Theme Ảnh Hưởng Bảo Mật Website: Khi xây dựng website WordPress (WP) đầu tiên, tôi nhớ đã "thử sức" với nhiều theme miễn phí. Thử mọi theme free rơi vào tay, thiết kế và thiết kế lại. Lúc đó không hề biết phải cẩn trọng chọn theme vì nó ảnh hưởng bảo mật.
Đã lâu kể từ website đầu tiên và qua nhiều năm, tôi xây thêm vài website khác. Một số bị hack, số khác là mục tiêu không thành công. Trong thời gian đó, tôi học được rằng dù WordPress là nền tảng an toàn, nhưng hệ sinh thái khiến website WP dễ bị tổn thương. Đa số website bị hack đều có theme và plugin cũ. Ví dụ Theme Templatic bị hack, cho hacker truy cập thông tin quan trọng các site dùng theme đó. Một số chủ site thậm chí nhận yêu cầu chuộc tiền.
Nhiều chủ website WordPress không cập nhật. Khi lỗ hổng theme được phát hiện, developer ra cập nhật vá lỗi. Không cập nhật = lỗ hổng vẫn còn. Hacker luôn tìm website dùng theme cũ, dễ bị tổn thương. Do đó cập nhật theme là thiết yếu cho an toàn vì theme ảnh hưởng bảo mật. Đây là biện pháp sau khi cài theme. Nhưng cũng cần biện pháp trước khi cài theme. Danh sách điều cần xem xét khi chọn theme:
Theme Dễ Dàng Cập Nhật
Cập nhật không chỉ không tránh khỏi mà còn cần thiết. Dù theme code tốt đến đâu, theo thời gian sẽ phát sinh lỗ hổng. Khi đó, developer sẽ nhanh chóng ra patch qua cập nhật. Thông thường, vào WP dashboard, thấy cảnh báo plugin/theme cũ bên trái. Vào trang plugin đã cài, cập nhật theme/plugin. Dễ phải không?
Tuy nhiên, một số theme không cung cấp cách cập nhật dễ dàng. Cập nhật được thông báo trên blog hoặc mạng xã hội. Bạn phải tải theme từ blog của họ rồi upload thủ công. Không chỉ tốn thời gian mà còn rủi ro. Sao nếu bạn bỏ lỡ cập nhật quan trọng? Khi bạn biết cập nhật mới, hacker có thể đã dùng lỗ hổng để xâm nhập.
Theme Có Đang Được Maintain (Duy Trì) Không?
Hàng năm nhiều theme bị bỏ rơi. Không còn maintain = vấn đề theme không được xử lý. Không thể nhờ Support cũng không đợi cập nhật mới. Plugin/theme chắc chắn sẽ phát sinh lỗ hổng sớm muộn. Khi đó, không có patch vá. Bạn chỉ có 2 lựa chọn: dùng theme lỗ hổng rủi ro bị hack, hoặc đổi theme – tốn nhiều thời gian và công sức thiết kế lại. Đây là minh chứng theme ảnh hưởng bảo mật đến đâu.
Ví dụ theme WordPress bị bỏ rơi: DeTube
Tại Sao Theme Bị Bỏ Rơi?
Đôi khi theme/plugin được phát triển như side project (dự án phụ) và dự án phụ thường hết hơi. Hoặc developer xây theme free nhưng không thời gian maintain vì có full-time job. Theme có thể tốt và phổ biến nhưng không được trả tiền cho công sức. Cuối cùng mất động lực và bỏ maintain. Hoặc đơn giản không có thời gian chăm sóc vì phải lo full-time job trả tiền.
Cách dễ dàng kiểm tra theme có được maintain: tra trong WordPress repository. Xem khi nào theme cập nhật lần cuối. Khuyên tránh theme chưa cập nhật > 1 năm. Chắc chắn bị bỏ rơi. Không phải theme nào cũng có trong repository. Trong trường hợp đó, tìm forum/nhóm thảo luận theme. Google search đơn giản sẽ giúp. Nếu không, tìm thông tin theme trong nhóm/forum WordPress chung. WordPress có văn hóa cộng đồng tuyệt vời, bắt đầu thảo luận luôn được chào đón. Hãy research kỹ trước khi chọn theme cho site WP.
Có Thể Tải Theme Từ Nguồn Tin Cậy Không?
Piracy (phần mềm giả) tràn lan. Nhiều người từng gặp website mờ ám bán phần mềm premium giá rẻ hoặc miễn phí. Trước khi tải theme từ trang đó, hãy dừng lại suy nghĩ. Tại sao trang này cung cấp nulled theme (theme bẻ khóa)? Làm sao biết theme không bị nhiễm độc? Hacker biết chèn mã xấu vào nulled theme. Khi chủ website cài theme đó, hacker truy cập site.
Hơn nữa, dù theme không nhiễm độc, nó không nhận cập nhật từ developer vì bất hợp pháp. Lỗ hổng sẽ phát sinh, site rơi vào rủi ro.
Theme Có Quá Phức Tạp Không?
Nhiều tính năng có vẻ "hời" nhưng không ai biết đằng sau code ra sao. Với hàng trăm nghìn theme/plugin, khó nổi bật. Điều này thúc đẩy developer nhồi nhét tính năng để marketing. Để chạy tính năng mới sớm nhất, developer viết hàng nghìn code trong thời gian ngắn. Thường bỏ qua kiểm tra chất lượng quan trọng. Tự nhiên hào hứng với theme nhiều tính năng "sáng mắt" nhưng nên tránh theme yếu này vì dễ bị hack. Lựa chọn theme ảnh hưởng bảo mật. Hãy chắc chắn lựa chọn tốt.
Theme Có Được Phát Triển Bởi Người Nổi Tiếng/Khách Quan Không?
Có vài bất lợi khi dùng theme của công ty/người uy tín. Thứ nhất, đảm bảo sản phẩm tốt và đã trải qua kiểm soát chất lượng nghiêm ngặt trước khi ra mắt. Thứ hai, có bảo đảm theme không bị bỏ rơi như theme free side-project.
Đây là tóm tắt cách theme ảnh hưởng bảo mật WordPress. Vì mục tiêu bài viết là chỉ cách mua theme tốt, chúng tôi muốn bạn lưu ý:
Theme Có Phụ Thuộc Framework Bên Thứ 3 Không?
Nhiều theme ngày nay cung cấp tính năng: slider, page builder, nén ảnh. Developer không tự xây, mà liên kết plugin bên thứ 3 để bật tính năng. Sự phụ thuộc này có thể lo ngại. Chúng tôi gặp theme phổ biến chỉ hoạt động với plugin cụ thể. Ví dụ: dùng theme X thì chỉ slider Y mới chạy. Plugin slider khác không được. Bạn buộc phải mua cả theme X và slider Y.
Bạn Mua Gói Hàng Năm Hay Trọn Đời?
Trước khi mua theme/plugin/phần mềm, hãy chắc chắn hiểu mình trả tiền cho gì. Chúng tôi thấy trang giá không rõ gói là tháng, năm hay trọn đời. Nếu gặp trang như vậy, đừng đoán là gói tháng/năm. Hãy làm rõ.
Chúng tôi thấy thảo luận trên forum nơi chủ website kể: mua plugin nghĩ gói năm, sau mới biết gói tháng. Phải trả tiền hàng tháng – điều không dự kiến. Lựa chọn khác: mua theme mới hoặc dùng theme free. Nghĩa là lãng phí tiền theme không muốn dùng, và lãng phí thời gian/công sức setup theo design theme đó.
Lời Kết
Người ta không thực sự suy nghĩ hay research về cách theme ảnh hưởng bảo mật, nhất là site nhỏ. Chỉ là giọt nước trong biển. Nhưng hacker ngày nay nhắm site nhỏ cũng như site lớn. Tại sao? Tại sao site nhỏ của bạn bị nhắm mục tiêu? Để biết câu trả lời, đọc: Hacker có được gì từ hack website WordPress?
Kết luận: dù xây site lớn hay nhỏ, hãy chủ động trong lựa chọn theme. Bây giờ bạn biết theme ảnh hưởng bảo mật như thế nào, hãy tự hỏi các câu hỏi ở trên.