قبل از مهاجم، ضعف‌ها را بشناسید.

تشخیص نسخه از generator، RSS، readme و فایل‌های wp-includes و مقایسه زنده با آخرین نسخه پایدار مخزن رسمی.

استخراج افزونه‌های فعال از کد صفحه، REST API و readme.txt؛ مقایسه نسخه با WordPress.org و هشدار افزونه‌های حذف‌شده از مخزن.

آزمون /wp-json/wp/v2/users و ریدایرکت ?author= برای کشف نام‌کاربری مدیر — نقطه شروع اغلب حملات brute-force.

بررسی xmlrpc.php، system.multicall، صفحه ورود، ثبت‌نام باز و دسترسی به install.php و wp-admin.

HSTS، CSP، X-Frame-Options، X-Content-Type-Options، Referrer-Policy، Permissions-Policy و پرچم‌های Secure/HttpOnly/SameSite.

اعتبار زنجیره گواهی، تاریخ انقضا، صادرکننده، نسخه پروتکل و پذیرش نسخه‌های منسوخ TLS 1.0/1.1.

مقایسهٔ نسخهٔ PHP با وصله‌های رسمی CVE-2026-109618/109619؛ بدون exploit، payload یا اجرای shell. اتصال ادمین می‌تواند runtime را فقط‌خواندنی تأیید کند.

کاوش امن ۱۵+ مسیر حساس مانند .env، .git، نسخه پشتیبان wp-config، debug.log، phpinfo و دامپ پایگاه داده.

برای هر یافته: کجا بروید (پیشخوان، cPanel یا DNS)، چه کلیکی بزنید، کد آماده، نحوه تأیید رفع و اینکه اگر حل نشد به چه کسی بسپارید.

با دسترسی ادمین و نصب پل امن: اول بکاپ واقعی و تأییدشده، بعد بستن خودکار راه‌های نفوذ با تست سلامت و امکان برگرداندن هر تغییر.

بررسی SPF، DMARC، CAA و نام‌سرورها برای جلوگیری از جعل ایمیل دامنه و فیشینگ علیه مشتریان شما.