شرح کو محدود کرنا WordPress سائٹ کو خودکار غلط استعمال سے بچانے کے سب سے زیادہ عملی طریقوں میں سے ایک ہے۔ یہ کنٹرول کرتا ہے کہ ایک کلائنٹ کتنی جلدی حساس کارروائی کو دہرا سکتا ہے، جس سے سائٹ کو پاس ورڈ کا اندازہ لگانے، API سکریپنگ، فارم سپیم اور چیک آؤٹ آٹومیشن کو جذب کرنے میں مدد ملتی ہے، ہر آنے والے کے ساتھ دشمنی کا سلوک کیے بغیر۔
مقصد پوری ویب سائٹ پر ایک صوابدیدی نمبر مسلط کرنا نہیں ہے۔ ایک کارآمد پالیسی اس کارروائی کی حفاظت کی عکاسی کرتی ہے، ٹریفک کا معمول اور غلط مثبت کی قیمت۔ دس تیز مصنوعات کی تلاش، مثال کے طور پر، دس ناکام ایڈمنسٹریٹر لاگ ان کی طرح فیصلہ نہیں کیا جانا چاہیے۔
جہاں بدسلوکی کرنے والی ٹریفک WordPress تک پہنچ جاتی ہے
اختتامی نقطہ انوینٹری کے ساتھ شروع کریں۔ عام اہداف میں /wp-login.php، /xmlrpc.php، پاس ورڈ دوبارہ ترتیب دینے کی کارروائیاں، عوامی REST API روٹس، رابطہ اور رجسٹریشن فارم، تلاش، تبصرے، کارٹ آپریشنز، کوپن چیک اور ادائیگی سے متعلق کال بیکس شامل ہیں۔ حسب ضرورت پلگ انز AJAX یا REST ایکشنز شامل کر سکتے ہیں جن کو یاد کرنا آسان ہے۔
آپ کی پہلی ترجیح توثیق کی سطح ہونی چاہیے۔ ہمارے میں کنٹرولز کا استعمال کریں۔ WordPress لاگ ان سیکیورٹی گائیڈ—مضبوط اسناد، دو عنصر کی توثیق اور بے ضابطگی کی نگرانی — پھر تھروٹلنگ کو صرف دفاع کے بجائے ایک تکمیلی پرت کے طور پر شامل کریں۔
شرح کو محدود کرنا بلاک کرنے جیسا نہیں ہے۔
ایک مستقل بلاک بائنری فیصلہ کرتا ہے۔ شرح کو محدود کرنا وقت کے ساتھ رویے کو منظم کرتا ہے۔ ایک پالیسی ابتدائی برسٹ، سست بار بار سرگرمی، براؤزر چیلنج جاری کرنے اور صرف ان درخواستوں کو عارضی طور پر مسترد کرنے کی اجازت دے سکتی ہے جو حد سے تجاوز کرتی ہیں۔ یہ گریجویٹ جواب عام طور پر جائز صارفین کے لیے کم رکاوٹ کے ساتھ دستیابی کی حفاظت کرتا ہے۔
ایک سے زیادہ شناخت کنندگان کے ذریعہ درخواستوں کی پیمائش کریں۔ IP پتے کارآمد ہوتے ہیں، لیکن ایک کارپوریٹ نیٹ ورک سینکڑوں حقیقی صارفین کو ایک پتے کے پیچھے رکھ سکتا ہے، جبکہ حملہ آور ہزاروں میں گھوم سکتا ہے۔ جہاں پرائیویسی اور فن تعمیر اجازت دیتے ہیں، IP ساکھ کو اکاؤنٹ کے نام، سیشن، روٹ، ڈیوائس سگنلز اور کوشش کی جا رہی کارروائی کے ساتھ جوڑیں۔
سب سے سستا کنٹرول کنارے کے قریب رکھیں
ایک CDN یا ویب ایپلیکیشن فائر وال پی ایچ پی سے پہلے واضح سیلاب کو مسترد کر سکتا ہے، ڈیٹا بیس یا WordPress پلگ ان ان پر وسائل خرچ کرتے ہیں۔ مہنگے اور حساس راستوں پر تنگ اصول لاگو کریں، اور قابل اعتماد انضمام کے لیے مستثنیات دستاویز کریں۔ ایج کنٹرولز کو اصل کلائنٹ ایڈریس کو صحیح طریقے سے محفوظ رکھنا چاہیے تاکہ ڈاؤن اسٹریم لاگ اور حدود ہر درخواست کو پراکسی نہ سمجھیں۔
ویب سرور اور ایپلیکیشن کنٹرول زیادہ سیاق و سباق فراہم کرتے ہیں۔ Nginx، Apache یا ایک منظم میزبان درخواست کی شرح کو نافذ کر سکتا ہے، جبکہ سیکیورٹی پلگ ان یا کسٹم کوڈ ناکام لاگ ان کو کامیاب لاگ ان سے ممتاز کر سکتا ہے۔ مضبوط ترین ڈیزائن تہوں کا استعمال کرتا ہے: کنارے پر وسیع حجمی تحفظ اور ایپلی کیشن کے قریب عمل سے آگاہ فیصلے۔
API کے راستوں کے لیے، تصدیق اور اجازت کے چیک کے ساتھ جوڑی کی حدیں ہمارے میں بیان کی گئی ہیں۔ WordPress REST API سیکیورٹی گائیڈ. عوامی پڑھے جانے والے اختتامی نکات توثیق شدہ تحریری اختتامی پوائنٹس، برآمدات یا صارف کی گنتی سے زیادہ مقدار کو برداشت کر سکتے ہیں۔
سروس کے انکار کو فعال کیے بغیر لاگ ان اور پاس ورڈ کی بازیابی کی حفاظت کریں۔
لمبے اکاؤنٹ لاک آؤٹ سے بچیں جو مکمل طور پر ناکام پاس ورڈز کی وجہ سے شروع ہوتے ہیں۔ ایک حملہ آور جو ملازم کا صارف نام جانتا ہے وہ جان بوجھ کر اس شخص کو بند کر سکتا ہے۔ ترقی پسند تاخیر، مختصر عارضی حدود، خطرے پر مبنی چیلنجز اور بار بار ناکامیوں کے لیے انتباہات کو ترجیح دیں۔ بازیابی کو قابل استعمال رکھیں، اور ان منتظمین کے ساتھ پالیسی کی جانچ کریں جو مشترکہ نیٹ ورکس کا سفر کرتے ہیں یا استعمال کرتے ہیں۔
XML-RPC جان بوجھ کر فیصلے کا مستحق ہے۔ اگر کسی ایپلیکیشن کو اس کی ضرورت نہیں ہے تو اپنی ہوسٹنگ اور پلگ ان سیٹ اپ کے مطابق نمائش کو کم کریں۔ اگر ضرورت ہو تو، ایسے طریقوں کو محدود کریں اور ان نمونوں کی درخواست کریں جو آپ اصل میں استعمال کرتے ہیں بجائے اس کے کہ کوئی ایسا اصول لاگو کریں جو اشاعتی ٹولز یا انضمام کو توڑتا ہے۔
ہمارے میں تجارت کا جائزہ لیں۔ WordPress XML-RPC سیکیورٹی گائیڈ رسائی کو تبدیل کرنے سے پہلے، کیونکہ جائز خدمات اب بھی اختتامی نقطہ پر منحصر ہو سکتی ہیں۔
شرح کی حد کے فارم، تلاش اور تجارت کے اعمال
رابطہ فارم، رجسٹریشن، تجزیے اور نیوز لیٹر سائن اپ خودکار گذارشات کو راغب کرتے ہیں۔ جہاں مناسب ہو سرور سائیڈ توثیق، ہنی پاٹس یا چیلنجز شامل کریں، لیکن کارروائی اور سیشن کے ذریعے بار بار جمع کرانے کو بھی محدود کریں۔ کبھی بھی صرف براؤزر کے کنٹرول پر بھروسہ نہ کریں: بوٹس بنیادی اختتامی نقطہ کو براہ راست کال کرسکتے ہیں۔
WooCommerce سائٹس پر، لاگ ان، اکاؤنٹ تخلیق، کوپن ٹیسٹنگ، کارٹ میں تبدیلی، اسٹاک چیک اور چیک آؤٹ دیکھیں۔ جارحانہ حدیں حقیقی خریداروں، ادائیگی کے کال بیکس یا انوینٹری کی مطابقت پذیری میں خلل ڈال سکتی ہیں، لہذا گاہک کو درپیش کارروائیوں کو بھروسہ مند مشین ٹو مشین ٹریفک سے الگ کریں اور ہر ادائیگی اور تکمیل فراہم کرنے والے کے ساتھ جانچ کریں۔
ہمارا استعمال کریں۔ WooCommerce سیکیورٹی چیک لسٹ پورے اسٹور میں ادائیگی، اکاؤنٹ، پلگ ان اور ریکوری کنٹرولز کے ساتھ ریٹ محدود کرنے کے لیے۔
ان خیالات کو عملی شکل دیں۔
ایک مخصوص اصلاح سے لے کر مکمل ویب سائٹ تک، ہم کام کا دائرہ طے کرنے اور اسے مکمل کرنے میں مدد کرتے ہیں۔
میری ویب سائٹ پر بات کریںحسب ضرورت WordPress ویب ڈیولپمنٹاپنے اہداف کا اشتراک کریں۔ ہم عام طور پر سوالات اور عملی اقدامات کے ساتھ 4 گھنٹوں کے اندر جواب دیتے ہیں۔
شواہد سے ڈیزائن کی حدیں، اندازے سے نہیں۔
سخت حدوں کو نافذ کرنے سے پہلے ایک بیس لائن جمع کریں۔ فی منٹ معمول کی درخواستوں کی پیمائش کریں، برسٹ سائز، ناکامی کی شرح، ردعمل کا وقت اور ہر محفوظ کارروائی کے لیے ٹریفک کا ذریعہ۔ سرچ کرالر، مانیٹرنگ سسٹم، آفس نیٹ ورکس اور موبائل استعمال کرنے والے ایسے پیٹرن بنا سکتے ہیں جو بدنیتی کے بغیر غیر معمولی نظر آتے ہیں۔
جہاں ممکن ہو مشاہدے کے موڈ میں شروع کریں۔ لاگ ان کریں کہ کون سی درخواستیں محدود ہوں گی، غلط مثبت کا جائزہ لیں، پھر ایک قدامت پسند پالیسی نافذ کریں۔ راستے اور صارف کی حالت کے لحاظ سے ٹیون کریں۔ کم پائیدار شرح کے ساتھ ایک مختصر برسٹ الاؤنس اکثر انسانوں کی ایک سخت درخواست فی منٹ کی حد سے بہتر کام کرتا ہے۔
ہمارے میں نقطہ نظر کا استعمال کرتے ہوئے متعلقہ واقعات کو مرکزی بنائیں WordPress سیکیورٹی مانیٹرنگ گائیڈ. اچانک اضافے پر الرٹ، ایک ذریعہ سے بہت سے اکاؤنٹس کو نشانہ بنایا گیا، ایک اکاؤنٹ کو کئی ذرائع سے نشانہ بنایا گیا، بار بار 429 جوابات اور تحفظ کے قواعد میں تبدیلیاں۔
محفوظ، مفید جوابات واپس کریں۔
API کے لیے، HTTP 429 بہت زیادہ درخواستوں کے ساتھ جواب دیں جب کلائنٹ پالیسی سے تجاوز کر جائے۔ دوبارہ کوشش کرنے کے بعد قدر دوبارہ کوشش کا طوفان بنائے بغیر اچھے برتاؤ والے انضمام کو بحال کرنے میں مدد کر سکتی ہے۔ غلطی کے پیغامات کو مستقل رکھیں اور یہ ظاہر کرنے سے گریز کریں کہ آیا کوئی خاص صارف نام موجود ہے۔
براؤزر ٹریفک کے لیے، ایک مشکل غلطی سے ایک مختصر چیلنج یا تاخیر زیادہ مناسب ہو سکتی ہے۔ رسائی کو محفوظ رکھیں اور جائز صارفین کے لیے مدد کا راستہ فراہم کریں۔ کیشے احتیاط سے قوانین بناتا ہے لہذا ایک کلائنٹ کا محدود جواب ہر کسی کو پیش نہیں کیا جاتا ہے۔
ٹیسٹ ناکامی کے طریقوں اور آپریشنل ملکیت
اسٹیجنگ ماحول سے ٹیسٹ کریں اور لاگ ان، فارمز، APIs اور چیک آؤٹ میں برسٹس کی نقل کریں۔ تصدیق کریں کہ منتظمین، گاہک، ویب ہکس، نگرانی اور طے شدہ ملازمتیں اب بھی کام کرتی ہیں۔ رویے کی تصدیق کریں جب CDN کو نظرانداز کیا جاتا ہے، اصل پتہ تبدیل ہوتا ہے یا شرح کی حد کی سروس دستیاب نہیں ہوتی ہے۔
پلگ ان اور انفراسٹرکچر اپ ڈیٹس کی طرح کنٹرول شدہ عمل میں شرح کی حد میں تبدیلیاں شامل کریں۔ ہماری WordPress اپ ڈیٹ ٹیسٹنگ گائیڈ تبدیلیاں پیداوار تک پہنچنے سے پہلے ان کی توثیق کرنے کا طریقہ بتاتا ہے۔
ہر اصول کے لیے ایک مالک کو تفویض کریں۔ محفوظ راستہ، شناخت کنندگان، حد کی منطق، مستثنیات، جائزہ لینے کی تاریخ اور رول بیک طریقہ ریکارڈ کریں۔ باسی اجازت کی فہرستوں کو فوری طور پر ہٹا دیں۔ ایک ایسا کنٹرول جسے کوئی نہیں سمجھتا، بندش کا ذریعہ یا ایک پوشیدہ خلا بن جاتا ہے۔
ایک عملی نفاذ چیک لسٹ
انوینٹری ہائی رسک اینڈ پوائنٹس؛ ٹریفک کی بنیادیں قائم کریں؛ پہلے کنارے کی حفاظت کا اطلاق کریں؛ حساس کارروائیوں کے لیے اطلاق سے آگاہی کی حدیں شامل کریں؛ متعدد سگنلز کو یکجا کریں؛ ترقی پسند ردعمل کا استعمال کریں؛ مانیٹر 429s اور تصدیق کی بے ضابطگیوں؛ ٹیسٹ انضمام؛ دستاویز مستثنیات؛ اور بڑی ٹریفک یا فن تعمیر کی تبدیلیوں کے بعد پالیسی کا جائزہ لیں۔
اگر آپ چاہتے ہیں کہ آپ کی ہوسٹنگ، پلگ انز اور کاروباری بہاؤ کے خلاف کنٹرولز کا جائزہ لیا جائے، ہمارے WordPress سیکیورٹی سروس اس چیک لسٹ کو ٹیسٹ شدہ، سائٹ کے لیے مخصوص تحفظ کے منصوبے میں تبدیل کر سکتا ہے۔
اکثر پوچھے گئے سوالات
WordPress شرح محدود کیا ہے؟
WordPress شرح کو محدود کرنے سے یہ کنٹرول ہوتا ہے کہ ایک مقررہ مدت کے دوران ایک کلائنٹ، اکاؤنٹ یا سیشن حساس کارروائی کے لیے کتنی درخواستیں بھیج سکتا ہے۔ یہ عام زائرین کو جاری رکھنے کی اجازت دیتے ہوئے ضرورت سے زیادہ درخواستوں کو سست، چیلنج یا عارضی طور پر مسترد کر سکتا ہے۔
کیا WordPress میں عالمی شرح کو محدود کرنے والا شامل ہے؟
WordPress ہر لاگ ان، REST API روٹ، فارم اور کامرس ایکشن کے لیے عالمی شرح کی ایک عالمی حد فراہم نہیں کرتا ہے۔ تحفظ عام طور پر CDN یا WAF، ویب سرور، سیکیورٹی پلگ ان، یا مخصوص اختتامی نقطہ کے لیے حسب ضرورت کنٹرولز کے ذریعے لاگو کیا جاتا ہے۔
کیا مجھے صرف IP ایڈریس کے ذریعہ شرح کی حد کرنی چاہئے؟
نہیں۔ IP کی حدود مفید ہیں لیکن نامکمل ہیں کیونکہ دفاتر، موبائل نیٹ ورکس اور پرائیویسی سروسز ایڈریسز کا اشتراک کر سکتے ہیں، جبکہ بوٹنیٹس کئی پتوں پر حملوں کو تقسیم کرتے ہیں۔ مضبوط پالیسیاں IP سگنلز کو اکاؤنٹ، سیشن، روٹ اور ایکشن سیاق و سباق کے ساتھ جوڑتی ہیں۔
جب API کلائنٹ ایک حد سے تجاوز کر جائے تو WordPress سائٹ کو کیا واپس کرنا چاہیے؟
HTTP APIs کے لیے، 429 بہت زیادہ درخواستیں معیاری جواب ہے۔ جہاں عملی ہو، ریٹری-آفٹر ویلیو اور مشین کے ذریعے پڑھنے کے قابل واضح غلطی شامل کریں تاکہ جائز انضمام کو روکا جا سکے اور محفوظ طریقے سے دوبارہ کوشش کی جا سکے۔
