WordPress là hệ thống quản lý nội dung phổ biến nhất thế giới. Nó vận hành 43% tất cả các trang web trên Internet. Và do sự phổ biến này, nó trở thành mục tiêu phổ biến của hacker. Theo báo cáo Sucuri năm 2018, 90% các trang web dựa trên CMS được Sucuri dọn dẹp trong năm đó là trang web WordPress.
Không người dùng WordPress nào có thể xem nhẹ bảo mật trang web của mình. Như bạn đã biết, trang đăng nhập vào bảng điều khiển WordPress là hàng rào đầu tiên chống lại kẻ xấu. Nếu ai đó truy cập được trang WordPress của bạn, họ có thể làm nhiều điều độc hại. Chúng có thể lây nhiễm mã độc/quần mã gián điệp/phần mềm gián điệp vào trang, làm cho nó chuyển hướng đến trang không an toàn, cài đặt phần mềm khai thác tiền điện tử, và nhiều hơn nữa.
Mặc dù mật khẩu siêu mạnh có thể khiến hacker khó xâm nhập, nhưng tên người dùng WordPress khó đoán khiến chúng khó khăn gấp đôi. Nếu bạn không hài lòng với tên người dùng hiện tại, tôi sẽ chỉ cho bạn cách thay đổi tên người dùng WordPress trong các bước đơn giản, bao gồm ba phương pháp. Sau đó, tôi sẽ giải thích tại sao tên người dùng phức tạp không đủ cho bảo mật, nhưng nó không gây hại.
Yêu cầu về tên người dùng WordPress
Tên người dùng của bạn hiển thị công khai. Ai cũng có thể tìm ra tên người dùng bằng cách di chuột qua tên hiển thị (dẫn đến trang chứa tất cả bài viết của tác giả) trên một bài viết và nhìn URL. URL sẽ giống như https://example.com/author/nameoftheauthor/. Do đó, hãy chọn tên người dùng bạn thoải mái khi công khai.
Khi cài đặt WordPress lần đầu, nó đặt tên người dùng mặc định là 'admin' và cho phép bạn thay đổi. Hãy thay đổi tên người dùng WordPress ngay trong quá trình cài đặt. WordPress không khuyến khích dùng 'admin' vì nó là mặc định, dễ đoán, ngoài ra các tên sau cũng nên tránh:
- adm
- admin
- admin1
- hostname
- manager
- qwerty
- root
- support
- sysadmin
- test
- user
Cách thay đổi tên người dùng WordPress đúng cách?
Có ba cách chính để thay đổi tên người dùng WordPress:
- Tạo người dùng mới làm tài khoản mặc định WordPress;
- Sử dụng plugin; hoặc
- Sử dụng phpMyAdmin.
Trước khi tiến hành thay đổi tên người dùng, tôi khuyên bạn nên sao lưu trang web. Bạn đang thực hiện thay đổi cấp quản trị viên, và có rủi ro bạn tự khóa mình ngoài tài khoản. Có bản sao lưu nghĩa là bạn có thể khôi phục quyền truy cập nếu điều đó xảy ra.
Thay đổi tên người dùng WordPress bằng cách tạo người dùng mới
WordPress không cho phép thay đổi tên người dùng trực tiếp từ bảng điều khiển, khác với hầu hết trang web. Một cách giải quyết là tạo người dùng mới với tên mong muốn, chuyển toàn bộ nội dung sang tài khoản mới, sau đó xóa tài khoản cũ. Hiệu quả tương đương thay đổi trực tiếp nếu được phép. Hãy bắt đầu.
- Vào Users (Người dùng) > Add New (Thêm mới) từ bảng điều khiển WordPress.
- Điền thông tin ở trang tiếp theo. Chắc chắn dùng địa chỉ email khác so với tài khoản WordPress hiện tại, nếu không sẽ báo lỗi email đã đăng ký. Cũng chắc chắn gán vai trò Administrator (Quản trị viên) cho người dùng mới để có cùng đặc quyền admin.
- Nhấp Add New User (Thêm người dùng mới) ở dưới để hoàn tất.
- Đăng xuất tài khoản cũ, sau đó đăng nhập bằng tài khoản mới vừa tạo.
- Vào trang Users > All Users (Tất cả người dùng) và nhấp Delete (Xóa) dưới tài khoản admin cũ.
- Trang xác nhận, WordPress hỏi bạn muốn làm gì với nội dung của tài khoản cũ. Chọn Attribute all content to (Gán toàn bộ nội dung cho), sau đó chọn tài khoản mới từ menu thả xuống.
- Nhấp Confirm Deletion (Xác nhận xóa) để xóa tài khoản cũ. WordPress sẽ xóa tài khoản đó và đưa bạn về trang All Users với thông báo 'User deleted (Đã xóa người dùng)'.
Xong! Bạn đã thay đổi thành công tên người dùng WordPress. Nếu muốn dùng lại email cũ, vào Users > Profile (Hồ sơ) để thay đổi.
Thay đổi tên người dùng WordPress bằng plugin
Nếu muốn thay đổi tự động, hãy dùng plugin. Ở bài này, tôi dùng plugin Easy Username Updater tuyệt vời. Như tên gọi, nó rất dễ dùng. Các bước:
- Cài đặt và kích hoạt plugin Easy Username Updater. Bạn sẽ thấy nút mới 'Username Updater' trong menu Users (Người dùng). Nhấp vào nó.
- Bạn sẽ thấy danh sách tất cả người dùng trang web, kèm email, vai trò, User ID. Nhấp update (cập nhật) cho người dùng muốn thay đổi tên. Chúng ta sẽ đổi 'srikant' thành 'wordpress_wizard'.
- Ở màn hình tiếp theo, nhập tên người dùng mới, tích ô gửi email thông báo nếu muốn, rồi nhấp Update Username (Cập nhật tên người dùng).
Vậy là bạn đã thay đổi thành công tên người dùng WordPress. Nếu vào trang All Users, bạn sẽ thấy tên mới. Bạn có thể gỡ plugin nếu muốn.
Thay đổi tên người dùng WordPress trong phpMyAdmin
Phương pháp này phức tạp hơn hai cách trên, vì yêu cầu thay đổi trực tiếp cơ sở dữ liệu. Nó rủi ro. Nếu thay đổi sai, có thể gây lỗi trang web hoặc mất quyền truy cập. Hãy thận trọng và làm theo đúng các bước. Chỉ dùng cách này khi không còn lựa chọn khác. Nếu chưa sao lưu trang web, đây là lúc thích hợp.
Bạn có thể hỏi "phpMyAdmin là gì?". Đó là chương trình cung cấp giao diện web để chủ trang web/quản trị viên quản lý cơ sở dữ liệu MySQL. Cơ sở dữ liệu WordPress lưu trữ dữ liệu quan trọng bao gồm tên người dùng. Chúng ta sẽ thay đổi tên người dùng trực tiếp trong cơ sở dữ liệu dùng phpMyAdmin.
Hầu hết nhà cung cấp hosting tự động cài phpMyAdmin cùng WordPress khi bạn đăng ký. Nếu nhà cung cấp không cài, bạn phải tự cài trên máy chủ trang web. Tìm hướng dẫn dành cho nhà cung cấp của bạn trực tuyến.
Các hướng dẫn dưới đây áp dụng cho hầu hết nhà cung cấp, nhưng tôi sẽ dùng Bluehost làm ví dụ.
- Nhấp Advanced > phpMyAdmin từ bảng điều khiển Bluehost. Sẽ mở phpMyAdmin trong tab mới.
- Chọn cơ sở dữ liệu WordPress từ menu điều hướng bên trái, sau đó nhấp vào bảng wp_users.
- Nhấp Edit (Sửa) bên cạnh tên người dùng muốn thay đổi. Chúng ta sẽ đổi 'wordpress_wizard' thành 'srikant'.
- Thay tên người dùng cũ bằng tên mới trong trường user_login, sau đó nhấp Go ở dưới.
Vậy là bạn đã thay đổi thành công tên người dùng WordPress trong cơ sở dữ liệu dùng phpMyAdmin.
Tại sao bạn muốn thay đổi tên người dùng WordPress và cách chọn tên tốt
Ngoài việc tăng cường bảo mật một chút, bạn có thể muốn thay đổi tên người dùng vì cảm thấy cần thay đổi, hoặc muốn chuyển nhượng quản trị trang web cho người khác. Dù lý do gì, hãy chọn tên người dùng khôn ngoan. Dưới đây là mẹo chọn tên tốt:
- Làm cho nó khó đoán. Tôi đã giải thích ở trên.
- Chọn cái dễ nhớ và có ý nghĩa với bạn.
- Tránh dựa trên thông tin cá nhân vì tên đó dễ đoán hơn trừ khi tạo thành cụm mật khẩu (passphrase) (giải thích dưới).
- Tạo tên người dùng theo kiểu cụm mật khẩu (passphrase). Cụm mật khẩu về bản chất là mật khẩu mạnh – dùng kết hợp chữ, số, ký tự đặc biệt – không có nghĩa với ai trừ bạn. Khác với mật khẩu mạnh khác, cụm mật khẩu thực sự có nghĩa. Ví dụ: Giả sử phim yêu thích của bạn là Inception. Đây là sự thật bạn không bao giờ quên. Inception do Leonardo DiCaprio đóng chính và Christopher Nolan đạo diễn.
Với thông tin này, bạn tạo câu: "Starring Leonardo DiCaprio and directed by Christopher Nolan, Inception is my favorite movie of all time." Nếu lấy chữ cái đầu mỗi từ, bạn có cụm: 'SLDCadbCNIimfmoat'. Voilà! Bạn có mật khẩu khá mạnh. Bạn có thể làm mạnh hơn bằng cách thay thế chữ bằng ký tự đặc biệt giống nó: 'S' thành '$', 'b' thành '6', v.v. Với thay thế, ta được: '$LDC&d6CN1imfm0@t'. Chúng ta đồng ý đó là mật khẩu rất mạnh và có nghĩa với bạn.
Đọc thêm: Hướng dẫn bảo mật mật khẩu WordPress
Tên người dùng WordPress có thực sự quan trọng không?
Khá đơn giản, không, nó không quan trọng. Bạn thấy nó trong bài viết bảo mật WordPress do tồn tại tấn công dò tìm mật khẩu (brute force).
Tấn công dò tìm mật khẩu là một trong cách phổ biến nhất hacker xâm nhập trang web. Hacker dùng thử và sai để đoán thông tin đăng nhập. Chúng dùng bot thử tất cả tổ hợp chữ, số, ký tự đặc biệt, hy vọng trúng một tổ hợp cho phép truy cập. Như bạn thấy, kiểu tấn công này không hiệu quả về mặt tính toán. Rất tiếc, có hàng tấn mật khẩu yếu trên Web, hacker dùng cơ sở dữ liệu mật khẩu yếu cho cuộc tấn công. Ngay cả khi hacker truy cập được 1 trong 100 tài khoản họ thử, việc của họ đã xong.
Lý do thay đổi tên người dùng mặc định là khiên kém hiệu quả chống brute force là có vài cách tìm ra tên người dùng trên WordPress. Nếu có blog, hacker có thể đoán được. Thêm vào đó, WordPress cho phép dùng email để đăng nhập. Cuối cùng, hình thức phòng thủ tốt nhất chống bot dò mật khẩu là tường lửa nâng cao với bảo vệ bot và giới hạn lần đăng nhập, cả hai đều có sẵn trong MalCare.
Cách thực sự tăng cường bảo mật trang WordPress
Mặc dù thay tên người dùng thành phức tạp hơn có thể tăng cường bảo mật một chút, nhưng nếu bạn quên nó, bạn phải đào vào cơ sở dữ liệu để lấy lại. Vì vậy chúng tôi khuyên dùng trình quản lý mật khẩu như 1Password, Dashlane, hoặc LastPass. Bạn có thể lưu trữ an toàn mọi thông tin đăng nhập trên đám mây, và không ai – kể cả công ty đứng sau trình quản lý mật khẩu – có thể khám phá chúng vì chúng được mã hóa.
Cũng, thay tên người dùng thành khó đoán hơn có thể không đủ chống brute force. Có thể hàng trăm bot chạy song song để bẻ khóa tên người dùng và mật khẩu. Chúng tôi đưa ra mẹo dưới đây để tăng cường bảo mật trang web đáng kể.
Cài đặt tường lửa WordPress
Bạn cần tường lửa chất lượng với bảo vệ bot. Tường lửa chặn IP độc hại đến trang web hoàn toàn. Bảo vệ bot phân tích hành vi bot để chặn bot xấu. MalCare có tường lửa với cả bảo vệ bot và IP toàn cầu.
Giới hạn lần đăng nhập
Thêm vào đó, bạn nên giới hạn lần đăng nhập để ngăn chặn các cuộc tấn công này. Với MalCare, người dùng bị khóa sau một số lần đăng nhập thất bại. Nếu có người thật muốn đăng nhập, họ có thể giải captcha đơn giản để vượt qua chặn. Bot thì bị khóa trong thời gian dài, làm giảm hiệu quả đáng kể.
Sử dụng xác thực hai yếu tố (2FA)
Xác thực hai yếu tố, hay 2FA, thêm lớp bảo mật cho đăng nhập. Cách hoạt động tóm gọn: sau khi đăng nhập ứng dụng/trang web bằng thông tin đăng nhập, bạn phải nhập mã bí mật tạm thời chỉ bạn biết để ứng dụng/trang web xác minh đó chính là bạn, không phải ai khác. Bạn có thể nhận mã qua tin nhắn hoặc dùng ứng dụng thứ 3 như Google Authenticator. Xem hướng dẫn bật 2FA trong WordPress.
Cài đặt giải pháp bảo mật WordPress toàn diện
Cách tốt nhất bảo mật trang WordPress là dùng MalCare. MalCare quét mã độc hàng ngày và có tường lửa tiên tiến với bảo vệ IP toàn cầu. Thêm vào đó, nếu trang web bị nhiễm mã độc, bạn có thể xóa toàn bộ mã độc chỉ với một cú nhấp chuột.
Kết luận
Tên người dùng khó đoán làm cho tấn công brute force chống lại trang web của bạn khó khăn hơn một chút. Do đó, hãy dùng tên người dùng mạnh để truy cập bảng điều khiển WordPress. Được nói vậy, kết hợp tên người dùng và mật khẩu mạnh có thể không đủ ngăn chặn tấn công. Hãy dùng MalCare để bảo mật trang web và có sự an tâm.
Câu hỏi thường gặp
Q – Làm thế nào thay đổi tên người dùng WordPress của tôi?
A – Có ba cách chính: tạo người dùng mới và xóa người cũ, dùng plugin, hoặc dùng phpMyAdmin.
Q – Tôi có nên quan tâm đến tên người dùng WordPress không?
A – Tên người dùng WordPress mạnh hữu ích cải thiện bảo mật trang web, dù chỉ chút. Ít nhất nó làm tấn công brute force khó thành công hơn.
Q – Plugin tốt nào để thay đổi tên người dùng WordPress?
A – Plugin Easy Username Updater là lựa chọn tốt. Nó khá dễ dùng.
Q – Tên người dùng hợp lệ cho WordPress là gì?
A – Tên người dùng WordPress hợp lệ chỉ chứa ký tự chữ số (chữ và số), khoảng trắng, và/hoặc một số ký tự đặc biệt: khoảng trắng, gạch dưới, gạch ngang, dấu chấm, và ký hiệu @. Không ký tự đặc biệt khác được phép.
Q – Hacker lấy tên người dùng WordPress như thế nào?
A – Ai cũng thấy tên người dùng vì nó công khai. Hacker thường có cơ sở dữ liệu liệt kê tên người dùng và mật khẩu phổ biến. Vì vậy, hãy chọn tên người dùng khó đoán.
Q – Ký tự nào được phép trong tên người dùng WordPress?
Sau đây được phép trong tên người dùng WordPress:
- Ký tự chữ số (chữ và số)
- Khoảng trắng
- Gạch dưới
- Gạch ngang
- Dấu chấm
- Ký hiệu @
Q – Tên người dùng WordPress có thể có khoảng trắng không?
A – Có, được phép.
Q – Tại sao tôi không thể thay đổi tên người dùng WordPress?
A – WordPress không cho phép ai thay đổi tên người dùng từ bảng điều khiển. Tuy nhiên, tồn tại các phương pháp làm được, và chúng tôi đã thảo luận trong bài viết.
Q – Làm thế nào biết tên người dùng WordPress của tôi?
A – Bạn tìm ra tên người dùng từ bảng điều khiển WordPress bằng cách vào Users > Profile. Tên người dùng hiển thị dưới phần Name (Tên).
Q – Làm thế nào bảo mật trang web WordPress của tôi?
Dùng MalCare. Đây là công cụ chống mã độc tiên tiến cho trang web WordPress.