Tích trữ plugin hại web: Khi plugin/theme không còn phù hợp, việc thường làm là tìm cái mới. Nhưng không xóa cái cũ có hậu quả khôn lường cho WordPress – bài này phân tích chi tiết.
Tích trữ plugin không phải rối loạn tích trữ (compulsive hoarding) – bệnh tâm thần mua đồ quá nhiều không bỏ được. Tích trữ plugin không phải bệnh. Có lý do chủ web tích trữ. Trước khi thảo luận, hiểu tại sao người ta tích trữ plugin/theme.
Người Tích Trữ Có Lý Do Của Mình:
1. Thích Thử Dịch Vụ Mới
Chủ web WordPress đồng ý: có xu hướng tự nhiên thử plugin/theme mới. Khi plugin/theme không còn phù hợp hoặc thấy cái mới hấp dẫn, chuyển sang cái khác. Không xóa cái cũ dẫn đến chồng chất theme/plugin.
2. Giữ Plugin/Theme Cũ Làm "Lưới An Toàn"
Lý do khác: giữ addon không dùng (đặc biệt theme) sau khi chuyển cái mới, để dễ quay lại nếu cần (ví dụ: không thích giao diện mới, hoặc plugin/theme mới làm crash web). Thói quen này mở chu kỳ ác mộng – càng nhiều thứ phải lo, càng không muốn lo.
3. Khó Sắp Xếp Quá Nhiều Plugin/Theme
Khi web có nhiều plugin/theme, cài cái mới và vô hiệu hóa cái cũ dễ dàng hơn nhiều so với tìm và xóa tất cả addon không dùng, đặc biệt khi đã có danh sách khổng lồ.
Đa số người tích trữ không nhận ra mình đang trở thành "kẻ tích trữ plugin". Nhưng nếu thói quen gây hại, cần kìm hãm chủ động. Xem điều gì xảy ra khi chồng chất plugin/theme trên WordPress.
Tích Trữ Plugin Gây Hại Như Thế Nào:
Xem từng yếu tố hiểu tác động chính xác.
1. Quá Nhiều Plugin = Quá Nhiều Vấn Đề
Khi cài plugin, đôi khi thêm bảng tùy chỉnh vào database WordPress, tùy chức năng. Bản thân không phải vấn đề, nhưng gỡ plugin phức tạp hơn. Vô hiệu hóa plugin không xóa bảng tùy chỉnh, thực tế bạn không thể xóa chúng (các bảng database) trừ khi xóa hoàn toàn plugin. Xảy ra với plugin phải thay đổi quan trọng cho web: WooCommerce, WordFence, NinjaFirewall, v.v. Giữ các bảng này khi không dùng plugin làm tăng dung lượng database vô lý, thậm chí gây crash database.
2. Quá Nhiều Add-on Làm Web Chậm
Quá nhiều theme/plugin làm web chậm. Mỗi lần ai đó mở trang, server phải chạy tất cả plugin đang hoạt động. Hệ thống bị quá tải. Hãy tưởng WordPress như con người làm nhiều việc. Nếu người phải làm 10 việc cùng lúc trong thời gian hạn hẹp, sẽ mệt và chậm dần cuối ngày. Tương tự, web WordPress chậm khi chạy nhiều plugin cùng lúc.
Do đó WordPress khuyến nghị "dọn dẹp" định kỳ: kiểm tra plugin/theme mới tốt hơn phù hợp web, chỉ dùng chúng. Và xóa plugin không còn cần. Không chỉ vô hiệu hóa – xóa hoàn toàn.
3. Add-on Không Dùng Đe Dọa An Ninh Web
Chủ web thường không quan tâm cập nhật addon không dùng. Addon trên web (hoạt động hay không), đều phát sinh lỗ hổng. Không cập nhật = cửa ngõ cho hack chỉ vì chúng còn trên web. Vì file PHP của chúng vẫn truy cập được bởi bot hacker, bò qua web tìm lỗ hổng. Kết quả, web dễ bị hack khi bot gặp file PHP cũ/khai thác được.
Con Đường Đến Web Gọn Gàng:
1. Tự Động Hóa Cập Nhật Trên Web
Cách đơn giản giảm rủi ro: tự động cập nhật cho tất cả plugin/theme (hoạt động hay không). Tiết kiệm thời gian, nhưng có nhược điểm: không phải cập nhật nào cũng tương thích – có thể làm crash web. Giải pháp: có giải pháp backup tin cậy khôi phục web nếu crash, sau đó cập nhật plugin/theme không dùng từng cái một. Hoặc test cập nhật trên staging trước khi áp dụng web chính.
Xác định plugin không dùng cần cập nhật đơn giản khi là từng cái, nhưng khi script/plugin dễ bị khai thác được nhúng trong theme, mọi thứ phức tạp hơn. Cập nhật theme đôi khi không cập nhật plugin nhúng trong đó – vẫn dễ bị tấn công. Điều này xảy ra với nhiều web dùng theme kèm RevSlider và TimThumb. Script bị hacker khai thác, dùng để truy cập server, tấn công: Remote File Inclusion, Local File Inclusion, Arbitrary Code Execution. Hacker thậm chí gieo mã độc cho truy cập sau này, даже sau khi plugin/theme đã cập nhật.
Do đó giải pháp chăm chỉ nhất: xóa plugin/theme ngay khi tìm thấy thay thế phù hợp.
2. Xóa Add-on
Đa số plugin vô hiệu hóa cho phép xóa sau khi vô hiệu hóa. Theme cũng vậy. Cách xóa plugin/theme:
Truy cập trang 'installed plugins' từ bảng điều khiển WordPress.
Trang liệt kê tất cả plugin. Plugin vô hiệu hóa hiện dưới mục 'inactive'.
Click vào, đến trang xóa plugin không hoạt động. Trước khi bấm 'inactive', hãy chắc chắn bạn không cần plugin đó trong tương lai gần.
Nếu không gỡ/xóa được cách này, phải:
- Kiểm tra file 'Details' readme có hướng dẫn gỡ cài đặt đúng cách
- Vô hiệu hóa plugin và xóa thủ công qua FTP client (FileZilla). Dùng trình quét mã độc chính xác như MalCare.
Hacker ngày nay có nhiều lý do hack web. Thực tế: mọi web đều có thể bị hack, dù bạn làm theo các bước. Hacker luôn tìm cách mới khai thác tài nguyên web. Các bước trên là gì chủ web nên làm để cứng hóa an ninh, nhưng quan trọng nhất: phát hiện mã độc lúc đầu, không báo động giả.