Hiện có hơn 56.000 plugin trong thư mục WordPress, nhưng có nghĩa là mỗi plugin đều là mối đe dọa bảo tiềm ẩn cho website WordPress của bạn? Không muốn dọa bạn ngay từ đầu, nhưng WordPress là CMS bị hack nhiều nhất, và nhiều lỗ hổng WordPress đến từ plugin. Thực tế, WPScan Vulnerability Database cho thấy trong tất cả lỗ hổng WordPress, do plugin gây ra chiếm 23% (trong khi theme chỉ 3%). Bảo mật là điều quan trọng nhất bạn cần lo ngay khi bắt đầu xây dựng website. Có nhiều điều phải lo, nhưng plugin WordPress có phải trong số đó không?
Hãy đi sâu hơn để điều tra xem plugin có làm site dễ bị tổn thương không.
Điều Gì Làm Site Dễ Bị Tấn Công?
Điều đầu tiên trên con đường làm site WordPress an toàn là xác định gì làm nó dễ bị tấn công để biết rủi ro cần loại bỏ. Hãy nhìn nhanh các yếu tố phổ biến gây lỗ hổng:
- Mật khẩu yếu – Mật khẩu phổ biến 2017 là '123456' và 'password', nên tạo mật khẩu mạnh (ít nhất 8 ký tự, có số và ký tự đặc biệt, mỗi tài khoản một mật khẩu) phải là quy tắc số 1 của bảo mật.
- Code kém chất lượng – Đôi khi do thiếu kỹ năng, kinh nghiệm, thời gian, test hoặc nhiều yếu tố khác, developer bất kỳ cũng có thể mắc lỗi khi code hoặc không tập trung vào bảo mật bằng chức năng.
- Thiếu cập nhật – Cập nhật thường cung cấp bản vá bảo mật, sửa lỗi và cho bạn phiên bản tốt nhất hiện tại, nên cài đặt lỗi thời dễ bị tấn công hơn.
- Plugin và theme không an toàn – Plugin và theme là thành phần dẫn đầu lỗ hổng WordPress. Chúng gây lỗ hổng nhiều cách – lỗi thời; do developer thiếu kinh nghiệm code; không tương thích phiên bản WordPress mới nhất và nhiều hơn nữa.
Cách Xác Định Plugin An Toàn?
Vì plugin có thể gây lỗ hổng, quan trọng là tìm plugin không trở thành cổng cho hacker. Như đã nói, thư mục plugin WordPress hiện có hơn 50.000 plugin, và nhiều hơn nữa khắp web, làm sao biết plugin nào an toàn? Tôi tạo checklist những điều cần chú ý trước khi dùng plugin mới.
Nguồn Uy Tín
Quan trọng là tải plugin chỉ từ nguồn đáng tin cậy. Ví dụ: Ghé thăm tài nguyên phổ biến và đáng tin cậy như WPMayor để khám phá plugin uy tín.
Số Lượng Cài Đặt Hoạt Động
Nếu nhiều người cài plugin, đó là chỉ báo tốt về độ phổ biến và kết hợp với các điểm khác trong checklist, cho thấy sự hài lòng tổng thể. Ví dụ: Plugin SEO WordPress phổ biến nhất Yoast SEO hiện có hơn 5 triệu cài đặt hoạt động.
Đánh Giá (Ratings)
Đánh giá cao nghĩa là người cài plugin thực sự thích nó và nó có thể không gây vấn đề nghiêm trọng. Để chắc chắn hơn, bạn có thể check phần bình luận (nếu có) để xem người dùng thích/không thích gì. Ví dụ: Slider Revolution là một trong những plugin bán chạy nhất với đánh giá trung bình 4.79, làm nó trở thành lựa chọn tốt.
Cập Nhật Gần Nhất
Luôn kiểm tra xem cập nhật có được phát hành định kỳ và cập nhật gần nhất có gần đây không. Có vài cách check, nhưng thường trên website plugin có section hiển thị tất cả bản phát hành, ngày tháng và thông tin quan trọng. Ví dụ: Caldera Forms đăng bài sau cập nhật mô tả tính năng mới, sửa lỗi và thông tin chung về plugin ở phiên bản hiện tại.
Tương Thích Với Phiên Bản WordPress Mới Nhất
Plugin phải tương thích với phiên bản WordPress mới nhất. Cách check là trên wordpress.org nếu plugin bạn quan tâm có ở đó. Ví dụ: Plugin WooCommerce tương thích WordPress 4.7 trở lên và đã test lên đến 4.9.8 (phiên bản hiện tại).
Khả Dụng Hỗ Trợ
Quan trọng là check xem có kênh hỗ trợ cho plugin không, vì đó là dấu hiệu lớn cho thấy developer quan tâm ý kiến user và muốn giúp đỡ. Ví dụ: BlogVault có hệ thống ticket dễ tìm và dùng trên website cũng như tài liệu rộng rãi.
Tương Thích
Đảm bảo plugin không gây xung đột với plugin khác. Check comment hoặc review user để xem có khiếu nại không. Tác giả plugin thường liệt kê plugin tương thích. Tất cả vấn đề tương thích có thể là chướng ngại lớn cho site bạn muốn. Ví dụ: WPML có team tương thích đảm bảo WPML tương thích hoàn toàn với nhiều theme và plugin WordPress.
Tài Liệu (Documentation)
Thường chứa giải thích chi tiết (và tutorial) về tính năng, ghi chú phát hành và thông tin quan trọng khác về plugin có thể hữu ích. Ví dụ: Visual Composer có một trong những tài liệu và video tutorial được đánh giá cao nhất cho người mới và developer, được cập nhật thường xuyên.
Quét Bảo Mật (Security Scan)
Nếu bạn thực sự không chắc chắn, hãy chạy qua quét bảo mật. Ví dụ: Một trong những plugin bảo mật WordPress tốt nhất là MalCare. Nó phát hiện malware, phần mềm lỗi thời, trạng thái blacklist, giúp dọn dẹp site và thực hiện các biện pháp hardening.
Plugin Nào Cần Cảnh Giác?
Ngoài checklist, có một số plugin cụ thể được gắn nhãn không an toàn hoặc có lỗ hổng. Plugin có thể lỗi thời hoặc có phiên bản nhiều lỗ hổng, nên có một số website bạn có thể xem để biết thông tin mới nhất về an toàn trong môi trường WordPress bao gồm danh sách plugin không an toàn, lỗ hổng cụ thể và trạng thái (đã sửa hay chưa), phiên bản plugin chứa lỗ hổng nghiêm trọng và thông tin quan trọng hơn.
Danh sách tài nguyên để check:
- exploit-db – Exploit Database là "kho lưu trữ các exploit công khai và phần mềm dễ bị tổn thương tương ứng".
- cvedetails – Cơ sở dữ liệu lỗ hổng bảo mật.
- pluginvulnerabilities – Dịch vụ bảo vệ bạn khỏi lỗ hổng plugin theo nhiều cách.
Cách Bảo Vệ Dữ Liệu Của Bạn?
Dù bạn nghĩ site an toàn đến đâu, luôn có cơ hội attacker thông minh hơn hoặc tìm cách mới làm lộ dữ liệu. Để ngăn chặn, có vài điều quan trọng bạn nên cân nhắc – cập nhật thường xuyên và backup. Coi đây là thần chú bảo mật WordPress vì đó là điều tối thiểu bạn làm để bảo vệ site.
Cập Nhật Định Kỳ
Năm 2017, 39,3% site WordPress bị hack dùng phiên bản lỗi thời nên bạn thấy cài đặt lỗi thời làm site dễ bị tổn thương hơn. Để bạn yên tâm (hoặc an toàn hơn), năm 2016 con số này là 61%, nhưng không có nghĩa bạn nên kéo dài thời gian WordPress lỗi thời.
WordPress core không phải thứ duy nhất có lỗ hổng. Như đã nói, phần lớn hack do lỗ hổng plugin và theme, nên nếu có cập nhật khả dụng, có thể vì lỗ hổng bảo mật đã được tìm thấy và developer đã loại bỏ trong bản phát hành tiếp theo. Bỏ lỡ cập nhật có nghĩa là cho attacker cơ hội khai thác lỗ hổng và hack site.
Backup
Thật không may, hầu hết mọi người không nghĩ đến backup trừ khi trải qua tình huống mất dữ liệu và không cách nào khôi phục. Có nhiều lý do bạn luôn nên backup site – vấn đề hosting, phức tạp cập nhật, tấn công hack phổ biến, và nhiều hơn nữa.
Không hiếm người mất toàn bộ dữ liệu vì các lý do đó và khôi phục có thể là quá trình dài và mệt mỏi nếu בכלל có thể. Một trong những giải pháp tốt nhất để luôn chắc chắn không mất dữ liệu và dễ dàng khôi phục là backup định kỳ, rõ ràng.
Làm backup định kỳ có vẻ tốn thời gian lúc đầu, xem xét việc khuyên backup thường xuyên (thường như hàng ngày), nhưng có dịch vụ làm quá trình dễ dàng và nhanh chóng hơn nhiều.
Vậy, Plugin Có An Toàn Không?
Cuối cùng, site WordPress của bạn an toàn bằng cách bạn làm cho nó. Có nhiều điều làm site WordPress dễ bị tổn thương, và có, plugin là một trong số đó, nhưng tất cả归结为 quyết định bạn đưa ra khi chọn plugin bảo mật WordPress và xử lý bảo mật site nói chung. Có những bước đơn giản bạn có thể thực hiện để thực sự bảo mật website, vì vậy nếu bạn chọn plugin an toàn, cập nhật tất cả cài đặt và backup định kỳ, thì không có gì phải lo lắng.
Bạn từng gặp vấn đề bảo mật trên cài đặt WordPress liên quan đến plugin? Cho chúng tôi biết trong comment!
Tác Giả Bài Viết: Irma Edite Girupniece là một "máy quay video" vẫn tin rằng một ngày nào đó cô sẽ thành phi hành gia.