Bảo Mật WordPress Admin: Bạn có biết hơn 90.000 cuộc tấn công hack diễn ra trên site WordPress mỗi phút? Điều này ngụ ý việc tấn công site của bạn là điều không thể tránh khỏi, bất kể site lớn hay nhỏ. Bảo mật là mối quan tâm hàng đầu cho bất kỳ website nào.
Hacker sử dụng nhiều kỹ thuật để hack WordPress và brute force attack (tấn công vét cạn) là một trong số đó. Kỹ thuật này thử các tổ hợp username/password phổ biến trên trang đăng nhập.
Một cuộc tấn công brute force thành công cho phép truy cập WordPress admin. Khu vực admin là trung tâm điều hành của site WordPress. Ai có toàn quyền truy cập admin sẽ kiểm soát toàn bộ site. Do đó, bảo vệ WordPress admin khỏi brute force là cực kỳ quan trọng.
Cách Bảo Mật WordPress Admin?
Chúng tôi tổng hợp các kỹ thuật giúp bảo mật WordPress admin khỏi tấn công.
1. Sử Dụng Mật Khẩu Mạnh
Sai lầm phổ biến nhất của chủ site là dùng mật khẩu yếu. Qua nhiều năm, kỹ thuật dò mật khẩu đã trưởng thành. Mật khẩu dễ đoán bị bẻ khóa trong vài phút. Mật khẩu mạnh giúp chống lại kỹ thuật dò mật khẩu tinh vi. Xem bài viết tuyệt vời về cách tạo mật khẩu thực sự mạnh cho WordPress.
Tuy nhiên, nhớ mật khẩu mạnh có thể là vấn đề. Bài viết này giải thích cách quản lý mật khẩu WordPress mạnh.
Sai lầm phổ biến khác là dùng cùng mật khẩu cho nhiều site. Khi một mật khẩu bị lộ, tất cả tài khoản liên quan bị xâm hại. Do đó, dùng mật khẩu khác nhau cho từng tài khoản giúp tránh tình huống này.
2. Tránh Sử Dụng Username Phổ Biến
Bảo mật mật khẩu là bước quan trọng. Thành phần thứ hai của thông tin đăng nhập là username. Nếu username dễ đoán, hacker chỉ cần tập trung vào mật khẩu.
Username WordPress phổ biến nhất là "admin". Cho đến vài năm trước, WordPress tự gợi ý "admin" làm username. Dù WordPress ngừng gợi ý, nhiều chủ site vẫn dùng. Nhiều tài khoản mới vẫn tạo với username "admin". Tất cả các site này khiến mình thành mục tiêu dễ dàng.
Vì WordPress không bắt buộc username duy nhất, bạn cần đảm bảo không user nào dùng username phổ biến và không tài khoản mới được tạo với "admin". Xem danh sách đầy đủ username phổ biến để biết tránh username nào.
3. Ẩn Trang Đăng Nhập WordPress
Site WordPress hoạt động theo cách xác định. Ví dụ: mọi site WordPress có trang đăng nhập mặc định dạng "www.anysite.com/wp-admin". Điều này làm cho công việc của hacker dễ dàng vì họ có thể chạy tấn công tự động trên nhiều site WordPress cùng lúc. Nhưng nếu bạn ẩn trang đăng nhập bằng cách thay đổi nó, bạn có thể ngăn chặn loại tấn công này.
Có nhiều plugin giúp thay đổi trang đăng nhập và dùng URL do plugin gợi ý. Có khả năng các site khác dùng cùng plugin cũng dùng cùng URL. Nếu hacker biết định dạng URL, việc ẩn trang đăng nhập trở nên vô nghĩa. Do đó, hãy dùng công cụ cho phép tạo URL đăng nhập tùy chỉnh riêng.
4. Triển Khai Xác Thực HTTP
Để bảo mật WordPress admin, bạn có thể bảo vệ bằng mật khẩu toàn bộ thư mục wp-admin. Thư mục wp-admin chứa file điều hành dashboard WordPress. Ai có quyền truy cập thư mục này sẽ kiểm soát toàn bộ site. Nếu bạn bảo vệ bằng mật khẩu toàn bộ thư mục, mỗi khi ai đó yêu cầu truy cập admin, server sẽ khởi động quy trình xác thực. Trình duyệt sẽ yêu cầu mật khẩu xác thực HTTP. Có nhiều công cụ triển khai xác thực HTTP cho WordPress admin như HTTP Auth, AskApache Password Protect, v.v.
5. Sử Dụng Google Authenticator (2FA)
Với kỹ thuật hack ngày càng tinh vi, việc thêm lớp bảo vệ đăng nhập thứ hai bên cạnh thông tin đăng nhập mạnh là điều phổ biến. Kỹ thuật này gọi là xác thực hai yếu tố (2FA). Phương pháp gửi mã chỉ bạn nhận được trên smartphone. Trước khi được truy cập dashboard, bạn phải nhập mã duy nhất trên site. Lợi ích: ngay cả khi hacker bẻ khóa thông tin đăng nhập, họ vẫn cần mã gửi độc quyền đến thiết bị của bạn.
Có nhiều plugin WordPress cho 2FA. Chúng tôi bật 2FA trên site dùng Mini Orange và viết hướng dẫn chi tiết.
6. Giới Hạn Số Lần Đăng Nhập Thất Bại
Site bị brute force trải qua hàng trăm lần đăng nhập thất bại. Để ngăn chặn tấn công liên tục này, bạn có thể giới hạn số lần đăng nhập thất bại. Plugin bảo mật MalCare ngăn user đăng nhập sau 3 lần thất bại. Họ phải giải CAPTCHA trước khi được truy cập lại trang đăng nhập. Điều này giúp xác định user là người hay bot tự động tấn công brute force.
7. Cài Đặt Chứng Chỉ SSL
Nhìn URL site chúng tôi! Bạn có thấy ổ khóa xanh với chữ "Secure" bên cạnh? Site chúng tôi cài SSL nên không ai có thể lén lút đọc thông tin đăng nhập của user. Site không có SSL đang nguy hiểm vì vô tình lộ thông tin nhạy cảm.
Xưa kia, SSL chỉ dành cho trang thanh toán hoặc admin WordPress. Nhưng giờ SSL bảo vệ toàn bộ site. Trong nỗ lực làm web an toàn hơn, Google khẳng định SSL là yếu tố xếp hạng. Bạn có thể lấy SSL từ Comodo, Let's Encrypt và nhà cung cấp hosting sẽ hỗ trợ cài đặt.
8. Chặn Địa Chỉ IP Độc Hại (Blacklist IP)
Mọi người dùng internet đều có địa chỉ IP. Hacker tấn công site WordPress cũng có IP. Nếu bạn ghi lại các IP này, bạn có thể chặn chúng truy cập site. MalCare – một trong những plugin bảo mật WordPress tốt nhất – cung cấp chi tiết (địa chỉ IP) của các lần đăng nhập thất bại. Nếu bạn thấy nhiều lần thất bại từ cùng IP thường xuyên, bạn có thể chặn các IP đáng疑 này bằng cách đặt mã sau vào file .htaccess:
order allow,deny deny from 192.168.20.10 allow from all
"192.168.20.10" là IP chúng tôi muốn chặn trên một site. Bạn thay bằng IP bạn muốn chặn.
9. Thay Đổi Security Keys (Khóa Bảo Mật)
Bạn không cần nhập thông tin đăng nhập mỗi lần truy cập site. Bao giờ thắc mắc trình duyệt lưu thông tin như thế nào? Sau khi đăng nhập, thông tin được lưu dưới dạng mã hóa trong cookie trình duyệt. Security keys là các biến ngẫu nhiên giúp cải thiện mã hóa này. Nếu site bị hack, thay đổi secret keys sẽ vô hiệu hóa cookie và buộc mọi user đang hoạt động phải đăng xuất tự động. Một khi bị đẩy ra, hacker mất quyền truy cập WordPress admin.
Lời Kết
Không có cách duy nhất để bảo mật WordPress admin, do đó hãy kết hợp nhiều phương pháp. Chúng tôi chia sẻ những cách được khuyến nghị nhất. Nhưng trước khi triển khai bất kỳ phương pháp nào, bạn phải backup site. Nếu sự cố xảy ra, bạn khôi phục backup và site chạy lại ngay lập tức.
Ngoài ra, bạn có thể áp dụng thêm: chặn IP, bảo vệ trang đăng nhập, bảo mật wp-config.php, làm theo hướng dẫn bảo mật WordPress đầy đủ, và cài plugin bảo mật như MalCare.
MalCare giúp triển khai một số biện pháp trên. Ví dụ: MalCare giúp thay đổi security keys, giới hạn đăng nhập thất bại, cập nhật site, và nhiều hơn nữa.
Hãy Thử MalCare Security Plugin Ngay Hôm Nay!