هوک‌های وردپرس برای مدیریت ورود و ثبت‌نام | هوک‌های وردپرس برای ورود و ثبت‌نام

در سال‌ها کار روی سایت‌های وردپرسی، هیچ بخشی به اندازهٔ «ورود و ثبت‌نام» این‌قدر هم فرصت ساخته و هم فاجعه. یک فرم ورود ضعیف، در بهترین حالت کاربر را کلافه می‌کند و در بدترین حالت، دروازهٔ ورود ربات‌هایی است که شبانه تلاش می‌کنند رمز عبور را حدس بزنند. تفاوت بین سایتی که کاربر را نرم و امن به داخل می‌آورد و سایتی که هر روز با پیام «ورود ناموفق» و تیکت‌های پشتیبانی دست‌وپنجه نرم می‌کند، در بیشتر مواقع در یک چیز خلاصه می‌شود: هوک‌های وردپرس برای مدیریت ورود و ثبت‌نام. اگر با مفهوم پایهٔ هوک آشنا نیستید، پیش از ادامه هوک‌های وردپرس چیستند و چگونه کار می‌کنند را بخوانید، و اگر مدیریت کلی کاربران موضوع اصلی مورد علاقهٔ شماست، مقالهٔ هوک‌های وردپرس برای مدیریت کاربران نقشهٔ کامل‌تری به شما می‌دهد. این مقاله اما روی همان دو ورودی اول تمرکز دارد: در لحظهٔ ورود و در لحظهٔ ثبت‌نام، چه اتفاقی می‌افتد و کجا می‌توانیم روی آن اثر بگذاریم.

چرا ورود و ثبت‌نام، حساس‌ترین بخش هر سایت وردپرسی است

ورود و ثبت‌نام در هر سایتی، جایی است که سه چیز به‌طور هم‌زمان به هم می‌رسند: تجربهٔ کاربری، امنیت و منطق کسب‌وکار. اگر فرم ورود شما یک فیلد اضافه داشته باشد، نرخ ورود پایین می‌آید. اگر پیام خطای آن درست نوشته نشده باشد، کاربر احساس می‌کند سایت خراب است. اگر در برابر تلاش‌های مکرر ورود، محدودیتی نگذاشته باشید، امنیت سایت در معرض خطر جدی است. و اگر منطق کسب‌وکار شما نیاز دارد که مثلاً هر کاربر جدید به‌طور خودکار به یک سطح عضویت خاص اختصاص یابد، این تصمیم هم در همین لحظه گرفته می‌شود.

وردپرس به‌طور پیش‌فرض، مسیرهای ورود و ثبت‌نام را ساده نگه داشته است؛ ولی این سادگی، در عمل، برای سایت‌های واقعی کافی نیست. برای پاسخ به نیازهای پیچیده‌تر، دو گزینه پیش روی شماست: دست‌زدن به فایل‌های هسته (که به‌هیچ‌وجه توصیه نمی‌کنم) یا استفاده از هوک‌های رسمی که وردپرس در اختیار شما می‌گذارد. مسیر دوم، همان چیزی است که در این مقاله با هم مرور می‌کنیم.

مسیر ورود، دروازهٔ خانهٔ شماست. هیچ‌وقت کلید در خانه را برای راحتی خودتان گم نکنید.

نکته‌ای که در پروژه‌های واقعی زیاد به آن برخورده‌ام: بسیاری از مشکلاتی که به‌عنوان «کندی سایت» یا «رفتار عجیب کاربران» گزارش می‌شود، در نهایت به یک hook handler ضعیف در مسیر ورود برمی‌گردد. یک تابع کوئری سنگین که به wp_login وصل شده، در هر ورود یک بار اجرا می‌شود و اگر تعداد کاربران بالا باشد، در دقایق شلوغی سایت را می‌خواباند. انتخاب هوک درست، بخشی از سلامت کلی سایت است، نه فقط بخشی از ظاهر آن.

هوک‌های ثبت‌نام: register_form، registration_errors و user_register

فرآیند ثبت‌نام در وردپرس، از سه گام اصلی تشکیل شده که هرکدام هوک مخصوص خود را دارد. آشنایی با این سه گام، به شما اجازه می‌دهد دقیقاً بدانید کجا می‌خواهید دخالت کنید.

گام اول: نمایش فرم با register_form

هوک register_form جای مناسبی برای افزودن فیلد سفارشی به فرم ثبت‌نام پیش‌فرض است. اگر می‌خواهید هنگام ثبت‌نام شماره موبایل یا کد معرف بگیرید، این‌جاست که کد شما به فرم اضافه می‌شود:

add_action( 'register_form', 'wphk_register_form_extra_fields' );

function wphk_register_form_extra_fields() {
    ?>
    <p>
        <label for="wphk_phone">شماره موبایل</label>
        <input type="tel" name="wphk_phone" id="wphk_phone"
               class="input" value="" size="20" />
    </p>
    <?php
}

این هوک Action است، چون خروجی HTML مستقیم تولید می‌کند و مقداری برنمی‌گرداند. تفاوت این ساختار با هوک‌های Filter که در ادامه می‌بینیم، در همین نکتهٔ ساده اما حیاتی است؛ شرح کامل این تفکیک در تفاوت Action و Filter در وردپرس چیست آمده است.

گام دوم: اعتبارسنجی ورودی با registration_errors

پیش از این‌که وردپرس کاربر را در دیتابیس ثبت کند، فیلتر registration_errors اجرا می‌شود. اینجا جای مناسبی است برای بررسی صحت داده‌هایی که کاربر وارد کرده و اگر خطایی هست، جلوی ادامهٔ فرآیند را بگیریم:

add_filter( 'registration_errors', 'wphk_validate_registration', 10, 3 );

function wphk_validate_registration( $errors, $sanitized_user_login, $user_email ) {
    if ( empty( $_POST['wphk_phone'] ) ) {
        $errors->add( 'wphk_phone_missing', 'وارد کردن شماره موبایل الزامی است.' );
        return $errors;
    }
    $phone = sanitize_text_field( wp_unslash( $_POST['wphk_phone'] ) );
    if ( ! preg_match( '/^09[0-9]{9}$/', $phone ) ) {
        $errors->add( 'wphk_phone_invalid', 'قالب شماره موبایل صحیح نیست.' );
    }
    return $errors;
}

سه نکتهٔ کلیدی در همین تکه: اول، پارامتر چهارم add_filter را روی ۱۰ و پارامتر سوم 10, 3 گذاشته‌ام تا هر سه آرگومان به تابع من برسد؛ اگر این عدد را اشتباه بدهید، تابع شما فقط بخشی از داده‌ها را می‌گیرد و بی‌سروصدا کار نمی‌کند. این دام را در چگونه پارامترهای هوک وردپرس را بشناسیم مفصل توضیح داده‌ام. دوم، پاک‌سازی ورودی با sanitize_text_field — بدون آن، داده آلوده به دیتابیس می‌رود. سوم، بازگرداندن $errors در همه مسیرها؛ اگر فراموش کنید، کل اعتبارسنجی وردپرس بی‌اثر می‌شود.

گام سوم: ذخیره‌سازی با user_register

پس از موفقیت ثبت‌نام، هوک user_register اجرا می‌شود. اینجا جای درست برای ذخیره‌سازی داده‌های اضافی، تخصیص نقش پیش‌فرض یا ارسال ایمیل خوش‌آمدگویی است:

add_action( 'user_register', 'wphk_after_user_register', 20, 1 );

function wphk_after_user_register( $user_id ) {
    if ( isset( $_POST['wphk_phone'] ) ) {
        $phone = sanitize_text_field( wp_unslash( $_POST['wphk_phone'] ) );
        update_user_meta( $user_id, 'wphk_phone', $phone );
    }
    // ارسال ایمیل خوش‌آمدگویی سبک
    $user = get_userdata( $user_id );
    if ( $user ) {
        wp_mail(
            $user->user_email,
            'به سایت ما خوش آمدید',
            'ثبت‌نام شما با موفقیت انجام شد.'
        );
    }
}

یک تذکر عملی از تجربهٔ خودم: ارسال ایمیل در همان لحظهٔ ثبت‌نام، اگر از طریق SMTP معتبر انجام نشود، می‌تواند ثبت‌نام را کند و حتی در برخی هاست‌ها باعث تایم‌اوت شود. راه بهتر این است که ارسال را به یک رویداد cron یا صف پس‌زمینه بسپارید؛ همان منطقی که در مبحث رفع مشکلات کرون در وردپرس هم به آن پرداخته‌ام.

مسیر ورود سه هوک کلیدی دارد که هر یک در یک مرحلهٔ متفاوت از فرآیند فعال می‌شوند. شناخت تفاوت این سه، تفاوت بین دیباگ سریع و ساعت‌ها سرگردانی است.

wp_authenticate: پیش از تأیید اعتبار

این هوک Action در ابتدای فرآیند ورود اجرا می‌شود؛ یعنی پیش از آن‌که وردپرس اطلاعات کاربر را بررسی کند. اگر بخواهید ورود را براساس شرایط خاصی محدود کنید — مثلاً ممنوعیت ورود براساس IP یا مسدودسازی یک محدودهٔ خاص — این‌جا نقطهٔ درست است:

add_action( 'wp_authenticate', 'wphk_block_suspicious_login', 10, 2 );

function wphk_block_suspicious_login( $username, $password ) {
    $ip = isset( $_SERVER['REMOTE_ADDR'] ) ? $_SERVER['REMOTE_ADDR'] : '';
    $blocked = array( '203.0.113.10', '198.51.100.22' );
    if ( in_array( $ip, $blocked, true ) ) {
        wp_die( 'دسترسی از این آدرس مجاز نیست.', 'دسترسی مسدود', array( 'response' => 403 ) );
    }
}

نکتهٔ مهم در این تابع: استفاده از wp_die با کد پاسخ صریح ۴۰۳ برای این‌که هم کاربر و هم ابزارهای پایش، پاسخ را واضح ببینند. یک هشدار از تجربهٔ شخصی: در این هوک هیچ‌وقت کار سنگین انجام ندهید؛ چون در هر تلاش ورود (حتی تلاش‌های ناموفق) اجرا می‌شود و اگر کوئری دیتابیس سنگینی داشته باشید، در ساعات شلوغی سایت را می‌خواباند.

wp_login: پس از ورود موفق

هوک wp_login پرکاربردترین هوک ورود است. پس از موفقیت ورود اجرا می‌شود و در آن، هم شیء کاربر و هم نام کاربری در دسترس است. کاربردهای متداول: ثبت زمان آخرین ورود، هدایت شرطی براساس نقش کاربر، ثبت لاگ امنیتی:

add_action( 'wp_login', 'wphk_track_login', 10, 2 );

function wphk_track_login( $user_login, $user ) {
    update_user_meta( $user->ID, 'wphk_last_login', current_time( 'mysql' ) );

    $count = (int) get_user_meta( $user->ID, 'wphk_login_count', true );
    update_user_meta( $user->ID, 'wphk_login_count', $count + 1 );
}

این الگو در پروژه‌هایی که مدیر سایت می‌خواهد آمار کاربران فعال را ببیند، بسیار به‌کار می‌آید. یک ترفند مرتبط: اگر می‌خواهید تشخیص دهید آیا کاربر برای اولین بار وارد شده یا نه، از همین شمارنده استفاده کنید و برای بار اول یک پیام خوش‌آمدگویی نمایش دهید.

wp_login_failed: هنگام ورود ناموفق

سومین هوک و شاید مهم‌ترین آن‌ها از منظر امنیت، wp_login_failed است. این هوک در هر تلاش ناموفق اجرا می‌شود و اجازه می‌دهد سیاست محدودسازی تلاش را پیاده کنید:

add_action( 'wp_login_failed', 'wphk_count_failed_login' );

function wphk_count_failed_login( $username ) {
    $ip = isset( $_SERVER['REMOTE_ADDR'] ) ? $_SERVER['REMOTE_ADDR'] : '';
    $key = 'wphk_failed_' . md5( $username . $ip );

    $attempts = (int) get_transient( $key );
    $attempts++;
    set_transient( $key, $attempts, 15 * MINUTE_IN_SECONDS );

    if ( $attempts >= 5 ) {
        // می‌توان این‌جا IP یا کاربر را موقتاً مسدود کرد
        error_log( sprintf( 'Brute force suspected: user=%s ip=%s', $username, $ip ) );
    }
}

این ساختار ساده، پایهٔ محدودسازی تلاش‌های ورود را فراهم می‌کند. در پروژه‌های واقعی که هاست اشتراکی محدودیت جدی روی منابع دارد، همین محدودسازی سبک، جلوی بیشتر حملات Brute Force را می‌گیرد و از مصرف بی‌رویهٔ CPU جلوگیری می‌کند. راهنمای کامل این حوزه را در جلوگیری از حملات Brute Force در وردپرس نوشته‌ام.

هر تلاش ورود ناموفق، یک درس رایگان از یک مهاجم احتمالی است. اگر این درس‌ها را ثبت و تحلیل نکنید، فرصت یادگیری را از دست می‌دهید.

هوک‌های خروج و پایان نشست

خروج از حساب کاربری، در بیشتر پروژه‌ها نادیده گرفته می‌شود؛ درحالی‌که اهمیت آن در مواردی جدی‌تر از ورود است. مثلاً اگر روی سیستمی هستید که دادهٔ کاربران در کوکی یا ترنزینت ذخیره می‌شود، خروج بدون پاک‌سازی می‌تواند اطلاعات حساس را در مرورگر کاربر باقی بگذارد. هوک wp_logout جای مناسبی برای پاک‌سازی داده‌های موقت است:

add_action( 'wp_logout', 'wphk_cleanup_after_logout' );

function wphk_cleanup_after_logout() {
    $user_id = get_current_user_id();
    if ( $user_id ) {
        delete_transient( 'wphk_dashboard_cache_' . $user_id );
    }
}

یک نکتهٔ ظریف که در پروژه‌ای روی آن ساعت‌ها وقت گذاشته‌ام: wp_logout تا زمانی که نشست کاربر جاری هنوز در دسترس است اجرا می‌شود، ولی پس از آن دیگر کوکی‌های احراز هویت معتبر نیستند. اگر می‌خواهید پس از خروج عملیاتی روی دادهٔ کاربر انجام دهید که به هویت او نیاز دارد، آن را در همین هوک انجام دهید، نه در یک هوک دیرهنگام‌تر.

هدایت کاربر بعد از ورود و ثبت‌نام

پرسش همیشگی: چطور پس از ورود، کاربر را به یک صفحهٔ مشخص هدایت کنم؟ وردپرس برای این کار Filter اختصاصی دارد: login_redirect برای هدایت بعد از ورود و registration_redirect برای هدایت بعد از ثبت‌نام. اما یک نکتهٔ ظریف که در پروژه‌های واقعی زیاد باعث سردرگمی می‌شود: ترتیب اجرای این دو با login_redirect که در برخی افزونه‌ها هم دوباره اعمال می‌شود، می‌تواند نتیجهٔ نهایی را جابه‌جا کند.

add_filter( 'login_redirect', 'wphk_custom_login_redirect', 10, 3 );

function wphk_custom_login_redirect( $redirect_to, $requested, $user ) {
    if ( is_wp_error( $user ) || ! ( $user instanceof WP_User ) ) {
        return $redirect_to;
    }
    if ( in_array( 'administrator', (array) $user->roles, true ) ) {
        return admin_url();
    }
    if ( in_array( 'customer', (array) $user->roles, true ) ) {
        return home_url( '/my-account/' );
    }
    return $redirect_to;
}

برای هدایت پس از ثبت‌نام، مسیر کمی متفاوت است. وردپرس به‌طور پیش‌فرض پس از ثبت‌نام کاربر را به صفحهٔ ورود می‌فرستد؛ اگر می‌خواهید این مسیر را عوض کنید، معمولاً با Filter registration_redirect یا با مدیریت مستقیم خروجی فرم ثبت‌نام کار می‌کنید. یک هشدار از تجربه: هدایت به یک صفحه که نیاز به ورود دارد، در لحظهٔ ثبت‌نام می‌تواند حلقهٔ بی‌پایان ریدایرکت بسازد؛ چرا که ممکن است نشست کاربر هنوز به‌طور کامل برقرار نشده باشد.

شخصی‌سازی فرم ورود و ثبت‌نام

فرم ورود پیش‌فرض وردپرس در نشانی wp-login.php قرار دارد و ظاهر آن، آن‌قدر خنثی است که در بسیاری از پروژه‌ها، مشتری می‌خواهد ظاهرش را با برند خودش هم‌رنگ کند. چهار هوک Filter و Action در این مسیر پرکاربردند:

هوک	نوع	کاربرد
`login_enqueue_scripts`	Action	بارگذاری CSS/JS اختصاصی در صفحهٔ ورود
`login_headerurl`	Filter	تغییر لینک لوگو
`login_headertext`	Filter	تغییر متن لوگو
`login_message`	Filter	افزودن پیام بالای فرم ورود

add_action( 'login_enqueue_scripts', 'wphk_login_custom_style' );

function wphk_login_custom_style() {
    ?>
    <style>
        #login h1 a {
            background-image: url('https://example.com/logo.svg');
            background-size: contain;
            width: 200px;
            height: 80px;
        }
    </style>
    <?php
}

نکتهٔ امنیتی: صفحهٔ ورود، نقطهٔ حساسی است و بارگذاری اسکریپت اضافه روی آن، سطح حمله را بیشتر می‌کند. توصیهٔ من این است که فقط استایل اضافه کنید و از افزودن JS بی‌دلیل خودداری کنید. اگر می‌خواهید لایه‌های امنیتی حرفه‌ای‌تری به این صفحه اضافه کنید، امن‌سازی لاگین ادمین در وردپرس را ببینید. و اگر قصد اضافه‌کردن احراز هویت دو مرحله‌ای دارید، راهنمای فعال‌سازی 2FA برای کاربران وردپرس مرجع عملی خوبی است.

لایه‌های امنیتی که در هر پیاده‌سازی ضروری‌اند

هوک‌های ورود و ثبت‌نام، ابزار امنیتی هم هستند، به شرطی که به‌درستی به‌کار روند. پنج لایه‌ای که در هر پروژهٔ واقعی روی آن‌ها تأکید می‌کنم:

محدودسازی تلاش‌های ورود: با wp_login_failed و ترنزینت، حدود پنج تلاش در بازهٔ پانزده دقیقه را مجاز کنید.
بررسی ورودی‌ها پیش از تأیید: در wp_authenticate، رد کردن IPهای مشکوک یا الگوهای نام کاربری نامعتبر.
احراز هویت دو مرحله‌ای برای نقش‌های مدیریتی: با افزونه یا با کد سفارشی، حتماً روی حساب‌های مدیر فعال باشد.
ثبت لاگ امنیتی: همهٔ رویدادهای ورود ناموفق را در جایی نگه دارید تا در تحلیل دوره‌ای قابل بررسی باشند. مسیر امن ثبت لاگ را در افزونه‌های امنیت ورود وردپرس توضیح داده‌ام.
پاک‌سازی ورودی و خروجی: همان قاعدهٔ همیشگی، اما در مسیر ورود حساسیت آن دوچندان است.

یک ابزار جانبی که در پروژه‌های بزرگ به آن تکیه می‌کنم: محافظت در سطح wp-config.php با تعریف ثابت‌های امنیتی و جداسازی کلیدهای نمک. مسیر دقیق این کار را در امن‌سازی فایل wp-config در وردپرس آورده‌ام؛ این لایه، پایه‌ای‌ترین دفاعی است که هر سایتی باید داشته باشد.

اشتباهات رایج در پیاده‌سازی هوک‌های ورود و ثبت‌نام

در بازبینی ده‌ها افزونه و چایلد تم که روی مسیر ورود کار می‌کنند، این شش الگو بیشترین تکرار را داشته‌اند:

اشتباه	پیامد واقعی	اصلاح
اجرای کوئری سنگین در `wp_authenticate`	کندی سایت در ساعات شلوغ	انتقال به هوک متأخر یا کش
فراموشی بازگرداندن `$errors` در `registration_errors`	اعتبارسنجی سفارشی بی‌اثر می‌شود	بازگرداندن در تمام مسیرها
نبود `sanitize_text_field` روی ورودی‌های `$_POST`	ورود داده آلوده به دیتابیس	الگوی استاندارد وردپرس
ارسال ایمیل مستقیم در `user_register`	تایم‌اوت ثبت‌نام روی SMTP کند	انتقال به cron یا صف
هدایت به یک صفحهٔ محافظت‌شده پس از ثبت‌نام	حلقهٔ بی‌پایان ریدایرکت	بررسی نشست کاربر پیش از هدایت
محدودسازی تلاش‌های ورود براساس آی‌پی پشت پراکسی	مسدود شدن همهٔ کاربران	خواندن `X-Forwarded-For` با احتیاط

هرکدام از این موارد را در پروژه‌ای دیده‌ام و هزینه‌اش را یا مشتری داده یا توسعه‌دهندهٔ بعدی. شرح مفصل‌تر اشتباهات مشترک هوک‌ها در اشتباهات رایج هنگام استفاده از هوک‌ها آمده است؛ پیش از هر انتشار، پیشنهاد می‌کنم یک بار مرور شود.

نگاه معماری به هوک‌های ورود و ثبت‌نام

وقتی سایتی از «چند کاربر در روز» به «چند صد ثبت‌نام در روز» می‌رسد، هوک‌های ورود از ابزار سفارشی‌سازی به ستون معماری تبدیل می‌شوند. سه اصل که در پروژه‌های بزرگ به‌کارم آمده‌اند، این تفاوت را مشخص می‌کنند:

اصل اول: جداسازی لایه‌ها. سه لایه در مسیر ورود و ثبت‌نام باید در فایل‌های جداگانه زندگی کنند: لایهٔ نمایش (تولید HTML و CSS)، لایهٔ منطق (اعتبارسنجی و تصمیم‌گیری) و لایهٔ داده (ذخیره‌سازی در دیتابیس). هرچند همهٔ این‌ها به هوک‌های وردپرس متصل می‌شوند، جدایی فایل‌هایشان، نگهداری را بسیار آسان‌تر می‌کند. این تفکیک را در مبحث هوک‌های وردپرس در توسعه افزونه چه کاربردی دارند با جزئیات بیشتر باز کرده‌ام.

اصل دوم: Idempotency در منطق ورود. هر hook handler که به مسیر ورود وصل می‌شود باید بی‌طرف (Stateless) و تکرارپذیر باشد. یعنی اجرای همان تابع در دو ورود متوالی، نباید نتیجهٔ تجمعی غیرمنتظره بسازد. مثال ساده: اگر در wp_login یک شمارنده را با update_user_meta ذخیره می‌کنید، مطمئن شوید مقدار قبلی را می‌خوانید و بعد اضافه می‌کنید، نه اینکه صفر بگذارید. این تفکیک کوچک، تفاوت دادهٔ قابل‌اعتماد و دادهٔ مخدوش است.

اصل سوم: حداقل کردن کار در مسیر حساس. مسیر ورود و ثبت‌نام، حساس‌ترین لحظهٔ تجربهٔ کاربر است. هر ثانیه تأخیر اضافه، نرخ ورود را پایین می‌آورد. لذا در hook handlerهایی که به این مسیر وصل می‌شوند، فقط کارهای ضروری را انجام دهید: اعتبارسنجی سریع، ذخیرهٔ دادهٔ سبک، ثبت لاگ با نوشتن غیرمسدودکننده. اگر کاری می‌تواند در پس‌زمینه اجرا شود، در پس‌زمینه انجام دهید.

مسیر ورود، تعهدی است که در هر بازدید یک‌بار ادا می‌شود. هر خط اضافه در آن، هزینه‌ای است که همهٔ کاربران روزانه پرداخت می‌کنند.

و یک توصیهٔ تیمی: در پروژه‌هایی که چند توسعه‌دهنده روی مسیر ورود کار می‌کنند، پیشنهاد می‌کنم یک مستند کوتاه از تمام هوک‌های متصل در این مسیر و مسئولیت هرکدام نگه دارید. این مستند، در دیباگ سریع مسائل ورود، حیاتی می‌شود و از تعارض‌های پنهان جلوگیری می‌کند. برای مطالعهٔ بیشتر در این باره، راهنمای حرفه‌ای کار با هوک‌های وردپرس مرجع عمیق‌تری است.

مسیر پیشنهادی برای پیاده‌سازی و نتیجه

هوک‌های وردپرس برای مدیریت ورود و ثبت‌نام، از register_form و registration_errors در گام ثبت‌نام، تا wp_authenticate، wp_login و wp_login_failed در مسیر ورود، و wp_logout در خروج، ابزار کاملی در اختیار شما می‌گذارند. اضافه‌کردن فیلد سفارشی، اعتبارسنجی ورودی، محدودسازی تلاش‌های ورود، هدایت شرطی و سفارشی‌سازی ظاهر فرم، همه با همین هوک‌ها بدون دست‌زدن به هستهٔ وردپرس ممکن است. مهم‌ترین توصیه‌ها: پاک‌سازی ورودی، بازگرداندن مقادیر در Filterها، پرهیز از کارهای سنگین در مسیر حساس، و ثبت لاگ برای تحلیل دوره‌ای.

گام بعدی عملی که پیشنهاد می‌کنم: در سایت خودتان، فرآیند ورود را با یک افزونهٔ امنیتی سبک ترکیب کنید، شمارش تلاش‌های ناموفق را در یک ترنزینت پیاده کنید، و مدت آن را روی پانزده دقیقه تنظیم کنید. این تمرین کوچک، به شما تجربهٔ عملی محدودسازی Brute Force را می‌دهد؛ و اگر آن را با لاگ امنیتی همراه کنید، در هفتهٔ اول متوجه الگوهای تلاش مشکوک می‌شوید که پیش‌تر ندیده بودید. اگر در پروژه‌ای با موردی روبه‌رو شده‌اید که مسیر ورود به‌دلیل یک هوک نادرست کند یا ناامن شده باشد، برای من جالب است بدانید کدام هوک بود و چگونه حلش کردید — تجربهٔ خودتان را در دیدگاه‌ها بنویسید؛ به‌ویژه اگر روشی پیدا کرده‌اید که در عین سادگی، امنیت را بدون کاهش سرعت تأمین می‌کند. 🔐