Nhiều chủ doanh nghiệp chỉ nghĩ đến bảo mật sau khi website bị tấn công: trang bị chèn quảng cáo lạ, bị chuyển hướng sang trang khác, hoặc không vào được. Lúc đó việc khắc phục thường tốn thời gian và tiền hơn nhiều so với phòng ngừa.
Bài này liệt kê 12 việc cần làm để bảo mật website WordPress, theo thứ tự ưu tiên. Hầu hết đều làm được trong vài giờ và không cần kiến thức lập trình sâu.
Vì sao website nhỏ cũng bị tấn công?
Kẻ tấn công thường không nhắm vào một doanh nghiệp cụ thể. Họ dùng công cụ tự động quét hàng loạt website để tìm lỗ hổng phổ biến: plugin lỗi thời, mật khẩu yếu, trang đăng nhập không được bảo vệ. Vì vậy website nhỏ vẫn là mục tiêu, và phòng ngừa cơ bản đã chặn được phần lớn các cuộc tấn công tự động này.
12 việc cần làm
1. Luôn cập nhật WordPress, giao diện và plugin
Phần lớn sự cố bảo mật đến từ phần mềm lỗi thời có lỗ hổng đã được công bố. Hãy cập nhật định kỳ (ít nhất mỗi tuần kiểm tra một lần), và sao lưu trước khi cập nhật để quay lại được nếu có lỗi.
2. Xóa plugin và giao diện không dùng
Chỉ tắt thôi là chưa đủ. Plugin hoặc giao diện không dùng vẫn nằm trên máy chủ và vẫn có thể bị khai thác. Không dùng nữa thì xóa hẳn. Cũng nên tránh các bản plugin hoặc giao diện “crack”, vì chúng thường chứa mã độc.
3. Dùng mật khẩu mạnh và duy nhất
Mỗi tài khoản một mật khẩu dài, khác nhau, lưu trong trình quản lý mật khẩu. Không dùng tên đăng nhập là “admin”, và đừng chia sẻ một tài khoản quản trị cho nhiều người.
4. Bật xác thực hai lớp (2FA)
Ngay cả khi mật khẩu bị lộ, 2FA vẫn chặn được người lạ đăng nhập. Hãy bật cho mọi tài khoản quản trị bằng ứng dụng xác thực hoặc một plugin bảo mật có hỗ trợ.
5. Giới hạn số lần đăng nhập sai
Tấn công dò mật khẩu thử hàng nghìn lần. Giới hạn số lần đăng nhập sai và khóa tạm thời địa chỉ IP vi phạm sẽ làm cuộc tấn công này kém hiệu quả. Bạn có thể đổi địa chỉ trang đăng nhập hoặc thêm lớp bảo vệ như captcha nếu thấy bị dò nhiều.
6. Cài chứng chỉ SSL và chuyển toàn bộ sang HTTPS
SSL mã hóa dữ liệu giữa khách và website, và trình duyệt cảnh báo “không an toàn” nếu thiếu. Sau khi cài, hãy chuyển hướng toàn bộ HTTP sang HTTPS và kiểm tra không còn nội dung hỗn hợp. Bạn có thể dùng công cụ kiểm tra SSL và bảo mật website để xem chứng chỉ, chuyển hướng và các header bảo mật.
7. Sao lưu tự động và lưu ở nơi khác
Sao lưu là tấm lưới an toàn cuối cùng. Hãy sao lưu cả file và cơ sở dữ liệu theo lịch, giữ nhiều bản, và lưu ở nơi khác máy chủ chính (ví dụ dịch vụ lưu trữ đám mây). Định kỳ thử khôi phục để chắc bản sao lưu dùng được.
8. Phân quyền người dùng đúng mức
Chỉ cấp vai trò quản trị cho người thật sự cần. Người viết bài chỉ cần vai trò biên tập hoặc tác giả. Khi một nhân sự hay đối tác nghỉ việc, thu hồi quyền của họ ngay.
9. Chọn hosting có bảo mật tốt
Hosting chia sẻ kém chất lượng là rủi ro. Hãy chọn nhà cung cấp có tường lửa, quét mã độc, cô lập tài khoản, sao lưu và hỗ trợ khi sự cố. Hỏi rõ về các tính năng này trước khi mua.
10. Bảo vệ file quan trọng và tắt chức năng không cần
Các bước cứng hóa như bảo vệ file wp-config.php, tắt trình chỉnh sửa file trong trang quản trị, chặn thực thi PHP trong thư mục tải lên, ẩn thông tin phiên bản không cần thiết. Hướng dẫn chính thức có tại tài liệu hardening của WordPress. Nếu không tự tin, hãy nhờ người có chuyên môn làm giúp để tránh làm hỏng website.
11. Thêm các header bảo mật
Các header như HSTS, X-Content-Type-Options, X-Frame-Options hay Referrer-Policy giúp trình duyệt xử lý website an toàn hơn. Đây là lớp phòng thủ bổ sung, thường cấu hình một lần ở máy chủ hoặc bằng plugin. Công cụ kiểm tra ở bước 6 cũng cho biết website của bạn đang có hay thiếu những header này.
12. Theo dõi và rà soát định kỳ
Bảo mật không phải việc làm một lần. Hãy có lịch kiểm tra hằng tháng: cập nhật, tài khoản thừa, liên kết hỏng hoặc lạ (dùng công cụ kiểm tra link hỏng), cảnh báo từ Google Search Console và bản sao lưu. Mình có gợi ý lịch ở bài những việc nên làm sau khi đã có website.
Dấu hiệu website có thể đã bị hack
- Xuất hiện trang, bài viết hoặc quảng cáo lạ mà bạn không đăng.
- Truy cập từ Google nhưng bị chuyển sang trang khác, đặc biệt trên điện thoại.
- Trình duyệt hoặc Google cảnh báo trang web không an toàn.
- Có tài khoản quản trị lạ, hoặc bạn bị khóa khỏi trang quản trị.
- Website đột ngột chậm hoặc hosting thông báo dùng tài nguyên bất thường.
Nếu website đã bị tấn công, làm gì trước?
- Đừng hoảng loạn và đừng xóa vội, hãy ghi lại những gì bạn thấy.
- Liên hệ nhà cung cấp hosting, họ thường có công cụ quét và hỗ trợ.
- Đổi mật khẩu quản trị, hosting, cơ sở dữ liệu và FTP.
- Khôi phục từ bản sao lưu sạch gần nhất, rồi cập nhật mọi thứ.
- Tìm và vá nguyên nhân (thường là plugin lỗi thời hoặc tài khoản bị lộ), nếu không sẽ bị tái nhiễm.
- Nếu trang bị Google gắn cảnh báo, gửi yêu cầu xem xét lại trong Search Console sau khi đã làm sạch.
Câu hỏi thường gặp
Có cần cài plugin bảo mật không?
Một plugin bảo mật uy tín giúp bật tường lửa, quét mã độc, giới hạn đăng nhập và 2FA nhanh hơn. Nhưng nó không thay được việc cập nhật, sao lưu và mật khẩu mạnh. Chỉ dùng một plugin bảo mật để tránh xung đột.
Website nhỏ ít người truy cập có cần bảo mật không?
Có. Tấn công tự động quét cả website nhỏ. Mức bảo vệ cơ bản vẫn rất đáng làm.
Cần người rà soát bảo mật cho website của bạn?
Nếu bạn muốn có người kiểm tra và thiết lập các lớp bảo vệ cơ bản, hãy liên hệ mình hoặc xem dịch vụ thiết kế website trọn gói, trong đó có bàn giao, hướng dẫn sử dụng và lịch bảo trì.
