Thông báo email WordPress: Bạn có biết hơn 90.000 lần tấn công hack diễn ra trên site WordPress mỗi phút? Tấn công brute force chiếm phần lớn các cuộc tấn công hack trên internet ngày nay. Không ngạc nhiên khi thấy một số plugin WordPress tập trung đặc biệt vào tính năng bảo vệ đăng nhập. Các tính năng này có thể là bất cứ thứ gì, từ giới hạn lần đăng nhập, khóa user idle, thay đổi slug trang đăng nhập, đến hạn chế truy cập dashboard trong thời gian cụ thể. Khi nói đến bảo mật trang đăng nhập, một tính năng đáng chú ý chúng tôi muốn thảo luận là cảnh báo email WordPress được tạo mỗi khi có lần đăng nhập thất bại trên website.
Nếu website của bạn là mục tiêu của tấn công brute force, tài khoản email của bạn có thể bị ngập hàng trăm email mỗi ngày. Không thể thực tế quét qua và theo dõi tất cả email này. Đối với website có nhiều user đăng ký, có khả năng cao một số lần đăng nhập thất bại là do user thật. Nếu thông báo đăng nhập hoặc email được tạo cho mọi lần đăng nhập thất bại, hãy tưởng tượng số lượng 'false positives' (báo động giả) bạn nhận được!
Thông Báo Email WordPress Phục Vụ Mục Đích Gì?
Công nhận rằng nhiều plugin bảo mật cho phép số lần đăng nhập giới hạn trước khi gửi thông báo email WordPress. Nhưng hãy xem xét – hai mục đích trung tâm của plugin bảo mật là ngăn chặn tấn công hack (như giới hạn đăng nhập) và cải thiện bảo mật. Nếu user độc hại bị khóa sau vài lần thử thất bại, công việc đã xong. Thì thông báo email WordPress phục vụ mục đích gì?
Khi site của bạn bị tấn công brute force và bạn liên tục nhận email đăng nhập thất bại, bạn hầu như không làm gì được với kiến thức đó. Điều này nghĩa là vai trò của thông báo email WordPress gần như không có giá trị. Nó chỉ khiến chủ site hoang mang, đẩy họ vào trạng thái hoảng loạn.
Nếu bạn kịp theo dõi email, bạn có thể phát hiện kẻ tái phạm và sau đó chặn IP của họ. Dùng file .htaccess bạn có thể cấm IP này truy cập site. Nhưng chặn IP đi kèm nhược điểm riêng. Hãy xem một số.
1. Website Crash (Sập)
Để chặn traffic xấu cố gắng đăng nhập site, bạn cần sửa file .htaccess. File .htaccess là một trong những file cấu hình quan trọng nhất website. Một lỗi đơn lẻ có thể thảm họa. Nếu bạn không quen thao tác WordPress file manager, sửa .htaccess có thể là việc lớn. Tất nhiên, bạn có thể nhờ tutorial online cách sửa .htaccess. Nó giảm rủi ro một chút. Vẫn có cơ hội mắc lỗi lớn. Nó có thể khiến site hoạt động sai hoặc thậm chí crash – khôi phục từ đó là thách thức.
2. Search Engine Crawlers Bị Chặn
Trong một số trường hợp, cấu hình sai có thể dẫn đến chặn search engine crawler như Google bot crawl site. Nghĩa là site sẽ không được index cũng như không xếp hạng trên search engine. Hơn nữa, chặn search engine crawler có thể gây thảm họa SEO. Bạn mất xếp hạng tìm kiếm, ảnh hưởng trực tiếp đến traffic và doanh thu.
3. Visitor Hợp Pháp Bị Cấm
Rủi ro vô tình cấm user hợp pháp site luôn tồn tại. Có thể do lỗi khi IP không chính xác. Chúng tôi gặp diễn đàn nơi chủ site thừa nhận vô tình cấm user hợp pháp. Trong một số trường hợp, admin vô tình cấm chính mình. Đôi khi, quốc gia nhỏ chỉ có một vài địa chỉ IP. Chặn chúng có nghĩa là bạn vô tình chặn một lượng lớn visitor, về bản chất xấu cho kinh doanh.
4. Mất Khán Giả Tiềm Năng
Một trong những cách hiệu quả nhất ngăn brute force là xác định quốc gia gốc. Khi số lượng lớn đăng nhập thất bại từ một quốc gia cụ thể, bạn có thể cấm toàn bộ quốc gia. Không ai từ quốc gia đó truy cập được website.
Mục đích chính của hiện diện online là tiếp cận lượng lớn khán giả khắp nơi. Do đó, bất kể vị trí địa lý, nội dung trên site WordPress của bạn có giá trị với nhiều người. Nghĩa là, bằng cách chặn một quốc gia, bạn có thể bỏ lỡ toàn bộ nhóm khán giả quan tâm đến công việc của bạn.
6. Vẫn Có Thể Truy Cập Site Của Bạn
Hacker có quyền truy cập mạng IP. Họ hiếm khi gắn bó một IP vì có thể bị bắt và blacklist. Hacker cũng hiếm khi nhắm một site duy nhất. Họ chạy tấn công trên nhiều site cùng lúc dùng cụm IP họ xây dựng. Khi một IP của họ bị nhận diện ý định độc hại, họ chuyển sang IP khác. Đây là trò chơi mèo đuổi chuột không bao giờ kết thúc. Do đó chặn IP đôi khi chỉ là sự giải tỏa tạm thời và không hơn. Vì chặn IP涉及 rủi ro, nhiều user tránh nó.
Điều này đưa chúng ta quay lại câu hỏi trước, về mục đích thông báo WordPress phục vụ gì. Cảnh báo email liên tục vừa phiền toái vừa có thể dẫn đến thảm họa lớn.
Kết Luận
Nhớ cậu bé nói dối sói. Với hàng trăm cảnh báo email WordPress xuất hiện trên tài khoản email mỗi ngày, bạn sớm sẽ bắt đầu bỏ qua nó. Điều này nguy hiểm vì bạn có thể bỏ qua tình huống cần chú ý. Với số lượng tấn công WordPress tăng mỗi năm, dành thời gian để có dịch vụ bảo mật đúng chỗ rất quan trọng, thay vì lọc qua thông báo email WordPress cho bảo vệ đăng nhập.