Có hệ thống khó xâm nhập, nhưng thường thì website bị hack vì chúng dễ bị tổn thương và không có bảo mật cơ bản.
Trong bài viết này, chúng tôi sẽ nói về cách tăng cường (harden) trang WordPress của bạn.
Trước khi bắt đầu
Chúng tôi đã sắp xếp danh sách theo dễ dàng thực hiện, nên bạn có thể bắt đầu từ trên và làm xuống dần. Chúng tôi khuyên bạn bắt đầu bằng cài đặt MalCare, và dùng tùy chọn Site Hardening (Tăng cường trang web) ở đó. Đó là bước lớn đúng hướng, và sau đó bạn có thể quay lại đây cho các biện pháp khác.
Mẹo chuyên nghiệp: Chúng tôi luôn khuyên bạn sao lưu website trước khi thực hiện bất kỳ thay đổi nào, kể cả bảo mật. An toàn hơn là hối hận!
5 CÁCH DỄ DÀNG tăng cường bảo mật WordPress
Hãy bắt đầu danh sách với những quả mộc treo thấp. Làm xong các cài đặt cơ bản này, chúng ta sẽ cảm thấy tốt về tiến độ tăng cường WordPress.
Đặt mật khẩu mạnh
Mật khẩu có lẽ là quả mộc treo thấp nhất trong tất cả. Đó có lẽ là lý do chúng thường bị bỏ qua. Và đó là lý do chúng ở đầu danh sách cách tăng cường WordPress.
Mật khẩu khó nhớ, và đúng, một số thực hành tốt tốt là mệt mỏi: không trùng lặp mật khẩu; không mật khẩu dễ dàng; kết hợp chữ cái, số và ký hiệu; danh sách thực sự đáng sợ, đặc biệt khi bạn dừng lại đếm xem bạn dùng bao nhiêu dịch vụ.
Chúng tôi đồng cảm, và vì vậy gợi ý dùng trình quản lý mật khẩu, như LastPass. Dùng chuỗi tự động tạo số, chữ cái và ký hiệu để giữ tài khoản an toàn. Dù xác suất nhỏ, tấn công brute force hiện nay dùng tấn công từ điển để đoán mật khẩu.
Yêu cầu sử dụng mật khẩu mạnh
Tiếp tục chủ đề mật khẩu mạnh, đây cần là mục tiếp theo trong danh sách việc.
Khi bạn có nhiều người dùng quản lý website, bạn cần đảm bảo mọi người dùng duy trì mật khẩu mạnh và thay đổi thường xuyên. Điều này có thể dễ dàng trên quy mô nhỏ, nhưng khi đến đội ngũ lớn, tốt hơn là có phần mềm tự động hóa việc này.
WordPress mặc định sẽ cảnh báo nếu bạn chọn mật khẩu yếu:
Tuy nhiên, bạn có thể chọn ghi đè bằng cách tích 'confirm use of weak password'. Bằng cách đó, bạn đang để website dễ bị tấn công.
Để bắt người dùng cập nhật mật khẩu, trước đây có plugin như Expire passwords. Nó cho phép đặt số ngày tối đa trước khi mật khẩu hết hạn. Tuy nhiên, hầu hết các plugin này đã lâu không cập nhật, nên chúng tôi không khuyến khích dùng.
Triển khai quyền tối thiểu (Least Privilege)
Có 6 vai trò định sẵn trên WordPress: Super Admin, Administrator, Editor, Author, Contributor và Subscriber. Mỗi vai trò có bộ quyền riêng, và do đó có thể thực hiện một số nhiệm vụ. Các nhiệm vụ này gọi là capabilities (khả năng). Danh sách đầy đủ vai trò và capabilities ở đây.
Lưu ý: Đối với website đơn lẻ, vai trò administrator quyền lực nhất, còn multisite thì super admin.
Nếu bạn có một website, bạn chỉ cần số lượng administrator giới hạn. Thực tế, quy tắc chung là có càng ít administrator càng tốt, miễn là bạn quản lý được. Lý do đơn giản: bạn đang giảm rủi ro hacker đánh cắp thông tin admin.
Cài đặt SSL
SSL là cách truyền dữ liệu an toàn từ người dùng đến máy chủ, và ngược lại, qua kết nối được mã hóa.
Ngoài việc là thực hành bảo mật tốt, Google yêu cầu website có SSL. Nó phạt website bằng cách hiển thị "Not secure" trong trình duyệt, thay vì ổ khóa xanh dễ chịu cho thấy website chạy trên HTTPS thay vì HTTP.
Trước đây cài SSL khá phức tạp, nhưng không còn nữa. Chúng tôi có hướng dẫn hoàn chỉnh cài SSL, và hướng dẫn khác đảm bảo tất cả trang đều là HTTPS.
Thiết lập plugin bảo mật WordPress
Tất cả các mục trong danh sách đến đây là những bổ sung thủ công bạn làm cho website. Yên tâm, đó là những cái dễ không đòi hỏi quá nhiều cấu hình, hoặc cài plugin.
Phần còn lại của danh sách không đơn giản như vậy. Nhiều biện pháp nằm trong tính năng Site Hardening của MalCare.
Bạn sẽ tiết kiệm đáng kể thời gian bằng cách cài plugin và dùng bảng điều khiển để thiết lập các biện pháp. Hãy thử ngay.
6 BIỆN PHÁP TRUNG BÌNH tăng cường WordPress
Mỗi biện pháp tăng cường WordPress trong phần này liên quan đến cài đặt plugin. Chúng tôi không khuyến khích cài plugin nhẹ nhõm, vì chúng thường chứa lỗ hổng, và trở thành điểm vào nhiễm trùng. Hãy dùng thẩm quyền khi chọn plugin cho các biện pháp bảo mật sau.
Xác thực hai yếu tố (2FA)
Một trong những cách phổ biến nhất hacker xâm nhập website là qua trang đăng nhập. Chúng dùng kỹ thuật gọi là tấn công brute force, dùng bot đoán thông tin đăng nhập. Cách khác hacker có thể xâm nhập là nếu dữ liệu của bạn bị rò rỉ từ website khác. Hacker biết nhiều người dùng cùng tên người dùng và mật khẩu cho nhiều tài khoản trên internet, và do đó, việc đoán trở nên dễ dàng hơn!
Để bảo vệ mình, bạn có thể thêm xác thực hai yếu tố cho mọi người dùng – dù họ là Super Admin, Administrator, Editor, Author, Contributor, hay Subscriber.
Nhiều website, Gmail ví dụ, cho người dùng tùy chọn xác thực 2 bước để đăng nhập. Điều này yêu cầu người dùng cung cấp thông tin đăng nhập trước, sau đó nhập mật khẩu tạo real-time (thường là mật khẩu một lần gửi đến số điện thoại đã đăng ký). Điều này làm tài khoản khó bị hacker bẻ khóa, hoặc họ truy cập bảng điều khiển WordPress.
Giới hạn lần đăng nhập
Có lý do tại sao website, đặc biệt ngân hàng, chỉ cho người dùng 3 lần để nhập đúng tên người dùng và mật khẩu. Sau đó, bạn được tùy chọn 'Quên mật khẩu' hoặc thậm chí bị khóa tài khoản. Hình dưới là ví dụ cảnh báo tạo ra và hiển thị trên màn hình đăng nhập khi người dùng thử đăng nhập với thông tin sai.
Điều này về cơ bản để loại bỏ tấn công brute force và giảm thành công của hacker và kẻ gian.
Mặc định, WordPress cho phép số lần đăng nhập không giới hạn. Bật giới hạn lần đăng nhập tăng cường bảo mật và đảm bảo hacker không thể thử hàng nghìn tổ hợp để xâm nhập. Có ba cách giới hạn lần đăng nhập:
- Cài plugin như Limit Login Attempts Reloaded.
- Nếu bạn đã cài plugin bảo mật MalCare, bạn tự động có bảo vệ giới hạn lần đăng nhập thất bại. Plugin triển khai bảo vệ dựa trên captcha ngăn bot xấu truy cập trang.
- Chèn mã thủ công vào file functions.php. Bạn cần thêm action và hook filter WordPress với hàm callback tương ứng. Phương pháp này kỹ thuật và rủi ro. Nếu bạn không rành code, tốt nhất không thử.
Bạn sẽ tìm thấy mã cho tùy chọn 3 và giải thích chi tiết hơn trong bài viết về giới hạn lần đăng nhập.
Giữ nhật ký kiểm toán (Audit Log)
Điều này có thể không phải biện pháp tăng cường WordPress theo nghĩa hẹp, nhưng là biện pháp bảo mật bắt buộc.
Chỉ cần cài plugin như WP Security Audit Log sẽ theo dõi mọi thứ xảy ra trên website. Và như vậy, bạn sẽ biết chính xác người dùng đang làm gì và khi nào. Bạn có thể giám sát điều gì đang xảy ra và yêu cầu người dùng chịu trách nhiệm cho hành động của họ.
Plugin sẽ theo dõi mọi thứ – đăng nhập, đăng xuất, thay đổi, tạo, sửa, xóa, thêm, cập nhật, v.v. Nếu bị hack, bạn có thể tham khảo nhật ký hoạt động để xác định hoạt động đáng ngờ hoặc thay đổi.
Bạn có thể nhận thông báo tức thì nếu có thay đổi quan trọng trên website. Bạn cũng có thể đăng xuất hoặc chặn bất kỳ người dùng nào chỉ với một cú nhấp chuột.
Tự động đăng xuất người dùng không hoạt động
Tính năng này chủ yếu thấy ở website và app ngân hàng đăng xuất bạn sau một khoảng thời gian không hoạt động. Điều này để bảo vệ tài khoản khỏi truy cập trái phép.
Để thiết lập, bạn có thể dùng plugin có tính năng đăng xuất phiên rảnh (idle session logout).
Thiết lập cảnh báo đăng nhập WordPress đáng ngờ
Hacker liên tục tìm cách bỏ qua tính năng bảo mật, và do đó chúng ta phải cảnh giác. Khuyên thiết lập cảnh báo trên website để được thông báo bất kỳ hoạt động đáng ngờ nào khi nó xảy ra.
Để làm điều này, bạn cần dùng plugin bảo mật như MalCare. Nó liên tục quét trang web và cảnh báo nếu phát hiện mã độc hoặc bất cứ điều gì đáng ngờ.
Thiết lập tường lửa ứng dụng web (WAF)
Tường lửa ứng dụng web sẽ chặn hacker ngay trước khi họ truy cập website. Chúng làm điều này bằng cách theo dõi địa chỉ IP – định danh số gán cho mọi thiết bị kết nối internet.
Nếu IP đã thực hiện hoạt động độc hại trước, chúng sẽ bị đánh dấu và chặn khỏi trang web của bạn.
Thiết lập tường lửa bằng plugin bảo mật, và yên tâm bạn có bảo vệ tốt nhất cho website.
7 PHƯƠNG PHÁP PHỨC TẠP tăng cường WordPress
Bây giờ đến phần thực sự "khó nhằn" để tăng cường WordPress. Các biện pháp sau cần kinh nghiệm code hoặc phát triển, nếu không lỗi có thể gây sập và hỏng trang web.
Hãy tiến hành các phương pháp tăng cường này với sự thận trọng, và nếu bạn chưa làm, hãy sao lưu website.
Chặn thực thi PHP trong thư mục không tin cậy
Đây hơi kỹ thuật nhưng hãy đơn giản hóa tối đa.
Trước hết, bạn cần biết PHP là ngôn ngữ script dùng trong phát triển web. Hàm PHP là khối code viết trong chương trình có thể thực thi để thực hiện nhiệm vụ. Tiếp theo, website WP của bạn gồm file và thư mục. Tuy nhiên, chỉ một số file và thư mục dùng hàm PHP. Khi hacker获得访问权限，他们可以创建自己的文件夹，或将PHP函数插入现有文件夹。
Để ngăn chặn hack như vậy, bạn có thể chặn thực thi hàm PHP từ bất kỳ thư mục nào không xác định. Và bạn cũng có thể vô hiệu hóa thực thi PHP nơi nó không cần thiết.
Làm theo các bước:
1. Truy cập file website qua cPanel > File Manager. Nếu không có cPanel, dùng FTP client như FileZilla. Bạn cần thông tin FTP để truy cập file.
2. Đi đến public_html và bạn sẽ thấy ba thư mục wp-includes, wp-admin, và wp-content:
3. Tìm file .htaccess. Nếu không tồn tại, tạo bằng cách mở trình soạn thảo như Notepad và lưu thành .htaccess.
4. Dán mã sau vào file .htaccess:
<Files *.php>
deny from all
</Files>5. Nếu tạo file mới, tải lên hai thư mục: wp-includes và wp-content/uploads
Điều này sẽ thay đổi quyền file và ngăn bất kỳ file PHP nào chạy trong thư mục này. Nếu quá kỹ thuật, plugin bảo mật như MalCare tự động hóa giúp bạn.
Vô hiệu hóa trình soạn thảo file (File Editor)
Nếu hacker获得WordPress Administrator账户访问权限，他们可以完全控制您的网站。从仪表板，他们可以通过"编辑器"选项编辑主题和插件的代码。他们还可以上传自己的脚本来显示内容、破坏您的网站、垃圾邮件用户等。通过这些编辑器发生的最常见攻击包括SQL注入、SEO垃圾邮件攻击和日式SEO垃圾邮件。
Để tìm trình soạn thảo, đi đến Appearance > Editor. Và Plugins > Plugin Editor như sau:
Để vô hiệu hóa trình soạn thảo, bạn cần truy cập file wp-config. Cách tương tự truy cập file website dùng File Manager hoặc FTP cũng dùng ở đây.
Phần tiếp theo đòi hỏi kiến thức code kỹ thuật và đi kèm rủi ro làm hỏng trang web nếu không đúng. Nếu bạn không biết đang làm gì, tốt nhất không thử dù nó trông dễ. Chúng tôi khuyên dùng tính năng 'Disable file editor' trong MalCare.
Nếu bạn muốn tiếp tục thủ công, chúng tôi chi tiết các bước:
1. Trong File Manager, tìm file wp-config và chuột phải lấy tùy chọn Edit.
2. Ở đây, bạn sẽ thấy thêm thông tin và chọn Disable Encoding Check. Sau đó Edit.
3. Mở file wp-config và bạn băn khoăn làm gì tiếp! Đừng stress. Cuộn xuống tìm dòng:
/* That's all, stop editing! Happy publishing. */4. Trên dòng này, dán mã sau:
define( 'DISALLOW_FILE_EDIT', true );
5. Lưu thay đổi và đóng trình soạn thảo.
6. Quay lại bảng điều khiển và bạn sẽ thấy không còn tùy chọn editor.
Lưu ý: Nếu không có cPanel, bạn có thể tải wp-config qua FTP. Mở trong trình soạn thảo bất kỳ và thêm dòng code. Tải lên lại website theo cách bạn tải xuống. Bạn có thể ghi đè file cũ.
Thay đổi khóa bảo mật (Security Keys)
Để đăng nhập dễ dàng, WordPress lưu thông tin xác thực để bạn không phải nhập mỗi lần đăng nhập. Nhưng quan trọng là nó lưu dưới dạng mã hóa.
Nếu dữ liệu lưu dưới dạng văn bản thuần túy, khi hacker lấy được dữ liệu, họ chỉ cần đọc. Nếu dữ liệu được mã hóa, nó trông như văn bản ngẫu nhiên không thể dùng.
Để mã hóa dữ liệu, WordPress dùng khóa bảo mật (security keys) và salt. Nói đơn giản, key là biến ngẫu nhiên mã hóa tên admin và mật khẩu, salt giúp cải thiện mã hóa thêm một bước.
Nếu hacker lấy được khóa bảo mật và salt, họ có thể giải mã dữ liệu và hack vào tài khoản.
Khuyến khích thay thế key và salt cũ theo thời gian. Để lấy bộ key và salt mới, dùng liên kết: Secret Key. Bạn sẽ thấy trang như sau:
Dùng phương pháp trên, truy cập file và copy-dán giá trị được tạo vào file wp-config, ở đây:
Ở đây cũng vậy, vì cần thay đổi code, chúng tôi cảnh báo chủ website WordPress không thử nếu không rành kỹ thuật. Tốt nhất dùng plugin bảo mật xử lý giúp bạn.
Ngăn cài đặt plugin
Có lúc người dùng hoặc khách hàng cài plugin mà không kiểm tra tương thích hoặc uy tín kỹ như bạn. Điều này dẫn đến nhiều vấn đề, nên tốt nhất loại bỏ khả năng họ làm vậy hoàn toàn.
Bạn có thể vô hiệu hóa cập nhật và cài đặt plugin/theme theo hai cách:
Thêm dòng code vào file wp_config.php
Làm theo phương pháp phần trước, thêm dòng sau:
define('DISALLOW_FILE_MODS',true);Lưu ý: Hãy nhớ rằng để cập nhật theme và plugin, và cài mới, bạn sẽ cần quay lại xóa dòng code này.
Dùng plugin bảo mật
Cách dễ nhất bật/tắt chức năng này là dùng plugin. Nếu dùng MalCare, bạn chỉ cần nhấp nút để bật và tắt sau.
Đây là biện pháp cực đoan nhưng cần thiết khi bạn có nhiều người xử lý trang web; hoặc khi bạn muốn giới hạn khách hàng cài plugin không cần thiết.
Bảo mật file wp-config.php
Một trong những file quan trọng hơn trong cài đặt WordPress, wp-config.php là mục tiêu chính cho hacker. Ngoài chứa thông tin truy cập cơ sở dữ liệu, wp-config chịu trách nhiệm làm cho website WordPress hoạt động.
Bạn có thể làm hai điều ở đây, ngoài vô hiệu hóa chỉnh sửa file: thay đổi khóa bảo mật và ngăn cài đặt plugin.
Ẩn wp-config.php
Đầu tiên là di chuyển file wp-config.php lên một cấp. Đây không phải biện pháp an toàn, mà để làm cho mã độc khó tìm file hơn. Di chuyển file không làm nó không thể xâm nhập, nên hãy đặt kỳ vọng cho phù hợp.
Lưu ý: Không có sự đồng thuận среди开发者关于是否移动文件是个好主意。在某些情况下，例如Contact Form 7漏洞，此措施可能完全无效。然而，我们倾向于让它尽可能难以被黑客攻击。
Từ chối truy cập wp-config.php
Từ chối truy cập là biện pháp cụ thể hơn, và nếu bạn làm điều này, bạn không cần di chuyển file. Đi đến file .htaccess và thêm mã sau, ngay ở đầu:
<files wp-config.php>
order allow,deny
deny from all
</files>Có vài điều bạn có thể làm để bảo vệ file wp-config.php. Bài viết này có danh sách kiểm tra tất cả chúng bạn có thể làm trong một phiên.
Tách cơ sở dữ liệu (Separating databases)
Nếu bạn chạy nhiều website với cài đặt WordPress riêng biệt, khôn ngoan giữ cơ sở dữ liệu riêng biệt, lưu ở vị trí khác nhau. Do đó nếu hacker获得访问一个网站，您的其他网站将保持不受损害——至少在理论上，因为很大程度上取决于其他网站本身的安全性。
Mặc dù điều này tốt nhất thực hiện khi cài đặt, nhưng có thể làm sau và đáng giá. Tuy nhiên, điều này yêu cầu quen thuộc với MySQL và cấu hình của nó.
Bảo mật wp-admin
Để đưa bảo mật đăng nhập lên cấp độ tiếp theo – điều bạn hoàn toàn nên làm – bạn có thể buộc đăng nhập truyền qua SSL. Đảm bảo bạn đã cài SSL và giải quyết vấn đề mixed content.
Sau đó điều hướng đến file wp-config.php bạn đã quen, và thêm mã:
define('FORCE_SSL_ADMIN', true);Chúng tôi biết đây là bước siêu đơn giản, nhưng có lý do nó ở phần phức tạp. Plugin không luôn chơi tốt với SSL, và đôi khi SSL cấu hình đặc biệt. Để giải thích đầy đủ cách hoạt động và cần chú ý gì, xem bài viết này.
Sử dụng plugin bảo mật WordPress
Để làm phần lớn điều chúng tôi đề xuất dễ dàng và nhanh, cài đặt MalCare.
Plugin bảo mật WordPress tốt kết hợp các biện pháp tăng cường bạn cần triển khai trên website, cùng với tường lửa ứng dụng web, bảo vệ bot và trình quét. Vì vậy, bạn không phải lo lắng mất nhiều thời gian tìm hiểu khía cạnh kỹ thuật.
Tuy nhiên, không phải plugin nào cũng cung cấp cùng sự tiện lợi và lợi ích. Có khá nhiều plugin, nhưng chúng tôi khuyên MalCare đơn giản vì nó hoàn thành việc nhanh và dễ chỉ trong vài cú nhấp chuột.
Khi bạn cài plugin, website đã được bảo mật. Cách hoạt động:
- Quét website thường xuyên và kiểm tra hoạt động đáng ngờ
- Tường lửa chủ động chặn lưu lượng độc hại truy cập trang
- Thông báo real-time cho mã có trên website
- Dọn dẹp mã độc 1-click
Ngoài các tính năng đó, có các mức độ tăng cường website khác bạn có thể triển khai. Các biện pháp này tùy chọn vì không phải chủ website nào cũng muốn thực hiện. Bạn chọn theo nhu cầu.
Ba mức độ tăng cường website bạn có thể triển khai:
Essentials (Cơ bản)
Cho phép chặn thực thi PHP trong thư mục không tin cậy. Cũng vô hiệu hóa chỉnh sửa file. Như thảo luận, đây là bước bạn hoàn toàn nên làm.
Dưới tình huống bình thường, bạn không thực sự can thiệp vào file và thư mục WordPress. Bạn chỉ vận hành website từ bảng điều khiển wp-admin. Bạn cũng không cần chỉnh sửa bất cứ thứ gì trong trình soạn thảo file theme và plugin. Vô hiệu hóa chúng đóng một số cửa hacker dùng để tấn công.
Advanced (Nâng cao)
Bạn có thể chặn cài đặt plugin và theme, nghĩa là không ai có thể cài mới trên website. Biện pháp này hơi cực đoan và chỉ nên lấy khi nghi ngờ hack hoặc quá nhiều người làm việc trên website. Nếu muốn cài plugin/theme mới, bạn cần vô hiệu hóa từ bảng điều khiển MalCare.
Paranoid (Bảo thủ cực đoan)
Ở đây, bạn có thể thay đổi khóa bảo mật và đặt lại mật khẩu cho tất cả người dùng. Thường website WordPress được vận hành bởi đội nhóm, mỗi người có đăng nhập riêng. Điều này tăng cơ hội hacker đoán thông tin xác thực và truy cập trang.
Quan trọng thay đổi tất cả khóa bảo mật và mật khẩu định kỳ. Nếu đội lớn, điều này giúp tự động hóa quy trình và nhanh hơn.
Nếu bạn đang khôi phục sau hack, đây là bước thiết yếu để đảm bảo không bị hack lại.
Ngoài ra, bạn hưởng các tính năng bảo mật WordPress sau:
- Giới hạn lần đăng nhập
- Đăng nhập dựa trên CAPTCHA
- Cảnh báo truy cập trái phép
- Nhật ký hoạt động hiển thị sửa đổi/cập nhật file trên trang
- Phân tích mọi yêu cầu IP để bảo vệ khỏi hack như brute force
- Ngăn chặn các mối đe dọa WordPress phổ biến như SQL injection, SEO spam, website bị dùng trong tấn công DDOS
Plugin bảo mật WordPress đầy đủ tính năng lớn hơn tổng các phần của nó. Dù các biện pháp này hiệu quả bảo vệ chống mối đe dọa riêng lẻ, khi dùng cùng nhau, chúng dựng rào cản mạnh mẽ chống hoạt động độc hại. Cài MalCare ngay, và yên tâm bạn đã làm tối đa bảo vệ website.
Điểm thưởng thêm
Các mẹo sau không thuộc danh mục tăng cường WordPress, nhưng vẫn là thực hành tốt cho quản trị viên website quan tâm bảo mật. Chúng tôi mạnh mẽ khuyên thực hiện các biện pháp này, sau khi xong danh sách trên.
Sao lưu website
Mục chắc chắn không hấp dẫn: sao lưu. Chúng tôi biết; chúng tôi phát triển plugin sao lưu tốt nhất cho WordPress.
Tầm quan trọng của bản sao lưu tốt được minh họa bằng kịch bản xấu. Tưởng tượng bạn dành tháng năm xây dựng website. Có khách hàng, nội dung hấp dẫn, tạo doanh thu từ quảng cáo, và có uy tín. Và bùm, một ngày đó biến mất. Có thể do nhiễm mã độc hoặc lỗi máy chủ với nhà cung cấp hosting; bất kỳ một trong triệu lý do. Tưởng tượng. Bạn sẵn sàng trả gì để có bản sao lưu lúc đó?
Sao lưu là sống còn. Đó chỉ là sự здрав tư.
Giữ máy tính sạch mã độc
Đôi khi những điều hiển nhiên làm chúng ta vấp ngã. Bất kỳ máy tính bạn dùng – hoặc WiFi – đều ảnh hưởng đến bảo mật website. Không có ý nghĩa tăng cường WordPress, nếu máy tính có keylogger; bạn đã trao thông tin đăng nhập cho hacker.
Luôn cập nhật mọi thứ
Ngoài WordPress, quan trọng giữ theme và plugin cập nhật. Lỗ hổng được phát hiện mỗi ngày, và nhà phát triển plugin phát hành bản vá giải quyết lỗ hổng.
Nếu bạn không dùng plugin hoặc theme, hãy xóa. Bạn luôn có thể cài lại sau nếu cần.
Bên cạnh đó, đây là lý do cốt lõi mua plugin. Plugin trả phí thường được bảo trì tích cực và có kênh hỗ trợ cho vấn đề bạn gặp. Ở MalCare, chúng tôi dùng kinh nghiệm website bị hack để cải thiện plugin bảo mật mỗi ngày. Plugin được bảo trì tích cực là đầu tư vào bảo mật.
Dùng SFTP
Nếu bạn dùng FTP truyền file lên máy chủ, cân nhắc chuyển sang SFTP. Nó hoạt động tương tự để truyền file, ngoại trừ dùng SSH. Dữ liệu truyền đi được mã hóa và không đọc được khi truyền. Ngoài ra, SFTP dùng xác thực cho cả người dùng và máy chủ.
SFTP đang trở thành tiêu chuẩn mới, thay thế FTP. Cấu hình thực tế giống nhau, nên không có lý do tốt tiếp tục dùng giao thức cũ.
Dùng nhà cung cấp hosting uy tín
Hầu hết bài viết bảo mật (như bài này) tập trung vào điều bạn, jako quản trị viên website, có thể làm để bảo mật trang web. Được, bạn có thể làm nhiều, và hầu hết lỗ hổng do ứng dụng cài đặt mang lại. Tuy nhiên, không có nghĩa máy chủ không bị tổn thương.
Bạn ít làm được nếu nhà cung cấp hosting không làm phần của họ bảo vệ máy chủ. Máy chủ cũng dễ bị tấn công, không chỉ loại kỹ thuật số. Máy chủ có ở vị trí vật lý an toàn không? Hacker có thể vào phòng và đánh cắp dữ liệu cách đó không? Đây là cân nhắc quan trọng, nhưng quản trị viên website có kiểm soát hạn chế.
Vậy bạn có thể làm gì? Chọn nhà cung cấp hosting uy tín. Nhà cung cấp tốt minh bạch về thực hành, và bao gồm biện pháp cụ thể họ thực hiện bảo vệ máy chủ khỏi tấn công. Đây không phải nơi cắt giảm chi phí, vì hosting rẻ có thể quyết định tốn kém trong dài hạn.
Kết luận
Chúng tôi không thể nhấn mạnh đủ tầm quan trọng cài plugin bảo mật WordPress.
Gỡ mã độc là quá trình đau đớn và khó khăn, dễ sai lầm và lỗi tốn kém. Chỉ chuyên gia nên thực hiện, và đó có thể là đề xuất đắt đỏ. Thêm vào đó, bạn đã mất dữ liệu, lưu lượng, uy tín và nhiều hơn lúc đó.
Vì vậy, hãy tiếp cận chủ động về bảo mật, và cài plugin bảo mật WordPress tốt. Sau đó quay lại bài này và thực hiện biện pháp tăng cường, và cuối cùng kiểm toán website để kiểm tra lỗi tăng cường WordPress thường gặp.
Tương lai của bạn sẽ cảm ơn bạn vì sự tiền 见之明.
Câu hỏi thường gặp
Tăng cường WordPress (WordPress hardening) là gì?
Tăng cường WordPress là thuật ngữ bao trùm mô tả cài đặt và cấu hình tăng cường bảo mật website. Các kỹ thuật này bao phủ toàn bộ tài sản website và củng cố các điểm vào yếu đã biết, để giảm rủi ro nhiễm trùng.
Tại sao tôi nên tăng cường WordPress?
Nếu bạn quan tâm bảo mật website, và mở rộng ra an toàn dữ liệu người truy cập, đó là lý do bạn nên tăng cường WordPress. Đây là biện pháp đơn giản giải quyết lỗ hổng và giảm rủi ro nhiễm mã độc.
Nhớ rằng gỡ mã độc khó khăn hơn nhiều so với ngăn chặn nhiễm trùng từ đầu.
Tăng cường WordPress có khó không?
Có biện pháp tăng cường WordPress đơn giản qua bảng điều khiển. Những cái không khó. Có cái phức tạp hơn, nhưng cài plugin bảo mật WordPress sẽ giúp giảm bớt phức tạp đó. Và thật là: cài plugin không khó chút nào.
Tôi có cần tăng cường WordPress nếu đã có plugin bảo mật?
Có, vì dù plugin bảo mật WordPress tốt bao gồm khá nhiều biện pháp tăng cường quan trọng, chúng không thể thực hiện tất cả. Điều này đơn giản vì chọn mật khẩu mạnh hoặc triển khai giao thức xác thực mạnh nằm ngoài phạm vi plugin bảo mật.