WordPress hiện chạy hơn 60 triệu web – CMS phổ biến nhất. Vì phổ biến thu hút chú ý tốt và xấu, WordPress trải qua ~90.000 lần tấn công hack mỗi phút. Về an ninh web, tiếc thay, không có "vũ phép" bảo vệ mọi mặt. Thay vào đó, phải làm nhiều việc, triển khai an ninh ở nhiều front để web an toàn trước hacker. Quá trình thêm nhiều lớp bảo vệ gọi là "phòng thủ nhiều lớp" (layered defence). Trước đây nói biện pháp: xác thực HTTP, 2FA, username/mật khẩu mạnh. Hôm nay học phương pháp khác: giới hạn truy cập thư mục admin WordPress.
Thư mục admin WordPress (wp-admin) chứa file core WordPress. File trong đó cho phép user như bạn thực thi các chức năng quản trị. Ví dụ: khi đăng nhập dashboard, WordPress kiểm tra thông tin đăng nhập đúng không, bạn là admin hay contributor quyền hạn chế. File trong wp-admin cho WordPress thực hiện các chức năng này.
Khi hacker truy cập web, họ có thể sửa file để đạt mục đích. Họ có thể quy định ai truy cập được, ai không. Rất có thể họ chặn admin và chủ web. Bạn có thể mất quyền truy cập web của chính mình. Do đó phòng ngừa sớm là bắt buộc. Giới hạn truy cập thư mục admin WordPress hạn chế hacker chiếm đoạt web.
Cách dễ hiểu nhất giải thích giới hạn hoạt động như thế nào qua ví dụ. Nếu web là ngôi nhà, cửa nhà = thư mục admin WordPress. Triển khai vệ sĩ tại cửa, bảo vệ thêm nhà (web). Vệ sĩ kiểm tra (đọc IP address) mọi khách, cho phép hoặc từ chối vào nhà (web). Bài viết hướng dẫn giới hạn truy cập thư mục admin WordPress dùng địa chỉ IP. Tức là chặn chỉ các IP cụ thể xấu truy cập thư mục admin.
Trước khi bắt đầu, quan trọng: đảm bảo địa chỉ IP của bạn là tĩnh (static). Nếu không chắc IP của bạn, tìm kiếm Google hoặc hỏi nhà cung cấp internet.
Giới Hạn Truy Cập Thư Mục Admin WordPress:
Đầu tiên, tải file .htaccess từ File Manager. Làm theo bước:
Đăng nhập tài khoản hosting vào trang cPanel. Tìm tùy chọn File Manager. Chọn, trang mở ra trông như:
Bước 2: Trang File Manager điển hình. Bên trái nhiều thư mục. Chọn public_html, thấy dropdown.
Bước 3: Trong dropdown có thư mục wp-admin. Tìm file .htaccess trong thư mục này. Lưu ý: khác file khác, .htaccess không có đuôi .html, .txt, .php.
Bước 4: Tải file .htaccess: dùng nút download trên trang File Manager. Trông như ảnh:
Đôi khi .htaccess ẩn, không hiện trong public_html. Lúc đó, quay lại cPanel, click File Manager. Popup hiện, chọn 'Show Hidden Files'.
Nếu web không có file .htaccess, tạo file mới.
Sau khi tải .htaccess, mở file. Trông như ảnh:
Bước 5: Cuối file .htaccess, thêm code:
order deny, allow allow from your.IP.address deny from all
Lưu ý: Thay 'IP.address' bằng địa chỉ IP bạn muốn blacklist (hoặc whitelist – tùy logic allow/deny).
Bước 6: Tải file lên thư mục public_html trong File Manager. Có tùy chọn Upload.
Sau upload, IP bạn liệt kê sẽ bị chặn. Khi IP này truy cập web, thấy lỗi '403 Forbidden'.
QUAN TRỌNG: Đảm bảo file .htaccess sửa đổi là từ thư mục 'wp-admin', KHÔNG PHẢI thư mục gốc (public_html) của WordPress. Có .htaccess ở thư mục gốc, chúng ta KHÔNG sửa đó. Nếu nhầm sửa .htaccess trong 'wp-admin' (sic – ý là thư mục gốc), TẤT CẢ khách truy cập web bị chặn. Bạn không muốn vậy. Do đó khuyến nghị cực kỳ cẩn thận.
Một vấn đề có thể nảy sinh khi giới hạn truy cập wp-admin bằng IP: phá vỡ chức năng Ajax front-end. Chức năng này cho web hiển thị thay đổi real-time. Ví dụ: plugin cho Twitter feed trên web. Mỗi khi tweet, tự động hiện trên web. Không cần reload trang. Nhờ Ajax.
Để tránh phá vỡ Ajax front-end, cần kiểm tra plugin nào dùng Ajax front-end. Nếu có, thêm code sau vào file .htaccess từ thư mục wp-admin:
<Files admin-ajax.php> order allow, deny allow from all satisfy any </Files>
Xong.
Lời Kết
Để giới hạn truy cập thư mục admin WordPress, cần chút kiến thức file WordPress. Hy vọng sau bài này, web bạn an toàn hơn trước. Liên hệ nếu có thắc mắc/phản hồi. Cảm ơn đã đọc.