══════════ محکم‌کاری امنیتی پنل مدیریت ══════════
آدرس جدید پنل مدیریت (غیرقابل حدس):   /panel-aaf2d6f1b2e7.html
  • مثل  https://دامنه‌شما/panel-aaf2d6f1b2e7.html   (بوکمارک کنید و جایی منتشر نکنید).
  • فایل قدیمی admin.html فقط یک صفحهٔ «۴۰۴» است (تا اگر روی هاست مانده، پنل قدیمی را از کار بیندازد).
    بعد از آپلود، اگر خواستید خودش را از هاست پاک کنید.
  • فایل check.php (ابزار نصب که اطلاعات سرور می‌داد) حذف شد؛ اگر روی هاست مانده پاکش کنید.

چه چیزهایی محکم شد
 ۱) رمز پیش‌فرض (config.php): اگر هنوز عوض نشده باشد، بعد از ورود فقط صفحهٔ «رمز جدید بگذارید» باز می‌شود و تا رمز عوض نشود هیچ بخشی از پنل کار نمی‌کند.
 ۲) حدس رمز: ۵ تلاش غلط = ۱۵ دقیقه قفل برای همان IP، به‌علاوه تأخیر ~۱ ثانیه در هر تلاش غلط.
 ۳) لاگ ورود: پنل ← تب «وضعیت» ← «🔐 رمز ورود مدیریت» ← «📜 آخرین ورودها» (✅ موفق / ❌ ناموفق با IP و زمان).
 ۴) درخواست جعلی از سایت دیگر (CSRF) برای همهٔ کارهای مدیر رد می‌شود.
 ۵) هدرهای امنیتی: جلوگیری از قرار گرفتن سایت داخل iframe سایت دیگر، nosniff، Referrer-Policy.
 ۶) نمایش خطاهای PHP به بیرون خاموش؛ فایل‌های README و .user.ini از بیرون قابل دانلود نیستند.
 ۷) رمز از قبل به‌صورت هش ذخیره می‌شود؛ کوکی نشست HttpOnly است و با HTTPS خودکار Secure می‌شود.

توصیه‌های بیرون از کد (مهم)
 • سایت حتماً روی HTTPS باشد. • رمز طولانی و تصادفی بگذارید (دکمهٔ «🎲 پیشنهاد رمز قوی»). • پوشهٔ data/ را پاک نکنید.
 • اگر هاست Nginx است (نه Apache)، .htaccess اجرا نمی‌شود: باید از هاستینگ بخواهید دسترسی مستقیم به پوشهٔ data/ و فایل config.php را ببندد.
فایل‌های تغییرکرده: api.php ، panel-aaf2d6f1b2e7.html (همان admin.html قبلی) ، admin.html (صفحهٔ ۴۰۴) ، sw.js ، report.html ، webpush.php ، .htaccess
