Việc thiết lập security settings đúng cách là yếu tố sống còn đối với bất kỳ website WordPress nào. Theo thống kê từ Sucuri, hơn 70% các trang web bị tấn công có nền tảng là WordPress, chủ yếu do cấu hình bảo mật lỏng lẻo. Cách thiết lập security settings không chỉ đơn giản là cài một plugin mà còn bao gồm hàng loạt tác vụ từ tài khoản, máy chủ, mã nguồn đến giám sát.
Security settings là tập hợp các cấu hình và biện pháp kỹ thuật nhằm kiểm soát truy cập, ngăn chặn khai thác lỗ hổng và bảo vệ dữ liệu. Mỗi thiết lập đóng một vai trò riêng, từ việc thay đổi URL đăng nhập mặc định đến cấu hình tường lửa ứng dụng web (WAF). Bạn cần hiểu rằng không có giải pháp bảo mật vạn năng, mà cần kết hợp nhiều lớp để tạo thành phòng thủ kiên cố.
Phân loại các nhóm thiết lập security settings chính
Để dễ quản lý, có thể chia các thiết lập bảo mật thành 5 nhóm chính, mỗi nhóm có mục tiêu và phương thức thực hiện riêng.
1. Thiết lập bảo mật ở cấp độ tài khoản và xác thực
Mật khẩu mạnh: Sử dụng mật khẩu có ít nhất 12 ký tự gồm chữ hoa, chữ thường, số và ký tự đặc biệt. Không dùng lại mật khẩu cũ từ các trang khác.
Xác thực hai yếu tố (2FA): Kích hoạt 2FA qua ứng dụng như Google Authenticator hoặc Authy. Đây là lớp bảo vệ quan trọng ngay cả khi mật khẩu bị lộ.
Giới hạn số lần đăng nhập: Cài đặt giới hạn 3-5 lần sai trước khi tạm khóa IP trong 15 phút. Plugin như Limit Login Attempts Reloaded hỗ trợ tốt.
Thay đổi URL đăng nhập: Đổi /wp-admin sang một URL bí mật khác để tránh bot tấn công brute force.
2. Thiết lập bảo mật ở cấp độ máy chủ và hosting
HTTPS/SSL: Cài chứng chỉ SSL miễn phí từ Let’s Encrypt hoặc mua SSL thương mại để mã hóa toàn bộ dữ liệu truyền tải.
Tường lửa ứng dụng web (WAF): Sử dụng Cloudflare hoặc Sucuri để lọc lưu lượng độc hại trước khi đến máy chủ.
Cập nhật phiên bản phần mềm: Luôn cập nhật PHP, MySQL và hệ điều hành lên bản mới nhất do host cung cấp.
Giới hạn quyền truy cập tệp: Thiết lập quyền 644 cho tệp và 755 cho thư mục, không bao giờ để quyền 777.
3. Thiết lập bảo mật trong mã nguồn WordPress
wp-config.php: Thêm các hằng bảo mật như DISALLOW_FILE_EDIT, FORCE_SSL_ADMIN, AUTOMATIC_UPDATER_DISABLED.
Xóa thông tin phiên bản: Ẩn số phiên bản WordPress khỏi mã nguồn để hacker không biết lỗ hổng nào có thể khai thác.
Vô hiệu hóa XML-RPC: Tắt dịch vụ XML-RPC nếu không sử dụng để chặn tấn công brute force qua giao thức này.
Khóa tệp.htaccess: Chặn truy cập trực tiếp vào thư mục wp-includes, wp-content/uploads bằng luật rewrite.
4. Thiết lập bảo mật qua plugin chuyên dụng
Các plugin bảo mật như Wordfence, iThemes Security, Sucuri Security cung cấp nhiều tính năng trong một giao diện duy nhất. Tuy nhiên, bạn không nên cài quá nhiều plugin cùng lúc vì sẽ gây xung đột và làm chậm website. Lựa chọn một plugin chất lượng và cấu hình kỹ lưỡng.
5. Thiết lập sao lưu và phục hồi
Sao lưu tự động hàng ngày: Cấu hình sao lưu cơ sở dữ liệu và tệp lên cloud (Google Drive, Dropbox) hoặc máy chủ từ xa.
Kiểm tra khả năng phục hồi: Thực hiện khôi phục thử ít nhất 1 lần/tháng để đảm bảo bản sao lưu hoạt động.
Lưu trữ bản sao lưu offsite: Không lưu cùng hosting với website chính vì nếu máy chủ bị tấn công bạn sẽ mất cả hai.
Hướng dẫn chi tiết cách thiết lập security settings từng bước
Phần này mô tả cụ thể các thao tác bạn cần thực hiện. Thực hiện tuần tự từ bước 1 đến bước 9 để xây dựng hệ thống bảo mật hoàn chỉnh.
Bước 1: Cập nhật WordPress, theme và plugin lên phiên bản mới nhất
Đăng nhập trang quản trị, vào menu Dashboard > Updates. Nhấn nút Update All nếu có phiên bản mới. Việc cập nhật vá các lỗ hổng bảo mật đã được công bố. Thống kê cho thấy 56% các trang web bị tấn công do sử dụng phiên bản lỗi thời.
Bước 2: Cài chứng chỉ SSL và buộc HTTPS
Liên hệ bộ phận hosting để kích hoạt SSL miễn phí, hoặc tự cài qua cPanel. Sau đó truy cập Settings > General, đổi cả hai URL (WordPress Address và Site Address) từ http:// sang https://. Cài thêm plugin Really Simple SSL để tự động chuyển hướng.
Bước 3: Thay đổi tiền tố bảng cơ sở dữ liệu
Mặc định WordPress dùng tiền tố wp_.
Có, nếu site vẫn tồn tại trên máy chủ. Tốt nhất nên xóa hoàn toàn hoặc để chế độ bảo trì và hạn chế truy cập bằng mật khẩu.
Tôi nên chọn plugin bảo mật miễn phí hay trả phí?
Bản miễn phí của Wordfence đáp ứng tốt cho 90% nhu cầu. Bản trả phí cần thiết nếu bạn cần hỗ trợ ưu tiên, quét tệp theo thời gian thực và tường lửa mức cao hơn.
Cách thiết lập security settings cho multisite WordPress có khác không?
Có, bạn cần cấu hình bảo mật ở cấp độ mạng (network) thay vì từng site. Chú ý phân quyền Super Admin và cập nhật toàn bộ mạng.
Kết luận
Cách thiết lập security settings cho WordPress không phải là một lần làm xong mà là quá trình liên tục. Bắt đầu bằng các bước cơ bản như cập nhật phần mềm, thay đổi URL đăng nhập và kích hoạt 2FA. Sau đó nâng cấp dần với tường lửa, mã hóa SSL và sao lưu tự động. Mỗi lớp bảo vệ đều tăng khả năng chống chịu trước tấn công. Hãy dành thời gian thực hiện đúng quy trình – đó là khoản đầu tư xứng đáng cho sự an toàn và uy tín của website trong dài hạn.
