Wordpress là CMS được sử dụng khá phổ biến hiện nay, bởi tính đơn giản trong quản trị, tính linh hoạt, hỗ trợ SEO tốt và hoàn toàn miễn phí. Cũng chính vì WordPress đang ngày càng phổ biến mà nguy cơ bị tấn công cũng tăng theo, do đó, bảo mật cho website Wordpress càng trở nên quan trọng hơn bao giờ hết. Bài viết này sẽ tổng hợp và chia sẻ 8 phương pháp bảo mật hiệu quả, giảm thiểu nguy cơ và rủi ro cho Wordpress !
WordPress mặc định đường dẫn tới trang quản trị là wp-admin, điều này giúp các hacker dễ dàng xác định địa chỉ đăng nhập sau khi họ có trong tay thông tin tài khoản của bạn, hay sử dụng những scripts tự động dò quét username/password rất tinh vi. Do vậy, bạn nên đổi đường dẫn mặc đinh đăng nhập vào trang quản trị cho WordPress.
Có nhiều cách để làm việc này, nhưng đơn giản nhất vẫn là sử dụng plugin Better WP Security. Sau khi cài đặt Better WP Security, bạn vào Security => Hide Backend và thay đổi URL cho trang quản trị, trang đăng nhập và đăng ký tài khoản.
order deny, allow allow from a.b.c.d. #your static ip deny from all- Nên đổi tên bảng trong database của website: Thường thì prefix mặc định của Wordpress là “wp_”, bạn nên đổi thành một tên khác => hạn chế hacker tấn công qua SQL Injection. 3) Bảo mật cho các file/folder quan trọng Bảo vệ thư mục wp-admin và các file quan trọng khác như wp-config.php, .htacess,... bằng cách đặt quyền (CHMOD) hoặc phòng vệ bằng mật khẩu 2 lớp (thực hiện trong trang quản trị host - control panel) - Nếu muốn phân quyền bằng CHMOD, các bạn chỉ cần dùng FTP Client để kết nối đến host (ví dụ, dùng FileZilla Client hoặc CuteFTP), sau đó chọn file hoặc folder muốn set quyền và chọn quyền muốn set, ví dụ: 555: read-only, 775- người có quyền thì được thay đổi còn public user có quyền read,... - Nếu muốn bảo vệ mật khẩu 2 lớp cho file, folder => các bạn đăng nhập vào trang quản trị host (ví dụ mình đang dùng cPanel) và thao tác như hình bên dưới.
Ngoài ra, có thể cấm edit các file trong admin bằng cách thêm vào file wp-config.php của WordPress đoạn code sau:
define( 'DISALLOW_FILE_EDIT', true );File wp-config.php ở thư mục gốc của WordPress chứa thông tin về database và các thông tin cấu hình website Wordpress khác cần được bảo vệ. Bạn nên thêm đoạn mã sau vào file .htaccess để bảo vệ, không cho sửa đổi file wp-config.php
<files wp-config.php>order allow,deny
deny from all
</files>
Nếu các bạn buộc phải sử dụng các theme Premium và plugin chia sẻ miễn phí trên mạng thì nhớ quét virus trước khi sử dụng nhé!
Nếu bạn xem website của bạn ở chế độ source code sẽ thấy một dòng như sau:
<meta name="generator" content="WordPress 3.9.1" />Nhìn vào đây, chúng ta biết được website của bạn đang sử dụng mã nguồn Wordpress, phiên bản 3.9.1 => Hãy ẩn thông tin này đi! Để ẩn thông tin phiên bản Wordpress, bạn truy cập vào bảng điều khiển chính của WordPress, chọn Design > Theme Editor. Ở phía bên phải, chúng ta chọn file Header và tìm kiếm dòng mã có dạng như dưới đây:
<meta name=”generator” content=”WordPress <?php bloginfo(’version’); ?>” />Hãy xóa dòng này và nhấn nút Update File. Chú ý: Với các phiên bản Wordpress mới (từ 2.6 trở đi) thì hệ thống tự động gắn thông tin phiên bản trong phần Wp_head() => để chỉnh sửa, bạn phải mở file general-template.php trong thư mục /wp-includes/ và tìm đến đoạn php bloginfo(’version’) để sửa. Hoặc cách đơn giản hơn là thêm đoạn mã sau vào file functions.php của themes hiện tại.
remove_action(‘wp_head’, ‘wp_generator’);8) Tắt chế độ debug trong Wordpress Nếu bạn không cần làm gì thì hãy tắt chế độ debug, đơn giản là các hacker chỉ cần biết bạn lỗi gì hiển thị trên màn hình là có thể tìm cách khai thác để tấn công website của bạn. Mặc định thì chế độ debug đã được tắt, nếu không, các bạn có thể tự kiểm tra và tắt chế độ debug trong wordpress bằng cách thêm đoạn mã sau vào file wp-config.php:
define('WP_DEBUG', false);Chúc các bạn thành công!
