Blog WordPress của bạn có thể bị dò mật khẩu, chèn mã độc hoặc chiếm quyền quản trị chỉ vì một plugin cũ hay một mật khẩu yếu. Bảo mật WordPress không đòi hỏi bạn phải là lập trình viên: chỉ cần làm đúng vài thiết lập cơ bản là đã chặn được phần lớn rủi ro thường gặp. Bài viết này tổng hợp 10 bước dễ làm, phù hợp cho người mới tự quản lý blog.
Vì sao cần bảo mật WordPress ngay từ đầu?
WordPress là nền tảng làm web rất phổ biến, nên cũng là mục tiêu quen thuộc của các công cụ tấn công tự động. Phần lớn các cuộc tấn công không nhắm vào riêng ai, mà quét hàng loạt website để tìm lỗ hổng sẵn có.
Những rủi ro thường gặp gồm:
- Dò mật khẩu (brute force): bot thử liên tục tên đăng nhập và mật khẩu ở trang wp-login.php.
- Lỗ hổng plugin, theme: phiên bản cũ có lỗi bảo mật đã được công bố nhưng chưa cập nhật.
- Mã độc, spam link: website bị chèn quảng cáo lạ, chuyển hướng sang trang khác.
- Mất dữ liệu: không có bản sao lưu nên không khôi phục được khi sự cố xảy ra.
Hậu quả không chỉ là mất bài viết. Website bị nhiễm mã độc có thể bị trình duyệt cảnh báo, mất lượt truy cập từ Google và mất uy tín với người đọc.
10 bước bảo mật WordPress cơ bản cho người mới
1. Luôn cập nhật WordPress, plugin và theme
Cập nhật là cách bảo vệ đơn giản và hiệu quả nhất, vì các bản vá thường sửa đúng những lỗ hổng đã được phát hiện. Vào Bảng tin → Cập nhật để kiểm tra định kỳ.
- Bật tự động cập nhật cho plugin và theme tin cậy (trong mục Plugin có liên kết “Bật tự động cập nhật”).
- Xóa hẳn plugin, theme không dùng thay vì chỉ tắt. Mã nguồn còn nằm trên hosting vẫn có thể bị khai thác.
- Sao lưu trước khi cập nhật bản lớn để phòng xung đột.
2. Dùng tên đăng nhập và mật khẩu mạnh
Tránh dùng tên đăng nhập “admin” hoặc trùng tên miền, vì đây là những tên bot thử đầu tiên. Mật khẩu nên dài từ 12 ký tự trở lên, có chữ hoa, chữ thường, số và ký hiệu.
WordPress có sẵn công cụ tạo mật khẩu mạnh trong Thành viên → Hồ sơ. Bạn có thể dùng trình quản lý mật khẩu để lưu thay vì cố ghi nhớ.
3. Bật xác thực hai lớp (2FA)
Xác thực hai lớp yêu cầu thêm một mã từ ứng dụng trên điện thoại (như Google Authenticator) khi đăng nhập. Dù mật khẩu bị lộ, kẻ xấu vẫn khó vào được trang quản trị.
Một số plugin phổ biến hỗ trợ 2FA: Wordfence, Solid Security (tên cũ là iThemes Security) hoặc WP 2FA.
4. Giới hạn số lần đăng nhập sai
Mặc định WordPress cho phép thử đăng nhập không giới hạn. Hãy cài plugin như Limit Login Attempts Reloaded để tạm khóa địa chỉ IP sau vài lần nhập sai. Wordfence và Solid Security cũng có sẵn tính năng này.
5. Cài đặt chứng chỉ SSL (HTTPS)
SSL mã hóa dữ liệu giữa trình duyệt và máy chủ, giúp thông tin đăng nhập không bị đọc trộm trên đường truyền. Đây cũng là yếu tố trình duyệt dùng để đánh dấu website “an toàn”. Xem hướng dẫn chi tiết tại bài chứng chỉ SSL là gì và cách cài SSL miễn phí cho WordPress.
6. Sao lưu website định kỳ
Không có biện pháp nào an toàn tuyệt đối, nên bản sao lưu là “lưới an toàn” cuối cùng. Nên lưu cả cơ sở dữ liệu lẫn thư mục wp-content, và giữ một bản ở nơi khác ngoài hosting (Google Drive, Dropbox…). Tham khảo thêm cách sao lưu website WordPress miễn phí.
7. Cài một plugin bảo mật
Plugin bảo mật giúp quét mã độc, chặn truy cập đáng ngờ và cảnh báo khi có thay đổi bất thường. Người mới chỉ nên chọn một plugin chính để tránh xung đột và làm chậm web.
| Plugin | Điểm mạnh | Phù hợp với |
|---|---|---|
| Wordfence | Tường lửa, quét mã độc, 2FA, giới hạn đăng nhập | Người muốn bộ tính năng đầy đủ |
| Solid Security | Thiết lập theo hướng dẫn, 2FA, chống dò mật khẩu | Người mới thích giao diện đơn giản |
| Limit Login Attempts Reloaded | Nhẹ, chỉ tập trung chặn dò mật khẩu | Blog nhỏ, muốn tối giản |
Mỗi plugin có bản miễn phí và bản trả phí, tính năng cụ thể có thể thay đổi theo phiên bản. Bạn nên đọc mô tả trên trang plugin chính thức trước khi cài.
8. Chỉ cài plugin, theme từ nguồn uy tín
Tuyệt đối không dùng plugin, theme “bẻ khóa” (nulled) tải trên mạng, vì chúng thường bị cài sẵn mã độc. Hãy cài từ thư viện chính thức WordPress.org hoặc mua tại trang của nhà phát triển. Trước khi cài, kiểm tra số lượt cài đặt, đánh giá và ngày cập nhật gần nhất.
9. Tắt trình sửa file trong trang quản trị
WordPress cho phép sửa trực tiếp mã nguồn theme, plugin trong trang quản trị. Nếu tài khoản bị chiếm, kẻ xấu có thể dùng chức năng này để chèn mã độc. Bạn có thể tắt bằng cách thêm dòng sau vào file wp-config.php (sao lưu file trước khi sửa):
define( 'DISALLOW_FILE_EDIT', true );
Nếu cần chỉnh giao diện, nên dùng child theme để thay đổi không bị mất khi cập nhật theme gốc.
10. Phân quyền người dùng hợp lý
Chỉ cấp quyền Quản trị viên cho người thật sự cần. Cộng tác viên viết bài nên để ở vai trò Tác giả hoặc Biên tập viên. Định kỳ vào Thành viên để xóa tài khoản không còn dùng và kiểm tra có tài khoản lạ hay không.
Chọn hosting cũng là một phần của bảo mật WordPress
Hosting là “nền móng” của website. Một nhà cung cấp tốt sẽ hỗ trợ sẵn nhiều lớp bảo vệ ở phía máy chủ mà plugin không làm được. Khi chọn hosting, bạn nên xem các tiêu chí sau:
- Có SSL miễn phí và cài đặt dễ dàng.
- Có công cụ quét mã độc ở phía máy chủ.
- Có sao lưu tự động (tần suất tùy gói).
- Hỗ trợ phiên bản PHP mới và có đội ngũ hỗ trợ phản hồi nhanh.
Ví dụ, Hostinger có công cụ Malware Scanner trong bảng điều khiển hPanel, kèm SSL miễn phí và sao lưu tự động theo gói. Nếu bạn đang tìm hosting cho blog, có thể tham khảo Hostinger qua link giới thiệu này (đây là link giới thiệu, blog có thể nhận hoa hồng nếu bạn đăng ký, bạn không phải trả thêm phí). Hãy so sánh tính năng và giá các gói trên trang chính thức trước khi quyết định.
Dấu hiệu website WordPress có thể đã bị tấn công
Hãy kiểm tra ngay nếu bạn thấy một trong các dấu hiệu sau:
- Website tự chuyển hướng sang trang lạ hoặc hiện quảng cáo bạn không cài.
- Xuất hiện tài khoản quản trị bạn không tạo.
- Google Search Console gửi cảnh báo bảo mật hoặc phát hiện trang spam.
- Website chậm bất thường, hosting báo dùng tài nguyên tăng đột biến.
Khi đó, hãy đổi toàn bộ mật khẩu (WordPress, hosting, cơ sở dữ liệu), quét mã độc bằng plugin hoặc công cụ của hosting, khôi phục từ bản sao lưu sạch và liên hệ bộ phận hỗ trợ của nhà cung cấp hosting.
Checklist bảo mật WordPress nhanh
| Việc cần làm | Tần suất |
|---|---|
| Cập nhật WordPress, plugin, theme | Hàng tuần |
| Kiểm tra bản sao lưu còn hoạt động | Hàng tháng |
| Rà soát tài khoản người dùng | Hàng tháng |
| Quét mã độc | Hàng tuần hoặc tự động |
| Xóa plugin, theme không dùng | Mỗi khi phát hiện |
Câu hỏi thường gặp về bảo mật WordPress
Bảo mật WordPress có cần trả phí không?
Không bắt buộc. Các bước cơ bản như cập nhật, mật khẩu mạnh, 2FA, SSL miễn phí và plugin bảo mật bản free đã đủ cho phần lớn blog cá nhân. Bản trả phí phù hợp khi website lớn hoặc có giao dịch.
Có nên cài nhiều plugin bảo mật cùng lúc?
Không nên. Nhiều plugin có tính năng trùng nhau dễ gây xung đột, lỗi đăng nhập và làm chậm website. Hãy chọn một plugin chính và bổ sung plugin nhỏ chỉ khi thật sự cần.
Đổi đường dẫn trang đăng nhập có giúp bảo mật hơn không?
Có thể giảm bớt lượt bot dò tìm, nhưng không thay thế được mật khẩu mạnh và 2FA. Hãy coi đây là lớp bổ sung, không phải biện pháp chính.
Bao lâu nên sao lưu website một lần?
Tùy tần suất đăng bài. Blog cập nhật hàng ngày nên sao lưu hàng ngày; blog đăng vài bài mỗi tuần có thể sao lưu hàng tuần. Quan trọng là thử khôi phục định kỳ để chắc bản sao lưu dùng được.
Kết luận
Bảo mật WordPress là việc làm thường xuyên chứ không phải cài một lần là xong. Chỉ cần duy trì cập nhật, dùng mật khẩu mạnh kèm 2FA, có SSL, sao lưu định kỳ và chọn hosting đáng tin cậy, blog của bạn đã an toàn hơn rất nhiều so với để mặc định.
Hãy bắt đầu ngay hôm nay: mở trang quản trị, cập nhật mọi plugin và bật xác thực hai lớp cho tài khoản quản trị. Nếu thấy bài viết hữu ích, hãy lưu lại checklist ở trên và chia sẻ cho bạn bè đang làm blog WordPress nhé!