Hosting là yêu cầu cơ bản cho mọi website WordPress.org. Vậy làm sao khi chính WP Engine – hosting của bạn – treo web?
Hosting = nơi web đặt. Khi hacker tấn công, họ thay đổi script web. Tùy loại hosting, web bị nhiễm có thể đe dọa web khác cùng mạng (shared hosting). Rủi ro giảm đáng kể trên dedicated hosting, tuy nhiên khách truy cập vẫn gặp nguy hiểm nhiễm độc.
Khác với suy nghĩ của một số người, hack không phải lỗi của WordPress. Bị hack là nguy hiểm thường trực của sở hữu web. Không nền tảng/phần mềm nào hoàn toàn an toàn. An ninh không bao giờ tuyệt đối vì phụ thuộc nhiều yếu tố liên kết. Có dấu hiệu cảnh báo mã độc trên web:
- Plugin bảo mật gửi cảnh báo.
- Bị chặn khỏi WP Admin dashboard.
- Giật tăng traffic bất thường.
- Khách phàn nàn bị chuyển hướng web khác.
- Web quảng cáo link ngẫu nhiên.
- Google blacklist web. (Có hướng dẫn gỡ cảnh báo Google Blacklist tại đây.)
- Trình duyệt cảnh báo hoạt động đáng ngờ.
- Quét bảo mật chỉ ra mã độc.
- WP Engine đưa web ngoại tuyến.
Nếu web bị treo bởi hosting WP Engine, hành động đầu tiên luôn phải liên hệ họ. Hosting sẽ hỗ trợ tối đa.
Hướng dẫn này sẽ dẫn dắt bạn qua tất cả bước khôi phục web WordPress bị hack và bị treo.
1. Giữ Bình Tĩnh
Áp lực cảm xúc nhìn thứ bạn xây gạch bởi gạch, sụp đổ trước mắt là khủng khiếp nhưng chưa mất hết! Dù cảm thấy choáng váng là tự nhiên, quyết định vội vã có hậu quả tồi tệ. Hãy bình tĩnh và làm đúng từng bước để web lên lại trực tuyến ngay.
2. Đổi Mật Khẩu WordPress
Khi nghi ngờ tài khoản mạng xã hội (Twitter, Facebook) bị người khác dùng, bạn đổi mật khẩu, đúng không? Nếu vẫn truy cập được bảng điều khiển WordPress, đó chính là việc phải làm. Có thể thay email và dùng chức năng khôi phục.
3. Đặt Lại Mật Khẩu Quản Trị Viên Qua phpMyAdmin
Nếu không đăng nhập được WP Admin, hacker có thể đã chặn truy cập. Tin tốt: vẫn cứu được database bằng cách đổi mật khẩu bên trong database web dùng công cụ admin phpMyAdmin.
4. Cập Nhật Website
40% hack web do plugin/theme script lỗi thời. Plugin, theme, Core WordPress cũ dễ bị tiêm mã và sửa đổi bởi hacker. Cập nhật web thu hẹp vấn đề lớn.
5. Quét Mã Độc
Cài và chạy quét mã độc đầy đủ trên web. Đảm bảo scanner chất lượng cao vì hacker nhiễm mã độc giống file web của bạn. Quét web nên phát hiện mọi mã độc. Có thể dùng plugin loại bỏ mã độc WordPress.
6. Thay Thế File Bị Xâm Nhập
Cách sửa đơn giản: xóa và thay file bằng bản gốc, tức phiên bản trước hack. Lưu ý: khó xác định thời điểm hack chính xác, chọn phiên bản rollback đúng.
Có thể thay file core WordPress bằng cài mới, không làm hỏng web. Miễn là thư mục wp-content nguyên vẹn, mọi thứ quay lại bình thường.
Dù cách nào, dọn file bị nhiễm tốn nhiều thời gian công sức.
7. Khôi Phục Từ Backup
Khôi phục web từ backup chỉ có thể nếu bạn backup định kỳ. Thực tế, nếu có backup web, khôi phục sau hack đơn giản như chọn bản backup đúng và khôi phục.
8. Quét Lại Mã Độc
Bước này chỉ để chắc chắn không còn mã độc. Nếu vẫn tìm thấy, làm lại 2 bước trước. Có thể backdoor trên web nhiễm lại liên tục. Xác định và xóa script lừa đảo này.
9. Sử Dụng Tường Lửa Ứng Dụng Web (WAF)
Tường lửa chặn IP và bot gây hại. Tường lửa an ninh chặn loại traffic mạng nhất định, tạo rào chắn, bảo vệ khỏi IP gửi yêu cầu độc hại/đáng ngờ.
10. Cứng Hóa An Ninh Web
Bảo mật web = giảm thiểu cơ hội hack khác xảy ra. Dù không đảm bảo tuyệt đối, bạn cố gắng giảm thiểu kịch bản xấu nhất.
Kiểm Tra Quyền User
Vai trò user WordPress kiểm soát user làm gì/không làm được khi đăng nhập dashboard. Quyền Administrator chỉ cho người bạn tin cậy tuyệt đối. Sau hack, kiểm tra menu Users xem có gì đáng ngờ: user administrator bạn không nhận ra.
Thay Đổi SALTs (Secret Keys)
Secret Keys mã hóa thông tin trong cookie bằng hash. Ai đăng nhập gần đây vẫn có quyền truy cập. Thay secret keys trong wp-config.php giúp ngăn hacker truy cập backend. Sau đổi salt, mọi người đang đăng nhập sẽ bị đăng xuất ngay.
Đổi Tất Cả Mật Khẩu Khác
Đổi mật khẩu WordPress chưa đủ. Nghi ngờ hoạt động xấu qua cổng đăng nhập nào, phải đổi mật khẩu:
- Thông tin đăng nhập admin backend WP Engine Hosting
- Đăng nhập FTP
- Mật khẩu database MySQL
- Địa chỉ email admin
Cân nhắc thêm Xác Thực 2 Yếu Tố (2FA), Xác Thực HTTP, Bảo Vệ Đăng Nhập Dựa Trên Captcha.
11. Liên Hệ WP Engine Hosting
Giờ soạn email chi tiết mọi việc bạn làm bảo mật web. Giải thích cho WP Engine qua email bạn đã xử lý mọi vấn đề an ninh có thể – web sẽ lên lại sớm.
Bây giờ phải xây dựng lại web, đúng cách lần này. Bạn đã bảo mật, cập nhật, bảo vệ web, nhưng để kết thúc dứt điểm, cần đảm bảo mọi thứ hoạt động như ý muốn.
Có Lựa Chọn Khác Không?
Hãy tưởng tượng hầu hết các bước trên được làm cho bạn chỉ trong vài click! Đó có phải là Giấc Mơ? Nhiều người mô tả MalCare là dịch vụ bảo mật "go-to" chính vì lý do đó. MalCare vượt trội cung cấp tính năng bảo mật mạnh mẽ, kết hợp hỗ trợ kỹ thuật xuất sắc. Bạn không bị bỏ mặc bất lực bất kể biện pháp bảo mật nào bạn muốn triển khai.
MalCare là plugin bảo mật WordPress cung cấp quét sâu 100+ tín hiệu thông minh hàng ngày và dọn dẹp 1 click, cùng hàng loạt tính năng cứng hóa bảo mật tuyệt vời, bảo vệ đăng nhập và tường lửa mạnh mẽ. Với MalCare bạn tự động theo dõi theme/plugin hoạt động, không hoạt động và đã cập nhật.
Thử MalCare để an tâm hơn.