Cách bảo mật website tránh bị hack: 4 nhóm việc theo thứ tự ưu tiên

Phần lớn website doanh nghiệp nhỏ bị hack không phải vì bị ai nhắm tới, mà vì bot tự động quét hàng loạt và tìm thấy một cửa chưa khóa. Việc cần làm vì vậy không phải mua thêm công cụ, mà là đóng đúng những cửa hay bị mở nhất, theo thứ tự.

Website bị hack qua những cửa nào?

Trước khi cài bất cứ thứ gì, cần biết kẻ tấn công thường vào bằng đường nào. Với website WordPress của doanh nghiệp vừa và nhỏ, gần như mọi vụ việc rơi vào bốn nhóm:

Các kỹ thuật như SQL Injection hay XSS mà nhiều bài viết liệt kê thực chất là lỗi bên trong plugin hoặc code, và bị khai thác qua cửa thứ nhất. Chi tiết từng loại có trong bài các lỗ hổng bảo mật website phổ biến.

Nhóm 1: Khóa tài khoản trước tiên

Đây là nhóm rẻ nhất và chặn được nhiều nhất. Không cần kỹ thuật viên, chủ website tự làm được trong một buổi.

1. Bật xác thực hai lớp (2FA) cho mọi tài khoản có vai trò Quản trị viên và Biên tập viên, cho tài khoản hosting và tài khoản quản lý tên miền. WordPress cần plugin để có 2FA; nên dùng ứng dụng tạo mã như hướng dẫn trong bài Google Authenticator thay vì SMS.
2. Mỗi người một tài khoản, đúng vai trò. Người viết bài dùng vai trò Tác giả hoặc Biên tập viên, không cần Quản trị viên. Không chia sẻ chung một tài khoản “admin”.
3. Rà danh sách người dùng mỗi tháng. Xóa tài khoản nhân viên đã nghỉ, tài khoản của bên làm web cũ, tài khoản quản trị không ai nhận ra.
4. Giới hạn đăng nhập sai và tắt XML-RPC nếu không dùng ứng dụng di động hay công cụ đăng bài từ xa. Hai điểm này giảm mạnh việc dò mật khẩu tự động.
5. Dùng trình quản lý mật khẩu để mỗi hệ thống có mật khẩu riêng, dài. Mật khẩu dài và không dùng lại quan trọng hơn ký tự đặc biệt.

Nhóm 2: Giữ phần mềm sạch và mới

Các cơ sở dữ liệu lỗ hổng WordPress ghi nhận phần lớn lỗ hổng nằm ở plugin và theme, không phải ở lõi WordPress. Vì vậy số lượng và nguồn gốc plugin quan trọng hơn việc cài thêm plugin bảo mật.

• Cập nhật lõi WordPress, theme, plugin theo lịch cố định, có sao lưu ngay trước khi cập nhật. Lõi WordPress mặc định tự cài các bản bảo mật nhỏ, nhưng plugin và theme thì không.
• Gỡ hẳn (không chỉ tắt) plugin không dùng. Plugin đã tắt vẫn nằm trên hosting và vẫn có thể bị gọi trực tiếp nếu có lỗi.
• Thay plugin đã ngừng phát triển hoặc bị đóng trên kho WordPress.org. Cách kiểm tra có trong bài plugin là gì và cách chọn plugin an toàn.
• Không dùng theme, plugin crack hoặc “nulled”. Bản crack không nhận bản vá và thường được chèn sẵn cửa hậu.
• Giữ phiên bản PHP trong vòng hỗ trợ bảo mật. Website chạy PHP 7.x cần một đợt nâng cấp WordPress và PHP có kiểm thử.

Nhóm 3: Cấu hình hosting và WordPress

Nhóm này cần người biết thao tác trên hosting. Làm một lần, sau đó chỉ cần kiểm tra lại khi đổi hosting.

• Dùng SFTP thay FTP; xóa tài khoản FTP tạo cho người khác sau khi xong việc.
• Mỗi website một tài khoản hosting hoặc một người dùng hệ thống riêng. Năm website chung một thư mục gốc thì một website bị nhiễm sẽ lây sang cả năm.
• Tắt trình sửa file trong trang quản trị bằng hằng số DISALLOW_FILE_EDIT trong wp-config.php; chặn chạy PHP trong thư mục wp-content/uploads.
• Bật HTTPS cho toàn bộ website, chuyển hướng 301 từ HTTP. Lý do và lỗi thường gặp có trong bài chứng chỉ SSL là gì.
• Đặt tường lửa ứng dụng web (WAF) ở mức hosting, qua dịch vụ như Cloudflare hoặc qua plugin. Một lớp là đủ; chồng ba plugin bảo mật thường gây xung đột và chậm website.

Nhóm 4: Sao lưu và theo dõi để phát hiện sớm

Không biện pháp nào chặn được mọi thứ. Mục tiêu của nhóm này là khi có sự cố thì biết sớm và quay lại được.

• Sao lưu tự động cả file và database, lưu ít nhất một bản ở nơi tách khỏi hosting, giữ nhiều bản theo ngày. Cách chọn tần suất có trong bài backup website định kỳ.
• Xác minh website trong Google Search Console và để email nhận thông báo là email có người đọc. Mục Vấn đề bảo mật là nơi Google báo khi phát hiện website bị chèn nội dung độc hại.
• Theo dõi uptime và nhận cảnh báo khi website ngừng chạy hoặc chứng chỉ sắp hết hạn.
• Thỉnh thoảng tìm site:tenmiencuaban.vn trên Google để phát hiện trang lạ, tiêu đề tiếng nước ngoài.
• Bật thông báo email khi có tài khoản quản trị mới hoặc khi file lõi bị thay đổi; nhiều plugin bảo mật có sẵn chức năng này.

Phát hiện sớm quan trọng vì mã độc hiện nay thường ẩn với người quản trị: nó chỉ hiện với khách vào từ Google hoặc từ điện thoại. Người quản trị gõ thẳng tên miền trên máy tính sẽ thấy website bình thường trong nhiều tuần, trong khi Google đã ghi nhận trang spam. Dấu hiệu và cách xử lý cụ thể có trong trang xử lý mã độc WordPress.

Những việc tốn công nhưng ít tác dụng

• Chỉ đổi đường dẫn wp-admin. Giảm bớt bot nhưng không thay được 2FA; nếu mật khẩu đã lộ thì kẻ tấn công vẫn vào được.
• Đổi tiền tố bảng database trên website đang chạy. Rủi ro làm hỏng dữ liệu cao hơn lợi ích bảo mật.
• Cài nhiều plugin bảo mật cùng lúc. Trùng chức năng, tốn tài nguyên, khó chẩn đoán khi lỗi.
• Tin rằng website nhỏ không ai để ý. Bot không chọn mục tiêu theo quy mô; website nhỏ lại thường ít được cập nhật nhất.
• Coi SSL là “đã bảo mật”. SSL mã hóa đường truyền, không ngăn plugin có lỗ hổng bị khai thác.

Lịch bảo mật gợi ý cho website doanh nghiệp

Nếu không có ai trong công ty làm đều đặn lịch trên, các việc kỹ thuật này nằm trong gói bảo trì WordPress từ 900.000đ/tháng. Website đã có dấu hiệu bất thường thì cần xử lý trước, xem bài website bị hack phải xử lý thế nào.

Câu hỏi thường gặp