ওয়েবসাইট নিরাপত্তা: ব্যবসার সাইট সেফ রাখার ১০টা সহজ নিয়ম

ওয়েবসাইট নিরাপত্তা (website security) মানে কোনো জটিল টেকনিক্যাল ব্যাপার নয় — কয়েকটা অভ্যাস। সাইট, প্লাগইন আর থিম আপডেট রাখা, শক্ত পাসওয়ার্ড আর 2FA, নিয়মিত ব্যাকআপ, আর যাকে যতটুকু দরকার ততটুকুই অ্যাক্সেস দেওয়া — এই কয়েকটা জিনিস ঠিক থাকলে বেশিরভাগ রিস্ক এমনিতেই আটকে যায়।

আগে পুরো চেকলিস্টটা দিয়ে দিচ্ছি। তারপর একটা একটা করে বুঝিয়ে বলছি, কেন আর কিভাবে।

আগে চেকলিস্ট: আপনার সাইট কোথায় দাঁড়িয়ে আছে

নিচের লিস্টটা পড়ুন আর মনে মনে টিক দিন। যেগুলোতে "জানি না" আসছে, সেগুলোই আপনার আজকের কাজ।

#	কাজ	কত দিন পরপর
১	ওয়ার্ডপ্রেস, প্লাগইন, থিম আপডেট	প্রতি সপ্তাহে চেক
২	শক্ত, আলাদা পাসওয়ার্ড	একবার সেট, দরকারে চেঞ্জ
৩	লগইনে 2FA চালু	একবার
৪	ব্যাকআপ, সাইটের বাইরে রাখা	রোজ বা প্রতি সপ্তাহে
৫	অদরকারি প্লাগইন-থিম ডিলিট	প্রতি মাসে
৬	HTTPS চালু আর ঠিকঠাক	একবার, তারপর মাঝে মাঝে চেক
৭	স্টাফের আলাদা লগইন	কেউ এলে বা গেলে
৮	শুধু ভরসার জায়গা থেকে প্লাগইন-থিম	প্রতিবার নতুন কিছু বসানোর সময়
৯	হোস্টিং আর PHP ভার্সন আপডেট	বছরে একবার খোঁজ
১০	ডোমেইন, হোস্টিং, অ্যাডমিন — সব লগইন নিজের কাছে	একবার, তারপর আপডেট

এবার একটা একটা করে।

ওয়েবসাইট নিরাপত্তার ১০টা নিয়ম, সহজ কথায়

১. আপডেট ফেলে রাখবেন না

সাইট হ্যাক হওয়ার সবচেয়ে কমন রাস্তা হল পুরনো প্লাগইন বা থিম। কোনো প্লাগইনে কোনো দুর্বল জায়গা ধরা পড়লে কোম্পানি আপডেট দিয়ে সেটা ফিক্স করে। আপনি আপডেট না করলে দরজাটা খোলাই থেকে যায়।

ওয়ার্ডপ্রেস ছোট সিকিউরিটি আপডেট নিজে থেকেই বসিয়ে নেয়। প্লাগইন আর থিমের জন্য ড্যাশবোর্ডে অটো-আপডেট চালু করার অপশন আছে। তবু সপ্তাহে একবার ড্যাশবোর্ডে ঢুকে দেখে নিন, কোথাও লাল দাগ জমে আছে কিনা।

বড় আপডেটের আগে একটা ব্যাকআপ নিয়ে নিন — কোনো কারণে সাইট গোলমাল করলে আগের অবস্থায় ফেরা যাবে।

২. পাসওয়ার্ড হোক লম্বা আর আলাদা

দোকানের নাম আর সাল, বা "admin123" — এ ধরনের পাসওয়ার্ড প্রোগ্রাম খুব তাড়াতাড়ি গেস করে ফেলে। তিন-চারটে আলাদা শব্দ জুড়ে একটা লম্বা পাসওয়ার্ড বানান, যেটা মনে রাখা যায় কিন্তু গেস করা যায় না।

সবচেয়ে জরুরি কথা — ইমেল, ফেসবুক আর সাইটে একই পাসওয়ার্ড দেবেন না। একটা জায়গা থেকে লিক হলে বাকিগুলোও খুলে যায়। মনে রাখতে না পারলে একটা পাসওয়ার্ড ম্যানেজার ব্যবহার করুন।

অ্যাডমিনের ইউজারনেম "admin" রাখবেন না। এটাই সবার আগে ট্রাই করা হয়।

৩. 2FA চালু করুন

2FA মানে টু-ফ্যাক্টর অথেন্টিকেশন। পাসওয়ার্ডের পরে মোবাইলের একটা অ্যাপে আসা কোড দিতে হয়। কেউ আপনার পাসওয়ার্ড জেনে ফেললেও, আপনার ফোন ছাড়া ঢুকতে পারবে না।

ওয়ার্ডপ্রেসে ভালো রিভিউ পাওয়া 2FA প্লাগইন দিয়ে এটা কয়েক মিনিটে চালু করা যায়। সাইটের সঙ্গে সঙ্গে যে ইমেলে সাইটের লগইন যায়, আর ডোমেইন-হোস্টিং অ্যাকাউন্টেও 2FA চালু রাখুন।

৪. ব্যাকআপ — আপনার শেষ ভরসা

যত সাবধানই থাকুন, কিছু একটা হতে পারে — হ্যাক, ভুল করে কিছু ডিলিট, আপডেটে গোলমাল। তখন একটা ঠিকঠাক ব্যাকআপ থাকলে সাইট ফিরিয়ে আনা যায়।

তিনটে কথা মাথায় রাখুন:

• রেগুলার — যত ঘনঘন সাইটে চেঞ্জ করেন, তত ঘনঘন ব্যাকআপ।
• সাইটের বাইরে — ব্যাকআপ শুধু একই সার্ভারে থাকলে, সার্ভারে প্রবলেম হলে ব্যাকআপও যায়। Google Drive বা অন্য জায়গায় একটা কপি রাখুন।
• মাঝে মাঝে চেক — ব্যাকআপ ফাইল আসলে কাজ করে কিনা, ডেভেলপারকে দিয়ে একবার টেস্ট করিয়ে নিন।

কিভাবে ব্যাকআপ নেবেন, ডিটেলসে লিখেছি ওয়েবসাইটের ব্যাকআপ নেওয়ার গাইডে।

৫. প্লাগইন যত কম, ঝামেলা তত কম

প্রতিটা প্লাগইন মানে আরও একটা দরজা। যে প্লাগইন একবার কিছু টেস্ট করতে বসিয়েছিলেন আর এখন কাজে লাগে না — শুধু বন্ধ (deactivate) না করে ডিলিট করুন। বন্ধ থাকা প্লাগইনের ফাইলও সার্ভারে থেকে যায়।

একই কথা থিমের ক্ষেত্রে। চালু থিমটা রাখুন, বাকি অদরকারি থিম সরিয়ে দিন। কম প্লাগইন থাকলে সাইট তাড়াতাড়িও খোলে — স্পিড নিয়ে আরও জানতে পড়ুন ওয়েবসাইট স্পিড বাড়ানোর লেখাটা।

৬. HTTPS চালু রাখুন

ব্রাউজারের ঠিকানার পাশে তালার চিহ্ন দেখেছেন? ওটাই HTTPS, যেটা SSL সার্টিফিকেট দিয়ে চলে। এতে কাস্টমারের ফর্মে লেখা নাম-ফোন আর আপনার লগইন পাসওয়ার্ড রাস্তায় কেউ পড়ে ফেলতে পারে না।

আজকাল বেশিরভাগ হোস্টিং ফ্রি SSL দেয়। শুধু চেক করে নিন — সাইটের সব পেজ https দিয়ে খুলছে কিনা, আর সার্টিফিকেট নিজে থেকে রিনিউ হচ্ছে কিনা। HTTPS না থাকলে ব্রাউজার "Not secure" দেখায়, তাতে কাস্টমারের ভরসাও কমে।

৭. স্টাফের জন্য আলাদা লগইন

রিসেপশনের স্টাফ ব্লগ লেখেন, ভাইপো অফার আপডেট করে — সবাই কি আপনার অ্যাডমিন পাসওয়ার্ড দিয়ে ঢোকেন? এটা বন্ধ করুন।

ওয়ার্ডপ্রেসে প্রত্যেককে আলাদা ইউজার বানিয়ে দেওয়া যায়, আর কাজ অনুযায়ী রোল দেওয়া যায় — যেমন লেখার জন্য Author বা Editor। অ্যাডমিন থাকুক এক-দুজনের হাতে। কেউ কাজ ছেড়ে দিলে সেদিনই ওঁর লগইন সরিয়ে দিন।

৮. শুধু ভরসার জায়গা থেকে প্লাগইন-থিম

ইন্টারনেটে অনেক সাইট দামি থিম "ফ্রি"-তে দেয়। এগুলোকে বলে nulled থিম। অনেক সময় এর ভেতরেই লুকোনো কোড থাকে, যেটা পরে আপনার সাইটে স্প্যাম লিংক বসায় বা অন্য জায়গায় ডেটা পাঠায়।

প্লাগইন-থিম নিন ওয়ার্ডপ্রেসের নিজের লাইব্রেরি থেকে, অথবা যে কোম্পানি বানিয়েছে তাদের সাইট থেকে। বসানোর আগে দেখে নিন — শেষ কবে আপডেট হয়েছে, কতজন ব্যবহার করেন।

৯. হোস্টিংও আপডেট থাকা চাই

সাইট যে সার্ভারে চলে, সেখানে PHP নামে একটা জিনিস থাকে। পুরনো PHP ভার্সন আর সিকিউরিটি আপডেট পায় না। বছরে একবার হোস্টিং কোম্পানি বা ডেভেলপারকে জিজ্ঞেস করুন — PHP ভার্সন চালু আছে তো?

খুব সস্তা আর অচেনা হোস্টিংয়ে অনেক সময় এসব দেখার কেউ থাকে না, পরে ঝামেলা আপনাকেই সামলাতে হয়। হোস্টিং বাছার সময় সাপোর্ট কেমন, সেটাও দেখুন। ব্যবসার সাইটের জন্য dronahost.com দেখতে পারেন — SSL আর ব্যাকআপ সঙ্গেই থাকে, আর WordPress জানা লোকের সাপোর্ট পাওয়া যায়।

১০. সব লগইন নিজের কাছে রাখুন

ডোমেইন, হোস্টিং আর সাইটের অ্যাডমিন — তিনটের লগইন আপনার নিজের ইমেলে আর নিজের নামে থাকা উচিত। ডেভেলপার চেঞ্জ করলে, বা ডেভেলপারের সঙ্গে যোগাযোগ না থাকলে, যেন আপনি আটকে না যান।

একটা খাতায় বা পাসওয়ার্ড ম্যানেজারে সব লিখে রাখুন। আর যে ইমেলে এগুলো রেজিস্টার করা, সেই ইমেলটাই সবচেয়ে বেশি সাবধানে রাখুন — ওটা হাতছাড়া হলে বাকি সব পাসওয়ার্ড রিসেট করে ফেলা যায়।

ডেভেলপার হিসেবে আমার কথা: সিকিউরিটি প্লাগইন বসিয়ে অনেকে ভাবেন কাজ শেষ। আমার এক্সপেরিয়েন্সে দামি টুলের চেয়ে অনেক বেশি কাজ দেয় তিনটে সিম্পল অভ্যাস — সময়মতো আপডেট, 2FA, আর সাইটের বাইরে রাখা ব্যাকআপ। এই তিনটে থাকলে খারাপ দিনেও সাইট রিস্টোর করা যায়।

কোন সাইন দেখলে সতর্ক হবেন

নিচের কোনোটা চোখে পড়লে দেরি না করে ডেভেলপার বা হোস্টিং কোম্পানিকে জানান:

• সাইট খুললে হঠাৎ অন্য কোনো সাইটে চলে যাচ্ছে।
• Google সার্চে আপনার সাইটের নামের নিচে অচেনা ভাষার লেখা বা অদ্ভুত পেজ দেখাচ্ছে।
• ব্রাউজার বা Google সাইটটা নিয়ে ওয়ার্নিং দিচ্ছে।
• অ্যাডমিনে এমন ইউজার দেখছেন, যাকে আপনি বানাননি।
• সাইট হঠাৎ খুব ধীরে খুলছে, বা হোস্টিং থেকে ইমেল এসেছে।

এগুলো মানেই যে হ্যাক হয়েছে, তা নয়। কিন্তু চেক করে নেওয়া ভালো।

মাসে একবার ১৫ মিনিটের রুটিন

সব কাজ রোজ করতে হয় না। মাসে একদিন বসে এটুকু করুন:

1. ড্যাশবোর্ডে ঢুকে সব আপডেট শেষ করুন (আগে ব্যাকআপ)।
2. শেষ ব্যাকআপ কবে হয়েছে, আর সেটা সাইটের বাইরে আছে কিনা দেখুন।
3. ইউজার লিস্ট খুলে দেখুন — অচেনা কেউ আছে কিনা, পুরনো স্টাফের লগইন রয়ে গেছে কিনা।
4. অদরকারি প্লাগইন বা থিম ডিলিট করুন।
5. মোবাইলে সাইট খুলে দেখুন — তালার চিহ্ন আছে, সব পেজ ঠিকঠাক খুলছে।

এই রুটিনটা সাইটের পুরো মেইনটেন্যান্সের একটা পার্ট। আপডেট, স্পিড, ব্যাকআপ — সব মিলিয়ে কী কী করতে হয়, পড়ুন ওয়েবসাইট মেইনটেন্যান্সের পুরো গাইডে। ওয়ার্ডপ্রেস নিজেও সাইট শক্ত রাখার একটা গাইড রেখেছে — WordPress Hardening গাইড (ইংরেজিতে, একটু টেকনিক্যাল)।

শেষ কথা

ওয়েবসাইট নিরাপত্তা দোকানের শাটারে তালা দেওয়ার মতোই — রোজকার ছোট অভ্যাস, কোনো বড় খরচের ব্যাপার নয়। আপডেট, শক্ত পাসওয়ার্ড, 2FA আর ব্যাকআপ — এই চারটে আজই শুরু করে দিন।

এসব নিজে সামলানোর সময় না থাকলে সাইটের মেইনটেন্যান্সের দায়িত্ব আমাকে দিতে পারেন। কী কী করি, সার্ভিস পেজে দেখুন, অথবা সরাসরি যোগাযোগ করুন — সাইটের লিংক WhatsApp-এ পাঠালে বলে দেব কোথায় কী ঠিক করা দরকার।