Bảo mật WordPress

Nếu bạn chưa biết, wp-content là một trong 3 thư mục gốc quan trọng của WordPress (bao gồm wp-admin, wp-includes và wp-content). Đây là nơi lưu trữ tất cả các thành phần mà người dùng có thể tùy biến, chẳng hạn như themes, plugins và cả các tập tin được upload thông qua WordPress Dashboard (hình ảnh, video, nhạc…). Do vậy, wp-content cũng dễ dàng trở thành một trong những đích ngắm “yêu thích” của các hacker. Để bảo vệ blog/ website WordPress an toàn hơn, bạn nên đổi tên thư mục wp-content.

Nếu bạn sử dụng phần mềm diệt virus trên máy tính thì hẳn đã quá quen với thuật ngữ “firewall” hay “tường lửa” rồi phải không nào? Hiểu một cách đơn giản, firewall giống như một tấm lá chắn giúp ngăn chặn các mối đe dọa tiềm tàng (virus, mã độc, phần mềm gián điệp…) có thể gây hại cho máy tính của bạn. Blog/ website cũng giống như máy tính, chúng luôn phải đối mặt với vô vàn các cuộc tấn công theo đủ các phương thức khác nhau.

Viết blog là một việc làm phổ biến trên thế giới hiện nay. Một số người làm điều đó để chia sẻ những câu chuyện của họ, một số khác lại chia sẻ quan điểm và hiểu biết của họ. Với sự phát triển của internet, việc kinh doanh bằng blog cũng đã trở nên rất phổ biến. Gạt tất cả những mục đích này sang một bên, tất cả các blogger đều muốn đảm bảo rằng blog của họ an toàn khỏi hacker và các mối đe dọa an ninh khác.

Sẽ không vui vẻ gì khi trang web của bạn bị hack. Tăng cường khả năng bảo mật có thể là một việc vặt vãnh, nhưng nó dễ dàng hơn nhiều so với khi phải đối phó với hậu quả của việc hacker tấn công và phá hoại trang web của bạn. Vậy làm thế nào bảo mật trang web WordPress của bạn một cách hoàn hảo nhất? Ở đây, tôi đã tổng hợp được 5 video về bảo mật từ WPMUDEV và làm thành serie Bảo mật WordPress.

Brute Force Attacks (BFA) là một trong những phương thức tấn công phổ biến nhất hiện nay, không chỉ với WordPress mà còn rất nhiều mã nguồn khác. Nguyên tắc hoạt động của BFA chính là thử tất cả các chuỗi mật khẩu bất kỳ để tìm ra mật khẩu chính xác. Dựa vào nguyên tắc này, bạn có thể ngăn chặn BFA một cách đơn giản thông qua việc giới hạn số lần đăng nhập thất bại.

WordPress có một tập tin đăng nhập mặc định gọi là wp-login.php. Thông qua đó, người dùng có thể truy cập vào bảng điều khiển và quản lý tất cả mọi thứ. Với số lượng ngày càng tăng của các cuộc tấn công “brute force attacks” vào các trang web WordPress trong thời gian gần đây, người dùng thường được đề xuất việc thay đổi link đăng nhập mặc định (tức là wp-login.php).

Nonces là một trong những cách tốt nhất để bảo vệ người dùng khỏi các mối đe dọa có thể xảy ra. Chúng được sử dụng để bảo đảm hoạt động người dùng được khởi xướng bởi các plugin, chẳng hạn như việc tạo một biểu mẫu (form), xóa bài viết hoặc bất cứ điều gì khác mà có thể làm phơi bày các cơ sở dữ liệu. Trong bài viết này, tôi sẽ mô tả cho các bạn những vấn đề liên quan đến nonces và cách mà bạn có thể sử dụng chúng để làm cho blog/website của mình trở nên an toàn hơn.