Phần lớn web WordPress nhỏ bị hack không phải vì có ai nhắm riêng vào chúng. Chúng bị các công cụ tự động quét hàng loạt, dò mật khẩu và khai thác lỗ hổng đã công bố. Vì vậy chỉ cần làm đủ vài việc cơ bản là đã tránh được phần lớn rủi ro. Dưới đây là 12 việc theo thứ tự ưu tiên. Chủ web không chuyên kỹ thuật vẫn tự làm được hầu hết.
1. Tài khoản và đăng nhập
- Mật khẩu mạnh và không dùng lại. Mỗi tài khoản quản trị một mật khẩu dài ít nhất 14 ký tự, không trùng với email hay Facebook. Dùng trình quản lý mật khẩu để khỏi phải nhớ.
- Bật xác thực hai lớp (2FA) cho mọi tài khoản quản trị viên và biên tập viên. Các plugin như Two Factor, Wordfence Login Security hay Solid Security đều có tính năng này, dùng ứng dụng Google Authenticator hoặc tương tự.
- Giới hạn số lần đăng nhập sai để chặn dò mật khẩu. Nhiều plugin bảo mật có sẵn, hoặc dùng Limit Login Attempts Reloaded.
- Không dùng tên đăng nhập “admin” và phân quyền đúng: người viết bài chỉ cần quyền Tác giả hoặc Biên tập viên, không cần Quản trị viên. Xoá tài khoản của người đã nghỉ việc hoặc của bên làm web cũ khi đã bàn giao xong.
2. Cập nhật và mã nguồn
- Cập nhật WordPress, plugin và theme đều đặn. Bật cập nhật tự động cho bản vá nhỏ của WordPress. Plugin thì kiểm tra hằng tuần. Cách làm an toàn có trong bài cập nhật WordPress không lỗi web.
- Xoá plugin và theme không dùng. Plugin đã tắt vẫn có thể bị khai thác vì file của nó vẫn nằm trên máy chủ.
- Không dùng plugin, theme lậu (“nulled”). Bản lậu rất hay cài sẵn cửa hậu và không nhận được bản vá. Nếu không có tiền mua bản Pro, dùng bản miễn phí chính thức hoặc plugin khác.
3. Máy chủ và cấu hình
- Dùng HTTPS cho toàn bộ web. Kiểm tra chứng chỉ bằng công cụ kiểm tra SSL. Chưa có thì xem bài cài SSL và chuyển sang HTTPS.
- Tắt XML-RPC nếu không dùng. File
xmlrpc.phphay bị lợi dụng để dò mật khẩu hàng loạt. Nếu bạn không dùng ứng dụng WordPress trên điện thoại hay Jetpack thì chặn file này. - Chặn sửa file trong trang quản trị và chặn chạy PHP trong uploads. Thêm
define( 'DISALLOW_FILE_EDIT', true );vàowp-config.phpđể kẻ chiếm được tài khoản không sửa code ngay trong trang quản trị. Thư mụcwp-content/uploadschỉ nên chứa ảnh và tài liệu.
4. Sao lưu và theo dõi
- Sao lưu tự động, lưu ở nơi khác ngoài hosting. Sao lưu chỉ nằm trên cùng máy chủ thì mất cùng lúc với web khi hosting gặp sự cố hoặc bị khoá. Xem bài backup WordPress đúng cách.
- Theo dõi web. Bật giám sát website để biết khi web sập hoặc SSL sắp hết hạn. Mỗi tháng gõ
site:tenmien.comtrên Google một lần xem có trang lạ không. Thêm web vào Google Search Console để nhận cảnh báo bảo mật.
5. Tự kiểm tra web đang để hở gì
Công cụ kiểm tra bảo mật WordPress miễn phí của DatPilot xem từ bên ngoài các mục như: XML-RPC còn mở không, tên đăng nhập có bị lộ qua đường dẫn tác giả hoặc REST API không, file nhạy cảm có để hở không, HTTPS và các header bảo mật. Công cụ bên ngoài không thấy được mã độc nằm trong file, nhưng cho bạn danh sách việc cần làm cụ thể.
6. Có cần plugin bảo mật không
Plugin bảo mật (Wordfence, Solid Security, All-In-One Security…) gom nhiều việc ở trên vào một chỗ: 2FA, giới hạn đăng nhập, tường lửa, quét file. Chúng có ích, nhưng không thay được việc cập nhật và sao lưu. Chỉ nên cài một plugin bảo mật, vì nhiều plugin chồng chéo dễ gây xung đột và làm web chậm. Nếu web đã đi qua Cloudflare, có thể bật thêm tường lửa ở đó để chặn bot trước khi nó tới máy chủ.
7. Nếu web đã có dấu hiệu bị hack
Làm các bước trên chưa đủ, vì cửa hậu có thể đã nằm sẵn trong web. Làm theo bài WordPress bị hack trước, sau đó mới gia cố.
8. Khi nào nên nhờ người làm
Nếu không có thời gian làm từng mục, gói bảo mật website WordPress, chống hack của DatPilot giá 690.000đ làm trọn danh sách trên, có sao lưu trước khi đổi cấu hình. Muốn có người giữ web cập nhật, sao lưu và quét định kỳ thì xem các gói bảo trì website.
