Bạn đang thắc mắc cách thực hiện cập nhật bảo mật trên trang web WordPress an toàn?
Cập nhật bảo mật cực kỳ quan trọng. Trễ cập nhật có thể khiến trang web bị hack. Nhưng nhiều lần cập nhật gây xung đột tương thích làm hỏng trang web.
Đây là tình huống tiến thoái lưỡng nan.
May mắn thay, có cách cập nhật trang web không làm hỏng. Tất cả bạn cần là dùng trang web staging để kiểm tra cập nhật rồi triển khai lên trang web chính.
Trong bài viết này, chúng tôi sẽ hướng dẫn bạn từng bước quy trình cập nhật trang web an toàn.
TL;DR: Để cập nhật trang web an toàn, dùng Plugin Sao Lưu & Staging BlogVault. Nó sẽ tạo bản sao trang web chính (gọi là staging site). Trên staging site, bạn có thể kiểm tra cập nhật WordPress, theme và plugin không ảnh hưởng trang web chính. Khi hài lòng mọi thứ hoạt động tốt, bạn có thể hợp nhất thay đổi từ staging sang trang web chính.
Cập Nhật Bảo Mật Là Gì? Tại Sao Chúng Quan Trọng?
Cập nhật là phiên bản mới của phần mềm thay thế phiên bản cũ. Giống như mọi phần mềm khác, WordPress và theme, plugin cũng nhận cập nhật định kỳ.
Có 5 loại cập nhật: bản vá bảo mật, sửa lỗi, tính năng mới, tương thích và cập nhật hiệu suất.
Tất cả cập nhật mang lại lợi ích, tuy nhiên, cập nhật bảo mật là quan trọng nhất.
Điều này vì bất kể phần mềm xây dựng tốt đến đâu, nó có xu hướng phát triển lỗ hổng theo thời gian có thể khai thác để hack trang web. Khi nhà phát triển phần mềm biết, họ nhanh chóng khắc phục lỗ hổng và phát hành bản vá thông qua cập nhật bảo mật.
Nếu chủ trang web trì hoãn cập nhật plugin, theme, hoặc WordPress core, lỗ hổng vẫn còn, sẵn sàng bị hacker khai thác. Do đó, việc giữ trang web cập nhật là sống còn.
Để hiểu tầm quan trọng cập nhật bảo mật trong WordPress, bạn cần giải quyết các lỗ hổng WordPress phổ biến ảnh hưởng đến trang web WordPress.
Lỗ Hổng WordPress Phổ Biến:
Các lỗ hổng WordPress phổ biến nhất như sau:
i. Lỗ Hổng SQL Injection
Trong mọi trang web WordPress, có trường nhập liệu như form liên hệ, phần bình luận, tìm kiếm, v.v. Các trường này thường được bật bởi plugin. Sau khi người truy cập nhập dữ liệu, dữ liệu được lưu trong cơ sở dữ liệu trang web. Để giữ cơ sở dữ liệu an toàn, trường nhập liệu đảm bảo dữ liệu được xác thực và làm sạch trước khi gửi đến cơ sở dữ liệu.
Ví dụ, form liên hệ lý tưởng chấp nhận tên, số điện thoại và email. Nhưng nếu không cấu hình đúng để làm sạch dữ liệu người truy cập nhập, nó dễ bị tấn công SQL injection.
Điều này nghĩa là hacker có thể giả làm người truy cập và chèn mã độc sẽ được lưu trong cơ sở dữ liệu. Hacker có thể thực thi mã sau để đánh cắp thông tin từ cơ sở dữ liệu và truy cập trang web của bạn.
ii. Lỗ Hổng Cross-Site Scripting (XSS)
Tương tự SQL injection, plugin có thể phát triển lỗ hổng cross-site scripting XSS. Mặc dù hacker dùng lỗ hổng này kiểm soát trang web, họ cũng dùng để trích xuất dữ liệu từ người truy cập.
Giả sử lỗ hổng cross-site scripting trong plugin bình luận cho phép hacker chèn liên kết độc hại trên trang web. Khi người truy cập, không biết ý định độc hại của liên kết nhấp vào, nó xin phép truy cập cookie trình duyệt.
Đối với người truy cập, trông như trang web xin phép. Rất có thể họ mắc thủ và cho phép truy cập cookie. Cookie chứa thông tin nhạy cảm như thông tin đăng nhập, thông tin ngân hàng điện tử, v.v.
iii. Khai Thác Pharma Hack
Khai thác pharma hack được dùng để bán hoặc quảng cáo thuốc bất hợp pháp.
Hacker tận dụng lỗ hổng trong plugin, theme, hoặc core trang web để truy cập. Sau đó tìm trang xếp hạng cao và chèn quảng cáo thuốc bất hợp pháp như viagra, cialis, levitra, v.v.
Sớm trang của bạn bắt đầu xếp hạng cho sản phẩm dược phẩm bất hợp pháp.
Khi người truy cập đến trang, họ nhấp quảng cáo và chuyển hướng đến trang hacker.
Pharma hack chiếm đoạt nỗ lực SEO và đuổi người truy cập.
iv. Khai Thác Backdoor
Backdoor là điểm nhập ẩn trên trang web. Thường thấy trong plugin và theme bị crack.
Nhiều chủ trang web dùng phần mềm crack vì không mua được bản gốc. Nhưng phần mềm crack thường có backdoor cài sẵn. Nghĩa là khi cài phần mềm trên trang web, nó cung cấp điểm nhập cho hacker.
v. Khai Thác Phishing
Hacker dùng khai thác phishing để truy cập trang web và gửi email spam. Mục đích email lừa người chia sẻ thông tin nhạy cảm như thẻ tín dụng hoặc thông tin ngân hàng.
Dịch vụ email có biện pháp chống phishing mạnh. Nếu phát hiện trang WordPress gửi spam, họ sẽ đưa trang web vào danh sách đen.
Đây là các lỗ hổng WordPress phổ biến nhất. Bạn chắc đã nhận ra chủ đề chạy xuyên suốt! Chúng do lỗ hổng bảo mật trong phần mềm cài trên trang web.
Điều này cho thấy quan trọng cài đặt cập nhật bảo mật ngay khi phát hành.
Tuy nhiên, chúng tôi hiểu cập nhật xuất hiện thường xuyên, khó theo dõi. Phần tiếp theo, chúng tôi sẽ chỉ cách theo dõi cập nhật.
Cập nhật bảo mật WordPress là loại cập nhật quan trọng nhất bạn không thể bỏ qua. Click to Tweet
Cách Kiểm Tra Cập Nhật Bảo Mật WordPress?
Có hai cách kiểm tra cập nhật bảo mật:
- Kiểm tra thủ công từ bảng điều khiển WordPress (lý tưởng cho một trang)
- Kiểm tra dùng plugin quản lý trang web (lý tưởng cho nhiều trang)
1. Kiểm Tra Thủ Công Từ Bảng Điều Khiển WordPress
Cập nhật thủ công WordPress phù hợp chủ một trang. Tất cả bạn cần:
→ Đăng nhập trang web.
→ Từ menu, vào bảng điều khiển > cập nhật.
→ Trên trang Cập Nhật, bạn tìm thấy tất cả phần mềm lỗi thời (core, plugin, theme) cùng chi tiết phiên bản mới. Khi nhấp Xem chi tiết phiên bản, bạn tìm thấy thông tin cập nhật. Nếu cập nhật chứa bản vá bảo mật wp, sẽ được nhắc trong chi tiết phiên bản.
→ Thường trong chi tiết phiên bản, bạn thấy nhà phát triển tung ra nhiều loại thay đổi trong một cập nhật. Ví dụ, plugin chúng tôi cập nhật gần đây, cập nhật sửa cả lỗi và vấn đề tương thích.
→ Thỉnh thoảng cập nhật mang tính năng mới và bản vá bảo mật. Điều này hơi rắc rối. Ngay cả bạn không muốn tính năng mới, vẫn phải cập nhật WordPress đảm bảo không bị lỗ hổng.
2. Kiểm Tra Dùng Plugin Quản Lý Trang Web
Theo dõi cập nhật một trang đã khó. Theo dõi nhiều trang là ác mộng.
Nhưng plugin như BlogVault cho phép kiểm tra cập nhật cho nhiều trang WordPress từ bảng điều khiển duy nhất.
→ Đăng ký BlogVault và thêm trang web vào bảng điều khiển.
→ Ngay lập tức thấy bao nhiêu plugin và theme chờ cập nhật trên mỗi trang.
→ Để xem chi tiết cập nhật, cần chọn trang web rồi nhấp Quản Lý.
→ Sau đó, chỉ cần nhấp vào phiên bản mới để xem chi tiết cập nhật.
Với đó, kết thúc cách kiểm tra cập nhật. Bây giờ hãy đi sâu vào cách thực hiện cập nhật bảo mật an toàn.
Cách Thực Hiện Cập Nhật Bảo Mật WordPress An Toàn?
Có hai cách thực hiện cập nhật bảo mật:
- Cập nhật trên trang staging (an toàn)
- Cập nhật trực tiếp từ bảng điều khiển (không an toàn)
Cập nhật trực tiếp từ bảng điều khiển trang web khiến trang web bị hỏng. Sửa và khôi phục trang web hỏng khó và tốn thời gian. Vì vậy chúng tôi tránh làm đó và tập trung phương pháp an toàn hơn.
1. Cập Nhật Trên Trang Staging
Bước 1: Tạo Trang Web Staging WordPress
Trang web staging là bản sao chính xác trang web của bạn.
Như đã nói, cập nhật có thể làm sập trang web. Môi trường staging giúp kiểm tra cập nhật trước khi làm trên trang chính.
Nhiều plugin giúp tạo môi trường staging. Plugin BlogVault cung cấp môi trường staging WordPress miễn phí và rất dễ thiết lập.
Giả sử bạn đã đăng ký BlogVault và thêm trang web vào bảng điều khiển:
→ Vào phần Staging và nhấp Thêm Staging.
→ BlogVault yêu cầu chọn phiên bản sao lưu và PHP.
→ Mất vài phút tạo staging site. Khi sẵn sàng, bạn bắt đầu kiểm tra cập nhật.
Bước 2: Kiểm Tra Cập Nhật Trên Trang Staging
Để kiểm tra cập nhật, cần đăng nhập trang staging vừa tạo. URL staging trông như https://yoursite.d.wpstage.net/
Bạn đăng nhập staging dùng thông tin đăng nhập thường. Nhưng khi mở URL staging, bạn nhận thấy nó được bảo vệ mật khẩu. Có mật khẩu đảm bảo staging site riêng tư, không truy cập công khai hoặc công cụ tìm kiếm.
Cần quay lại bảng điều khiển BlogVault lấy tên người dùng và mật khẩu từ phần Staging. Dùng để truy cập staging site.
→ Đi đến trang đăng nhập staging, thêm /wp-admin/ cuối URL staging như https://yoursite.d.wpstage.net/wp-admin
→ Dùng thông tin đăng nhập thường vào bảng điều khiển WordPress.
→ Để cài đặt cập nhật, vào bảng điều khiển > cập nhật.
→ Trên trang Cập Nhật, tìm tất cả phần mềm lỗi thời cùng chi tiết phiên bản mới. Để cài đặt, chỉ cần chọn plugin, theme hoặc core và nhấp nút Cập Nhật.
→ Sau cài đặt cập nhật, cần kiểm tra trang web hoạt động đúng. Chúng tôi khuyên kiểm tra tất cả trang và chức năng quan trọng. Bao gồm trang chủ, blog, giỏ hàng, thanh toán, v.v.
Khi sẵn sàng, chuyển bước tiếp theo.
Bước 3: Cập Nhật Trang Chính
Nếu thấy cập nhật không gây hại, bạn có thể tiến hành cùng cập nhật trên trang chính.
Bạn không cần đăng nhập trang chính và cài lại cập nhật. Bạn chỉ cần hợp nhất staging site với trang chính.
→ Trên bảng điều khiển BlogVault, vào phần Staging và nhấp Hợp Nhất.
→ BlogVault bắt đầu đồng bộ trang chính với staging. Cuối cùng, tạo trang xem sự khác biệt giữa staging và trang chính. Bạn không phải hợp nhất toàn bộ trang. Chỉ chọn plugin, theme, core vừa kiểm tra và nhấp Tiếp Theo.
→ Sau đó nhập thông tin FTP và staging site sẽ hợp nhất với trang chính.
Lưu ý: Nếu không biết thông tin FTP, bạn tìm nhờ video hoặc liên hệ nhà cung cấp WordPress hosting và nền tảng hosting.
Với đó, kết thúc cách thực hiện cập nhật an toàn.
Cập nhật có thể làm hỏng trang web nên quan trọng học cách cập nhật bảo mật trang web. Đây chính là bài viết dạy tôi. Click to Tweet
Tiếp Theo Là Gì?
Như đã nói, cập nhật phần mềm vá lỗ hổng giúp giữ trang web an toàn khỏi hacker và bot. Nhưng lỗ hổng phần mềm không phải mối đe dọa duy nhất. Có lỗ hổng khác hacker dùng xâm nhập. Ví dụ, thông tin đăng nhập yếu.
Để bảo vệ trang web khỏi mọi loại lỗ hổng và tấn công hack (như DDoS, brute force, v.v), chúng tôi gợi ý dùng plugin cập nhật WordPress và bảo mật như MalCare.
Plugin bảo vệ trang web bằng tường lửa và giới hạn đăng nhập với biện pháp bảo vệ đăng nhập. Nó giúp thực hiện biện pháp tăng cường bảo mật. Và quét trang web hàng ngày. Nếu phát hiện hoạt động độc hại, bạn được thông báo ngay.
Cài Đặt MalCare Để Bảo Vệ Trang Web 24×7