Kiến thức căn bản cho người dùng WordPress
Kinh nghiệm, thủ thuật, plugins hữu ích giúp bạn nâng cao khả năng bảo mật WordPress, đảm bảo an toàn cho blog, website của mình.
Thời gian gần đây, nhiều bạn liên hệ hỏi tôi về việc không tìm thấy mục Lets Encrypt™ SSL trong cPanel của dịch vụ WordPress Hosting (server Mỹ) cung cấp bởi WP Căn bản nói riêng và dịch vụ hosting của một số nhà cung cấp nói chung. Làm thế nào để cài đặt được SSL miễn phí cho website của bạn khi mà Let’s Encrypt không còn được tích hợp sẵn trong cPanel nữa? Thực ra, nó vẫn ở đó, chỉ là được chuyển sang một khu vực khác mà thôi.
Nếu bạn còn nhớ thì vào ngày 8/6 vừa qua, toàn bộ server của StableHost tại Singapore bị suspend khiến cho toàn bộ những website đang chạy trên location này không thể truy cập được. Nhân viên kỹ thuật của StableHost phải mất cả tuần mới có thể restore hết dữ liệu của 4 server lên location mới (Phoenix, Mỹ). Tuy nhiên, cơn ác mộng với các webmaster vẫn chưa dừng lại ở đó. Rất nhiều website bị mất dữ liệu cập nhật trong gần 1 tháng trở lại đây.
Như đã thông báo trên Facebook fanpage của WP Căn bản vào chiều hôm qua, trong khoảng vài ngày trở lại đây, rất nhiều website WordPress đã bị hacker tấn công, chiếm quyền kiểm soát và redirect sang trang web khác, cụ thể là getmyfreetraffic.com. Không những front-end của website, người dùng cũng không thể đăng nhập được vào trang quản trị WordPress để kiểm tra và khắc phục lỗi. Một vài khách hàng đang sử dụng dịch vụ WordPress Hosting của WP Căn bản đã không may gặp phải tình trạng này.
Let’s Encrypt là một trong những loại SSL được ưa chuộng nhất hiện nay. Sở dĩ như vậy là bởi vì nó có chất lượng khá tốt (tương thích với các loại trình duyệt web phổ biến) và đặc biệt là hoàn toàn miễn phí. Tuy nhiên, vòng đời của một chứng chỉ Let’s Encrypt khá ngắn, chỉ kéo dài 3 tháng. Điều này có nghĩa là cứ 3 tháng 1 lần, bạn phải tiến hành gia hạn Let’s Encrypt cho tên miền của mình. Trên các hosting sử dụng cPanel/ DirectAdmin, hầu hết các nhà cung cấp dịch vụ đã trang bị sẵn tính năng tự động cài đặt và gia hạn Let’s Encrypt.
Đọc tiêu đề chắc nhiều bạn sẽ thắc mắc về tác dụng của bài viết này. Đang yên đang lành thì cài đặt lại toàn bộ plugin trên website để làm gì? Đúng vậy, đang yên đang lành thì chả có ai rảnh rỗi để đi cài đặt lại toàn bộ plugin. Nhưng sẽ thế nào nếu website WordPress bị nhiễm mã độc và bạn không thể xác định được chính xác plugin nào đang có file bị nhiễm? Giải pháp nhanh chóng nhất vẫn là xóa bỏ toàn bộ plugin cũ và tiến hành cài đặt lại từ đầu. Nhưng nếu làm thủ công thì sẽ rất mất thời gian và có thể mất đi các thiết lập sẵn có.
Bạn đã bao giờ nghe về các kỹ thuật tấn công bảo mật như Clickjacking hay XSS (Cross Site Scripting) chưa? Chúng là những phương thức tấn công bảo mật rất phổ biến và nguy hiểm cho website. Tuy nhiên, chúng lại có thể bị ngăn chặn hiệu quả bởi HTTP Security Headers. Vậy HTTP Security Headers là gì? Làm thế nào để bảo mật website WordPress của bạn với HTTP Security Headers? Hãy dành vài phút để cùng WP Căn bản tìm hiểu ngay sau đây.
SSL (HTTPS) ngày càng trở nên phổ biến sau khi Google công bố họ sẽ ưu tiên các website sử dụng giao thức HTTPS trên bảng xếp hạng kết quả tìm kiếm. Trong WordPress, các bạn có thể cài đặt SSL một cách dễ dàng với sự trợ giúp của các plugin như WordPress HTTPS (SSL) hay Really Simple SSL. Tuy nhiên, chúng chưa thực sự “hoàn hảo” dẫn đến vẫn còn tồn tại một số lỗi SSL. Cụ thể là nhiều thành phần vẫn chưa thực sự hoạt động trên giao thức HTTPS.
Dạo gần đây, phong trào chuyển từ HTTP sang HTTPS diễn ra rất rầm rộ. Khá nhiều bạn có liên hệ hỏi tôi về việc chuyển sang HTTPS có bị mất thứ hạng trên Google hay không và chuyển như thế nào thì không bị mất thứ hạng. Thực ra, việc chuyển từ HTTP sang HTTPS không làm giảm thứ hạng tìm kiếm của bạn mà thậm chí còn tăng nếu bạn làm đúng cách. Bởi vì Google đã công bố họ sẽ ưu tiên các blog/ website sử dụng giao thức HTTPS rồi mà.
Nếu bạn chưa biết thì WordPress hiện tại vẫn đang sử dụng jQuery v1.12.4 và jQuery Migrate v1.4.1. Đây có thể xem là 2 phiên bản jQuery khá cũ khi mà jQuery mới nhất đã lên tới v3.3.1. Những phiên bản jQuery này còn tồn tại nhiều lỗi bảo mật nghiêm trọng. Đó là lý do tại sao bạn chắc chắn sẽ bị cảnh báo khi kiểm tra website với Google Lighthouse. Cách duy nhất để khắc phục vấn đề này chính là nâng câp jQuery lên phiên bản mới nhất.
SSL ngày càng trở nên cần thiết với các website trong bối cảnh tin tặc ngày càng gia tăng các cuộc tấn công và Google công khai “nâng đỡ” những trang sử dụng giao thức HTTPS. Không chỉ ưu tiên những trang có cài đặt SSL trên bảng xếp hạng kết quả tìm kiếm, Google (mà cụ thể là trình duyệt Chrome) còn cảnh báo “không an toàn” đối với những website không sử dụng tiêu chuẩn bảo mật này. Đó là lý do tại sao bạn nên cài đặt SSL cho website của mình “ngay và luôn”.
Bình luận mới nhất