Bảo mật website WordPress: 12 bước cơ bản ai cũng làm được

WordPress chạy một phần rất lớn các website trên thế giới, vì vậy cũng là mục tiêu tấn công phổ biến. Tin tốt là phần lớn các vụ tấn công khai thác những lỗi cơ bản. Làm đủ 12 bước dưới đây, website của bạn đã an toàn hơn rất nhiều.

Tài khoản và đăng nhập

1. Mật khẩu mạnh, không dùng lại

Ít nhất 14 ký tự, dùng trình quản lý mật khẩu để tạo và lưu. Không dùng chung mật khẩu với email hay mạng xã hội.

2. Bật xác thực hai lớp (2FA)

Kể cả khi lộ mật khẩu, kẻ tấn công vẫn không đăng nhập được nếu không có mã từ điện thoại của bạn.

3. Không dùng tên đăng nhập “admin”

Đây là tên đầu tiên các công cụ dò mật khẩu thử.

4. Giới hạn số lần đăng nhập sai

Chặn tạm địa chỉ IP sau 5 lần sai để ngăn dò mật khẩu tự động.

Cập nhật và mã nguồn

5. Cập nhật WordPress, giao diện, plugin

Phần lớn lỗ hổng đã có bản vá; website bị tấn công thường đang chạy phiên bản cũ.

6. Chỉ cài plugin từ nguồn uy tín

Tuyệt đối không dùng plugin, giao diện “bẻ khóa” — chúng thường chứa sẵn mã độc.

7. Xóa plugin và giao diện không dùng

Plugin đã tắt vẫn có thể bị khai thác nếu còn nằm trên máy chủ.

Máy chủ và kết nối

8. Bật HTTPS cho toàn bộ website

Xem hướng dẫn trong bài SSL là gì.

9. Dùng PHP và hosting được cập nhật

Phiên bản PHP hết hỗ trợ không còn được vá lỗi bảo mật.

10. Phân quyền tệp đúng

Thư mục 755, tệp 644, tệp cấu hình wp-config.php chặt hơn (600 hoặc 640).

Giám sát và dự phòng

11. Sao lưu tự động, lưu ngoài máy chủ

Theo quy tắc 3-2-1.

12. Theo dõi thay đổi và thời gian hoạt động

Bật cảnh báo khi website ngừng hoạt động hoặc có tệp lạ xuất hiện.

Dấu hiệu website đã bị xâm nhập

Bảo mật không phải việc làm một lần. Hãy đặt lịch kiểm tra cập nhật mỗi tuần và rà soát tài khoản quản trị mỗi tháng.