Câu hỏi nhanh:
Bạn ngủ ngon giấc mỗi đêm không?
Câu hỏi hơi lạ, nhưng nếu bạn đọc hết bài thay vì lướt qua, bạn sẽ hiểu tại sao chúng tôi hỏi.
Nhưng trước hết…
Nếu bạn tìm bài chi tiết về Xác thực 2 yếu tố WordPress (2FA), hãy xem những điều sau có nghe quen không:
- Bạn nhận cảnh báo từ plugin bảo mật rằng trang đăng nhập WordPress nhận nhiều traffic bất thường
- Bạn nhận cảnh báo bot đang cố gắng hack site
- Plugin bảo mật nói bạn cần bảo vệ đăng nhập
Và rồi, bạn bắt đầu tìm hiểu bảo vệ đăng nhập và nhận ra rằng…
Mọi blog và video YouTube đều khuyên bạn cài WordPress Two-Factor Authentication.
Đó có lẽ là cách bạn bắt đầu tìm hiểu về 2FA WordPress.
Trong bài này, chúng tôi sẽ:
- Giải thích WordPress Two-Factor Authentication là gì
- Tại sao bạn nên dùng nó
- Cách cài đặt WordPress 2FA nhanh chóng, dễ dàng
- Plugin WordPress Two-Factor Authentication nào nên dùng
Cùng đi sâu ngay!
WordPress 2-Factor Authentication Là Gì?
Bạn có nghĩ an toàn site phụ thuộc vào một plugin?
Đúng một phần.
Thực tế, bảo mật site chủ yếu phụ thuộc vào bạn. Bạn cần hành động và thiết lập phòng thủ.
Ví dụ điển hình là WordPress Two-Factor Authentication.
Sớm bạn sẽ hiểu tại sao.
WordPress Two-Factor Authentication là biện pháp bảo mật thêm lớp bảo vệ cho trang đăng nhập bên cạnh mật khẩu.
Khi bật WordPress 2FA, việc hacker chiếm site trở nên gần như không thể:
- Dù hacker đã đoán được mật khẩu
- Dù bot cố brute-force trang đăng nhập
Khi bật 2FA, bạn vẫn dùng username/mật khẩu đăng nhập. Nhưng sau đó cần thông tin bổ sung để xác thực danh tính.
Thông tin bổ sung đó là gì?
Thường là:
- Mã OTP gửi đến thiết bị chỉ bạn có;
- Mã OTP dựa trên thời gian gửi qua email;
- Mật khẩu/PIN thứ hai;
- Câu hỏi bảo mật thiết lập khi cài (KHÔNG KHUYẾN NGHỊ);
Lý do thực sự bạn nên dùng WordPress 2FA: mật khẩu bạn dùng có thể bị hack theo hàng triệu cách. Ước tính hack mật khẩu sẽ gia tăng và tốn chi phí toàn cầu $6 nghìn tỷ/năm vào 2021.
Hỏi lại: Bạn ngủ ngon giấc mỗi đêm không?
Kiểm Thực Thực: Đánh cắp mật khẩu dễ hơn bạn nghĩ. Hầu hết team và user dùng mật khẩu yếu, dễ đoán cho hacker dùng thuật toán brute-force và rainbow tables (sẽ nói sau).
Cài 2FA KHÔNG phải thay thế mật khẩu mạnh. Vẫn cần tạo mật khẩu thật mạnh để bảo vệ site.
Bây giờ bạn hiểu 2FA là gì và cách hoạt động, hãy cùng cài đặt cho site.
Làm theo phần dưới đây.
Cách Cài Đặt WordPress Two-Factor Authentication?
Cách duy nhất cài WordPress 2FA là dùng plugin bên thứ ba. Cài đặt WordPress chuẩn KHÔNG có 2FA cho trang đăng nhập. Tốt nhất từ cài Softaculous chỉ có login limiter.
Nhưng ngay cả đó cũng không phải lựa chọn tốt cho cài WordPress "out-of-the-box".
Vậy làm sao? Cách tốt nhất cài 2FA là dùng plugin bảo mật.
Có 2 cách:
- Cài bộ bảo mật toàn diện (full security suite) có tính năng mạnh
- Dùng plugin chuyên biệt chỉ cài 2FA
Bài này sẽ khám phá cả hai.
Khuyến Nghị Của Chúng Tôi: Dùng Bộ Tính Năng Bảo Mật Toàn Diện Của MalCare
Có vẻ hơi thiên vị, nhưng thực sự không.
Tin chúng tôi: cài WordPress 2FA là tốt. Nhưng đó chưa đủ mạnh để bảo vệ site thực sự an toàn.
Tất nhiên, không tồn tại site WordPress "hoàn toàn an toàn".
Đó là bản chất của WordPress.
Nhưng với MalCare, bạn có hệ thống 2FA hoạt động đầy đủ kèm theo bảo vệ bot mạnh mẽ.
Hệ thống bảo vệ đăng nhập mạnh của MalCare cung cấp các tính năng giữ site an toàn "như tiền trong ngân hàng".
MalCare có thuật toán học mạnh mẽ kết nối với 250.000+ site nó phục vụ.
Thuật toán học hoạt động như sau:
- Thứ nhất, thuật toán xác định IP của người cố đăng nhập site bạn.
- Thứ hai, phân tích IP đó xem có trong danh sách IP độc hại đã biết của hacker/bot không.
- Thứ ba, dùng AI kiểm tra IP đăng nhập có độc hại không ngay cả khi IP chưa biết.
Sau 3 bước, MalCare hoặc cho tải trang đăng nhập, hoặc chặn attempt và gắn cờ IP độc hại. Một lần bị gắn cờ cho một site, IP đó không bao giờ tấn công được site WordPress nào được bảo vệ bởi MalCare.
Sau đó, user nhập username/mật khẩu để thử đăng nhập.
Điều này loại bỏ hoàn toàn nhu cầu WordPress 2FA cho trang đăng nhập site.
Nhưng nếu bạn là khách hàng MalCare, MalCare dùng 2FA cho dashboard của chính MalCare.
Nếu thông tin dashboard đúng, 2FA WordPress của MalCare bắt bạn xác thực qua OTP.
Cách này không ai có thể can thiệp tài khoản và tắt bảo vệ chúng tôi cung cấp.
Để bật, đăng nhập MalCare Dashboard:
Click 'Account':
Click 'My Account':
Đi đến 'Two Factor Authentication' và click 'Enable':
Mã QR sẽ hiện ra:
Bạn có thể:
- Quét bằng điện thoại dùng Google Authenticator hoặc app 2FA khác;
- Hoặc nhập passcode thủ công trên Google Authenticator.
Cách nào cũng nhận OTP để xác thực thiết bị.
Nhập OTP trên MalCare và click 'Activate'.
Xong! Mỗi lần đăng nhập dashboard MalCare, bạn sẽ tạo OTP để xác thực.
Tin chúng tôi:
MalCare có hàng loạt tính năng bảo vệ, quét, dọn site 24/7.
Nếu chưa dùng MalCare, chúng tôi mạnh mẽ khuyến nghị cài đặt ngay hôm nay để bật bảo vệ WordPress hoàn chỉnh.
Một Số Lựa Chọn Khác: Các Plugin WordPress 2FA Khác
Có nhiều plugin WordPress 2FA. Hầu hết chỉ làm một việc và làm tốt. Bề mặt trông hợp lý.
Nhưng thực tế không phải vậy.
Plugin 2FA WordPress không cung cấp hơn một lớp bảo mật cho site.
Tuy nhiên, nếu bạn đã có plugin cho:
- Quét mã độc;
- Dọn mã độc;
- Hardening WordPress;
Và bạn chỉ muốn 2FA, thì hãy cài plugin riêng làm việc đó.
Hoặc, bạn có thể dùng MalCare ngay hôm nay và quên việc cài 6 plugin khác nhau.
Đó là danh sách top 5 plugin WordPress bảo vệ đăng nhập và 2FA bạn có thể tin tưởng:
#1 MalCare
Đã nói ở trên.
Thực ra liệt kê MalCare cạnh các plugin 2FA khác hơi bất công.
Thực tế, MalCare là bộ bảo mật WordPress toàn diện.
Nếu mới làm bảo mật WordPress và muốn giải pháp đơn giản, tin cậy, chúng tôi khuyên dùng MalCare.
"Chúng tôi nhằm làm WordPress dễ dùng để khách hàng tập trung vào điều quan trọng nhất – kinh doanh. Triết lý MalCare: cung cấp bảo mật one-click đơn giản cho TẤT CẢ chủ site WordPress. Chúng tôi làm bằng cách liên tục phát triển biện pháp bảo mật tốt hơn, tin cậy hơn." – Akshat Choudhary, CEO MalCare
Nếu điều đó không hấp dẫn bạn, chúng tôi không biết gì còn hấp dẫn hơn!
Gia nhập 250.000+ site WordPress và Dùng Thử MalCare MIỄN PHÍ.
#2 Two-Factor
Two-Factor là plugin miễn phí khá tốt. Cài đặt 2FA trên trang profile user đơn giản, dễ dùng. Bạn có thể:
- Nhận OTP qua email
- Nhận OTP qua Google Authenticator
Điểm hay: có thể tạo backup code phòng khi không đăng nhập được bằng yếu tố thứ hai.
Nhược điểm duy nhất: Two-Factor không có cài đặt toàn cục (global setting). Admin phải bật 2FA cho từng user riêng lẻ.
#3 WP 2FA
WP 2FA là plugin miễn phí khác cài 2FA WordPress. Phát triển bởi bạn bè tại WPWhiteSecurity. Ngẫu nhiên, WPWhiteSecurity được bảo vệ bởi MalCare.
Đây là một trong những plugin 2FA đơn giản nhất từng được tạo.
Tập trung cực đại vào trải nghiệm user siêu đơn giản. Vì vậy có setup wizard hướng dẫn từng user cài 2FA cho tài khoản. Không cần kỹ thuật nào (giống MalCare).
Bạn chọn giữa nhiều tùy chọn OTP và có thể bắt 2FA bắt buộc cho tất cả user từ tài khoản admin.
Không phàn nàn nếu bạn cài plugin này. Chúc mừng, Robert!
#4 Google Authenticator
Google Authenticator là plugin 2FA đầu tiên chúng tôi dùng.
Plugin miễn phí, đơn giản, cơ bản nhất. Sau khi cài, vào profile page bật Google Authenticator Settings. Quét QR code hiện ra bằng app Google Authenticator trên smartphone.
Có vài lý do không nên dùng:
- Chỉ tương thích với Google Authenticator, không app xác thực khác.
- Không có global settings. Phải setup 2FA thủ công cho từng user.
- Không có backup code. Mất điện thoại = phải xóa plugin thủ công qua FTP/SSH.
#5 Unloq Two Factor Authentication
Unloq 2FA là lựa chọn tốt khác.
Bạn có đầy đủ tùy chọn chuẩn 2FA. Có thể mời tất cả user setup 2FA từ dashboard trung tâm. Cũng có Push Notification xác thực thay vì OTP mỗi lần.
Hỗ trợ cả OTP thiết bị di động và email – tính năng hữu ích.
Điều kiện: Phải làm tất cả qua app Unloq mobile.
Không cool.
Tiếp Theo Là Gì?
Bây giờ bạn đã hiểu rõ WordPress 2FA là gì và cách cài đặt, đây là điều bạn cần làm tiếp:
Nhận ra rằng chỉ 2FA là chưa đủ.
Nghiêm túc: KHÔNG được chỉ dựa vào plugin 2FA và tưởng site an toàn.
Nó không an toàn.
Vậy làm sao?
Đơn giản – cài malware scanner giám sát site liên tục. Cài malware cleaner tin cậy để dọn site ngay lập tức ngay khi bị nhiễm.
Có, bạn cần firewall tốt bảo vệ trang đăng nhập.
Nhưng quan trọng nhất, bạn cần tăng cường biện pháp bảo mật bằng plugin hardening WordPress.
Điều hầu hết bạn không biết:
Hacker "ăn sống" sự vô tri của bạn. Hầu hết hack xảy ra chỉ vì user WordPress không dành thời gian hiểu mối đe hứng hàng ngày.
Vì vậy, hãy dành một phút đăng ký newsletter của chúng tôi. Trang bị kiến thức. Email của chúng tôi ngắn gọn, hay, luôn hữu ích.
Hoặc, bạn chỉ cần cài MalCare và ngủ ngon giấc hơn mỗi đêm.
Hẹn gặp lại!