Trong bài viết bảo mật WordPress, bạn có thể gặp WordPress salts hoặc security keys, thắc mắc đó là gì. Tóm lại, chúng là chuỗi ngẫu nhiên WordPress dùng mã hóa mật khẩu.
Mật khẩu là khía cạnh quan trọng nhất bảo mật web, nên đáng hiểu WordPress salt keys hoạt động như thế nào, và quan trọng hơn, cách đổi khi cần.
TL;DR: Đổi salts và security keys WordPress trong giây lát với MalCare. MalCare bảo vệ hacker đột nhập bằng cách giới hạn lần đăng nhập, bảo vệ brute force tích hợp, và tường lửa tiên tiến. Bảo mật hands-off cho mọi người để bạn tập trung xây dựng web.
WordPress Salts Là Gì
WordPress salts hoặc security keys là chuỗi ký tự ngẫu nhiên, WordPress dùng mã hóa username và mật khẩu. Chuỗi dùng hash thông tin đăng nhập, thuật ngữ mật mã học chỉ quá trình mã hóa. Thông tin đăng nhập trở nên không thể phân biệt từ ký tự ngẫu nhiên, do đó không thể đánh cắp hoặc dùng đăng nhập web.
Thuật ngữ WordPress salts và WordPress security keys thường dùng thay thế nhau, nhưng luôn chỉ cùng 8 chuỗi. Có 4 security keys — AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY và NONCE_KEY — và mỗi security key có salt tương ứng.
Rất quan trọng giữ WP salts bí mật, vì vai trò bảo vệ thông tin đăng nhập. Chúng lưu trong file core wp-config.php, cùng database credentials, và không nên lưu đâu khác.
WordPress Salts Dùng Làm Gì
WordPress salts bảo mật username và mật khẩu lưu trong cookie trình duyệt. WordPress dùng cookie nhớ bạn đã đăng nhập. Ví dụ, đăng nhập wp-admin, đóng tab vô tình, WordPress không yêu cầu đăng nhập lại. Tính năng tiện lợi, nhiều web dùng cookie nhớ hành động/thích hợp.
Tuy nhiên, cookie dễ bị tấn công, như đánh cắp cookie và chiếm session. Do đó, quan trọng mã hóa thông tin nhạy cảm trong cookie, để hacker không dùng được.
Tại Sao Cần Đổi WordPress Security Keys Và Salts
Vì WordPress security keys và salts là chuỗi ngẫu nhiên, coi như mạnh và duy nhất. Tuy nhiên, vẫn có lúc cần đổi. Như giải thích, giữ chuỗi này riêng tư là then chốt. Vì vậy, nếu có cơ hội bị xâm phạm, cần đổi ngay.
Nếu web WordPress bị hack bất kỳ lúc nào, đây là ví dụ salt key bị xâm phạm. Với mã độc, hacker truy cập trái phép file web, bao gồm wp-config.php nơi lưu WP salts. Do đó, sau khi dọn mã độc, quan trọng đổi salt keys, cùng khuyến nghị sau hack. Với MalCare, dọn mã độc và đổi security keys trong vài phút từ cùng bảng điều khiển.
Cũng được coi là thói quen tốt đổi WordPress salt keys định kỳ, như đổi mật khẩu. Đổi credentials làm hacker khó đột phá bảo mật web hơn.
Cách Đổi WordPress Salts (3 Cách)
Có vài cách đổi WordPress salt keys: dùng plugin hoặc thủ công. Chúng tôi khuyến nghị plugin bảo mật, vì dễ hơn và làm nhiều hơn đổi salts.
1. Dùng Plugin Bảo Mật
Cách đơn giản nhất cập nhật salts WordPress là dùng plugin bảo mật có tính năng, như MalCare.
Để đổi security keys với MalCare, chỉ cần:
- Đăng nhập MalCare
- Vào phần Security and Firewall
- Dưới Security overview, click Apply Hardening
- Kéo xuống phần Paranoid, chọn Change Security Keys
- Click Apply
- Nhập FTP credentials màn hình tiếp theo
- Chọn thư mục cài WordPress (thường public_html)
- Click Apply Fix
User đã đăng nhập sẽ bị logout, nhưng username/mật khẩu giữ nguyên.
Tại sao khuyến nghị MalCare
MalCare là plugin bảo mật WordPress tinh vi bảo vệ web. Ngoài đổi salts/security keys dễ dàng, còn có deep scanner, malware cleaner, advanced firewall. Với MalCare, áp dụng các tùy chọn cứng hóa WordPress, đổi security keys là một trong số đó.
Plugin bảo mật khác đổi WordPress salt keys
Thay thế MalCare, bạn cũng dùng Sucuri hoặc iThemes Security đổi WordPress security keys.
Đổi security keys dùng Sucuri:
- Vào Sucuri Security menu trái
- Đi đến Settings
- Chọn tab Post-Hack
- Check box "Tôi hiểu thao tác này không thể revert"
- Click Generate New Security Keys
Với Sucuri, cũng lên lịch tự động cập nhật keys.
Đổi security keys dùng iThemes:
- Vào Security menu trái
- Click Settings
- Từ pane trái Settings, click icon menu Tools dưới cùng
- Chọn Change WordPress Salts mở rộng pane
- Click Run
Lưu ý: Chúng tôi không khuyến nghị cả hai làm plugin bảo mật, vì trình quét mã độc Sucuri không phát hiện hiệu quả; iThemes là plugin bảo mật tệ nhất chúng tôi thấy. Tuy nhiên, cả hai đổi được security keys, nên vào danh sách.
2. Dùng Plugin Đặc Thụ
Nếu chọn không cài plugin bảo mật, hoặc đã có plugin không có tính năng này, cài plugin Salt Shaker.
Sau cài và kích hoạt, Salt Shaker xuất hiện trong menu Tools bên trái. Có một màn hình với tùy chọn đổi WordPress salts ngay, hoặc tự động theo lịch. Đơn giản vậy.
Chúng tôi thường không ủng hộ plugin "một chiêu" đặc biệt nếu có thể lấy chức năng như một phần plugin khác. Tuy nhiên, Salt Shaker làm tốt chiêu đó.
3. Đổi WordPress Salts Thủ Công
Hoàn toàn có thể đổi WordPress security keys thủ công, nhưng chúng tôi thường khuyên không lật lội code web. Trong case này, bạn edit file wp-config.php, có lẽ file core quan trọng nhất. Rủi ro cao, dù task đơn giản.
Dù sao, để đổi WordPress salts thủ công, làm sau:
1. Lấy giá trị mới từ WordPress secret key generator. Lưu ý: bạn không bao giờ cần keys này cho dùng cá nhân, đừng lưu đâu. Cũng không khuyên tự tạo chuỗi này.
2. Backup web. Biên pháp cần thiết vì edit file core thủ công, có chance web hỏng.
3. Edit file wp-config.php. Có 2 lựa chọn: tải file qua FTP, edit, reupload file sửa; hoặc dùng SSH edit trực tiếp trên server.
4. Tìm Authentication Unique Keys and Salts
5. Thay code đó, lưu thay đổi
Sau khi đổi salt keys, user đăng nhập bị logout, phải login lại. Credentials không thay đổi, mật khẩu giữ nguyên.
Quan trọng: Đừng lưu keys đâu. Bạn không cần chúng.
Đổi WordPress Salt Keys Bao Lâu Một Lần
WordPress mặc định có salts và security keys, nên không cần cài. Thời điểm duy nhất đổi salts trở nên then chốt là ngay sau hack. Bạn phải giả định nếu web có mã độc, keys bị xâm phạm. Biết cryptographic hash trên web giúp hacker lấy dễ hơn.
Thời điểm khác cân nhắc đổi salts: khi setup web lần đầu, hoặc 6 tháng/lần. Chỉ làm hacker khó tìm credentials, nhưng không bắt buộc.
Các Việc Khác Bảo Vệ Đăng Nhập User
Chúng tôi nói đi nói lại, nhưng bảo mật mật khẩu then chốt bảo vệ web. Bên cạnh đảm bảo WordPress salts/security keys cập nhật và bí mật, đây là việc khác:
- Có bảo vệ brute force
- Bắt buộc mật khẩu mạnh
- Yêu cầu mật khẩu duy nhất
- Yêu cầu mật khẩu không có trong data breach
- Dùng xác thực hai yếu tố (2FA)
- Giới hạn lần đăng nhập
- Vô hiệu XML-RPC
Kết Luận
WordPress salts bảo vệ thông tin đăng nhập không bị đọc bởi hacker, đồng thời cho cookie giữ bạn đăng nhập. Có lợi ích bảo mật giữ WP salts cập nhật định kỳ, nhưng trừ khi có hack, không then chốt.
Nếu cần giúp đỡ, liên hệ chúng tôi. Chúng tôi thích nghe từ bạn!
FAQs
WordPress salts là gì?
WordPress salts là chuỗi ký tự ngẫu nhiên dài, WordPress dùng bảo mật credentials user đăng nhập. Còn gọi security keys, salts dùng tạo cryptographic hash username/mật khẩu cho mục đích bảo mật.
Tại sao WordPress gọi chúng là salts?
Salt là thuật ngữ mật mã học chỉ dữ liệu ngẫu nhiên thêm vào thông tin thiết yếu trước khi mã hóa. WordPress security keys và salts làm chính xác đó với username/mật khẩu, nên gọi salts.
Tại sao nên đổi salt keys WordPress?
Cần đổi WordPress salts/security keys nếu web có mã độc. Hacker truy cập file WordPress, bao gồm wp-config.php lưu salts. Nếu hacker có thông tin này, họ crack mọi mật khẩu trên web. Do đó, then chốt đổi WP security keys/salts sau hack.
Làm sao đổi salt trong WordPress?
Có 3 cách đổi WordPress salt keys:
- Dùng plugin bảo mật có tính năng cứng hóa như MalCare
- Dùng Salt Shaker, plugin chuyên đổi WordPress salts
- Đổi thủ công salts/security keys trong file wp-config.php