Thay đổi URL đăng nhập WordPress: Có 60 triệu website WordPress trên internet. Không ngạc nhiên WordPress là CMS phổ biến nhất. Sự phổ biến thu hút cả sự chú ý tốt và xấu. Về sự chú ý xấu, site WordPress chịu 90.000 lần tấn công mỗi phút mỗi ngày. Do đó, tấn công site của bạn là điều không thể tránh khỏi, bất kể site lớn hay nhỏ.
Hacker dùng nhiều kỹ thuật hack WordPress và brute force attack là một trong số đó. Loại tấn công này hacker gửi request HTTP liên tục đến wp-login.php cho đến khi truy cập được hoặc server crash. Chúng quá tải bộ nhớ server hosting bằng nhiều request HTTP lặp lại. Ngay cả khi attacker không thành công truy cập site, thường đẩy server đến giới hạn khiến crash tiềm ẩn.
Tấn công brute force thành công cho hacker truy cập admin dashboard WordPress. Khu vực admin là trung tâm điều hành site WordPress. Ai có toàn quyền admin sẽ kiểm soát toàn bộ site. Do đó, bảo vệ khu vực admin khỏi tấn công bên ngoài là quan trọng.
Có nhiều cách bảo vệ trang đăng nhập admin WordPress từ ép username duy nhất, mật khẩu mạnh, đến triển khai 2FA. Một trong những giải pháp được khuyến nghị nhất để ngăn tấn công trang đăng nhập là thay đổi URL đăng nhập WordPress mặc định thành URL admin tùy chỉnh mới. Cách đó giúp như thế nào? Hãy tìm hiểu!
- Thay Đổi URL Đăng Nhập WordPress: Lợi Ích
- Bảo Vệ Trước Tấn Công Brute Force
- Ẩn Lỗ Hổng WordPress
- Rebrand Trang Đăng Nhập
- Thay Đổi URL Đăng Nhập WordPress: Hạn Chế
- Không Giảm Tải Trên Server Site
- URL Mới Không Khó Tìm
- Hệ Lụy Khác Có Thể Xảy Ra
Thay Đổi URL Đăng Nhập WordPress: Lợi Ích
1. Bảo Vệ Trước Tấn Công Brute Force
Brute force attack là một trong những loại tấn công phổ biến nhất trên WordPress. Nó liên quan đến đoán tổ hợp thông tin đăng nhập cho đến khi tìm được tổ hợp đúng. Để tấn công brute force thành công, hacker cần biết thành công 3 thứ: username, password, và URL trang đăng nhập.
Username và Password
Dễ hiểu tại sao dùng mật khẩu mạnh và username duy nhất là thói quen tốt. Nếu username dễ đoán, hacker chỉ cần tập trung bẻ khóa mật khẩu. Nhưng username duy nhất làm công việc hacker khó hơn nhiều. Tương tự, mật khẩu mạnh bảo vệ khỏi brute force. Đặc điểm mật khẩu mạnh: rất dài, kết hợp chữ hoa, chữ thường, ký tự đặc biệt. Nhiều chuyên gia bảo mật khuyến nghị dùng passphrase (cụm mật khẩu) 15 ký tự. Vấn đề là trang đăng nhập thường không cho dùng passphrase.
Điều cần tránh khi tạo mật khẩu mới là ngăn dùng từ phổ biến hoặc chi tiết công khai. Từ phổ biến là những đoán đầu tiên trong brute force. Nếu bạn bị nhắm mục tiêu cụ thể, hacker sẽ làm hết sức tìm username/password từ chi tiết trên site của bạn.
URL Trang Đăng Nhập
Cấu trúc file WordPress là kiến thức chung. Nghĩa là ngay user bên ngoài cũng có kiến thức về hoạt động nội bộ site. Ví dụ: mọi site WordPress có trang đăng nhập mặc định dạng "www.example.com/login.php". Điều này làm cho công việc hacker dễ dàng vì họ biết cách tìm trang đăng nhập của bạn và dễ dàng chạy tấn công tự động. Do đó, nếu bạn thay đổi URL đăng nhập WordPress, sẽ khó tìm trang đăng nhập của bạn. Hầu hết brute force attack được thực hiện bởi bot tự động lập trình. Sau khi không tìm thấy trang đăng nhập site, họ sẽ chuyển sang mục tiêu khác.
2. Ẩn Lỗ Hổng WordPress
WordPress chạy hơn 60 triệu website làm nó nền tảng phổ biến nhất. Dù phổ biến (và cũng vì phổ biến), WordPress không hoàn toàn an toàn. Hacker nhắm vào WordPress nhiều hơn bất kỳ CMS nào.
Với sự phổ biến và bản chất open-source, tin tức về lỗ hổng lan truyền như lửa rừng. Và hacker độc hại tận dụng lỗ hổng tấn công hàng trăm nghìn site WordPress. Trang đăng nhập của bạn đóng vai trò như thẻ danh tính báo cho hacker biết bạn xây site trên WordPress. Nếu bạn thay đổi URL admin mặc định, về cơ bản bạn tự tách mình ra khỏi các vấn đề lõi WordPress đã biết.
3. Rebrand Trang Đăng Nhập
Nếu bạn sở hữu site membership, bạn phải đồng ý trang đăng nhập cho thành viên truy cập site hơi thiếu hụt, xem xét họ trả tiền tốt để truy cập. Từ góc độ kinh doanh và hài lòng khách hàng, rebrand trang đăng nhập là ý tưởng tốt. Bạn có thể thay đổi màn hình đăng nhập mặc định để thẩm mỹ hơn.
Đây là lý do hầu như tất cả plugin WordPress khuyến khích thay đổi URL đăng nhập mặc định. Nó là biện pháp bảo mật tốt.
Dù có lợi thế cảm nhận sau khi thay đổi URL đăng nhập WordPress, site của bạn không nhất thiết an toàn. Để minh họa điểm này, hãy xem một số hạn chế liên quan đến biện pháp bảo mật cụ thể này.
Thay Đổi URL Đăng Nhập WordPress: Hạn Chế
1. Không Giảm Tải Trên Server Site
Khi trang đăng nhập WordPress bị tấn công, trang được load lại và lại. Điều này cạn kiệt tài nguyên server. Khi bạn thay đổi URL đăng nhập WordPress (đổi tên wplogin.php), trang đăng nhập mặc định không tìm thấy và website ném lỗi 404. Điều này thường được coi là phản hồi nhẹ (lightweight response) – nghĩa là phản hồi nhẹ không tiêu tốn tài nguyên server. Tuy nhiên, sự thật là ngay cả khi trang không tìm thấy, WordPress vẫn thực thi hầu hết code của trang đó.
Đó chỉ là cách WordPress hoạt động. Do đó nó vẫn tiêu tốn tài nguyên. Vì vậy, trái với niềm tin của một số người khi tùy chỉnh URL trang đăng nhập WordPress không giảm tải trên server site.
2. URL Mới Không Khó Tìm
Ý tưởng là khi bạn thay đổi URL admin WordPress, nó ngăn hacker truy cập trang đăng nhập. Có một số plugin WordPress như WPS Hide Login giúp làm điều đó. Nó cung cấp URL trang đăng nhập tự động tạo. Khả năng là, mọi website dùng cùng công cụ đều dùng cùng URL. Có khả năng hacker biết định dạng URL được gợi ý bởi công cụ này. Điều này có nghĩa là ngay sau khi bạn ẩn đăng nhập site, hacker vẫn có thể tìm thấy nó. Do đó, ngay sau khi bạn thay đổi URL đăng nhập WordPress, nó không nhất thiết bảo vệ site WordPress của bạn theo bất kỳ cách nào.
3. Hệ Lụy Khác Có Thể Xảy Ra
Vấn đề khác nảy sinh từ việc chuyển URL đăng nhập mặc định sang URL tùy chỉnh là khi user không được thông báo đúng cách. Thay đổi đột ngột URL đăng nhập không thông báo trước có thể rất bất tiện. Với một số user bị khóa ngoài, mọi thứ có thể dẫn đến hỗn loạn. Có thể làm mất vài ngày công việc. Bạn chịu trách nhiệm chia sẻ thông tin về URL đăng nhập WordPress mới. Nếu bạn vẫn quyết định thay đổi URL đăng nhập WordPress, hãy gửi email thông báo user về URL đăng nhập tùy chỉnh mới. Mặt trái của cùng kịch bản, gửi thông báo email có thể thành thảm họa nếu hacker đã có tài khoản user WordPress uy tín trên site của bạn. Trong trường hợp này, thay đổi URL đăng nhập WordPress trở nên vô nghĩa.
Chúng tôi hy vọng bài viết này giúp bạn quyết định có muốn thay đổi URL site WordPress của mình hay không. Có URL đăng nhập WordPress tùy chỉnh chắc chắn tăng cường bảo mật.
Nếu bạn quyết định thay đổi URL trang đăng nhập WordPress, chúng tôi có hướng dẫn sẵn sàng.
Cách Thay Đổi URL Trang Đăng Nhập WordPress?
Chúng tôi dùng plugin WPS Hide Login để thay đổi URL trang đăng nhập. Tại thời điểm viết bài, plugin có hơn 30.000 cài đặt hoạt động và hơn 700 review 5 sao.
Bước 1: Cài đặt và kích hoạt plugin WPS Hide Login trên website WordPress.
Bước 2: Sau khi kích hoạt, vào dashboard WordPress. Cuộn xuống. Từ Settings WordPress, chọn WPS Hide Login.
Bước 3: Nhập URL đăng nhập mới vào tùy chọn 'Login URL'. Sau đó 'Save Changes'.
Xong. Bây giờ URL đăng nhập WordPress của bạn đã khác.
Kết Luận
Đó là nói, thay đổi trang đăng nhập WordPress là một trong nhiều cách đạt được đăng nhập WordPress an toàn và bảo vệ website WordPress.
Các mẹo bảo mật khác hoặc biện pháp bạn có thể lấy bao gồm: dùng SSL, triển khai 2FA và xác thực HTTP, thay đổi tiền tố database, vô hiệu hóa chỉnh sửa theme/plugin WordPress, ngăn user cài đặt/cập nhật theme/plugin, buộc dùng FTP, thay đổi security keys, ẩn file 'wp-config.php', chặn IP, vô hiệu hóa XML-RPC, vô hiệu hóa thực thi PHP và duyệt thư mục, thiết lập quyền file đúng, dùng firewall, v.v. Nhưng trước khi triển khai bất kỳ phương pháp nào, bạn phải backup site. Nếu sự cố xảy ra, khôi phục backup và site chạy lại ngay. Hãy theo dõi thêm hướng dẫn WordPress trên blog của chúng tôi.