Trang WordPress của bạn có đang gửi email spam không phải từ bạn? Bạn có lo lắng khách truy cập và khách hàng bị spam?
Nếu bạn gặp vấn đề này, trang web rất có thể đã bị hack. Điều đầu tiên bạn cần làm là quét trang web tìm mã độc.
Bạn cần hành động nhanh vì ngay lúc này, người đăng ký đang nhận email spam từ WordPress, có thể khiến họ gặp nguy hiểm.
Nếu tình trạng này tiếp diễn, nhà cung cấp hosting sẽ đưa email vào danh sách đen, hoặc thậm chí treo toàn bộ trang web vì mã độc. Hoặc nhà cung cấp dịch vụ email sẽ ngừng gửi email, và bạn sẽ nhận lỗi 'MTA queue is too large'. Tất cả đây là hậu quả nghiêm trọng chỉ vì trang web có mã độc.
Trong bài viết này, chúng tôi chỉ cách loại bỏ mã độc khỏi trang web, và làm một số kiểm soát thiệt hại nghiêm túc. Chúng tôi không thể nhấn mạnh đủ: mã độc càng tồi tệ hơn khi nó ở lại trên trang web lâu hơn. Đó là lý do chúng tôi luôn ủng hộ loại bỏ nhanh chóng bởi chuyên gia.
TL;DR Ngăn chặn trang WordPress gửi email spam bằng cách loại bỏ mã độc bên dưới. Tình huống nghiêm trọng vì khách hàng đã bị ảnh hưởng bởi mã độc, và bạn cần hành động nhanh. Sau khi loại bỏ mã độc, bạn có thể chuyển sang tái thiết niềm tin.
Giao tiếp email là một trong những trụ cột của marketing số vì nó rất hiệu quả. Xây dựng danh sách email không dễ, đặc biệt vì bạn đã nỗ lực để mọi người tin tưởng bạn và giao tiếp bằng cách cung cấp giá trị.
Vì vậy, khi danh sách email bắt đầu nhận email spam từ bạn (theo cách chúng thấy), đây là vi phạm niềm tin lớn. Email spam làm rối loạn an ninh và dữ liệu của họ, và một số có thể bị ảnh hưởng nghiêm trọng.
Trong bài viết này, chúng tôi tập trung vào việc loại bỏ mã độc khiến trang WordPress gửi email spam mà bạn không hay biết. Chúng tôi cũng nói một chút về tại sao email hợp pháp rơi vào thư mục spam, và vấn đề nhận email spam từ biểu mẫu liên hệ trang web. Những phần đó ở cuối bài.
Tại sao WordPress của bạn gửi email spam?
Có thể có vài lý do trang WordPress gửi email spam. Chúng ta đều đồng ý rằng bất kể lý do, đó vẫn là tình huống tồi tệ. Trong phần này, chúng tôi nói về lý do có thể, để bạn xác định cần sửa gì để tiến tới giải quyết.
Mã độc trên trang web
Lý do phổ biến nhất chúng tôi thấy cho trang WordPress gửi email spam là trang web đã bị hack. Mã độc là script gửi email độc hại (malicious mailer script) có thể gửi lượng lớn email đến nhiều địa chỉ trong thời gian ngắn. Nó làm được bằng cách thao túng code gửi email trên trang web.
WordPress có hàm lõi wp_mail() dùng để gửi email từ trang web. Hàm này hạn chế về tính năng, nên admin thường cài plugin SMTP mail để linh hoạt và kiểm soát email tốt hơn.
Mã độc sau đó có thể thao túng script hoặc chức năng plugin để gửi email spam, làm cho nó trông như trang web gửi. Thường, bên cạnh nội dung email, hacker cũng cung cấp địa chỉ email cho script gửi email độc hại. Mục tiêu là dùng IP trang web gửi email spam.
Lưu ý nhỏ: plugin email dễ bị tổn thương không phải nguyên nhân hack. Dù plugin mail phổ biến như WP Mail SMTP và Easy WP SMTP từng có lỗ hổng, thực tế là mã độc có thể đến từ bất kỳ plugin nào, hoặc theme. Chỉ là mã độc được thiết kế để gửi email spam cũng vậy.
Tài khoản email bị xâm phạm (Compromised email account)
Khi nói về thực hành tốt nhất bảo mật trang web, người truy cập, và dữ liệu, chúng tôi luôn nói về tầm quan trọng của mật khẩu mạnh. Là chuyên gia bảo mật, chúng tôi đã mất đếm số lần thấy người dùng chọn mật khẩu như 'password' hoặc 'pass123' cho tài khoản quan trọng như đăng nhập và FTP.
Mật khẩu yếu cực dễ phá vỡ. Chúng gần như không phải phòng thủ chống hacker, nên hacker có thể truy cập tài khoản trong vài giây.
Một trong các tài khoản email của bạn có thể bị xâm phạm, và đó là lý do người dùng nhận email spam WordPress. Nếu đây là trường hợp, giải pháp là vào tài khoản và đặt lại mật khẩu mạnh hơn.
Chúng tôi sẽ nói thêm về bảo mật mật khẩu và chính sách tốt hơn ở phần sau.
Làm thế nào phát hiện WordPress bị hack và gửi email spam?
Hacker muốn khai thác trang web càng lâu càng tốt, nên họ muốn mã độc không bị phát hiện càng lâu càng tốt. Do đó, bạn có thể thấy hoặc không thấy triệu chứng mã độc. Tuy nhiên, có cách chắc chắn kiểm tra mã độc trên trang web.
Triệu chứng trang web bị hack
Vì bạn đang trải qua email spam gửi từ WordPress, đây là dấu hiệu khá tốt của hack. Bạn cũng có thể thấy một số triệu chứng sau, liên quan trực tiếp đến hack email spam WordPress:
- Đưa vào danh sách đen bởi host: Trang web nằm trên máy chủ host và dùng IP của họ. Nếu email spam đi từ WordPress, bộ lọc spam có thể đưa IP trang web vào danh sách đen. Vì IP trang web là IP host, điều này gây nhiều vấn đề cho họ. Họ có thể có khách khác dùng cùng IP, nên danh sách đen ảnh hưởng tất cả. Để ngăn chặn, host nhanh chóng đưa email từ trang web bị ảnh hưởng vào danh sách đen, hoặc thậm chí treo toàn bộ trang web.
- Thông báo gửi thất bại trong hộp thư đến từ email bạn không gửi: Như đã nói, hacker cũng thêm địa chỉ email vào script gửi email độc hại. Một số địa chỉ có thể là bẫy spam (spam traps) hoặc địa chỉ không tồn tại. Thông báo gửi thất bại sẽ rơi vào hộp thư đến của bạn. Đây là dấu hiệu khá tốt email spam đang đi từ trang web.
- Hàng đợi MTA quá lớn (MTA queue is too large) hoặc hàng đợi email bị chặn: Bạn có thể thấy thông báo lỗi hàng đợi MTA quá lớn. Hoặc khi kiểm tra plugin email, bạn thấy hàng đợi đầy email chờ không được gửi.
Chúng tôi không muốn đi sâu vào kỹ thuật gửi email, nên chỉ nói MTA (mail transfer agent) là thành phần quan trọng. Nó đảm bảo email từ người gửi đến người nhận thành công. Nếu nó báo lỗi, nghĩa là email không đến đích.
- Khách hàng phàn nàn: Đây là điều tồi tệ phải chịu, nhưng là phước trong họa. Khi khách hàng nêu vấn đề, ít nhất họ định ở lại giải quyết, chứ không bỏ trang web.
Có cơ hội lớn bạn không thấy triệu chứng nào trên hết. Có thể bạn thấy triệu chứng mã độc khác; có thể không. Tất cả tùy thuộc vào bản chất thất thường của mã độc, và cách thủ đoạn insidious ( âm hiểm) hacker thường dùng.
Quét trang web tìm mã độc
Cách nhanh và hiệu quả nhất phát hiện mã độc trên trang web là dùng trình quét sâu (deep scanner). Trình quét sâu kiểm tra mọi file và thư mục, quét từng bit cơ sở dữ liệu trang web để tìm mã độc.
Quét sâu trang web với trình quét miễn phí MalCare
Tất cả bạn cần làm là cài MalCare trên trang web, và chờ vài phút để có kết quả chắc chắn. Kết quả quét sẽ cho biết trang web có bị hack không và bao nhiêu file bị ảnh hưởng.
Các cách khác quét trang web
Có hai cách khác quét trang web tìm mã độc: dùng trình quét trực tuyến (online scanner) hoặc quét thủ công.
Chúng tôi khuyến nghị dùng trình quét trực tuyến chỉ như chẩn đoán cấp độ đầu tiên cho nhiễm mã độc. Nó không cho kết quả chắc chắn, vì trình quét trực tuyến chỉ quét phần trang web nhìn thấy được. File lõi WordPress và file quan trọng khác, thường chứa mã độc nghiêm trọng, sẽ không được quét.
Quét trực tuyến chỉ một phần hiệu quả, nhưng vẫn tốt hơn nhiều so với cố gắng quét thủ công. Ngoài thời gian khổng lồ cho nhiệm vụ đáng sợ đó, cũng có khả năng thực bỏ lỡ mã độc. Bạn có thể dùng kết quả trình quét trực tuyến kiểm tra file liệt kê, nhưng lại, đó không phải quét hoàn chỉnh.
Là chuyên gia bảo mật WordPress, chúng tôi cũng dùng công cụ quét mã độc khi dọn dẹp thủ công cho khách hàng. Rủi ro từ nhiễm mã độc kéo dài quá lớn, và chúng tôi nỗ lực đảm bảo khách hàng được hỗ trợ nhanh.
Chẩn đoán thay thế phát hiện mã độc trên trang web
Theo trải nghiệm, không phải trình quét bảo mật nào cũng xây dựng giống nhau. Mỗi cái có cách phát hiện mã độc riêng, và một số kém hiệu quả hơn.
Nếu bạn đã dùng WordFence hoặc Sucuri quét trang web, bạn có thể tìm cách khác xác nhận xem có thực sự mã độc trên trang web. WordFence nổi tiếng với cảnh báo quá mức và false positives (dương tính giả) nhiều lần, trong khi Sucuri thường không phát hiện mã độc. iThemes từng khóa admin khỏi trang web của chính họ.
Tóm lại, tốt là biết vài mẹo kiểm tra mã độc nếu bạn dựa vào plugin này.
- Kiểm tra trang web bằng cách đăng nhập từ trình duyệt ẩn danh (incognito)
- Nếu bạn có ý tưởng số trang trên trang web, Google trang web và kiểm tra kết quả tìm kiếm. Số lượng nên tương xứng với số bạn biết. Nếu nhiều hơn nhiều so với dự kiến, đó là dấu hiệu hack.
- Thực hành tốt là kiểm tra nhật ký hoạt động cho hoạt động user bất thường, nếu hacker đã truy cập trái phép tài khoản admin
- Kiểm tra Google Analytics cho xu hướng lưu lượng bất ngờ hoặc không giải thích được
- Bạn cũng sẽ thấy cảnh báo trong Google Search Console khi trang web bị hack
- Xem lại plugin và theme đã cài cho cập nhật. Có thể phiên bản cũ có lỗ hổng mới phát hiện
- Bạn có phần mềm nulled cài trên trang web? Đó là thủ phạm.
Cách dễ nhất kiểm tra mã độc trên trang web là dùng trình quét miễn phí MalCare. Tiết kiệm ton thời gian và rắc rối, cài ngay bây giờ.
Cách khắc phục WordPress bị hack gửi email spam
Một khi đã có câu trả lời chắc chắn về sự hiện diện mã độc, bạn cần loại bỏ nó. Email spam gửi từ trang web – tệ như nó là – chỉ là ngọn núi băng. Cái tồi tệ hơn nhiều sẽ đến nếu mã độc để nguyên.
Có 3 cách dọn dẹp mã độc từ trang web:
- Dùng plugin bảo mật [KHUYẾN NGHỊ]
- Thuê chuyên gia bảo mật
- Làm thủ công
Chúng tôi muốn nhấn mạnh lại tầm quan trọng của hành động nhanh. Trang web vẫn bị hack và đang gửi email đến người dùng và khách hàng.
Lựa chọn 1: Dùng plugin bảo mật [KHUYẾN NGHỊ]
Chúng tôi mạnh mẽ khuyến nghị cài MalCare, và dùng tính năng auto-clean loại bỏ mã độc trong vài phút. Nó được biết rộng rãi là plugin bảo mật hàng đầu quét, dọn dẹp và bảo vệ trang web.
Sau khi cài MalCare và đồng bộ trang web cho quét miễn phí, tất cả bạn cần làm là nâng cấp để dọn dẹp trang web trong vài phút. Bạn có thể làm trực tiếp từ bảng điều khiển MalCare, không cần cấu hình gì trên trang web.
Quy trình đơn giản:
- Cài MalCare trên trang web, chờ đồng bộ
- Plugin quét trang web phát hiện mã độc
- Auto-clean khi được nhắc
Xong! MalCare được xây dựng cực kỳ thân thiện và dễ dùng. Nó phẫu thuật loại bỏ mã độc, để trang web hoàn toàn nguyên vẹn và tốt như mới. Ngoài tốc độ loại bỏ mã độc, bạn cũng không mất dữ liệu.
Nếu auto-clean không loại bỏ mã độc an toàn, bạn luôn có thể liên hệ hỗ trợ. Mọi gói đăng ký MalCare đi kèm dọn dẹp không giới hạn và bảo chứng trang web không mã độc. Bạn sẽ có bảo vệ một năm, với quét hàng ngày, tường lửa thông minh, và bảng điều khiển mạnh quản lý tất cả trang web tại một nơi.
Cách cài MalCare nếu bạn không truy cập được trang web
Nếu host treo trang web, bạn không thể truy cập để cài MalCare. Hãy đến hỗ trợ khách hàng, họ sẽ hướng dẫn bước chính xác để yêu cầu host whitelist IP để dọn dẹp.
Nếu tất cả thất bại, chúng tôi có thể dọn dẹp trang web thủ công.
Lựa chọn 2: Thuê chuyên gia bảo mật
Có một số dịch vụ loại bỏ mã độc cho trang web không truy cập được. MalCare cũng cung cấp dịch vụ khẩn cấp dọn dẹp, nhưng chúng tôi mạnh mẽ ủng hộ cài plugin thay vào đó.
Chúng tôi không nhận xét dịch vụ dọn dẹp khác và giả định chúng khá khéo dọn mã độc. Tuy nhiên, bản chất lao động của dịch vụ, cộng với chuyên môn cao, nghĩa là chi phí thường cao ngất ngưởng. Rất ít cam kết chống lại việc trang web bị nhiễm lại, vì vậy hãy cẩn thận nếu chọn cách này.
Lựa chọn 3: Dọn dẹp thủ công WordPress bị hack gửi email spam
Thực tế: bạn không đọc phần này nếu bạn là chuyên gia WordPress. Nhưng đó là điều bạn cần để làm thành công dọn dẹp thủ công.
Tại MalCare, chúng tôi đã dọn dẹp hàng trăm nghìn trang web trong nhiều năm qua. Toàn bộ chuyên môn đó đã đổ vào xây dựng sản phẩm, và đó là lý do chúng tôi khuyên mạnh mẽ chống dọn dẹp mã độc thủ công.
Không chỉ chuyên môn, dọn dẹp thủ công tốn thời gian. Và chúng tôi biết chúng tôi nói đi nói lại, nhưng thật sự quan trọng: mã độc gây thiệt hại hơn khi để lại trên trang web lâu hơn.
Điều bạn nên biết trước khi thử dọn dẹp thủ công
- Cấu trúc file và cơ sở dữ liệu WordPress; lõi, plugin, theme
- Khả năng thực tế với PHP, JavaScript, và SQL
- Cách điều hướng cPanel, FTP, File Manager và phpMyAdmin
Điều kiện tiên quyết này là tối thiểu cần thiết để dọn dẹp trang web. Lý tưởng nhất, bạn cũng nên biết logic code, để đánh giá script làm gì. Điều này cho phép phân biệt code tốt và xấu.
Hướng dẫn từng bước dọn dẹp trang web thủ công
- Nếu host treo trang web, bạn cần khôi phục truy cập. Liên hệ host, yêu cầu whitelist IP để dọn dẹp. Một số host như Bluehost không làm. Trong trường hợp đó, bạn phải làm không. Các bước dưới vẫn hoạt động.
- Lấy kết quả quét với danh sách file bị hack. Bạn nhận được từ host (nếu họ cảnh báo hack), Google Search Console, hoặc trình quét trực tuyến. Danh sách file bị hack là điểm bắt đầu tuyệt vời, nhưng không phải toàn bộ bức tranh. Trình quét trực tuyến không quét sâu trang web, nên có thể có mã độc nơi khác không được chỉ ra.
- Sao lưu trang web bắt buộc. Có, trang web có mã độc, nhưng vẫn hoạt động lúc này. Nếu dọn dẹp thủ công làm hỏng trang web, bạn dùng bản sao lưu này khôi phục trang web hoạt động mà không rắc rối. Đây là một trong những lý do chính chúng tôi khuyên chống dọn dẹp thủ công.
- Đi đến kho WordPress và lấy cài đặt mới của WordPress và tất cả plugin, theme. Bạn sẽ dùng để thay thế phần code trang web, và trong một số trường hợp so sánh code với trang web. Thứ nhất, nhớ lấy phiên bản đã cài trên trang web. Bạn có thể phải xem phiên bản lưu trữ trong kho để tìm phiên bản đúng. Thứ hai, khi so sánh code giữa trang web bị hack và cài đặt sạch, hãy nhớ tùy chỉnh (customisations) có thể hiện lên như code thêm. Đây không phải mã độc, hãy cẩn thận xóa bất cứ thứ gì trông khác.
- Tìm plugin giả (fake plugins) và xóa hoàn toàn. Bây giờ bạn có danh sách plugin và theme, dùng để tải cài đặt sạch từ kho, bạn có thể kiểm tra chéo xem có cái nào không trong danh sách.
Plugin giả có vài dấu hiệu nhận biết: rõ ràng không có trên kho; chỉ có một hoặc tối đa hai file; tên rất lạ, như wp-zzz chẳng hạn. - Loại bỏ theme và plugin nulled. Đây là phần không thể thương lượng về bảo mật trang web. Theme và plugin nulled là hàng đạo, vì giấy phép bị phá. Phần mềm nulled không chỉ phi đạo đức, mà đầy mã độc và backdoor. Nếu bạn cài phần mềm nulled, đó là gốc rễ của hack.
- Thay thế cài đặt WordPress. Có một số thư mục và file lõi WordPress không chứa dữ liệu người dùng hoặc thay đổi. Chúng bạn có thể thay thế bừa bãi, và sẽ tiết kiệm việc kiểm tra chúng cho mã độc.
Để thay thế file lõi, đăng nhập cPanel truy cập file trang web. Xóa thư mục sau, và thay thế bằng phiên bản sạch:
/wp-admin
/wp-includes
Tiếp, kiểm tra thư mục /wp-uploads. Nó không nên có file PHP nào. Xóa script bạn tìm thấy.
Cuối cùng, kiểm tra file lõi. Những file này, bạn không thể thay thế hàng loạt, vì chứa cấu hình trang web. Rất cẩn thận với file này, vì nếu index.php hoặc .htaccess bị sai, trang web sẽ không tải.
index.php
wp-config.php
wp-settings.php
wp-load.php
.htaccess
Do bản chất mã độc, chúng tôi không thể cụ thể hơn về điều cần tìm ở đây. Mỗi hack có thể khác xa hack khác. - Loại bỏ mã độc từ thư mục plugin và theme. Giống như kiểm tra file lõi cho code bất thường, bạn cần làm tương tự cho plugin và theme. Chúng tôi đã nói trước, nhưng đáng nhắc lại: cài đặt sạch không có code tùy chỉnh thêm sau. Cẩn thận xóa bất cứ thứ gì không hiểu rõ nó làm gì. Cả file có vẻ vô hại như favicon.ico cũng có thể là mã độc. Cẩn thận ở đây. Mã độc thường tìm thấy ở file theme quan trọng: header.php, footer.php, functions.php, nên đó là nơi tốt để bắt đầu.
- Dọn dẹp cơ sở dữ liệu khỏi mã độc. Đây là nhiệm vụ khá lớn, nên khôn ngoan dành vài giờ hoặc vài ngày. Cơ sở dữ liệu có tất cả dữ liệu user, nội dung, bài viết, trang, hình ảnh, và mọi thứ bạn thêm vào trang web. Hiệu quả, nó làm cho trang web thành trang web của bạn. Hãy thận trọng khi xóa script từ cơ sở dữ liệu, trừ khi chắc chắn là mã độc. Bạn có thể khôi phục trang web không plugin/theme, nhưng không thể không cơ sở dữ liệu.
- Sau khi loại bỏ mã độc, bạn cần loại bỏ tất cả backdoor. Backdoor là điểm nhập cho mã độc, có thể ở bất cứ đâu: file, cơ sở dữ liệu, hoặc cả hai. Dọn dẹp mã độc chỉ loại bỏ một nhiễm đơn lẻ. Để loại bỏ nguyên nhân, backdoor phải đi.
Thường backdoor dùng một trong các hàm:
eval
base64_decode
gzinflate
preg_replace
str_rot13
Tuy nhiên, các hàm này cũng có chức năng thực tế, như hàm XMLRPC không xấu bản chất, nhưng có thể dùng để truy cập trái phép. - Tải lên lại file đã dọn dẹp lên trang web, dùng cPanel. Bạn cần File Manager thay thế file, và phpMyAdmin thay thế cơ sở dữ liệu. Nếu cơ sở dữ liệu rất lớn, bạn có thể gặp vấn đề. Trong trường hợp đó, chuyển sang SFTP. Xóa file hiện có, rồi dán file sạch.
- Bước cuối trong quy trình dọn dẹp là xóa tất cả cache. Cache dùng để cải thiện hiệu suất bằng cách lưu phiên bản cũ trang web. Do đó, phiên bản cache vẫn sẽ có mã độc bạn vừa dọn. Thực tế, nếu bạn kháng cáo danh sách đen Google, yêu cầu xem xét thường thất bại vì Google quét cache và phát hiện mã độc nguyên vẹn.
Nếu bạn đã đến đây, đó là thành tựu lớn. Chúng tôi thấy nhiều trang web hỏng không thể sửa khi admin tự dọn dẹp. Đây là nhiệm vụ cám ơn và rủi ro, vì rủi ro khổng lồ.
Tại sao trả tiền plugin bảo mật khi tự làm được miễn phí?
Phiên bản ngắn: plugin bảo mật là cách duy nhất thực sự loại bỏ mã độc.
Phiên bản dài:
- Dọn dẹp thủ công để lại mã độc do lỗi người
- Plugin bảo mật tốt sẽ phát hiện được ngay cả mã độc và backdoor ẩn sâu nhất
- Quét và dọn dẹp thủ công file và cơ sở dữ liệu mất vài ngày ít nhất; so với vài phút
- Rủi ro lớn làm hỏng trang web với dọn dẹp thủ công
Không có sự cạnh tranh: plugin bảo mật là đường đi tốt nhất. Cài MalCare và nhấp một lần để auto-clean trang web.
Ngay chuyên gia bảo mật WordPress cũng dùng công cụ và kỹ năng code để tìm và loại bỏ mã độc. Họ cũng có lợi thế tham gia hệ sinh thái và có thể biết xu hướng mới trong mã độc.
Làm thế nào bảo vệ WordPress không bị hack và gửi email spam lại?
Chúc mừng! Trang web bây giờ sạch, và bạn có thể bắt đầu kiểm soát thiệt hại. Tuy nhiên, trước khi vào đó, chúng tôi muốn đề cập một số biện pháp bạn nên thực hiện để bảo vệ trang web không bị hack lại.
Cài plugin bảo mật với tường lửa tích hợp
Trong 10 năm qua, chúng tôi thấy hack biến đổi và ngày càng khôn khéo hơn trong việc xâm nhập trang web. Chuyên gia bảo mật phải theo kịp vì hacker chỉ cần vượt qua một lần, trong khi bảo mật cần cập nhật liên tục để chặn tấn công thành công.
Plugin bảo mật tốt sẽ quét trang web hàng ngày kiểm tra mã độc, backdoor, và lỗ hổng. Nó nên có tường lửa tích hợp chặn tấn công bot và ngăn chặn cố gắng brute-force đăng nhập. Và cuối cùng, nó nên có cách dễ dàng dọn dẹp mã độc nhanh.
Cập nhật mọi thứ
Trong trường hợp trang web có phiên bản cũ plugin, theme, hoặc WordPress, bạn cần cập nhật sớm nhất. Nhà phát hành phát hành bản vá bảo mật trong cập nhật, thường để xử lý lỗ hổng. Ví dụ, WP Mail SMTP có lỗ hổng XSS, và Easy WP SMTP có lỗ hổng reset admin. Cả hai đã được vá trong phiên bản sau, nhưng những ai không cập nhật đã chịu thiệt hại lớn.
Cập nhật trang WordPress có thể棘手, vì mọi thứ liên kết chặt chẽ. Cập nhật từng biết làm hỏng UI hoặc thiết kế, đôi khi thậm chí đưa trang web ngoại tuyến. Do đó, luôn tốt nhất kiểm tra cập nhật trên trang staging trước, sau khi sao lưu.
Triển khai chính sách tài khoản người dùng
Thực hành tốt là xem xét tài khoản người dùng thỉnh thoảng, đặc biệt với trang lớn. Khi người rời và gia nhập đội quản trị, tài khoản của họ nằm không dùng nhưng vẫn cùng đặc quyền. Đây là nguy hiểm bảo mật vì mật khẩu không cập nhật thường xuyên, và tài khoản đó có thể bị xâm phạm.
Cùng vần đó, yêu cầu mọi người đổi mật khẩu thường xuyên. Mật khẩu mạnh ngăn truy cập trái phép, nhưng vì khó nhớ, chúng tôi khuyến nghị dùng trình quản lý mật khẩu (password managers).
Hậu quả của email spam WordPress
Trong một từ? Hậu quả email spam là xấu. Dưới đây là những gì chúng tôi thấy xảy ra với trang web gặp vấn đề này:
- Khách hàng phàn nàn về email, và cuối cùng mất niềm tin
- Host sẽ chặn email, nên email hợp pháp cũng không gửi được
- Cuối cùng, trang web bị treo vì mã độc
- Có nguy hiểm thực sự bạn có thể gặp rắc rối pháp lý
- Nếu bạn có giá cả theo dung lượng email, bạn sẽ thấy tăng đột biến hóa đơn
Việc có thể xấu đi rất nhanh. Đó là một trong những điều tồi tệ về có mã độc trên trang web. Hãy cài plugin bảo mật để bảo vệ trang web, nếu không bạn luôn rủi ro từ hacker và mã độc âm hiểm.
Cách khôi phục từ trang WordPress gửi email spam
Bạn gần đến đích. Trang web không còn mã độc, và bạn đã thực hiện bước đảm bảo không bị hack lại.
Bước tiếp theo giải quyết vấn đề email spam là kiểm soát thiệt hại. Hy vọng bạn bắt kịp vấn đề email spam, và không quá nhiều người bị ảnh hưởng. Nếu không, các bước sau chỉ là điểm xuất phát. Bạn có thể có sửa chữa lớn hơn cho danh sách người dùng.
- Liên hệ host và nhà cung cấp dịch vụ email: Nếu họ đưa trang web hoặc dịch vụ email vào danh sách đen, bạn cần bước để giải quyết. Luôn hữu ích chi tiết bước bạn đã thực hiện giải quyết vấn đề, dọn dẹp mã độc, và chỉ ra bước bạn đã làm để đảm bảo không xảy ra lại, để an tâm.
- Gửi email danh sách thông tin về email spam: Liên hệ người bị ảnh hưởng và trấn an. Yêu cầu họ đổi mật khẩu và quét thiết bị tìm mã độc. Cung cấp hỗ trợ nhiều nhất, và cố gắng giúp giải quyết vấn đề họ gặp do email spam.
- Chuẩn bị đội hỗ trợ cho truy vấn người dùng: Cung cấp công cụ cho đội để trả lời câu hỏi và giải quyết vấn đề. Có thể cần hoặc không, nhưng luôn tốt khi chuẩn bị.
Mã độc để lại dấu vết phá hoại, nhiều người bị ảnh hưởng bởi đánh cắp danh tính hoặc dữ liệu. Đó là lý do Google và host có quan điểm mạnh với trang web nhiễm mã độc.
Quy tắc chung tốt là minh bạch trong mọi giao tiếp. Giữ sự thật, không làm cái cớ, và bạn có thể biến thảm họa này thành điều tích cực. Mọi người phản ứng tốt với sự trung thực và chính trực.
Tại sao email của tôi rơi vào thư mục spam?
Đôi khi, chúng tôi nhận email từ khách hàng email của họ rơi vào thư mục spam của người dùng. Sau khi quét trang web, chúng tôi thấy không có mã độc. Thêm vào đó, email bản thân không phải email lừa đảo hoặc lừa đảo khác.
Vậy tại sao email rơi vào thư mục spam của người dùng?
Rất bất ngờ, bộ lọc spam cũng cắm cờ email thật vì nhiều lý do. Chúng tôi liệt kê lý do phổ biến nhất, nhưng danh sách không toàn diện:
- Thực hành spam khi gửi email: Có khả năng bạn gửi email kích hoạt bộ lọc spam. Từ khóa như 'miễn phí' hoặc 'ngay' hay kích hoạt bộ lọc. Nếu thông tin người gửi không khớp đường dẫn trả về (return path), cũng gây email rơi vào spam. Chúng tôi cũng thấy email với tên miền cấp cao khác nhau gặp vấn đề này. Bạn có thể kiểm tra điểm spam của email để tìm vấn đề.
- Cài đặt DNS không đúng: Email có thể bị ném giữa các máy chủ, tùy cách cấu hình email. Điều này kích hoạt bộ lọc spam, vì trông như ai đó dùng domain của bạn gửi email, hành vi gọi là spoofing (giả mạo). Sửa là cấu hình đúng bản ghi DNS để đảm bảo bộ lọc spam email chắc chắn từ domain của bạn.
- Máy chủ nằm trong danh sách đen spam: Có khả năng máy chủ email của bạn nằm trong danh sách đen đâu đó, do sai lầm trước hoặc do người khác dùng cùng máy chủ cho email. Có thể họ chạm bẫy spam, và máy chủ bị đưa vào danh sách đen. Khó nói, nhưng bắt buộc giải quyết. Xác định máy chủ nằm trong danh sách đen nào, và yêu cầu gỡ bỏ.
Bạn có thể dùng một trong các công cụ trực tuyến miễn phí trong trình duyệt, nhập IP và kiểm tra danh sách đen:- Whatismyipaddress
- Mx Toolbox
- What is my IP
Nếu trang web xuất hiện trên bất kỳ danh sách đen nào, bạn cần liên hệ dịch vụ trực tuyến đó và yêu cầu gỡ bỏ danh sách đen.
Nếu không có giải pháp trên giúp, hãy dùng hướng dẫn khắc phục sự cố tuyệt vời này để tìm vấn đề. Nhìn chung, luôn dùng thực hành tốt cho email: chỉ opt-in, tránh từ khóa spam, v.v. Tránh danh sách mua như tránh dịch hạch, và làm sạch danh sách thường xuyên, bằng cách theo dõi chặt chẽ chỉ số tương tác và tỷ lệ bỏ thư.
Cách ngăn chặn nhận email spam từ trang web?
Có thể vấn đề bạn gặp không phải khách hàng nhận email spam từ trang web, mà bạn nhận. Đây là vấn đề hoàn toàn không liên quan, nhưng chúng tôi bao gồm vì cũng liên quan email spam.
Mục spam nhận từ biểu mẫu liên hệ trang web không do mã độc. Bất kỳ ai cũng có thể điền biểu mẫu liên hệ mở và gửi email spam cho bạn. Tuy nhiên, có cách giảm thiểu:
- Thêm captcha vào biểu mẫu liên hệ mở
- Cài plugin Akismet lọc email spam
Chỉ lưu ý là bạn cần chú ý thư mục spam. Bộ lọc đôi khi cắm cờ truy vấn hợp pháp, có thể rơi vào đó nhầm.
Tóm tắt
WordPress gửi email spam cho khách hàng sẽ gây nhiều vấn đề. Không chỉ khách hàng mất niềm tin, host và Google sớm theo sau. Thiệt hại có thể tăng rất nhanh vì mã độc gây nhiều thiệt hại.
Ngoài bảo vệ trang web khỏi mã độc, cũng cân nhắc dùng dịch vụ email chuyên dụng cho lượng email lớn. Nhà cung cấp dịch vụ email sẽ chịu trách nhiệm giao hàng, và giúp cấu hình quan trọng khác, như DNS. Từ dài hạn, tốt hơn để bảo vệ người dùng từ email spam WordPress thất lạc.
Nếu bạn có câu hỏi hoặc bình luận, hãy liên hệ! Chúng tôi thích nghe từ bạn và vui vẻ trò chuyện về bảo mật WordPress.
Câu hỏi thường gặp
Tại sao email WordPress của tôi vào spam?
Nếu email spam đi đến người dùng từ trang web, đó chỉ ra hack. Mã độc dùng script gửi email WordPress để gửi hàng trăm nghìn email spam đến người dùng không ngờ. Nhiều hậu quả xấu cho bạn, chủ sở hữu trang web. Nhà cung cấp dịch vụ email có thể đưa email vào danh sách đen, khách hàng có thể bị hack/lừa đảo, và trang web có thể bị treo.
Làm thế nào khắc phục vấn đề email spam WordPress?
Để khắc phục trang WordPress gửi email spam, bạn cần loại bỏ mã độc gây vấn đề. Mã độc rất khó loại bỏ từ WordPress, nên bạn cần plugin bảo mật để dọn dẹp hiệu quả.