Bảo mật trang WordPress: Hướng dẫn bảo vệ mật khẩu tối thượng

Khi trang WordPress bị hack, một trong những thủ phạm phổ biến nhất là mật khẩu của bạn.

Mặc dù không trang web nào hoàn toàn chống hack được, bảo mật mật khẩu WordPress của bạn tạo ra sự khác biệt lớn khi bảo vệ trang web.

Hai sai lầm phổ biến nhất về mật khẩu: dựa vào thứ dễ nhớ, và tái sử dụng mật khẩu cho nhiều trang/tài khoản. Muốn nghe điều khó tin? Mật khẩu phổ biến nhất 2020 là từ 'password' hoặc biến thể của nó.

Ngay cả không dùng mật khẩu rõ ràng như vậy, dùng ngày sinh, tên thú cưng, quê quán, hay tên người thân là rủi ro bảo mật khổng lồ. Chắc chắn dễ nhớ, nhưng cũng khiến hack web dễ dàng như ăn kẹo vì thông tin này dễ dàng có được trên hồ sơ các dịch vụ như mạng xã hội.

Mật khẩu tồn tại như chìa khóa trang web, đúng nghĩa đen. Và bảo mật tốt không dừng ở mật khẩu mạnh. Nếu muốn bảo mật web, cần đảm bảo biện pháp mạnh mẽ.

Cơ bản bảo mật mật khẩu WordPress

Mặc dù mật khẩu WordPress mạnh quan trọng, có vài thực hành vẫn hại web. Chúng thường bị bỏ qua vì dùng 1 mật khẩu cho nhiều tài khoản hoặc không đổi mật khẩu rất tiện. Nhưng nếu web WordPress quan trọng, có thực hành nhất định bạn phải bỏ.

Chúng tôi tạo danh sách này để bạn tăng cường bảo mật mật khẩu WordPress một lần.

1. Dùng plugin cho bảo mật đăng nhập

Hacker dùng kiểu tấn công gọi là brute force attack, dùng bot thử hàng ngàn tổ hợp mật khẩu để truy cập web. Nếu đối mặt brute force, bảo vệ tốt nhất là tường lửa mạnh. Không gì thay thế được bảo mật plugin với tường lửa mạnh.

Chúng tôi khuyến nghị MalCare vì vài lý do. Thứ nhất: MalCare có tường lửa thông minh phát hiện brute force trong vài phút. Nếu IP gửi 10 yêu cầu đăng nhập sai trong 30 phút, MalCare yêu cầu reCaptcha cho yêu cầu tiếp theo. Thêm vào đó, nếu 100+ lần đăng nhập sai trong thời gian ngắn, MalCare thêm reCaptcha cho mọi yêu cầu đăng nhập, bất kể IP, để bảo vệ web. MalCare cũng chặn IP đáng ngờ và cho bạn chặn thủ công IP riêng lẻ hoặc theo vị trí địa lý.

Ngoài bảo vệ brute force, MalCare cảnh báo hoạt động đáng ngờ và lỗ hổng kịp thời để bạn không bị bất ngờ.

MalCare cũng cho lên lịch quét tự động, dọn dẹp 1-click, và kênh hỗ trợ không thể so sánh cho mọi yêu cầu. Các biện pháp mạnh mẽ này bảo vệ web khỏi thủ phạm lớn nhất của malware — lỗ hổng (vulnerabilities).

2. Tuân thủ yêu cầu mật khẩu WordPress

Chúng tôi nói điều hiển nhiên — dùng mật khẩu mạnh! Nhưng gì mới gọi là mật khẩu mạnh?

Khi tạo tài khoản, cho hosting, wp-admin, hay nơi khác, bạn nhận khuyến nghị yêu cầu mật khẩu. Có thể độ dài, kết hợp ký tự, hoặc hơn. Tuân thủ các quy tắc mật khẩu WordPress chung này tuyệt đối.

• Dùng chữ thường, chữ HOA, số, ký tự đặc biệt (@, #, *, v.v.) trong mật khẩu.
• Mật khẩu dài hơn 6 ký tự (tối thiểu 10 ký tự; lý tưởng 50 ký tự)
• Đảm bảo mật khẩu không phải thông tin cá nhân: ngày sinh, tên thú cưng.
• Tránh từ đơn lẻ, dùng cụm từ (phrases) thay thế.

Những yêu cầu này không chỉ gợi ý, chúng đảm bảo mật khẩu không dễ bị xâm nhập bởi kẻ tấn công.

3. Dùng password manager (trình quản lý mật khẩu)

Chúng tôi hiểu tại sao người dùng mật khẩu yếu: không phải họ muốn bị hack, mà vì dễ nhớ. Ví dụ, mypetname1234 dễ nhớ hơn $%484hdfilpsofga. Nhưng đoán mật khẩu nào sống sót qua tấn công bot?

Nhờ password manager, bạn không cần nhớ những mật khẩu "vô nghĩa". Có vài password manager miễn phí và premium, nhưng khuyến nghị dùng password manager uy tín đảm bảo bảo mật và backup dữ liệu.

Nếu ngại dùng password manager vì lo hacker chiếm được nó => tất cả mật khẩu bị xâm phạm, hãy để giải thích cách hoạt động. Password manager mã hóa mật khẩu, nên ngay cả trong trường hợp hiếm bị hack, mật khẩu không thể giải mã. Hơn nữa, hầu hết password manager dùng kiến trúc zero-knowledge, nghĩa là mật khẩu ẩn ngay cả từ nhà cung cấp công cụ.

Password manager của bạn an toàn hơn bộ nhớ, với ngoại lệ có thể là "cung điện trí tuệ" của Sherlock.

4. Cập nhật mật khẩu thường xuyên

Brute force attack tốn thời gian, mật khẩu càng phức tạp càng lâu. Nếu tuân thủ mọi yêu cầu mật khẩu WordPress, hacker có thể mất ngày thậm chí tháng để crack. Rất tiếc, hacker dùng phương pháp khác như phishing để truy cập, và nếu mật khẩu bị đánh cắp, web rơi vào nguy hiểm.

Biện pháp đối phó đơn giản: đổi mật khẩu định kỳ và không tái sử dụng mật khẩu cũ. Việc nhớ mật khẩu mới có thể phiền, nhưng lợi ích bảo mật đáng giá.

Đổi mật khẩu thường xuyên có lợi thế khác. Nếu bạn bị hack mà không biết, đổi mật khẩu đăng xuất khỏi mọi thiết bị, đuổi ra khỏi web ai có truy cập trái phép.

5. Bỏ từ điển (Ditch the dictionary)

Rất thường, dù tuân thủ mọi hướng dẫn mật khẩu, bạn có thể dùng từ hoặc tên để nhớ. Nhưng tiếc thay, nếu mật khẩu có từ trong từ điển, chúng không an toàn.

Hacker dùng tấn công từ điển (dictionary attacks) crack mật khẩu thường, lập trình bot dùng tất cả từ trong từ điển trên web WordPress cho đến khi truy cập được. Cách tránh tốt nhất: không dùng từ trong từ điển. Chuỗi ngẫu nhiên (gibberish) phục vụ bạn tốt hơn tên ca sĩ yêu thích. Bạn có thể dùng cụm từ trong mật khẩu kết hợp số và ký tự đặc biệt, nhưng tránh từ đơn lẻ hoàn toàn.

6. Dùng mật khẩu duy nhất (Unique passwords)

Nếu quản lý web giá trị cao, rất quan trọng không tái sử dụng mật khẩu cho nhiều tài khoản/web. Dùng cùng mật khẩu cho nhiều trang là lỗ hổng bảo mật cực phổ biến, tránh tại mọi giá. Thường sau hack, mật khẩu bị xâm phạm trong rò rỉ dữ liệu, hacker nắm databank mật khẩu. Nếu bạn tái dùng mật khẩu, ngay cả khi mật khẩu mạnh, nó vô nghĩa nếu bị đánh cắp từ trang khác và dùng đăng nhập admin WordPress.

Cũng đọc: Cách đổi username WordPress

7. Không chia sẻ mật khẩu

Đừng chia sẻ mật khẩu với ai. Có vẻ lời khuyên thừa, nhưng quá nhiều người chia sẻ credentials với đồng nghiệp/đồng nghiệp. Mặc dù người bạn chia sẻ có thể không lạm dụng (dù không hiếm), chia sẻ mật khẩu bản thân là rủi ro bảo mật. Nếu liên lạc bị chặn, hacker dùng dữ liệu đó truy cập tài khoản.

Cách bắt buộc mật khẩu mạnh trong WordPress (cho tất cả user)

Để có thực hành bảo mật mạnh, cần đảm bảo tất cả user cũng dùng mật khẩu mạnh. Hacker không nhất thiết cần tài khoản admin để nhiễm web, có thể từ tài khoản khác với ít đặc quyền hơn. Bạn có thể bắt buộc mọi tài khoản trên web có mật khẩu mạnh bằng các bước:

• Cài plugin như Password Policy Manager
• Vào Cài đặt Chính sách Mật khẩu
• Chọn yêu cầu mật khẩu muốn áp dụng
• Thêm chi tiết: độ dài mật khẩu, thời gian hết hạn
• Bấm Lưu.

Tại sao bắt buộc mật khẩu mạnh trong WordPress

Chúng tôi thảo luận mật khẩu như chìa khóa web. Hãy tưởng tượng mất chìa khóa nhà và tên trộm tìm thấy. Ngay cả khi có bảo vệ, thực tế tên trộm có chìa khóa, cơ hội cướp tăng gấp trăm lần. Tương tự, ngay cả khi có biện pháp bảo mật khác, mật khẩu yếu vẫn cho hacker truy cập WordPress.

Hacker thường dùng brute force attack, dùng bot thử hàng nghìn biến thể mật khẩu để đăng nhập web. Bot dùng hàng ngàn tổ hợp/phút, thường có mật khẩu rò rỉ qua dark web. Nếu mật khẩu phổ biến hoặc yếu, bot dễ crack hơn.

Cũng quan trọng bảo vệ web khỏi brute force bằng tường lửa mạnh. Ngay cả brute force không tìm ra mật khẩu, hàng nghìn yêu cầu đăng nhập đến server trong thời gian ngắn làm quá tải server, làm chậm hoặc làm hỏng web.

Đó là lý do cực kỳ quan trọng đảm bảo mật khẩu mạnh, dài, duy nhất, và cập nhật thường xuyên.

Tổng kết

Tất cả biện pháp trên cực kỳ quan trọng cho bảo mật mật khẩu WordPress, nhưng theo dõi tất cả mật khẩu có thể nhàm chán. Bạn có thể giải quyết bằng cách dùng MalCare bảo mật web và trang đăng nhập WordPress. MalCare cung cấp quét định kỳ, tường lửa mạnh, dọn dẹp hoàn hảo, và hàng loạt biện pháp bảo mật khác đảm bảo web an toàn.

Nếu muốn cải thiện bảo mật đăng nhập tổng thể, có thể xem hướng dẫn này. Nhưng cách dễ dàng nhất nắm mọi thứ là để MalCare gánh vác nặng nhọc cho bạn.

FAQs

Làm sao làm mạnh mật khẩu WordPress?

Cách dễ nhất: dùng password manager tạo và lưu mật khẩu. Dùng password manager premium cho phép backup mật khẩu.

Thay vào đó, nếu tự làm mạnh mật khẩu thủ công, dùng kết hợp chữ HOA, thường, số, ký tự đặc biệt. Cũng tránh từ/tên phổ biến trong mật khẩu.

Làm sao bắt buộc mật khẩu mạnh trong WordPress?

Dùng plugin bảo mật mật khẩu đảm bảo ai tạo mật khẩu mới đáp ứng mọi yêu cầu. Bằng cách bắt buộc dùng kết hợp chữ HOA, thường, số, ký hiệu, dấu câu, bạn đảm bảo mọi tài khoản trên web được bảo vệ.

Nên đổi mật khẩu WordPress bao lâu một lần?

Lý tưởng: đổi mật khẩu WordPress mỗi 60-90 ngày. Đổi định kỳ làm tài khoản khó hack hơn, và có thể bắt buộc đổi mật khẩu qua plugin bảo mật.

Làm sao thay đổi độ mạnh mật khẩu WordPress?

Bạn thay đổi độ mạnh mật khẩu bằng cách điều chỉnh độ phức tạp. Mật khẩu yếu nhất: độ phức tạp tối thiểu, thường vài chữ cái. Mật khẩu mạnh nhất: kết hợp chữ, số, ký hiệu. Độ dài mật khẩu cũng ảnh hưởng độ mạnh, mật khẩu dài hơn khó crack hơn.