Một số vụ hack xảy ra do những lý do hoàn toàn có thể phòng tránh được:cập nhật không kịp thời, mật khẩu không an toàn, v.v.
Làm sao chúng ta biết được điều này? Chúng tôi đã giúp hơn 25000 trang web bị tấn công và có kinh nghiệm đáng kể về bảo mật trang web .
Trong hướng dẫn cơ bản về bảo mật trang web này, chúng tôi sẽ chỉ cho bạn cách bảo mật trang web :
- Ngay cả khi… bạn chưa quen với bảo mật trang web và bạn chưa hiểu hết điều đó có nghĩa là gì;
- Ngay cả khi… bạn đã thử và không thành công trong việc bảo mật trang web của mình trước đây;
- Ngay cả khi… bạn bị choáng ngợp và không biết bắt đầu từ đâu;
- Ngay cả khi… bạn đã nghĩ, “Tôi không phải là đối thủ của tin tặc - vậy tại sao lại phải thử?”
Nhưng quan trọng hơn, chúng ta sẽ nói về cách nghĩ về bảo mật trang web ngay từ đầu. Bằng cách này, bạn được trang bị để đưa ra quyết định đúng đắn cho trang web của mình.
TL; DR: Cách dễ nhất để bảo mật trang web của bạn là cài đặt một plugin bảo mật. Nó hoàn hảo cho những người không có thời gian tham gia vào bảo mật trang web. Chỉ cần đặt và quên plugin. Nhưng nếu bạn có đủ khả năng về thời gian và băng thông, chúng tôi mong bạn đọc và thực hiện các biện pháp này.
Bảo mật trang web là gì?
Mặc dù thật tuyệt khi bạn đang thực hiện các bước để bảo mật trang web của mình, nhưng điều quan trọng là phải nhận ra rằng bảo mật trang web là một quá trình liên tục. Tin tặc rất nhiều sáng tạo, do đó các mối đe dọa liên tục phát triển.
Bạn sẽ thấy trong bài viết dưới đây rằng một plugin bảo mật tốt sẽ thực hiện hầu hết các công việc nặng nề về phần mềm độc hại, nhưng thận trọng và cảnh giác là điều cần thiết để bảo mật trang web.
Làm cách nào để bảo mật một trang web khỏi tin tặc? (Các bước có thể hành động)
Để có một kế hoạch có thể hành động để bảo mật trang web của bạn, bước đầu tiên là hiểu cách các trang web bị tấn công. Theo nghiên cứu của chúng tôi, các trang web chủ yếu bị tấn công thông qua 3 phương pháp sau:
- 90 +% → Lỗ hổng trong plugin hoặc chủ đề
- 5 +% → Tên người dùng và / hoặc mật khẩu bị xâm phạm
- <1% → Dịch vụ lưu trữ web kém
Sự phân bổ này phải tạo cơ sở cho cách bạn lập kế hoạch bảo mật trang web của mình và phân bổ thời gian và nguồn lực ở đâu.
1. Bảo vệ trang web của bạn khỏi các lỗ hổng
Tin tặc luôn theo dõi các trang web dễ bị tấn công. Không quan trọng là trang web lớn hay nhỏ. Họ có rất nhiều thứ để kiếm được bằng cách hack bất kỳ trang web nào. Theo kinh nghiệm của chúng tôi, hơn 90% tất cả các vụ tấn công xảy ra do tin tặc đã xác định được lỗ hổng và khai thác nó.
Hãy cùng tìm hiểu sâu hơn một chút về lỗ hổng bảo mật là gì. Đây là điều quan trọng cần hiểu, để bạn có thể định hình chiến lược bảo mật trang web của mình một cách cẩn thận trong tương lai.
Lỗ hổng chính xác là gì?
Trang web của bạn được tạo thành từ 3 thành phần chính:WordPress, plugin và chủ đề. Về cơ bản đây đều là phần mềm, và giống như bất kỳ phần mềm nào, chúng có chứa các lỗi khiến chúng đôi khi hoạt động sai.
Lỗi có thể gây ra nhiều hậu quả khác nhau:một số sẽ khiến trang web của bạn chạy chậm lại hoặc gây ra lỗi khi ai đó truy cập. Những điều này gây khó chịu và có vấn đề, nhưng những vấn đề nghiêm trọng hơn cho phép người dùng trái phép (tức là tin tặc) truy cập vào trang web của bạn. Loại lỗi này được gọi là lỗ hổng.
Các loại lỗ hổng
Các lỗ hổng có thể được tóm tắt, như chúng ta đã làm trong đoạn trước, là lỗi trong mã. Tuy nhiên, có một số loại cụ thể thường xuất hiện nhiều hơn các loại khác:
- Phần mềm lỗi thời:Điều quan trọng là phải cập nhật phần lõi, plugin và chủ đề.
- Quản lý vai trò người dùng kém:Không cấp cho mọi người dùng quyền truy cập đầy đủ vào quản trị viên.
- Đầu vào chưa được vệ sinh:Các trường nhập cần kiểm tra đầu vào trước khi lưu trữ và / hoặc thực thi.
Có thể bị tấn công trên một trang web không an toàn
Các lỗ hổng được gắn chặt với các loại tấn công mà chúng cho phép, và thường được nói thay thế cho nhau. Các cuộc tấn công phổ biến nhất mà WordPress gặp phải là:
- Chèn mã:nơi mã độc được chèn qua các trường đầu vào và được mã trang web hoặc cơ sở dữ liệu thực thi. Một biến thể thường thấy của việc chèn mã trong SQL injection, đặc biệt nghiêm trọng đối với các ứng dụng hướng cơ sở dữ liệu như WordPress
- Tấn công tập lệnh trên nhiều trang web:Loại lỗ hổng này đánh cắp cookie của người dùng để mạo danh họ hoặc thậm chí chiếm quyền điều khiển phiên. Quyền truy cập của người dùng được nhắm mục tiêu sau đó sẽ được sử dụng để tấn công trang web của bạn
- Các cuộc tấn công bạo lực:Như tên của nó, không có sự khéo léo trong kiểu tấn công này. Tin tặc tấn công trang đăng nhập của bạn bằng các tổ hợp tên người dùng và mật khẩu nhằm tìm cách tìm ra đúng.
- Thư rác SEO:Tất cả thư rác đều nghiêm trọng, nhưng cuộc tấn công này tấn công vào nơi nó làm tổn hại trang web nhiều nhất:SEO. Chủ sở hữu trang web dành các nguồn lực để làm việc cho SEO của họ, chỉ để tin tặc lợi dụng quá mức bằng cách chèn cửa sổ bật lên và liên kết đến các mặt hàng bất hợp pháp hoặc thị trường xám. Các cuộc tấn công spam SEO cũng rất khó phát hiện, và thường các trang web sẽ trải qua những tác động bất lợi của spam trước khi nhận ra chúng bị nhiễm ngay từ đầu.
- Các cuộc tấn công lừa đảo:Trong các cuộc tấn công này, tin tặc cố gắng mạo danh một thực thể hợp pháp để lừa người dùng sẵn sàng từ bỏ thông tin của họ. Lừa đảo hoạt động song song qua email và trang web bị tấn công để lấy những thông tin đăng nhập này.
Ảnh hưởng của lỗ hổng bảo mật là gì?
Các plugin và chủ đề được cài đặt trên hàng nghìn trang web, do đó ảnh hưởng của một lỗ hổng này sẽ bị khuếch đại rất nhiều.
Các nhà phát triển chủ đề và plugin có trách nhiệm cố gắng bịt các lỗ hổng bảo mật này trong sản phẩm của họ bằng cách phát hành các bản cập nhật. Đây thực sự là một lý do chính tại sao chúng tôi khuyên bạn nên chọn các plugin cao cấp bất cứ khi nào có thể. Bảo trì phần mềm thường xuyên không thể được chú trọng đầy đủ trong một chiến lược bảo mật trang web.
Tuyệt vời, vì vậy lỗi đã được vá. Bây giờ chúng ta an toàn, phải không? Chà, không hoàn toàn. Việc phát hiện ra lỗ hổng bảo mật là thời điểm nguy hiểm cho chủ sở hữu trang web.
Điều gì sẽ xảy ra khi một lỗ hổng bảo mật được phát hiện?
Các lỗ hổng thường được phát hiện bởi các nhà nghiên cứu bảo mật. Họ tiết lộ những phát hiện của họ cho nhà phát triển plugin hoặc chủ đề. Như chúng tôi đã nói trong phần trước, các nhà phát triển có trách nhiệm sẽ chạy đua để khắc phục sự cố và phát hành bản cập nhật.
Khi lỗ hổng được khắc phục, nhà nghiên cứu bảo mật sẽ công bố những phát hiện của họ. Nhà phát triển đã phát hành một bản sửa lỗi, vì vậy các trang web được an toàn, phải không?
Không hoàn toàn.
Tin tặc cũng đọc về lỗ hổng bảo mật và tìm kiếm các trang web chưa cập nhật phiên bản của chúng. Các lỗ hổng công khai có xu hướng thu hút những tin tặc mới làm quen (còn được gọi là những kẻ lừa đảo tập lệnh) bởi vì giờ đây chúng có thể khai thác các trang web mà không cần nỗ lực. Họ biết chính xác mục tiêu ở đâu.
Những gì bạn cần làm để bảo mật trang web chống lại các lỗ hổng
Bây giờ chúng ta nói về các bước cụ thể mà bạn có thể thực hiện để đảm bảo an ninh trang web và bảo vệ trang web khỏi tin tặc. Các bước này có vẻ đơn giản, tuy nhiên chúng là những cách hiệu quả để giữ an toàn cho trang web của bạn.
1. Sao lưu
Sao lưu là phần được đánh giá thấp nhất trong chiến lược bảo mật. Chúng tôi không thể nhấn mạnh đủ tầm quan trọng của việc sao lưu thường xuyên. Họ là mạng lưới an toàn của bạn, là thứ duy nhất bạn có thể dựa vào khi mọi thứ đi xuống phía nam. Sao lưu giúp bạn trở lại nhanh chóng.
Tuy nhiên, không phải tất cả các plugin sao lưu đều được xây dựng như nhau. Nhiều thất bại khi bạn cần chúng nhất:tại thời điểm phục hồi. Có một số yếu tố để chọn đúng plugin. Luôn ghi nhớ những tiêu chí này, chúng tôi đã xem xét các plugin sao lưu WordPress hàng đầu hiện có.
2. Luôn cập nhật các plugin và chủ đề
Điều này nghe có vẻ rất rõ ràng, đặc biệt nếu bạn đọc phần trước về mức độ quan trọng của các bản cập nhật. Tuy nhiên, bạn rất dễ bỏ qua thông báo màu đỏ trên bảng điều khiển để ủng hộ việc làm gấp hơn.
Do đó, chúng tôi sẽ nhắc lại. Các nhà phát triển chủ đề và plugin phát hành bản cập nhật với các bản sửa lỗi bảo mật. Ngay cả khi bạn chọn ngừng cài đặt các bản cập nhật (nhưng vui lòng không), ít nhất hãy làm như vậy sau khi xem qua các ghi chú phát hành.
3. Chọn các plugin và chủ đề chất lượng tốt
Đến thời điểm này, chúng tôi đã minh họa rõ ràng cách các plugin và chủ đề trung tâm đối với trang web của bạn. Mặc dù không có khả năng có một phần mềm hoàn toàn tuyệt vời, nhưng có những yếu tố chính cần lưu ý khi chọn các plugin và chủ đề phù hợp cho trang web của bạn:
- Plugin có được cập nhật thường xuyên không :Một plugin hoặc chủ đề được nhà phát triển duy trì nhất quán có khả năng nhận được bản vá bảo mật nếu phát hiện ra lỗ hổng bảo mật.
- Plugin có phổ biến không :Đây là một con dao hai lưỡi. Một plugin phổ biến với hàng triệu lượt cài đặt sẽ là mục tiêu của tin tặc. Nhưng các plugin này cũng có xu hướng an toàn hơn vì có nhiều người theo dõi chúng hơn.
- Đây có phải là một plugin cao cấp không :Các plugin trả phí hỗ trợ công việc của các nhà phát triển và do đó ít có khả năng bị bỏ rơi hơn so với plugin miễn phí. Điều đó không có nghĩa là phần mềm nguồn mở không bao giờ an toàn, tuy nhiên với một sản phẩm cao cấp, bạn đang trả tiền cho dịch vụ hỗ trợ khách hàng và chất lượng sản phẩm.
- Không bao giờ cài đặt các plugin và chủ đề vô hiệu :Phần mềm cao cấp miễn phí có vấn đề ở nhiều cấp độ. Phần mềm Nulled thường có phần mềm độc hại hoặc cửa hậu sẽ cho phép tin tặc truy cập vào trang web của bạn sau khi được cài đặt.
4. Sử dụng tường lửa
Không có cách nào dễ dàng để ngăn chặn tin tặc hoặc các chương trình mà họ thiết kế để tấn công các trang web như của bạn. Tuy nhiên, chúng tôi có thể giảm xác suất đáng kể bằng cách cài đặt tường lửa.
Dưới đây là danh sách các tường lửa WordPress tốt nhất để lựa chọn.
2. Bảo vệ tên người dùng và mật khẩu của bạn
We’ve found around 5% of hacked websites were vulnerable to attack because of weak passwords. This may seem a small number when compared to outright malicious activity, but it is still significant enough to command your attention.
Losing the admin password to your site is like losing keys to your home or car. With the key, the thief has complete control over your prized possessions. Likewise, with the password, hackers have complete access to your website. At this point, not even a firewall or a security plugin can prevent hackers from causing damage to your website.
The need for strong passwords continues to be very strongly advocated, but because of the difficulties associated with it, it’s often ignored by website users.
Before we go into mechanisms to have strong credentials, let’s address some common questions people have about them.
How is it possible to steal a password?
The answer may come as a surprise:the hacker tries to guess the password. By this, we don’t mean they are trying out various passwords manually, but there are bots to do this. This is also known as a brute force attack, or if the bot is guessing words, a dictionary attack.
These attacks work very well because of several reasons:
- Easy-to-guess passwords: common words, short words, the word ‘password’ itself in different permutations
- Data from previous hacks: there is a reason why people recommend using different passwords for different services and websites
How to safeguard against password theft
1. Use a strong password
Strong passwords use a combination of letters, numbers, and symbols in random configurations, because those are hard to crack. It may take hacker bots years to get find the correct one.
You could try creating a strong password on your own, or use a password generator. Then you can use plugins to enforce strong passwords.
Strong, hard-to-crack passwords can be difficult to remember, so we recommend using password managers like LastPass.
2. Limit login attempts
A good way to thwart a brute force attack is to block attackers after multiple failed login attempts. This is an effective mechanism, since, this type of attack consists of hackers’ bots repeatedly trying different passwords.
MalCare firewall comes integrated with this feature. Limiting login attempts is a highly effective way to secure your website without many downsides
If an authorised user has inadvertently reached this point, they can click through the link to find a captcha confirming they are indeed human.
3. Implement two-factor authentication
Several services use two-factor authentication during the login process, which essentially means you need to have two (ideally) separate tokens to access your account. Most commonly, these involve a combination of passwords and a limited-time token like a pin code or QR code sent to your email or a device.
There are several plugins that implement two-factor authentication or 2FA, and they vary depending on the services they provide. 2FA comes integrated in MalCare’s security suite as well.
4. Implement CAPTCHA protection
CAPTCHAs can only be resolved by humans. They are designed to prevent hacker bots from accessing an account. You can use it to protect your website.
Here’s a neat little article by Kinsta that’ll help you get started.
5. Use a firewall
Certain website security firewalls like MalCare’s also keep track of malicious IPs at a global level. The firewall learns from all the sites with the plugin installed. It then automatically blocks bad IPs even before they have attempted to crack your password. This, in combination with limit-login capability, can protect your site from hackers trying to force their way in.
3. Choose a good web hosting provider
There is a tendency to blame the web host for anything that goes wrong with a website. While web hosts are generally responsible for many aspects of a website, they are rarely at fault when a website gets hacked.
In fact, the opposite is generally true, web hosts improve website security.
Of course, there are some web hosts who play a role in the compromise of websites hosted on their server. It rarely happens, but when it does, it’s a major incident that compromises thousands of websites.
4. Install an SSL certificate
Secure Sockets Layer, more commonly known as SSL, is a security protocol that encrypts all communication to and from a website. Once installed, it appears as a padlock at the beginning of your website’s URL.
The benefits of using an SSL certificate are as follows:
- All data passing to and from your website is encrypted
- It is a badge of trust for your website. In fact, most browsers will flag sites without SSL as ‘Not secure’ in the address bar.
- Google loves websites with an SSL certificate and even rewards them with a higher ranking.
Easily install an SSL certificate on your website. It barely takes any time, and it is well worth the effort spent.
Good website security practices
As we said at the outset, website security is an ongoing practice. In this section, we are listing out practices that are good to inculcate in your overall website security strategy. Once you get into the habit of doing so, the small investment of your time and effort will pay for itself many times over with a secure website.
1. Change your password frequently
We understand that setting difficult-to-guess passwords is tricky, especially because they are often synonymous with difficult-to-remember. We can also imagine the dismay at being asked to change this most excellent password regularly.
The reason is that passwords are the weakest links in security; especially if you use the same passwords for multiple accounts. Even if one site experiences a breach, you can safely assume that all your accounts are potentially compromised. There are news stories about breaches every few weeks–and those are just the reported ones. Something to keep in mind.
Regularly can also mean different things to different people. Some financial institutions, like banks, mandate that passwords be changed every 90 days. Using a password manager is the way forward.
2. Review website users + track new admin users
Hackers often leave behind admin users, so that they can regain access to a site. Hence, reviewing admin users on a regular basis can improve website security.
Secondly, website collaborators can change. If a user no longer needs access, it is best to remove their access. The reason is two-fold:you don’t want the user to make any more changes to your website; their inactive accounts can be compromised by hackers.
Over time, as we build our site with newer content and design, we keep adding new users to our site. We should review these users periodically. You may be following good security practices yourself, but another user getting compromised will cause your site to be affected.
When adding users, give only necessary access levels as far as possible. For instance, If someone is only writing articles don’t give them admin access.
3. Set up activity log on your site
We are big fans of having activity logs for our website. It has saved our bacon multiple times.
Hackers don’t use core WordPress APIs to modify a website, therefore many of the changes they make will not reflect in an activity log. However, they can leave footprints behind, such as creating admin accounts for themselves to access the site. These unexpected actions can help detect hacks.
Conversely, if changes are made by a collaborator, then activity logs can help avoid unnecessary panic, when you see changes made to your website.
4. Block PHP in the Uploads folder
A whole class of vulnerabilities (Remote Code Execution, to be precise) lets hackers upload malicious PHP files to the Uploads folder. The hacker can then use it to execute any code they want on your website. In other words, they have complete control over your website.
The attack can be neutered effectively if you block the execution of PHP files in the Uploads folder. Đừng lo. Blocking PHP files in the Uploads folder is safe because they shouldn’t be present there, in the first place. Uploads folder is where you store your media, not scripts.
If you are using, MalCare security plugin, you can block PHP execution in the Uploads folder with the click of a button. For Apache/Litespeed based sites, we can add rules to htaccess to enforce this protection.
Things to avoid when securing your website
A quick Google search will give you numerous tips and strategies to secure your website. Several security plugins will also present multiple options to protect your site against password crackers. Securing your website is a great deal about what you should do; however, there are also some things you should avoid.
The reasons vary for each of the points we talk about below, but at its core, there should be a tangible security benefit to your measures—especially if you are asking your users to jump through additional security hoops. For example, if you apply both captcha and 2-factor authentication, getting into your site becomes trying, with little additional benefit.
You may get an additional sense of security from applying all available options, but in cost-benefit analysis, they don’t cut mustard.
1. Hide wp-login page
You’ll see this one on a lot of forums:change the wp-login page to a custom URL for your site. The logic is, if the hackers can’t find the login page, they can’t use brute force attacks to gain entry to your site.
There are a few flaws with this:
- WordPress also lets you log in using XML-RPC
- It will make your site difficult to use. If you forget the special URL you have created for yourself in lieu of wp-login, then recovering from this can be difficult.
- If you use a common URL or the default one that comes with the security plugin, it will be easy for the hackers to guess anyway, therefore defeating the purpose entirely.
- Hiding this page involves applying complicated settings to your site which can have other unexpected side effects.
Therefore, in our opinion, it is just not worth the effort.
2. Geo-blocking
Another commonly recommended security measure is geo-blocking. You may not need or expect legitimate traffic from certain countries, and hence decide to restrict access. MalCare supports this feature, but we don’t recommend you do this because:
- IPs for regions are not perfect and can have errors.
- If you block yourself out by mistake, reverting this will be difficult.
- You might end up blocking good bots such as Google which can harm your site.
A good firewall can and will protect your website against malicious bots and undesirable traffic. We’ve covered the benefits of firewalls in a previous section.
3. Password protect wp-admin directory
The wp-admin folder is one of the most crucial folders on your website. Naturally, it attracts a lot of attention from hackers. Therefore, protecting it with a password may seem like a brilliant move, but it’s counterproductive.
Password protecting your wp-admin directory breaks AJAX functionality on your WordPress website. AJAX is a coding technique that loads parts of your website from the server without changing the currently displayed page.
If this sounds like gobbledegook, it essentially means that it makes your website dynamic, without constantly reloading it for users every time something changes.
Think about scrolling on the newsfeed of a social networking site. New stories or tweets load while you are still reading the ones already on your screen, and you can refresh the newsfeed when you want to load the new content.
4. Hide WordPress version
The logic behind hiding the WordPress version of your website is related to security updates. If your website doesn’t have the latest version of WordPress, a hacker may be able to exploit a vulnerability that exists in an older version.
However, hiding your WordPress version has no benefit whatsoever. There are several ways to determine a website’s WordPress version:inspecting the site’s frontend code, checking the RSS feed, etc. All of which are legitimate, incidentally.
The way to combat WordPress vulnerabilities in older versions is to keep your version updated to the latest one. Many website administrators are afraid that updating a live site may cause something to break. Therefore, it is best to do so on a staging site first.
What to do if your website has been hacked?
If your site has been hacked recently, it is even more important for you to be extremely diligent about the security of your site. If not done correctly, it can lead to the site getting hacked repeatedly and the whole situation becoming a total nightmare.
- Clean the malware first :Use a good security plugin, like MalCare, to automatically remove malware without a trace.
- Update everything :As we said before, software updates are vital. Make sure you have the latest versions of WordPress, themes and plugins. If you don’t, there is a good chance this is the reason your website got hacked in the first place.
- Review every admin user: Scrutinise every admin account carefully. We’ve said this already in this article, but hackers create admin accounts to regain access to a website that they have hacked, in case the malware has been discovered.
- Change all passwords: Assume your credentials have been compromised and change passwords. Hopefully you do not use the same password for different products and services, otherwise you should change those passwords as well.
- Change DB credentials (if possible): The wp-config.php file contains the credentials the WordPress site uses to connect to the database of the site. In many cases, access to the database is restricted even if the DB credentials are compromised. However, with some hosts, hackers can use this information to directly modify the database. This can cause the site to be reinfected.
- Change security keys: WordPress uses security keys to manage sessions for logged-in users. Read more about what they are and how to make a website secure by changing them.
- Set up a WordPress firewall: We’ve already covered this in detail in this article. A WordPress firewall is your best defence against malicious bots and bad traffic.
Kết luận
We started this article on how to secure a website with a clear signpost:the first step is to think about website security in the right way. It is an ongoing process. A good standard practice to have in any organization is to conduct periodic website security audits.
The threat landscape is constantly changing, and hackers will find more creative ways to defeat defences. Security experts remain constantly vigilant, and this is the main takeaway from all of what we have learned in our years of research:don’t get complacent.
Have thoughts to share? Drop us a line, or connect with us on social media. Love to hear your thoughts.
FAQs
What is website security?
Website security is putting together a plan to protect your website and users from hackers and their malware. It involves understanding the components of your website, how they work together and what vulnerabilities they have.
Once this foundation is in place, then you need to formulate a comprehensive security plan to protect against vulnerabilities. This involves a series of configuration steps, implementation of policies, and keeping up to date with respect to threats.
A key factor in achieving website security is to understand that it is not a one-time activity. Security evolves, because threats evolve.
Why website security is important?
WordPress is used by millions of people, so it is probably secure, right? Có và không.
Yes, because WordPress core files are secure, and even when a vulnerability is discovered, it is addressed very quickly.
No, because your website isn’t just the WordPress core. It is a combination of plugins and themes, used to help make your website more functional, interactive and attractive. These plugins and themes extend the functionality of WordPress, but also increase the opportunities for vulnerabilities. Good plugin and theme developers will fix vulnerabilities quickly. However the danger is significantly greater.
To protect your website—including the time, money and other resources you have invested in it—and to safeguard your visitors from having their data and identities stolen, you need to secure your website. If you are WordPress user, you can go through our wordpress security guide to secure your site.
How to secure a website from hackers?
You can take several steps to secure your website from hackers:
1. Keep your WordPress, plugins and themes up to date
2. Install a good firewall
3. Implement login protection
4. Install SSL
5. Use two-factor authentication for logins
6. Review user roles regularly
7. Set up an activity log