Cách bảo mật website WordPress cho cửa hàng nhỏ
Checklist bảo mật WordPress cho chủ cửa hàng: cập nhật, mật khẩu, xác thực hai yếu tố, sao lưu, gỡ plugin thừa và việc cần làm khi website bị hack.
Website WordPress là nền tảng phổ biến nên cũng là mục tiêu quen thuộc của kẻ xấu. Phần lớn các vụ website cửa hàng nhỏ bị xâm nhập không do kỹ thuật cao siêu, mà do mật khẩu yếu, plugin cũ chưa cập nhật hoặc không có bản sao lưu.
Bài này là một danh sách việc cần làm theo thứ tự ưu tiên, bạn có thể tự làm hoặc đưa cho người quản trị website thực hiện.
Vì sao website cửa hàng nhỏ vẫn bị nhắm tới
Bạn có thể nghĩ "cửa hàng mình nhỏ, chẳng ai thèm hack". Thực tế nhiều cuộc tấn công chạy tự động: công cụ quét hàng loạt website tìm lỗi đã biết, chứ không nhắm riêng ai.
Hậu quả thường là chèn quảng cáo hoặc link lạ vào website, chuyển hướng khách sang trang khác, đánh cắp dữ liệu khách hàng hoặc làm website bị trình duyệt cảnh báo nguy hiểm. Khi đó bạn mất uy tín và đơn hàng.
Bước 1: Cập nhật mọi thứ thường xuyên
- Đăng nhập khu vực quản trị, chọn Bảng tin (Dashboard) rồi Cập nhật (Updates).
- Cập nhật lõi WordPress, giao diện (theme) và từng plugin khi có bản mới.
- Gỡ hẳn plugin và theme không dùng, đừng chỉ tắt đi. Mã còn nằm trên máy chủ vẫn có thể bị khai thác.
- Chỉ cài plugin từ nguồn đáng tin, còn được cập nhật. Tránh các bản "nulled" (hàng crack) vì thường chứa mã độc.
Trước khi cập nhật lớn, hãy sao lưu website để quay lại nếu có lỗi.
Bước 2: Làm sạch tài khoản và mật khẩu
- Không dùng tên đăng nhập "admin". Nếu đang dùng, tạo tài khoản quản trị mới với tên khác rồi xóa tài khoản cũ.
- Dùng mật khẩu dài, duy nhất, tạo bằng trình quản lý mật khẩu.
- Mỗi nhân viên một tài khoản riêng, đúng quyền hạn cần thiết (ví dụ chỉ viết bài, không cần quyền quản trị).
- Xóa tài khoản của người đã nghỉ việc ngay.
- Mật khẩu hosting, email và tài khoản tên miền cũng phải khác nhau và đủ mạnh.
Xem thêm cách đặt quy định mật khẩu cho nhân viên văn phòng nhỏ.
Bước 3: Bật xác thực hai yếu tố cho quản trị
Mật khẩu có thể lộ, nhưng nếu có lớp xác thực thứ hai thì kẻ gian khó vào hơn. Bạn có thể dùng plugin xác thực hai yếu tố uy tín, hoặc bật tính năng tương đương nếu nhà cung cấp hosting hỗ trợ. Hãy chọn ứng dụng xác thực thay vì mã gửi qua tin nhắn khi có thể, xem cách dùng ứng dụng Google Authenticator, Microsoft Authenticator.
Bảo vệ luôn email quản trị, vì đây là nơi nhận liên kết đặt lại mật khẩu.
Bước 4: Sao lưu đúng cách
Sao lưu là tấm lưới an toàn cuối cùng.
- Sao lưu cả cơ sở dữ liệu và tệp website (theme, plugin, ảnh tải lên).
- Đặt lịch sao lưu tự động theo tần suất phù hợp với việc bạn đăng bài hoặc có đơn hàng.
- Lưu bản sao ở nơi khác với máy chủ website, không để cùng một chỗ.
- Thử khôi phục thử ít nhất một lần để biết bản sao dùng được.
- Giữ nhiều phiên bản, vì có lúc mã độc nằm ngầm vài ngày mới phát tác.
Bước 5: Các thiết lập nên bật
- Dùng HTTPS cho toàn bộ website. Xem cách kiểm tra trang web có chứng chỉ HTTPS đáng tin.
- Giới hạn số lần đăng nhập sai để chặn dò mật khẩu.
- Chống spam và bot ở biểu mẫu liên hệ, bình luận, đăng ký. Xem cách bảo vệ website bán hàng khỏi spam và bot.
- Tắt chỉnh sửa tệp trực tiếp trong khu quản trị nếu không cần.
- Chọn nhà cung cấp hosting uy tín, có hỗ trợ cập nhật phiên bản PHP và tường lửa.
- Thêm một plugin bảo mật có tiếng để quét mã độc và cảnh báo thay đổi tệp, nhưng đừng cài nhiều plugin cùng loại chồng lên nhau.
Dấu hiệu website có thể đã bị xâm nhập
- Website tự chuyển sang trang lạ, hiện quảng cáo hoặc nội dung bạn không đăng.
- Trình duyệt hoặc Google cảnh báo trang nguy hiểm.
- Xuất hiện tài khoản quản trị bạn không tạo.
- Website chậm bất thường hoặc nhà cung cấp hosting báo tài nguyên tăng đột biến.
- Khách báo nhận email lạ có tên cửa hàng.
Khi nghi bị hack thì làm gì
- Đổi ngay mật khẩu quản trị, hosting, cơ sở dữ liệu và email.
- Liên hệ nhà cung cấp hosting để được hỗ trợ quét và cách ly.
- Khôi phục từ bản sao lưu sạch gần nhất nếu có.
- Cập nhật mọi thứ, xóa tài khoản và plugin lạ rồi mới đưa website trở lại.
- Nếu có dữ liệu khách hàng bị ảnh hưởng, hãy thông báo cho khách và tham khảo cách bảo vệ dữ liệu khách hàng ở cửa hàng nhỏ.
Cần hỗ trợ thêm?
Nếu bạn không có thời gian tự quản website, Cường Tech có dịch vụ thiết kế website và vận hành hệ thống IT cho cửa hàng, doanh nghiệp nhỏ. Bạn có thể gọi 0943.847.333 để trao đổi nhu cầu cụ thể.
Câu hỏi thường gặp
Cách bảo mật WordPress đơn giản nhất cho người mới là gì?
Cập nhật thường xuyên, dùng mật khẩu mạnh và duy nhất, bật xác thực hai yếu tố cho quản trị, gỡ plugin không dùng và sao lưu định kỳ ở nơi khác.
Có cần cài plugin bảo mật cho WordPress không?
Một plugin bảo mật uy tín giúp quét mã độc và chặn đăng nhập sai nhiều lần. Chỉ cần một plugin, đừng cài nhiều cái cùng chức năng.
Bao lâu nên sao lưu website WordPress một lần?
Tùy tần suất bạn đăng bài hoặc có đơn hàng. Website bán hàng nên sao lưu tự động hằng ngày hoặc thường xuyên hơn, và lưu ở nơi khác máy chủ.
Website WordPress bị hack thì làm gì đầu tiên?
Đổi mật khẩu các tài khoản liên quan, liên hệ nhà cung cấp hosting và khôi phục từ bản sao lưu sạch, sau đó cập nhật và xóa plugin hoặc tài khoản lạ.
