Bảo vệ trang đăng nhập bằng xác thực HTTP: Có 60 triệu trang WordPress – nền tảng xây dựng web phổ biến nhất thế giới. Nhưng sự phổ biến này có cái giá. Mỗi phút có ~90.978 cuộc tấn công hack trên WordPress. Trong nhiều phương pháp hacker dùng, một phương pháp phổ biến rộng rãi là brute force attack. Hacker lập trình bot đoán thông tin đăng nhập – do đó bạn bắt buộc phải bảo vệ trang đăng nhập WordPress.
Trong bài trước về bảo vệ đăng nhập, thảo luận về username duy nhất và ép mật khẩu mạnh. Cách hiệu quả chặn bot hacker, nhưng về bảo mật, không có bảo đảm tuyệt đối web an toàn. Internet chưa bao giờ an toàn hoàn toàn, không bao giờ đủ bảo mật. Do đó tốt nhất có nhiều lớp bảo vệ cho web. Username/mật khẩu quan trọng, khóa trang đăng nhập cũng là bước quan trọng. Cách làm: bảo vệ mật khẩu trang đăng nhập bằng xác thực HTTP. Bài viết hướng dẫn chi tiết.
Xác Thực HTTP (HTTP Authentication) Là Gì?
Xác thực HTTP hoặc HTTP Basic Authentication (BA) là kỹ thuật thực thi truy cập hạn chế đến trang đăng nhập. Ví dụ đơn giản: web như ngôi nhà. Cánh cửa chính = trang đăng nhập. Kẻ xấu có thể cố gắng vào nhà – cần khóa chắc. Khóa = thông tin đăng nhập. Bên ngoài cửa chính, có hàng rào bảo vệ thêm. Tương tự, Xác thực HTTP cung cấp lớp bảo vệ thêm cho ngôi nhà của bạn. Nghĩa là ai muốn truy cập trang đăng nhập phải qua xác thực HTTP (hàng rào) trước, rồi đến thông tin đăng nhập (cánh cửa chính).
Cách Bảo Vệ Trang Đăng Nhập Bằng Xác Thực HTTP
Để bảo mật WordPress bằng xác thực HTTP, đầu tiên tạo file .htpasswd. Sau đó thông báo cho file .htaccess của web về vị trí file .htpasswd. Vậy là khóa trang đăng nhập.
Cách Tạo File .htpasswd?
Trong file này, lưu username/mật khẩu người được phép truy cập trang đăng nhập. Về cơ bản giống có cửa vào hàng rào quanh nhà. Chỉ đưa chìa khóa cửa cho người bạn muốn truy cập web. Xem cách tạo file .htpasswd.
Tạo file .htpasswd mới, cần công cụ dòng lệnh .htpasswd. Có vài công cụ online. Tìm công cụ phù hợp, mở, trong dòng lệnh gõ:
htpasswd -c .htpasswd hariniTrong lệnh: c = create (tạo), harini = username chọn. Gõ xong Enter, sẽ nhắc tạo mật khẩu duy nhất cho username. Đừng lo, mật khẩu sẽ được mã hóa.
Nếu đã có file .htpasswd, chỉ cần thêm user/mật khẩu mới. Gõ dòng lệnh:
htpasswd .htpasswd rahulLưu ý: không dùng -c vì không tạo file mới.
File .htpasswd thường dạng: username:encrypted_password. Ví dụ user=harini, pass=dummy123pass, file .htaccess sẽ là: harini:$apr1$50r17zis$lNbFJs4rQFfkp4ToO2/ZS/
Mật khẩu đã mã hóa. File .htaccess này chính là thông tin xác thực HTTP Basic Authentication.
Nếu không muốn dùng công cụ hoặc không biết cách, dùng trình tạo .htpasswd online. Mở link, thấy cửa sổ như ảnh.
Nhập username/mật khẩu tùy chọn. Có tùy chọn tạo mật khẩu ngẫu nhiên. Xong, bấm nút "Generate .htpasswd file". Sẽ thấy kết quả.
Sửa Đổi File .htaccess
File .htaccess là một trong những file quan trọng nhất WordPress. Hai việc với file .htaccess: 1) bảo nó gì cần hạn chế, 2) bảo nó lấy thông tin xác thực HTTP Basic Authentication vừa tạo ở trên.
File .htaccess nằm trong thư mục public_html. Truy cập: đăng nhập tài khoản hosting, vào trang cPanel. Tìm tùy chọn File Manager. Chọn, trang mở ra, xem file.
Đôi khi .htaccess bị ẩn, không hiện trong public_html. Khi đó, quay lại cPanel, click File Manager. Popup hiện, chọn 'Show Hidden Files'.
Tải file về, mở, thêm dòng code:
<Files wp-login.php> AuthUserFile /path/to/.htpasswd AuthName "Private access" AuthType Basic require valid-user </Files>
Lưu ý khi chèn code: AuthUserFile /path/to/.htpasswd – đường dẫn đến file .htpasswd vừa tạo. Đảm bảo đường dẫn chính xác. 'valid-user' báo hệ thống: bất kỳ user nào trong .htpasswd đều được truy cập trang đăng nhập. Nếu muốn chọn lọc ai được truy cập, thay 'valid-user' bằng username cụ thể.
Xong, lưu và tải lên lại vị trí cũ. Lần sau truy cập trang đăng nhập, cửa sổ nhỏ hiện ra yêu cầu thông tin đăng nhập cụ thể.
Bên cạnh xác thực HTTPS, đề xuất triển khai xác thực 2 yếu tố (2FA) – thêm lớp bảo mật cho trang đăng nhập WordPress.
Cũng thực hiện thêm biện pháp: chuyển web từ HTTP sang HTTPS, cài plugin bảo mật, bảo vệ trang đăng nhập... Việc bảo vệ trang đăng nhập tuyệt vời, nhưng hacker vẫn có cách khác xâm nhập. Mạnh mẽ khuyến nghị cách tiếp cận toàn diện bảo mật theo hướng dẫn Complete WordPress Security.