Mã độc khiến doanh nghiệp mất hàng tỷ USD mỗi năm do mất doanh thu, chi phí pháp lý, tổn thương thương hiệu, và đánh cắp dữ liệu. Thêm vào đó, hacker liên tục tiến hóa thủ đoạn, mã độc liên tục thay đổi và khó phát hiện hơn.
Có vi phạm dữ liệu gần như mỗi ngày, phần đáng sợ là người ta mất bao nhiêu cho hacker. Khi quản trị viên WordPress cố gắng bảo vệ trang, họ tìm lời khuyên trực tuyến. Mặc dù lời khuyên thiện chí, một số rất kém.
Nhưng không phải tin xấu hết. Ngược lại, vì bạn đã đến đúng nơi.
Tin tốt: chúng tôi tại MalCare bảo vệ hơn 100.000 trang WordPress mỗi ngày, nên am hiểu rõ về bảo mật WordPress. Tin tuyệt vời: sẽ hướng dẫn bạn từng bước những gì cần biết để bảo mật trang WordPress. Tin tốt nhất: bạn không cần phải chuyên gia bảo mật WordPress để bảo vệ trang khỏi hacker.
TL;DR Nhận bảo mật tốt nhất cho trang WordPress bằng cách cài MalCare. MalCare là plugin bảo mật WordPress hàng đầu: quét sâu hàng ngày, dọn hack trong vài phút, bảo vệ trang với tường lửa tiên tiến. MalCare do đội ngũ chuyên gia bảo mật xây dựng, sẵn sàng hỗ trợ ngay mọi vấn đề.
Bảo mật WordPress là gì?
Bảo mật WordPress là bảo vệ trang web, dữ liệu, và khách truy cập – khỏi mã độc và hậu quả破坏性 của chúng. Bảo vệ trang web giống như xây rào chắn, khóa cửa chính, lắp hệ thống an ninh. Hy vọng không bao giờ cần, nhưng nếu cần, phải chắc chắn nó vững chắc.
Bạn có thể tự hỏi WordPress có an toàn không, và có phải lựa chọn tốt để xây dựng trang. Câu trả lời ngắn: có, WordPress an toàn. Thực tế, WordPress chạy gần 45% Internet, và nhiều thương hiệu lớn dùng cho trang web.
Đa số hack thành công do lỗ hổng bảo mật hoặc chính sách mật khẩu kém. Sẽ chỉ cách bảo vệ trang WordPress khỏi hack với vài mẹo bảo mật. Những mẹo này không yêu cầu biết code hay chỉnh file WordPress. Trang vẫn được bảo vệ, và bạn đã chinh phục bảo mật WordPress.
Các biện pháp thực hành tốt nhất cho Bảo mật WordPress (14 Mẹo)
Bảo mật WordPress dường như khó hơn thực tế. Có thể nản chí đọc về các loại hack WordPress như tiêm spam, tấn công lừa đảo, hoặc chuyển hướng độc hại.
Tuy nhiên, không cần lo lắng. Nếu thực hiện các biện pháp bảo mật WordPress sau, chắc chắn có trang an toàn và bảo vệ dữ liệu khỏi hacker đánh cắp.
1. Cài plugin bảo mật WordPress
Cách quan trọng nhất bảo vệ trang WordPress là cài plugin bảo mật, như MalCare.
Khuyên dùng MalCare vì:
- Quét sâu trang WordPress hàng ngày tìm mã độc
- Tự động dọn mã độc 1 cú nhấp chuột
- Loại bỏ mã độc và backdoor ngăn chặn nhiễm lại
- Tường lửa tiên tiến
- Phát hiện lỗ hổng
- Bảo vệ brute force
- Bảo vệ bot thông minh
- Nhật ký hoạt động (Activity log)
- Không dùng tài nguyên máy chủ của trang
MalCare là plugin bảo mật hoàn chỉnh kết hợp 3 khía cạnh quan trọng nhất của bảo mật WordPress: trình quét mã độc, công cụ dọn mã độc, và tường lửa tiên tiến.
Để bảo vệ trang với MalCare, chỉ cần cài đặt và để plugin làm việc. MalCare đồng bộ trang lên máy chủ, thiết lập quét sâu hàng ngày.
Nếu phát hiện mã độc, MalCare cảnh báo, và bạn có thể tự động dọn mã độc một cú nhấp chuột. MalCare xóa mã độc "phẫu thuật" khỏi trang, đảm bảo trang hoàn toàn nguyên vẹn. Cũng có thể liên hệ đội ngũ chuyên gia bảo mật WordPress giúp giải quyết vấn đề hack sâu hơn.
Bạn có thể dùng MalCare bảo vệ trang đăng nhập WordPress khỏi tấn công brute force, giới hạn lần đăng nhập. Các tấn công này làm quá tải trang, giữ người dùng thật bên ngoài. Tương tự, plugin đi kèm bảo vệ bot, chặn bot xấu cào dữ liệu hoặc tấn công DDoS làm sập trang. Tuy nhiên có bot tốt, như bot giám sát uptime hoặc googlebot lập chỉ mục, MalCare thông minh chặn bot xấu mà cho bot tốt vào.
Phần tốt nhất: hiệu suất trang web không bị ảnh hưởng bởi quét hay dọn dẹp. Nếu bạn có trang thương mại điện tử hoặc thành viên, plugin khác sẽ ảnh hưởng rõ rệt trải nghiệm người dùng. Vì plugin như Wordfence và Sucuri dùng tài nguyên trang chạy quét. Dẫn đến một số host cấm Wordfence hoàn toàn.
2. Sử dụng tường lửa ứng dụng web (WAF) cho trang web
Tường lửa ứng dụng web (Web Application Firewall), còn gọi tường lửa trang web, bảo vệ trang WordPress bằng cách chặn lưu lượng độc hại. Tường lửa là thành phần thiết yếu của bảo mật WordPress vì đảm bảo lưu lượng độc hại không bao giờ đến trang bằng cách chặn nó.
MalCare có tường lửa tiên tiến, tích hợp với plugin bảo mật. Khi cài plugin, tường lửa có hiệu lực, bảo vệ trang WordPress khỏi nhiễm mã độc. Lợi ích tường lửa MalCare:
- Bảo vệ chống tấn công SQL injection, thực thi code từ xa (remote code execution), tiêm spam, cross-site scripting (XSS), và nhiều hơn
- Ngăn hacker khai thác lỗ hổng trên trang
- Bảo vệ IP toàn cầu cho 100.000+ trang
- Tường lửa tiên tiến học từ từng trang được bảo vệ để chủ động chặn lưu lượng xấu trên trang khác
- Tải cùng WordPress, kiểm tra mọi lưu lượng đến tìm ý图 độc hại
- Không cần cấu hình; hoạt động ngay lập tức
- Đi kèm mọi gói bảo mật MalCare
Có loại tường lửa trang web khác nhau, phân loại theo nơi cài đặt và cách hoạt động. Tường lửa hiệu quả nhất tải trước WordPress, như MalCare và Sucuri, để lọc toàn bộ lưu lượng xấu. Tường lửa cấp plugin, như Wordfence, lọc được phần lớn lưu lượng xấu, nhưng không phải tất cả.
3. Quét sâu trang WordPress hàng ngày
Cột mốc đầu tiên của bảo mật WordPress là phát hiện mã độc sớm nhất. Làm được bằng cách quét trang với trình quét mã độc WordPress. Khuyên cài MalCare, có trình quét mã độc miễn phí, và nhiều lợi ích:
- Quét sâu tự động hàng ngày
- Nhận diện mã độc và backdoor giấu kỹ nhất
- Trình quét tiên tiến vượt qua so khớp chữ ký dùng bởi hầu hết scanner khác
- Nhận diện mã độc dựa trên 100+ tín hiệu đánh giá rủi ro
- Quét file lõi WordPress, cơ sở dữ liệu, file/thư mục plugin và theme; cả bản miễn phí và premium
- Độ chính xác 95%+ không false positive
- Không dùng tài nguyên trang chạy quét
Với MalCare, bạn có câu trả lời chắc chắn trang có bị hack hay không. Khi có kết quả quét, có thể nâng cấp để dọn trang trong vài phút.
Quan trọng: Nếu phát hiện mã độc trên trang, dọn ngay lập tức. Mã độc càng để lâu càng tồi tệ, hacker có thời gian lan mã độc qua trang, đánh cắp dữ liệu, lây lan thiết bị và trang khác. Ưu tiên loại bỏ mã độc, nếu không rủi ro Google đưa vào danh sách đen, hoặc host treo tài khoản.
Trình quét mã độc không xây dựng giống nhau, hiệu quả khác nhau. Hầu hết scanner dùng cơ sở dữ liệu chữ ký phát hiện mã độc. So sánh code trang với tất cả chữ ký, nếu khớp, gắn cờ mã độc.
Có vài vấn đề phụ thuộc hoàn toàn vào cơ sở dữ liệu chữ ký:
Thứ nhất, cơ sở dữ liệu phải cập nhật liên tục. Vì mã độc về cơ bản là code, có hoán vị vô hạn, biến thể mới dễ lọt qua scanner so khớp không bị gắn cờ.
Thứ hai, đội ngũ duy trì cơ sở dữ liệu phải từng "thấy" mã độc để thêm vào. Dễ với plugin/theme miễn phí, nhưng phần mềm premium thường bị bỏ qua. Đã thấy mã độc không bị phát hiện trong trình xây dựng trang như Elementor, Divi, hoặc theme phổ biến từ Envato, Themeforest vì lý do này.
4. Giữ mọi thứ trên trang WordPress cập nhật
Nguyên nhân chính trang bị hack là lỗ hổng bảo mật. Lỗ hổng là lỗi code cho phép truy cập trái phép, như tải file không an toàn hoặc SQL injection.
WordPress lõi, plugin, theme đều xây bằng code, dù nỗ lực và lập trình viên tài ba, lỗ hổng lạ vẫn có thể tồn tại. Nhà nghiên cứu bảo mật thường phát hiện vấn đề, tiết lộ riêng cho nhà phát triển để khắc phục. Nhà phát triển có trách nhiệm sẽ phát hành bản vá bảo mật qua cập nhật.
Sau khi cập nhật phát hành, nhà nghiên cứu công bố phát hiện để cảnh báo người dùng về lỗ hổng trên trang. Vì lỗ hổng giờ là kiến thức công khai, hacker sẽ tấn công trang chưa cập nhật. Thường họ thành công. Do đó, cực kỳ quan trọng giữ mọi thứ trên trang cập nhật sớm nhất có thể.
Cập nhật trang hơi e ngại, vì cập nhật đôi khi làm hỏng trang. Lý tưởng: sao lưu trang trước, dùng staging test cập nhật trước, rồi cập nhật trang chính. BlogVault lo tất cả khía cạnh này ở một nơi, giúp cập nhật WordPress an toàn.
Quan trọng: Không bao giờ dùng theme và plugin nulled. Chúng thường nhồi nhét mã độc, và vì là pirated, không nhận cập nhật từ nhà phát triển.
5. Thực thi chính sách mật khẩu mạnh
Sau lỗ hổng, lý do lớn thứ hai trang WordPress bị hack là mật khẩu kém. Mật khẩu thường là điểm yếu nhất trong bảo mật WordPress vì 2 lý do:
- Dễ nhớ, do đó dễ đoán: Đã thấy vô số trang bị hack vì admin đặt mật khẩu như: pass@123, P@ssword, hoặc tổ hợp kiểu đó. Hacker dùng bot thử mật khẩu phổ biến, tổ hợp khác nhau để xâm nhập. Bot có thể thử hàng trăm mỗi phút.
- Dữ liệu rò rỉ từ vi phạm: Mật khẩu khó nhớ, nên người ta dùng lại cho nhiều trang/sản phẩm. Tuy nhiên, nếu một trong những trang đó bị hack và rò rỉ dữ liệu, thông tin đăng nhập của bạn bị xâm phạm. Hacker có cả hai "chìa khóa" – email và mật khẩu – cần để xâm nhập trang.
Có thể dùng plugin thực thi mật khẩu mạnh cho tất cả user. User sẽ buộc đặt mật khẩu mạnh, chưa bị xâm phạm trong vi phạm dữ liệu. Hiểu được mật khẩu mạnh cũng khó nhớ, khuyên dùng trình quản lý mật khẩu (password manager). Sự bất tiện nhỏ chắc chắn đáng giá an ninh nó mang lại.
6. Bật xác thực hai yếu tố (2FA)
Nếu áp dụng phần trước, bạn có mật khẩu mạnh. Nhưng không thay đổi thực tế: chỉ có mật khẩu giữa trang và hacker.
Xác thực hai yếu tố (Two-factor authentication) là lớp bảo mật thêm cho đăng nhập trang. Thường cần tên người dùng và mật khẩu đăng nhập, tên người dùng thường là email. Nghĩa là, nếu kẻ tấn công biết email, họ chỉ cần đoán một yếu tố xác thực – mật khẩu – để xâm nhập.
Thêm yếu tố xác thực thứ hai khuếch đại bảo mật đáng kể, và rất đơn giản. Cài plugin làm được, không cần đụng code.
Một vài plugin miễn phí bật 2FA cho trang:
- WP 2FA
- Google Authenticator
- WordPress 2-Step verification
Bản miễn phí Wordfence cũng có tính năng, iThemes Security cũng có. Không khuyên dùng iThemes cho bất kỳ thứ gì ngoài 2FA, vì nhiều lý do.
7. Sử dụng SSL
SSL là giao thức bảo mật trang web dùng để mã hóa truyền thông. Khi ai đó truy cập trang, dữ liệu gửi từ trình duyệt đến máy chủ trang, và ngược lại. Đây là cách truyền thông trên Internet, nhiều thông tin truyền qua cách này.
Cài chứng chỉ SSL rất dễ. Bên cạnh đó, SSL đầu tư thời gian đáng giá vì:
- Mã hóa dữ liệu gửi đến và từ máy chủ trang, bảo vệ dữ liệu không bị đọc bởi người không có thẩm quyền
- Trang có SSL có ổ khóa xanh bên cạnh URL trên hầu hết trình duyệt – huy hiệu niềm tin cho khách truy cập
- Google tích cực khuyến khích SSL và hiển thị thông báo 'Trang không an toàn' trong kết quả tìm kiếm nếu trang không có SSL
Cách SSL hoạt động: mã hóa truyền thông, nên ngay khi người không có thẩm quyền nghe lén, cũng không hiểu được gì đang truyền.
Hữu ích hình dung như cuộc trò chuyện điện thoại. Lý tưởng, cuộc trò chuyện riêng tư giữa hai người hai đầu dây. Nhưng nếu người thứ ba cắm đầu dây, thông tin trao đổi bị xâm phạm.
Tương tự, truyền thông đến/từ trang có thể bị xâm phạm. Trường hợp trang web, dữ liệu trao đổi có thể nhạy cảm, như thông tin nhận dạng hoặc mật khẩu, nên mã hóa cần thiết.
Thiết lập đơn giản với Really Simple SSL, thường cũng cung cấp bởi host như một phần dịch vụ.
8. Sao lưu trang web hàng ngày
Mã độc từng xóa sạch trang, hoặc khiến host xóa trang cùng bản sao lưu. Đôi khi mã độc tệ đến mức buộc phải xây dựng lại trang từ đầu. Tuy nhiên, nếu đã sao lưu trang, bạn vẫn có cơ hội cứu vãn.
Sao lưu trang WordPress tốt nhất là: tự động, định kỳ, mã hóa cho an ninh, khôi phục tin cậy, và hoàn toàn độc lập với host. Nhiều plugin sao lưu lưu bản sao trên cùng máy chủ với trang, rủi ro bị ảnh hưởng bởi điều gì xảy ra với trang chính. Sao lưu của host chỉ hoạt động trong tình huống tốt nhất, vì host có thể "bắn ngay hỏi sau" xóa trang nhiễm mã độc.
9. Chọn host tốt
Hiểu lầm phổ biến: host chịu trách nhiệm nhiễm mã độc, vì người ta nhầm tưởng host không bảo mật máy chủ. Ngược lại, host có nhiều thứ mất mát nếu phát hiện mã độc trên máy chủ, do đó bảo mật thường "kín đáo".
Nói "thường" vì host đôi khi cũng bị vi phạm dữ liệu. Tháng 11/2021, GoDaddy bị vi phạm lộ thông tin SFTP và cơ sở dữ liệu của 1,2 triệu user. Vì GoDaddy là host lớn, con số cũng lớn.
Tuy nhiên đây là ngoại lệ, không phải quy tắc. Nói chung, host tốt có tường lửa mạng, và nhiều cơ sở hạ tầng bảo mật khác bảo vệ máy chủ khỏi mã độc.
Nếu tìm host tốt, nên tìm:
- Cơ sở hạ tầng cập nhật
- Chính sách bảo mật và chứng chỉ công bố
- Điều khoản rõ ràng, về cách xử lý mã độc ví dụ
- Hỗ trợ nhanh chóng
Chọn host tốt giống xây nền móng vững chắc cho trang. Khi đã có, có thể quên đi.
10. Tăng cường Bảo mật WordPress (Hardening)
Tăng cường WordPress (Hardening) là thuật ngữ chung cho các biện pháp làm bảo mật WordPress mạnh hơn. Nghiêm ngặt, đặt mật khẩu mạnh và dùng 2FA về mặt kỹ thuật cũng là hardening, nhưng những điều đó ảnh hưởng to lớn đến bảo mật, trong khi các điểm sau là "có thì tốt".
Có vài cách thực hiện các biện pháp sau. Nếu thoải mái code, làm thủ công. Đã link bài viết chỉ bước chính xác. Hoặc dùng MalCare áp dụng các biện pháp này, hoặc bảo vệ trang chống khai thác lỗ hổng.
- Chặn thực thi PHP trong thư mục /wp-uploads: Hacker có thể tải file PHP lên trang, thực thi và kiểm soát trang. Loại hack này gọi là tấn công thực thi code từ xa (remote code execution). Thư mục /wp-uploads không bao giờ cần code thực thi, nên chặn PHP ngăn chặn hoàn toàn loại tấn công này.
- Giới hạn lần đăng nhập: Hacker dùng bot tấn công brute force trang đăng nhập, thử nhiều mật khẩu. Có thể giới hạn số lần sai cho phép, bằng cách khóa tạm user, hoặc triển khai captcha. Biện pháp này giảm tổng số lần bot đoán mật khẩu đúng, bảo vệ trang khỏi brute-force.
- Vô hiệu hóa XML-RPC: Chức năng XML-RPC là cũ, WordPress dùng giao tiếp với hệ thống khác. Đã thay thế phần lớn bởi REST API gần đây, nhưng vẫn có trong phiên bản mới để tương thích ngược. Có thể dùng để đăng nhập, nên coi là lỗ hổng.
Nhiều bài viết về hardening WordPress để bảo vệ khỏi hacker. Một số biện pháp hiệu quả; số khác ảnh hưởng bảo mật tối thiểu nhưng cản trở khả năng dùng trang. Trade-off thường không đáng. Sẽ nói một số biện pháp rơi vào loại này ở phần sau.
11. Gỡ bỏ plugin hoặc theme không dùng
Thỉnh thoảng xem lại danh sách plugin và theme cài đặt. Nếu không dùng chủ động, chúng thường bị bỏ qua cập nhật. Sau đó, nếu tìm thấy lỗ hổng, chúng trở thành điểm yếu trong bảo mật WordPress.
Thực hành tốt nhất: gỡ bỏ theme và plugin không dùng khỏi trang WordPress. Ít nhất, gỡ những cái đã vô hiệu hóa.
12. Triển khai chính sách quản lý người dùng
Hacker muốn truy cập trang, cách nhanh và hiệu quả nhất là kiểm soát tài khoản quản trị (admin). Chúng cũng có thể xâm nhập tài khoản user và nâng cấp quyền thành admin qua mã độc, dù khó hơn. Cách nào, tài khoản user có thể là cửa ngõ vào trang.
Vì vậy, cần bước đảm bảo không tài khoản user nào hiện tại bị xâm phạm, và ngăn chặn bị xâm phạm tương lai:
- Cài nhật ký hoạt động (Activity log): Thay đổi bất ngờ đối với user, file, bài viết, cài đặt, plugin, theme, hoặc bất kỳ phần nào trang có thể là tín hiệu sớm tài khoản user bị xâm phạm. Thực tế, nhiều hacker lợi dụng logging không đầy đủ để giấu hoạt động.
- Xem lại user định kỳ: Quản trị trang thay đổi theo thời gian, như tác giả, biên tập viên đến và đi. Theo dõi user, xóa những ai không cần truy cập nữa. Tài khoản ngủ (dormant) có mật khẩu cũ. Nếu dùng lại mật khẩu nơi khác và bị vi phạm, trang bạn dễ bị tấn công.
- Triển khai chính sách đặc quyền tối thiểu (least privileges): Đảm bảo mỗi user chỉ có quyền truy cập cần thiết. Tác giả không cần quyền admin, biên tập viên cũng không. Giới hạn số user admin tối đa.
Quản lý user dễ dàng từ wp-admin. MalCare bao gồm nhật ký hoạt động trong gói bảo mật.
13. Sử dụng SFTP/SSH
Nếu không rành code hoặc quản lý file/thư mục WordPress, không cần chuyển sang SFTP hay dùng SSH. Tuy nhiên, nếu dùng FTP, cân nhắc chuyển sang SFTP.
Hoạt động giống hệt FTP, trừ dữ liệu truyền được mã hóa và truyền qua SSH. Nghĩa là dữ liệu không thể đọc khi truyền, giống như SSL bảo mật truyền dữ liệu qua HTTP.
14. Quản lý nhiều cài đặt WordPress
Nhiều lý do có nhiều cài đặt WordPress trong cùng thư mục trang. Có thể trang staging, sub-domain, hoặc thiết kế cũ sau này thay bằng mới. Dù lý do gì, cài đặt WordPress lồng nhau (nested) là một trong nguyên nhân chính nhiễm lại mã độc.
Cài đặt WordPress cũ thường có lỗ hổng bị bỏ qua, vì không phải trang chính. Do đó, dễ bị hack. Vì mã độc lan dễ dàng giữa file/thư mục WordPress, dẫn đến trang chính bị nhiễm. Dù admin dọn mã độc từ trang chính, trừ khi làm tương tự cho cài đặt lồng, mã độc sẽ xuất hiện lại. Mã độc wp-vcd là ví dụ điển hình của mã độc dai dẳng không chịu khuất phục.
Những quan niệm sai lầm phổ biến về Bảo mật WordPress
Có nhiều thông tin kém về bảo mật WordPress. Đều thiện chí, nhưng kém. Là chuyên gia bảo mật, muốn bác bỏ những quan niệm sai lầm nghiêm trọng nhất thấy trôi nổi trên Internet.
WordPress không an toàn
Ngược lại, WordPress phát triển tốt như một CMS an toàn. Không bắt đầu an toàn nhất, rõ ràng, nhưng theo thời gian, các "nút thắt" bảo mật đã được làm phẳng. Bản phát hành và vá lỗ hổng đã được giải quyết, giờ là một trong những lựa chọn tốt nhất.
Lý do WordPress thấy hacker và mã độc nhiều hơn phần mình là do sự phổ biến khổng lồ. Nhiều trang dùng WordPress hơn, nên hacker có động lực tìm lỗ hổng bảo mật, vì "phần thưởng" lớn hơn.
Thực tế, chính vì mối đe dọa hack liên tục, WordPress đã loại bỏ nhiều vấn đề bảo mật vẫn tồn tại trong CMS khác.
Host web chịu trách nhiệm mã độc trên trang của bạn
Ít nhất 95% thời gian họ không. Trang bị hack chủ yếu do lỗ hổng hoặc mật khẩu bị xâm phạm. Cả hai đều hoàn toàn trong kiểm soát – và do đó trách nhiệm – của chủ trang và admin.
Host có nhiều thứ mất mát nếu phát hiện mã độc trên máy chủ. Đó là lý do họ có thể "bắn ngay hỏi sau" treo trang có mã độc.
Nhiều plugin bảo mật WordPress sẽ bảo vệ trang tốt hơn
Thấy logic đằng sau quan niệm sai này: nếu plugin này tốt khía cạnh này, plugin kia tốt khía cạnh kia, dùng cả hai sẽ bao phủ tất cả. Sai.
Chúng tôi đã làm series test kỹ tất cả plugin bảo mật chính. iThemes Security, Jetpack, Sucuri đều thất bại phát hiện mã độc trên trang hack của chúng tôi. Chỉ là một ví dụ thất bại.
Một plugin bảo mật – rõ ràng khuyên MalCare – phải quét, dọn, bảo vệ đủ khả nể xứng danh plugin bảo mật. Wordfence đứng thứ hai, nhưng sẽ cạn kiệt tài nguyên máy chủ.
Tất cả lời khuyên hardening WordPress đều tốt
Đừng làm bất kỳ điều sau, vì chúng gây vấn đề nhiều hơn giải quyết hoặc biện pháp bảo mật không hiệu quả:
- Giấu số phiên bản WordPress
- Đổi URL đăng nhập
- Đổi tiền tố cơ sở dữ liệu
Thêm vào đó, tránh những điều sau. Không nên cấu hình cài đặt bảo mật quá chi tiết, vì có thể gây vấn đề nếu quản lý nhiều trang.
- Chặn theo địa lý (Geoblocking): Geoblocking chặn dải IP tương ứng vị trí địa lý muốn chặn. Có thể là thành phố, quốc gia, khu vực. Tuy nhiên, IP không luôn 100% chính xác, nên có thể chặn nhầm khách muốn. Bên cạnh đó, nếu chặn quốc gia, bot tìm kiếm hoạt động từ quốc gia đó không thể lập chỉ mục trang.
- Bảo vệ file lõi riêng lẻ: Tường lửa tốt lo việc này, scanner tin cậy tìm nhanh mã độc trong file lõi WordPress.
Trang của tôi quá nhỏ để bị hack
Trang web có giá trị dù rõ ràng hay không. Mọi trang đều có tài sản dùng cho nhiều mục đích. Chủ trang thường tin trang nhỏ "bay dưới radar" hacker. Sai lầm. Trang lớn có giá trị hơn không phủ nhận giá trị trang nhỏ. Ví dụ: trang nhỏ không phải cửa hàng, không có thông tin tài chính. Nhưng có thể dùng như một phần botnet. Hoặc có lượng theo dõi nhỏ nhưng trung thành, dùng cho lừa đảo qua email. Vì người ta dùng lại mật khẩu cho tài khoản khác, lý thuyết có thể hack vào hệ thống khác dùng thông tin này. Trang của bạn đóng vai trò nhỏ nhưng then chốt trong chuỗi sự kiện.
Tại sao bảo mật WordPress quan trọng?
Trang WordPress bị hack là ác mộng cho mọi người liên quan. Doanh nghiệp mất doanh thu và uy tín thương hiệu. Hacker có thể đánh cắp dữ liệu khách truy cập, danh tính, mật khẩu. Mã độc lan từ trang sang trang và thiết bị khác. Bạn sẽ thấy xếp hạng SEO sụt giảm, Google có thể đưa trang vào danh sách đen, host có thể treo tài khoản. Tất cả vì hacker và mã độc của họ.
Tác động trang bị hack có thể rộng khắp với hậu quả xấu. Và hậu quả không giới hạn trong trang cá nhân hay chủ trang/admin, mà có ý nghĩa xa hơn.
Tóm tắt
Bảo mật WordPress quan trọng vì bảo vệ trang WordPress, doanh nghiệp, khách truy cập, host, và bản thân bạn khỏi thiệt hại mã độc gây ra. Tóm lại, bảo mật WordPress nghĩa là bảo vệ "mảnh đất" của bạn trên Internet khỏi kẻ xấu. Cách tốt nhất: cài plugin bảo mật như MalCare.
Câu hỏi thường gặp
Các biện pháp bảo mật WordPress tốt nhất là gì?
Các biện pháp tốt nhất:
- Cài plugin bảo mật quét và dọn mã độc
- Cài tường lửa chặn lưu lượng xấu
- Quét trang hàng ngày tìm mã độc
- Cập nhật WordPress, plugin, theme
- Triển khai xác thực hai yếu tố
- Đảm bảo dùng mật khẩu mạnh
- Cài chứng chỉ SSL
Yêu cầu bảo mật bắt buộc nhất là gì?
Yêu cầu quan trọng nhất cho trang WordPress là plugin bảo mật tốt quét và dọn mã độc. Cũng phải bảo vệ trang khỏi hacker bằng tường lửa.
Làm sao bảo mật trang WordPress?
Cách tốt nhất bảo mật trang WordPress là cài plugin bảo mật. MalCare là plugin hàng đầu phát hiện mã độc trong file và cơ sở dữ liệu, dọn trong vài phút. Thêm vào đó, plugin bảo mật tốt sẽ có tường lửa ngăn lưu lượng độc hại khai thác lỗ hổng.
Tại sao bảo mật WordPress quan trọng?
Bảo mật WordPress quan trọng để bảo vệ trang khỏi hacker muốn đánh cắp dữ liệu bạn và khách truy cập. Mã độc gây mất hàng tỷ USD doanh thu mỗi năm. Admin WordPress nên采取措施保护他们的网站、数据和访问者免受恶意软件造成的损害。
WordPress an toàn đến đâu?
WordPress rất an toàn, tuy nhiên không phần mềm nào 100% chống hack. Bao gồm WordPress, plugin, theme. Tuy nhiên, có thể bảo vệ chống hack bằng cài plugin bảo mật, và bảo mật WordPress tốt hơn.