Hướng dẫn bảo mật WordPress cho người mới

Câu trả lời ngắn: hãy bảo vệ tài khoản quản trị bằng mật khẩu duy nhất và xác thực đa yếu tố (2FA), cập nhật WordPress/plugin/giao diện, bật HTTPS, sao lưu cả cơ sở dữ liệu lẫn tệp website ở nơi độc lập, gỡ phần mềm không dùng và kiểm tra dấu hiệu bất thường định kỳ. Không có cấu hình nào loại bỏ hoàn toàn rủi ro; mục tiêu thực tế là giảm khả năng bị xâm nhập và khôi phục được website khi có sự cố.

Quy trình dưới đây dành cho website WordPress đang hoạt động hoặc mới cài. Bạn cần quyền quản trị WordPress, quyền truy cập hosting và một nơi lưu bản sao lưu độc lập. Nếu chỉ dùng hosting quản lý, bạn có thể bỏ qua phần VPS; nếu tự quản lý máy chủ, hãy đọc thêm phần kiểm tra máy chủ trước khi thay đổi cấu hình.

1. Kiểm tra và thu hẹp quyền tài khoản quản trị

Tài khoản quản trị có thể thay đổi nội dung, cài plugin, sửa giao diện và tạo người dùng. Vì vậy, đây là điểm cần bảo vệ trước khi cài thêm công cụ bảo mật.

Trong WordPress, vào Users → All Users và xem toàn bộ tài khoản, vai trò, email khôi phục và thời điểm sử dụng gần nhất nếu hệ thống hoặc plugin có hiển thị.
Xóa tài khoản không còn dùng hoặc hạ quyền về mức phù hợp. Trước khi xóa tài khoản tác giả, chọn đúng người dùng để nhận các bài viết của tài khoản đó nếu WordPress yêu cầu.
Tạo tài khoản riêng cho từng người; không dùng chung một tài khoản quản trị. Cách này giúp thu hồi quyền và truy vết thay đổi rõ hơn.
Dùng mật khẩu dài, ngẫu nhiên và duy nhất cho WordPress. Không dùng lại mật khẩu email, hosting hoặc dịch vụ thanh toán.
Không đặt tên đăng nhập mới là admin hoặc một tên dễ đoán. Việc đổi tên đăng nhập không thay thế mật khẩu mạnh và 2FA.

Hãy lưu mật khẩu trong trình quản lý mật khẩu. Nếu website xử lý thanh toán hoặc dữ liệu khách hàng, bảo vệ cả tài khoản hosting, email quản trị, tên miền và nhà cung cấp DNS; bảo mật riêng WordPress là chưa đủ.

2. Bật 2FA và chuẩn bị đường khôi phục

Xác thực đa yếu tố (MFA/2FA) yêu cầu thêm một yếu tố ngoài mật khẩu, chẳng hạn mã từ ứng dụng xác thực hoặc khóa bảo mật. WordPress lõi không cung cấp sẵn một màn hình 2FA thống nhất cho mọi website, nên bạn thường cần plugin có nguồn phát hành rõ ràng hoặc tính năng do nhà cung cấp đăng nhập cung cấp (theo WordPress.org).

Chọn plugin 2FA có nhà phát hành rõ ràng, còn được duy trì và tương thích với phiên bản WordPress hiện tại của bạn.
Trong WordPress, mở Plugins → Add New Plugin, kiểm tra tên nhà phát hành, lịch sử cập nhật và khả năng tương thích trước khi cài.
Bật 2FA trước cho tài khoản quản trị của bạn, sau đó đăng xuất và đăng nhập lại để kiểm tra.
Lưu mã khôi phục ở nơi an toàn, tách khỏi website và không chỉ lưu trên một thiết bị duy nhất.
Sau khi kiểm tra thành công, yêu cầu các tài khoản có quyền cao khác bật 2FA.

Nếu bị khóa ngoài: dùng mã khôi phục hoặc quy trình hỗ trợ của plugin. Không xóa tệp plugin trên máy chủ theo phỏng đoán; nếu phải can thiệp qua hosting, hãy tạo bản sao lưu và ghi lại thay đổi trước.

3. Cập nhật phần mềm theo cách có thể quay lại

Phiên bản cũ có thể chứa lỗ hổng đã được công khai. WordPress khuyến nghị sử dụng phiên bản chính thức mới nhất phù hợp với website; các nhánh cũ không có thời hạn hỗ trợ bảo mật cố định (theo WordPress.org).

Vào Dashboard → Updates và ghi lại WordPress lõi, plugin, giao diện sắp cập nhật.
Tạo và xác nhận bản sao lưu trước khi cập nhật, đặc biệt với plugin xử lý thanh toán, biểu mẫu, bộ nhớ đệm hoặc dữ liệu quan trọng.
Cập nhật từng nhóm nhỏ thay vì cập nhật hàng loạt. Sau mỗi nhóm, kiểm tra website trước khi tiếp tục.
Mở trang chủ, một bài viết, biểu mẫu liên hệ, trang đăng nhập, thư viện Media và khu vực thanh toán nếu có.
Vào Tools → Site Health để xem cảnh báo nghiêm trọng và lỗi cấu hình.

Gỡ plugin hoặc giao diện không còn dùng và thay thế phần mềm không còn được duy trì; không nên để chúng tồn tại lâu dài chỉ ở trạng thái vô hiệu hóa. Bạn có thể tham khảo quy trình kiểm tra plugin trước khi cập nhật và áp dụng trên môi trường thử nghiệm.

Nếu xuất hiện trang trắng hoặc lỗi 500: ghi lại thành phần vừa cập nhật, xem nhật ký lỗi của hosting, vô hiệu hóa thành phần đó bằng phương pháp phù hợp nếu còn quyền truy cập, rồi khôi phục bản sao lưu đã kiểm tra khi chưa xác định được nguyên nhân. Không tiếp tục cập nhật hàng loạt trong lúc website đang lỗi.

4. Bật HTTPS và kiểm tra toàn bộ đường dẫn

HTTPS mã hóa kết nối giữa trình duyệt và máy chủ, giúp bảo vệ thông tin đăng nhập và cookie phiên. HTTPS không vá lỗ hổng trong plugin và không ngăn mọi cuộc tấn công, nhưng là lớp nền tảng cho khu vực quản trị (theo WordPress.org).

Trong bảng điều khiển hosting, xác nhận chứng chỉ TLS hợp lệ cho đúng tên miền. Nếu website dùng cả www và tên miền không có www, kiểm tra tên nào thực sự được cấu hình.
Trong WordPress, vào Settings → General và kiểm tra WordPress Address (URL) cùng Site Address (URL) đều dùng https://.
Mở cửa sổ riêng tư và truy cập https://tenmiencuaban.com/wp-admin/. Thay tenmiencuaban.com bằng tên miền thật của bạn.
Kiểm tra trình duyệt không báo lỗi chứng chỉ, cảnh báo kết nối không an toàn hoặc nội dung hỗn hợp.
Đăng nhập, mở trang chỉnh sửa bài viết và tải thư viện Media. Nếu có vòng lặp chuyển hướng, dừng thay đổi tiếp theo và liên hệ hosting.

Không sửa trực tiếp URL trong cơ sở dữ liệu nếu chưa có bản sao lưu và chưa hiểu cách khôi phục. Nếu website chạy trên VPS, tham khảo hướng dẫn đưa WordPress chạy HTTPS để tách bạch phần chứng chỉ, web server và cấu hình WordPress.

5. Thiết lập bản sao lưu có thể khôi phục

Sao lưu không ngăn được cuộc tấn công; đó là phương án phục hồi. Một bản sao lưu chỉ hữu ích khi bao gồm đúng dữ liệu, nằm ngoài website chính và đã được thử khôi phục. WordPress khuyến nghị sao lưu cả cơ sở dữ liệu và các tệp của website (theo WordPress.org).

Cơ sở dữ liệu: bài viết, trang, tài khoản, cài đặt và dữ liệu của nhiều plugin.
Tệp website: giao diện, plugin, thư viện tải lên và tệp cấu hình cần thiết.
Vị trí độc lập: ít nhất một bản sao ngoài hosting chính, được bảo vệ bằng tài khoản riêng và xác thực mạnh.

Chọn lịch sao lưu theo mức mất dữ liệu bạn có thể chấp nhận. Chẳng hạn, nếu không thể chấp nhận mất hơn một ngày nội dung, lịch sao lưu phải đủ thường xuyên để đáp ứng yêu cầu đó; đây không phải tần suất bắt buộc cho mọi website.

Kiểm tra lần đầu: tải một bản sao về máy, ghi ngày tạo, rồi khôi phục trên staging hoặc một website tạm biệt lập. Kiểm tra đăng nhập, bài viết, hình ảnh, biểu mẫu và các chức năng quan trọng. Không thử khôi phục trực tiếp lên website đang hoạt động nếu chưa có bản sao lưu dự phòng.

6. Giảm bề mặt tấn công và kiểm tra lớp máy chủ khi bạn tự quản lý

Mỗi plugin, giao diện, tài khoản và dịch vụ không cần thiết đều làm tăng số điểm phải bảo vệ. Ưu tiên các thay đổi dễ kiểm tra:

Gỡ plugin, giao diện và tài khoản không sử dụng; chỉ cài phần mềm từ WordPress.org hoặc nhà phát hành đáng tin cậy.
Phân quyền theo nguyên tắc ít đặc quyền nhất: người viết nội dung không cần quyền quản trị.
Không tự ý chặn toàn bộ /wp-admin/, xmlrpc.php hoặc endpoint khác nếu chưa kiểm tra tác động đến ứng dụng di động, plugin, WooCommerce, Jetpack và dịch vụ tích hợp.
Nếu được hướng dẫn sửa wp-config.php hoặc cấu hình máy chủ, hãy sao lưu tệp, ghi lại dòng đã thay đổi và chuẩn bị cách hoàn tác.

Checklist dành cho VPS hoặc máy chủ tự quản lý

Chỉ thực hiện phần này khi bạn có quyền quản trị máy chủ hoặc SSH. Nếu dùng hosting quản lý, yêu cầu nhà cung cấp xác nhận các mục tương ứng thay vì tự sửa.

DNS: kiểm tra bản ghi tên miền trỏ đến đúng máy chủ; rà soát cả bản ghi A và AAAA nếu có IPv6 để tránh một đường dẫn đi nhầm máy chủ.
Tường lửa: chỉ mở các cổng và dịch vụ cần thiết; bảo đảm bạn vẫn có một đường quản trị hợp lệ trước khi đóng cổng hoặc giới hạn địa chỉ IP.
Web server: xác nhận máy chủ web đang phục vụ đúng thư mục website, chuyển hướng HTTP sang HTTPS có chủ đích và không để lộ tệp sao lưu hoặc tệp cấu hình.
Cơ sở dữ liệu: tài khoản WordPress chỉ nên có quyền cần thiết trên đúng cơ sở dữ liệu; không công khai cổng cơ sở dữ liệu ra Internet nếu ứng dụng không cần.
PHP/PHP-FPM: dùng phiên bản PHP còn phù hợp với phiên bản WordPress, plugin và giao diện; kiểm tra các phần mở rộng mà website thực sự cần trước khi vô hiệu hóa.
Giới hạn PHP: xem upload_max_filesize, post_max_size, memory_limit và max_execution_time trong php.ini hoặc cấu hình PHP-FPM khi gặp lỗi tải tệp, hết bộ nhớ hoặc hết thời gian chạy. Không tăng các giới hạn này tùy tiện; sau khi sửa, reload hoặc restart dịch vụ theo hướng dẫn của nhà cung cấp rồi thử lại chức năng liên quan.
OPcache: nếu PHP dùng OPcache, sau khi thay đổi mã hoặc cấu hình cần xác nhận cache đã được nạp lại theo cách quản trị máy chủ; không tắt OPcache chỉ vì gặp một lỗi chưa được chẩn đoán.
WordPress và quyền tệp: kiểm tra wp-config.php, thư mục tải lên và các tệp lõi không bị ghi tùy tiện bởi tài khoản không cần quyền. Không áp dụng một mẫu quyền tệp từ Internet nếu chưa hiểu người dùng chạy web server là ai.

Sau mọi thay đổi ở DNS, tường lửa, web server, PHP-FPM hoặc HTTPS, kiểm tra trang chủ, đăng nhập quản trị, tải Media, biểu mẫu và nhật ký lỗi. Nếu không xác định được dịch vụ nào đang chạy hoặc cách reload an toàn, dừng thay đổi và yêu cầu hỗ trợ hosting; một cấu hình bảo mật làm website ngừng hoạt động không phải là kết quả tốt.

7. Theo dõi và xử lý dấu hiệu bất thường

Bảo mật không kết thúc sau khi bật 2FA. Hằng tuần hoặc theo tần suất phù hợp, hãy kiểm tra:

Users → All Users: tài khoản lạ, vai trò bị nâng quyền hoặc email khôi phục bất thường.
Dashboard → Updates: bản cập nhật bảo mật và phần mềm đã lỗi thời.
Tools → Site Health: cảnh báo nghiêm trọng mới; tài liệu chính thức giải thích các nhóm kiểm tra trong màn hình này (theo WordPress.org).
Thông báo từ hosting, CDN/WAF và công cụ giám sát: lượt đăng nhập bất thường, tệp thay đổi hoặc lưu lượng đột biến.
Website công khai: chuyển hướng lạ, quảng cáo không rõ nguồn, nội dung bị thay đổi hoặc cảnh báo từ trình duyệt.

Nếu nghi ngờ website bị xâm nhập: ghi lại thời điểm phát hiện và triệu chứng; dùng một thiết bị sạch để đổi mật khẩu WordPress, hosting, email và các dịch vụ liên quan; thu hồi tài khoản lạ; liên hệ hosting; giữ nhật ký và bản sao hiện trạng nếu có thể. Không chỉ cài thêm một plugin rồi tiếp tục vận hành. Sau khi xác định phạm vi, cân nhắc khôi phục từ bản sao lưu trước thời điểm sự cố và thay toàn bộ thông tin xác thực có liên quan. Nếu website xử lý dữ liệu khách hàng, thanh toán hoặc thông tin nhạy cảm, hãy thực hiện nghĩa vụ thông báo và xử lý theo quy định áp dụng cho tổ chức của bạn.

Thứ tự ưu tiên nếu bạn chỉ có một buổi

Tạo và kiểm tra bản sao lưu.
Đổi mật khẩu tài khoản quản trị và bật 2FA.
Xóa tài khoản, plugin và giao diện không cần thiết.
Cập nhật WordPress, plugin và giao diện theo từng nhóm nhỏ.
Bật HTTPS và kiểm tra toàn bộ đường dẫn quản trị.
Kiểm tra Site Health, nhật ký hosting và danh sách người dùng.
Ghi lại thông tin liên hệ hosting, lịch kiểm tra và quy trình khôi phục.

Checklist hoàn thành

Không còn tài khoản quản trị hoặc phần mềm không rõ nguồn gốc.
Tài khoản quản trị dùng mật khẩu duy nhất và đã bật 2FA.
WordPress, plugin và giao diện được cập nhật có kiểm soát.
Website và khu vực /wp-admin/ hoạt động qua HTTPS.
Có bản sao lưu cơ sở dữ liệu và tệp ở vị trí độc lập.
Đã thử khôi phục trên môi trường tách biệt hoặc có quy trình khôi phục cụ thể.
Đã kiểm tra các lớp DNS, tường lửa, web server, PHP và quyền tệp nếu bạn tự quản lý VPS.
Biết phải liên hệ ai và làm gì khi phát hiện tài khoản lạ, chuyển hướng lạ hoặc mất quyền truy cập.

Đây là nền tảng bảo mật, không phải chứng nhận website an toàn tuyệt đối. Với người mới, hãy ưu tiên quyền truy cập, cập nhật, sao lưu và khả năng phục hồi trước khi tìm đến các cấu hình máy chủ nâng cao.

Hướng dẫn bảo mật website WordPress cho người mới bắt đầu