Sai lầm bảo mật WordPress: Biết không? Mỗi phút có ~90.978 cuộc tấn công hack trên WordPress. Khi web bị hack, hacker dùng để: gửi spam email (xem – phishing hack), tấn công web khác, chèn link spam, chuyển hướng khách, v.v.
Do đó chủ web phải coi trọng bảo mật. Không có "vũ phép" giải quyết mọi nhu cầu bảo mật, mà cần làm đúng nhiều việc cùng lúc. Trên mạng có vô số lời khuyên bảo mật web. Một số mâu thuẫn, بعضها lỗi thời. Nhiều ý kiến trái chiều gây nhầm lẫn, sai lầm khó tránh.
Duy trì an ninh web không dễ, nhất là chủ web mới – dễ mắc sai lầm để web dễ bị tấn công phổ biến. Biết sai lầm phổ biến giúp tránh được. Vì vậy chúng tôi liệt kê danh sách để bạn không còn mắc lỗi phổ biến của chủ web WordPress.
Top Sai Lầm Bảo Mật Chủ Web WordPress Hay Mắc:
Đề xuất chạy kiểm tra bảo mật WordPress trước khi áp dụng biện pháp dưới đây –
1. Không Cập Nhật WordPress Core, Plugin & Theme
Cập nhật core và addon (theme/plugin) là biện pháp bảo mật tốt. Cập nhật không chỉ thêm tính năng mà vá lỗ hổng. Do hệ sinh thái WordPress, tin tức lỗ hổng lan nhanh, hacker tận dụng. Nếu không cập nhật để vá lỗ hổng, web dễ bị xâm nhập.
Một số chủ web không cập nhật vì không biết cập nhật liên quan bảo mật, khác sợ không tương thích. Web WordPress có thể bị hỏng sau cập nhật core/addon.
Nâng cấp WordPress thiết kế tương thích với mọi phiên bản trước. Web chạy v4.1 vẫn cập nhật lên v4.9 mới nhất. Tuy nhiên, dù đề phòng, mỗi cập nhật vẫn có tin web bị hỏng. Ví dụ từ WordPress 4.9.6 mới nhất.
Tương tự cập nhật addon (theme/plugin). Thường vấn đề không tương thích do nhà phát triển vội phát hành hoặc thiếu năng lực. Plugin/theme thị trường cạnh tranh gay gắt – dev bị ép thêm tính năng mới trong thời gian ngắn. Không đủ thời gian test tương thích mọi phiên bản WordPress trước. Người dùng WordPress cũ, cập nhật plugin chỉ chạy với vài phiên bản WordPress mới – web bị hỏng.
Lo ngại không tương thích giữa core và addon khiến chủ web bỏ qua cập nhật bảo mật.
Cách khắc phục: Dịch vụ staging giải quyết vấn đề. Tạo bản sao web để test cài đặt core và addon gọi là Staging. Dịch vụ backup như BlogVault hoặc hosting như Kinsta cung cấp môi trường staging. Kiểm tra hosting hoặc dịch vụ backup (nếu dùng) có staging không. Không thì đăng ký dịch vụ cho phép staging.
Bên cạnh cập nhật plugin, theme, core, mạnh mẽ khuyến nghị cập nhật WordPress salts và security keys.
2. Sử Dụng Add-on Chất Lượng Kém
Không phải plugin/theme WordPress nào cũng làm tốt. Một số bỏ qua kiểm tra chất lượng, khác do lập trình viên nghiệp dư viết. Người dùng phải chú ý chọn dùng/mua. Nhưng tiếc, nhiều user WordPress không có kiến thức kỹ thuật – không đánh giá được chất lượng plugin/theme.
Cách khắc phục: Giúp user như vậy, liệt kê đặc điểm nhận biết plugin/theme tốt:
i. Lấy addon từ nguồn uy tín như kho Plugin WordPress hoặc người bán lớn: Elegant Themes, Themeforest...
ii. Đảm bảo addon có đánh giá tốt trên kho WordPress và được review bởi người đã dùng theme/plugin trên web của họ. Tìm kiếm Google nhanh giúp tìm review.
iii. Xác minh plugin đã tồn tại lâu và vượt qua thử thách thời gian. Tìm cập nhật bảo mật và sửa lỗi trên kho WordPress hoặc web chính thức.
iv. Đảm bảo thường xuyên cập nhật và bản cập nhật gần nhất < 2 tháng trước.
3. Sử Dụng Plugin & Theme Bất Hợp Pháp (Nulled/Cracked)
Nhiều web bán theme/plugin premium miễn phí. Dùng sản phẩm free này rủi ro khôn lường vì nhiều addon WordPress này bị chèn mã độc cố ý. Cài addon bất hợp pháp = mở cửa mời hacker. Khi hacker xâm nhập qua mã xấu trong theme/plugin vừa cài, họ dùng web thực hiện hoạt động xấu: gửi spam, tấn công web khác. Hơn nữa, mã độc trên web khiến hosting treo tài khoản, Google blacklist, treo AdWords.
Cách khắc phục: Mua theme/plugin gốc từ marketplace uy tín: ThemeForest, Elegant Themes... Dịp sale mua giá rẻ hơn. Tìm web chính thức theme/plugin lựa chọn.
4. Giữ Plugin & Theme Không Dùng Trên Web
Giữ theme/plugin không dùng tạo cơ hội hacker xâm nhập. Nhiều chủ web không cập nhật addon không hoạt động vì không biết lợi ích bảo mật. Đối với họ, cập nhật = tính năng mới, không dùng plugin = không cần tính năng mới. Nếu cập nhật vá lỗ hổng, web vẫn rủi ro cho đến khi cập nhật.
Cách khắc phục: Chỉ có giải pháp: loại bỏ theme/plugin WordPress không hoạt động. Cách làm:
Truy cập trang 'installed plugins' từ bảng điều khiển WordPress.
Trên trang, chọn mục 'inactive'.
Đến trang xóa plugin không hoạt động. Trước khi bấm, hãy chắc chắn không cần plugin đó gần đây.
5. Thói Quen Đăng Nhập Web Xấu
Hai thói quen nguy hiểm: dùng thông tin đăng nhập dễ đoán và không đăng xuất khi không dùng web. Hacker lập trình bot thử đăng nhập web dùng tổ hợp username dễ nhớ (như admin) và password (như password123) để hack web. Phương pháp này gọi là brute force attack.
Cách khắc phục: Dùng username và password duy nhất (đọc thêm – hướng dẫn bảo vệ trang đăng nhập WordPress). Nhược điểm: thông tin duy nhất khó nhớ. Phải giữ tài liệu lưu thông tin này. Và tài liệu phải mã hóa tránh truy cập trái phép.
6. Cấp Quyền Admin Cho Mọi User
Làm mọi user thành admin là ý tưởng tồi, nhất là web có nhiều user mà chủ web không biết cá nhân. WordPress cho gán vai trò: Administrator, Editor, Author, Contributor, Subscriber, SEO Manager, SEO Editor. Rủi ro cấp admin cho tất cả: truy cập mọi khu vực web.
Cho quyền không giới hạn dẫn đến khai thác – như vụ TechCrunch (trang tin công nghệ lớn) bị hack bởi OurMine (nhóm hacker). Sau khi truy cập tài khoản user, OurMine đăng bài trên web. Ảnh chụp trang chủ TechCrunch sau khi bị hack:
Cách khắc phục: Mỗi vai trò WordPress cho truy cập khu vực cụ thể. Dựa trên nhu cầu user làm gì trên web, gán vai trò phù hợp. Nguyên tắc này đảm bảo chỉ người bạn tin cậy truy cập toàn bộ web. Nếu sự cố, biết ai chịu trách nhiệm.
7. Không Backup
Backup = lưới an toàn. Không có backup = rắc rối khi thảm họa xảy ra. Web bị hack, bài viết bị xóa – khôi phục dễ dàng bằng backup. Nhưng dùng dịch vụ backup bất kỳ không khôn ngoan vì nhiều dịch vụ không hiệu quả. Ví dụ: nhiều plugin backup lưu bản sao trên server web. Một số chỉ lưu một nơi. Server web không lý tưởng lưu backup – server gánh backup bên cạnh tác vụ thường làm chậm web. Chỉ một backup = mất backup đó thì không còn dự phòng.
Cách khắc phục: Trước khi chọn dịch vụ backup, kiểm tra tính năng xem lưu backup đâu. Không tìm thấy info rõ ràng, gửi mail hỏi trực tiếp: lưu đâu, có lưu nhiều nơi không. Xem thêm bài viết cách chọn backup tin cậy.
8. Không Dùng Dịch Vụ Bảo Mật
Nhiều chủ web, nhất là web nhỏ, traffic thấp nghĩ web không đáng giá, hacker không chú ý. Nhưng hacker ngày nay có nhiều lý do tấn công web nhỏ. Có thể dùng lưu file, gửi spam... Nhiều nhóm hacker thậm chí thích tấn công web nhỏ vì web nhỏ lười bảo mật – dễ hack hơn. Họ launch brute-force hàng loạt: bot đoán username/password. Kỹ thuật ưa thích: khai thác plugin/theme lỗ hổng.
Cách khắc phục: Dịch vụ bảo mật tiêu chuẩn cung cấp tính năng thiết yếu: WordPress Firewall chặn hacker brute-force.
Bên cạnh khắc phục sai lầm trên, có thêm biện pháp bảo mật. Mạnh mẽ khuyến nghị theo dõi hướng dẫn – Bảo Mật WordPress Với wp-config.php.
Khi lỗ hổng plugin/theme/core xuất hiện, dev phát hành bản vá qua cập nhật. Do đó cập nhật mọi thứ là thực hành bảo mật tốt. MalCare – một trong những plugin bảo mật WordPress tốt nhất cung cấp tính năng Quản Lý Trang Web cho phép cập nhật plugin, theme, core từ bảng điều khiển MalCare. Rất hữu ích cho người quản lý nhiều web. Đăng nhập từng web cập nhật tốn thời gian. MalCare làm dễ dàng tuân thủ thực hành bảo mật tốt.
Bên cạnh tường lửa và quản lý web, plugin bảo mật cũng cung cấp quét hàng ngày. Web bị mã độc, plugin giúp sửa web bị hack. Nếu muốn team cung cấp dịch vụ bảo trì WordPress trực tiếp quản lý toàn bộ an ninh, WP Buffs là lựa chọn tuyệt vời. Lo cập nhật, bảo mật, tốc độ, chỉnh sửa liên tục –不管 quản lý 1 hay 1000 web!
Tiếp Theo Nên Làm Gì?
Dùng plugin bảo mật WordPress tốt là bước đầu xây web an toàn hoặc giữ WordPress an toàn. Một số biện pháp thêm: chặn IP, bảo vệ trang đăng nhập, theo dõi hướng dẫn hoàn chỉnh bảo mật WordPress để học thêm cách bảo vệ web.
Nếu bạn từng mắc sai lầm này, hy vọng bài viết giúp nhận ra lỗi và cách sửa. Chào đón mọi câu hỏi về sai lầm bảo mật WordPress và cách khắc phục. Liên hệ qua trang Contact Us.