Để bảo vệ website WordPress của bạn an toàn trước 99% các mối đe dọa về bảo mật, trên thực tế không quá khó. Trong suốt 10 năm làm việc trong lĩnh vực WordPress và hosting, từng xử lý mã độc, chống hack, chống DDoS… cho hàng nghìn website, tôi đã đúc rút được ra được một số kinh nghiệm khá hữu ích mà bất cứ ai cũng có thể áp dụng được. Theo đó, mỗi website nói chung và mỗi website WordPress nói riêng nên có 4 lớp bảo vệ. 4 Lớp bảo vệ đó là gì? Hãy dành ít phút để cùng WP Căn bản tìm hiểu ngay sau đây.
WordPress
Tổng hợp mọi thứ về WordPress: tin tức WordPress, thủ thuật WordPress, WordPress themes, WordPress plugins, dịch vụ dành cho WordPress.
Biểu mẫu Jetpack Newsletter cho theme Paradise
Theo mặc định, theme Paradise sẽ sử dụng plugin Genesis eNews Extended để tạo biểu mẫu đăng ký nhận thông báo bài viết mới qua email. Plugin này hỗ trợ rất nhiều dịch vụ email marketing khác nhau, chẳng hạn như MailChimp, Aweber, FeedBlitz… Trước đây, nó hỗ trợ cả FeedBurner nữa, nhưng dịch vụ này sau đó đã bị Google khai tử. Giải pháp miễn phí không giới hạn, không quảng cáo, hiện nay cũng chỉ còn có Jetpack Newsletter. Tuy nhiên, nó sử dụng biểu mẫu riêng chứ không tích hợp được vào trong biểu mẫu của Genesis eNews Extended.
Nén Emoji giúp website WordPress load nhanh hơn
Trong bài viết hôm trước tôi đã từng hướng dẫn các bạn cách loại bỏ Emoji ra khỏi những trang không sử dụng hoặc hiếm khi sử dụng các biểu tượng cảm xúc (thường gọi là icon mặt cười) rồi phải không nào? Việc này sẽ giúp làm gọn HTML và khiến website của bạn load nhanh hơn. Nhưng sẽ như thế nào nếu Emoji là một phần thiết yếu đối với website của bạn? Đừng lo lắng, ngay sau đây là một giải pháp tuyệt vời để tối ưu Emoji mà không cần phải loại bỏ nó.
Vô hiệu hóa WordPress Global Styles giúp tăng tốc website
Nếu bạn chưa biết thì kể từ phiên bản 5.9.0, WordPress đã bổ sung thêm tính năng “Duotone Filters” nhằm cho phép người dùng sử dụng các bộ lọc màu với hình ảnh (xem chi tiết tại đây). Để tính năng này có thể hoạt động được, họ đã chèn thêm các đoạn code CSS và SVG vào mã nguồn website. Chúng có dung lượng khá lớn và sẽ gây ảnh hưởng tới tốc độ load của website. Trong trường hợp bạn không sử dụng Block Editor (Gutenberg) hoặc không sử dụng bộ lọc màu, tốt nhất bạn nên vô hiệu hóa WordPress Global Styles đi cho đỡ nặng web.
WordPress 6.9 “Gene” chính thức phát hành
WordPress 6.9, với tên mã “Gene”, được phát hành vào ngày hôm qua (02/12/2025), vinh danh nghệ sĩ dương cầm Jazz người Mỹ, Gene Harris. WordPress 6.9 mang đến những nâng cấp lớn về cách các đội nhóm cộng tác và sáng tạo. Bản phát hành này cũng mang lại những cải tiến hiệu suất đáng kể giúp tải trang nhanh hơn, bổ sung một số block mới thiết thực cùng khả năng kéo thả trực quan hơn, giúp người sáng tạo xây dựng nội dung phong phú và năng động hơn.
Cấu hình HSTS cho website thông qua file .htaccess
HSTS – viết tắt của HTTP Strict Transport Security – là một tính năng bảo mật cho phép website thông báo cho các trình duyệt chỉ nên giao tiếp bằng giao thức HTTPS an toàn thay vì HTTP. Bằng cách thêm một lá cờ (flag) vào phần header mà trình duyệt web nhận được khi gửi yêu cầu tới máy chủ, HSTS đảm bảo rằng tất cả kết nối sau đó tới một website được mã hóa bằng giao thức HTTPS và ngăn chặn hacker sử dụng chứng chỉ số không hợp lệ.
Làm thế nào để thay đổi tài khoản Admin trong WordPress?
Nếu bạn không chỉnh sửa mục Admin Username trong khi cài đặt WordPress bằng Softaculous thì tên đăng nhập WordPress của bạn mặc định sẽ là “admin”. Nhiều người cũng có thói quen này, ngay cả khi cài đặt WordPress theo phương pháp thủ công. Nghĩa là bạn có thể truy cập bảng điều khiển WordPress của mình với tên người dùng là “admin”, rất dễ nhớ. Nhưng vấn đề là tất cả các tin tặc đều biết “admin” là tên tài khoản quản trị mặc định của WordPress.
Chống Brute Force Attack hiệu quả cho website WordPress
Brute Force Attacks (BFA) là một trong những phương thức tấn công phổ biến nhất hiện nay, không chỉ với WordPress mà còn rất nhiều mã nguồn khác. Nguyên tắc hoạt động của BFA chính là thử tất cả các chuỗi mật khẩu bất kỳ để tìm ra mật khẩu chính xác. Dựa vào nguyên tắc này, bạn có thể ngăn chặn BFA một cách đơn giản thông qua việc giới hạn số lần đăng nhập thất bại. Trong WordPress, có một plugin rất nổi tiếng thường được đính kèm trong các dich vụ cài đặt tự động chính là Limit Login Attempts.
Bật tính năng bảo mật 2 bước cho website WordPress
Trong các bài viết trước đây, tôi đã từng hướng dẫn cho các bạn cách đổi link đăng nhập WordPress và giới hạn số lần đăng nhập thất bại để chống brute force attack rồi phải không nào? Tuy nhiên, sẽ thế nào nếu hacker đoán ra cả link lẫn mật khẩu đăng nhập của bạn? Chốt chặn cuối cùng có thể giúp bạn ngăn chặn họ truy cập vào WordPress Admin chính là bảo mật 2 bước hay còn được gọi là two factor authentication.
Chặn bots xấu truy cập vào website WordPress
Bên cạnh những bots tốt (good bots) chẳng hạn như Google Bots, Facebook Bots, Bing Bots… có tác dụng thu thập dữ liệu từ website của bạn để hiển thị lên các kết quả tìm kiếm thì cũng có rất nhiều bots xấu (bad bots) chẳng mang lại bất cứ lợi ích gì ngoài việc tiêu tốn tài nguyên của host. Một số bots xấu có thể kể đến là AhrefsBot, SEMrushBot, MJ12Bot (Majestic), DotBot (MOZ)… do các công cụ SEO phát triển. Nếu bạn không sử dụng các công cụ SEO này thì tốt nhất là chặn chúng đi cho khỏe.
Bình luận mới nhất