Bảo mật WordPress: 10 việc làm ngay trong 30 phút

1. Đổi mật khẩu quản trị thành mật khẩu mạnh

Đây là việc đơn giản nhất nhưng hiệu quả nhất. Dùng mật khẩu dài trên 16 ký tự, không dùng lại mật khẩu của email hay Facebook. Nếu website có nhiều người dùng, hãy bắt buộc tất cả đổi.

2. Không dùng tên đăng nhập "admin"

Đó là tên đầu tiên mọi công cụ dò mật khẩu thử. Tạo tài khoản quản trị mới với tên khác, chuyển bài viết sang tài khoản đó rồi xoá tài khoản admin cũ.

3. Bật xác thực hai lớp

Kể cả khi mật khẩu bị lộ, kẻ tấn công vẫn không vào được. Với website có doanh thu, đây là việc bắt buộc chứ không phải tuỳ chọn.

4. Giới hạn số lần đăng nhập sai

Mặc định WordPress cho thử mật khẩu vô hạn. Cài plugin giới hạn số lần thử và tự khoá IP sau vài lần sai — chặn được gần hết các đợt dò mật khẩu tự động.

5. Cập nhật WordPress, theme, plugin

Phần lớn website bị hack qua plugin cũ có lỗ hổng đã được công bố. Hãy cập nhật đều đặn, và xoá hẳn plugin không dùng — plugin đã tắt vẫn có thể bị khai thác nếu file còn trên máy chủ.

6. Tuyệt đối không dùng theme và plugin lậu

Đây là con đường phổ biến nhất để mã độc vào website. Bản lậu thường bị chèn mã ẩn tạo tài khoản quản trị, chèn link ẩn hoặc chuyển hướng khách sang trang khác. Tiết kiệm vài trăm nghìn có thể mất cả website và danh tiếng thương hiệu.

7. Phân quyền đúng

Không cấp quyền Quản trị viên cho người chỉ cần viết bài. Nhân viên nội dung dùng quyền Tác giả hoặc Biên tập viên là đủ. Càng ít tài khoản quyền cao, rủi ro càng thấp.

8. Bật HTTPS và ép chuyển hướng

Không có HTTPS, mật khẩu quản trị của bạn truyền đi dạng chữ thô mỗi lần đăng nhập — đặc biệt nguy hiểm khi dùng wifi công cộng.

9. Sao lưu tự động và tải bản sao ra ngoài

Backup là thứ cứu bạn khi mọi biện pháp khác thất bại. Quan trọng: đừng chỉ lưu backup trên cùng hosting. Máy chủ hỏng hoặc bị mã hoá dữ liệu là mất cả web lẫn backup.

10. Chặn truy cập file cấu hình và tắt chỉnh sửa file trong quản trị

Thêm dòng define('DISALLOW_FILE_EDIT', true); vào wp-config.php để không ai sửa được code từ trang quản trị. Nếu tài khoản bị chiếm, kẻ tấn công cũng không chèn được mã độc qua đường này.

Nên cài plugin bảo mật nào?

Một plugin bảo mật tổng hợp là đủ — cài hai ba cái cùng lúc dễ xung đột và làm web chậm. Điều quan trọng hơn plugin là thói quen: cập nhật đều, không dùng bản lậu, backup ra ngoài.

Dấu hiệu website đã bị xâm nhập

• Xuất hiện tài khoản quản trị mà bạn không tạo.
• Web tự chuyển hướng sang trang lạ, đặc biệt chỉ xảy ra trên điện thoại.
• Google báo website chứa nội dung nguy hiểm.
• Có file lạ trong thư mục uploads, nhất là file .php.