Nếu bạn đang chạy một blog nhỏ hoặc website cho doanh nghiệp nhỏ, bạn có thể nghĩ rằng trang web của bạn sẽ không bị hacker nhắm đến và bạn không cần biện pháp bảo mật. Điều tồi tệ là hầu hết các tấn công trực tuyến là botnet tự động, và chúng không quan tâm bạn chạy doanh nghiệp nhỏ hay lớn.
Trong bài viết này chúng tôi sẽ chỉ cho bạn một số biện pháp bảo mật bạn có thể thực hiện để bảo mật trang đăng nhập WordPress.
1. Tích hợp Xác thực hai yếu tố (Two-Factor Authentication)
Xác thực hai bước hoặc hai yếu tố hiện đã trở thành bước không thể tránh khỏi để bảo mật bất kỳ tài khoản trực tuyến nào. Người dùng chủ yếu dùng lớp bảo mật này cho tài khoản quan trọng nhất. Đã đến lúc bạn kích hoạt nó cho trang WordPress của mình.
Plugin chúng tôi khuyến nghị là Google Authenticator vì nó được cập nhật thường xuyên và dễ thiết lập. Trước khi bắt đầu, hãy chắc chắn bạn đã tải ứng dụng Authenticator trên thiết bị di động. Nó có sẵn trên Android, iOS và Blackberry.
- Cài đặt plugin Google Authenticator và kích hoạt nó.
- Đi đến "Người dùng -> Hồ sơ của bạn" (Users -> Your Profile) và cuộn xuống Cài đặt Google Authenticator.
- Nhấp vào ô bên cạnh "Kích hoạt" (Active), và thêm mô tả nhỏ trong trường Mô tả (Description). Mô tả sẽ giúp bạn xác định website trên ứng dụng di động nếu bạn đã thiết lập nhiều mã.
- Nhấp vào nút "Quét mã QR" (Scan QR) để làm cho mẫu mã hiển thị. Mở ứng dụng di động và quét mã QR này. Thao tác này sẽ tạo ra mã 6 chữ số mà bạn có thể thêm khi đăng nhập.
Mã này thay đổi mỗi 10 giây, vì vậy bạn phải nhập trong khoảng thời gian đó. Mỗi khi bạn đăng nhập trang WordPress, hãy giữ ứng dụng Authenticator mở trên thiết bị. Hãy nhớ bạn chỉ có 10 giây để nhập mã và nhấn nút Đăng nhập.
2. Sử dụng các Plugin bảo mật
Có nhiều plugin bảo mật, nhưng danh sách dưới đây chứa những plugin dành riêng cho bảo vệ Trang đăng nhập.
- WPS Hide Login: trang đăng nhập mặc định của WordPress là "wp-login.php". Với plugin này, bạn có thể thay đổi trang đăng nhập thành URL tùy chọn của bạn.
- WP Limit Login Attempts: Plugin này hoạt động như phòng thủ chống tấn công brute force. Nó cho phép bạn đặt số lần thử đăng nhập cho người dùng. Nếu người dùng không đăng nhập được trong số lần cho phép, IP của người dùng sẽ bị chặn tạm thời. Ngoài ra, nó cũng thêm xác minh captcha để loại bỏ bot.
- Loginizer: Đây là plugin tất cả trong một để bảo vệ trang đăng nhập khỏi brute force và các tấn công khác. Nó có Two Factor Auth, reCAPTCHA, Đăng nhập không mật khẩu (PasswordLess Login) và nhiều tính năng bảo mật khác chuyên dụng cho đăng nhập.
3. Chỉ cho phép một số địa chỉ IP truy cập trang đăng nhập
Nếu trang web của bạn chỉ có vài người dùng, bạn có thể thêm danh sách trắng (whitelist) các địa chỉ IP được phép truy cập trang đăng nhập. Để làm vậy, bạn chỉ cần tạo tập tin ".htaccess" trong thư mục "wp-admin" (sử dụng cPanel của host web).
Thêm mã sau vào tập tin ".htaccess" mới tạo:
AuthUserFile /dev/null AuthGroupFile /dev/null AuthName "WordPress Admin Access Control" AuthType Basic <LIMIT GET> order deny,allow deny from all # IP của Ab allow from xx.xx.xx.xxx # IP của Ketul allow from xx.xx.xx.xxx # IP của John allow from xx.xx.xx.xxx </LIMIT>
Chỉ cần thay "xx" bằng địa chỉ IP bạn muốn đưa vào danh sách trắng. Cũng có thể thêm chú thích phía trên để chỉ định người dùng. Điều này sẽ chỉ cho phép các địa chỉ IP được đề cập truy cập trang "wp-admin". Sẽ hiển thị lỗi 403 nếu truy cập từ IP khác. Cách này giúp bạn giới hạn truy cập trang đăng nhập và tăng cường bảo mật trang web.
4. Chuyển sang HTTPS
Nếu bạn thực sự quan tâm đến bảo mật trang WordPress hoặc blog của mình, thì HTTPS là giao thức bạn chắc chắn nên nâng cấp. HTTPS về cơ bản mã hóa kết nối giữa trình duyệt web và máy chủ web, khiến kẻ tấn công khó giả mạo (spoof) dữ liệu đang được truyền tải. Nó có thể bảo vệ bạn khỏi kịch bản mã độc ẩn trên thiết bị tính toán, kịch bản có thể đánh cắp dữ liệu từ biểu mẫu đăng nhập và các trường nhập liệu khác.
Ngoài an ninh, bạn cũng có lợi thế so với các trang non-HTTPS trên kết quả tìm kiếm Google. Hơn nữa, chứng chỉ SSL cần thiết cho kết nối HTTPS hiện đã rẻ hơn nhiều so với trước đây.
Kết luận
Bảo vệ trang đăng nhập WordPress là bước đầu tiên để đảm bảo trang web của bạn an toàn. Với các bước đã đề cập, bạn sẽ có một trang đăng nhập vững chắc có thể chịu đựng được tấn công brute force và hầu hết các hack hiện nay.