কম।
- সাইটের প্রতিটা অ্যাডমিন ইউজারের নাম আপনি বলতে পারেন, এবং প্রত্যেকের 2FA চালু।
- কোনো প্লাগিন বা থিম নেই যেটা এক বছরের বেশি আপডেট হয়নি, এবং একটাও নাল্ড ফাইল সার্ভারে নেই।
- পরপর দুইবার Wordfence স্ক্যান পরিষ্কার এসেছে, আর সাইট ডাউন হলে আপনার ফোনে নোটিফিকেশন আসে।
হ্যাক হওয়ার পর যে প্রশ্নগুলো সবাই করে
ফ্রি টুল দিয়ে কি সত্যিই যথেষ্ট নিরাপত্তা হয়? ছোট ও মাঝারি সাইটের জন্য হ্যাঁ। UpdraftPlus, Wordfence ফ্রি, Cloudflare ফ্রি, Bitwarden আর একটু শৃঙ্খলা — এতেই বট-আক্রমণের প্রায় পুরোটা আটকায়। টাকা খরচের যুক্তি তৈরি হয় তখন, যখন সাইটে লেনদেন হয় বা ডাউনটাইমের ঘণ্টাপ্রতি ক্ষতি বড়।
দুই বছর ধরে নাল্ড থিম চালাচ্ছি, কিছুই তো হয়নি। ব্যাকডোর সাইট নষ্ট করে না, সাইটকে ব্যবহার করে। আপনার সার্ভার থেকে স্প্যাম যাচ্ছে কি না, বা কেউ লুকানো লিংক বসিয়ে রেখেছে কি না, সেটা সাধারণত টের পাওয়া যায় শুধু তখনই — যখন গুগল সাইটটা ব্লকলিস্ট করে। তখন র্যাংকিং ফেরাতে যে সময় লাগে, তাতে লাইসেন্সের দাম বহুগুণ বেশি লাভজনক ছিল বোঝা যায়।
সাইট হ্যাক হয়ে গেলে প্রথমে কী করব? সাইট মেইনটেন্যান্স মোডে দিন, হ্যাক হওয়া অবস্থার একটা কপি রাখুন (প্রমাণ ও তদন্তের জন্য), তারপর সব পাসওয়ার্ড বদলান — WordPress, cPanel, FTP, ডাটাবেস। wp-config.php-র সল্টগুলো নতুন করে বসান (api.wordpress.org থেকে জেনারেট করা যায়), এতে সব সেশন লগআউট হয়ে যাবে। অচেনা অ্যাডমিন ইউজার মুছুন, uploads ফোল্ডারে .php ফাইল খুঁজুন, কোর ও প্লাগিন আসল সোর্স থেকে নতুন করে ইনস্টল করুন। শেষে Search Console-এ গিয়ে রিভিউ রিকোয়েস্ট দিন।
সস্তা লোকাল হোস্টিংই কি সমস্যা? সরাসরি নয়, তবে সম্পর্ক আছে। যে হোস্ট ফ্রি SSL দেয় না, PHP আপডেট রাখে না, আর সাপোর্ট টিকিটের উত্তর দিতে তিন দিন নেয় — তারা আপনার নিরাপত্তার অংশীদার নয়। মাসে দুই-তিনশো টাকা বেশি খরচ করে এমন হোস্টে যান যারা অন্তত দৈনিক ব্যাকআপ আর সাম্প্রতিক PHP দেয়।
এই রুটিনটা কঠিন নয়, কিন্তু সময় চায় — আর ক্লায়েন্টের কাজের চাপে ঠিক এই কাজটাই সবার আগে পিছিয়ে যায়। স্ট্যাক অ্যালিক্স-এ আমরা WordPress সিকিউরিটি অডিট আর মেইনটেন্যান্স দুটোই করি, আর আমাদের টেমপ্লেট স্টোরের প্রতিটা কিট বৈধ লাইসেন্সের — নাল্ড ফাইলের ঝুঁকি ছাড়াই। সাইট নিয়ে দুশ্চিন্তায় থাকলে একবার অডিট করিয়ে নিন; বেশিরভাগ ক্ষেত্রেই সমস্যাটা যা ভাবছেন তার চেয়ে ছোট।