วิธีปกป้องเว็บไซต์ WordPress ของคุณ [คู่มือเดียวที่คุณต้องการ]

ผู้ใช้ WordPress มักจะใช้เวลามากมายไปกับการออกแบบเว็บไซต์ เนื้อหา และการเพิ่มประสิทธิภาพ แต่มักจะลืมปัจจัยสำคัญประการหนึ่งไป นั่นคือ ความปลอดภัยของเว็บไซต์ แม้ว่าอาจดูเหมือนเป็นเรื่องน่าเบื่อสำหรับผู้ที่ไม่ใช่นักพัฒนา แต่การรักษาความปลอดภัยของ WordPress เป็นส่วนสำคัญในการดำเนินธุรกิจของคุณ

ทำไมคุณอาจถาม?

ลองสำรวจคำถามนี้ด้วยกัน

ทำไมการปกป้อง WordPress ของคุณจึงสำคัญ?

เช่นเดียวกับสิ่งอื่นๆ ที่เกี่ยวข้องกับความปลอดภัยในชีวิต การรักษาความปลอดภัยของเว็บไซต์เป็นสิ่งชั่วร้ายที่จำเป็น โดยปกติ เมื่อคุณมอบหมายให้นักพัฒนาหรือเอเจนซี่สร้างเว็บไซต์ให้กับคุณ หัวข้อความปลอดภัยจะปรากฏขึ้น ผู้เชี่ยวชาญทราบโดยตรงว่าเว็บไซต์ถูกแฮ็กบ่อยเพียงใด โดยเฉพาะเว็บไซต์ WordPress เนื่องจากความนิยมของแพลตฟอร์ม โดยทั่วไปพวกเขาจะแนะนำให้คุณปกป้องเว็บไซต์ของคุณในหลากหลายวิธี และอาจแนะนำแนวทางปฏิบัติด้านความปลอดภัยที่เป็นที่ทราบกันดีบางประการ

หลายคนเพิกเฉยต่อข้อมูลนี้เพราะพวกเขาไม่เคยจัดการกับเว็บไซต์ที่ถูกแฮ็ก ดังนั้นจึงไม่สามารถจินตนาการถึงความยุ่งยาก เวลา และความพยายามในการแก้ไขปัญหาที่อาจเกิดขึ้นได้

ก่อนอื่น หากคุณทำธุรกิจออนไลน์หรืออย่างน้อยคุณจัดการธุรกิจของคุณบางส่วนผ่านทางเว็บไซต์ การโจมตีของแฮ็กเกอร์จะหยุดกระบวนการทำงานของคุณอย่างหลีกเลี่ยงไม่ได้ หากคุณเป็นเจ้าของร้านค้าออนไลน์ คุณจะไม่สามารถขายได้ หากคุณจองการนัดหมายผ่านเว็บไซต์ของคุณ คุณจะไม่สามารถทำเช่นนั้นได้

สำหรับร้านค้าออนไลน์ที่มีปริมาณมาก การดำเนินการนี้ไม่ดีเป็นพิเศษ ไม่เพียงแต่คุณจะไม่สามารถขายได้ชั่วขณะหนึ่งเท่านั้น แต่คุณยังอาจสูญเสียคำสั่งซื้ออีกด้วย โดยทั่วไป การสำรองข้อมูลเว็บไซต์จะถูกสร้างขึ้นวันละครั้ง และหากคุณถูกแฮ็กหลังจากทำเสร็จหลายชั่วโมง คำสั่งซื้อทั้งหมดที่ทำในระหว่างนี้จะหายไป

หากเว็บไซต์ของคุณใช้งานได้ การแฮ็กอาจยังคงเกิดขึ้น ตัวอย่างเช่น ลิงก์สามารถแทรกเข้าไปในโค้ดและชี้ไปที่เว็บไซต์อื่นได้



หากคุณสร้างรายได้จากเว็บไซต์ของคุณผ่านโฆษณา คุณอาจได้รับการแทนที่โฆษณาด้วยโฆษณาของคนอื่น (และแสดงโฆษณาที่คุณจะไม่ได้รับรายได้ใดๆ)

มีหลายกรณีที่เว็บไซต์ของคุณอาจถูกบุกรุก และจะใช้เวลาหลายวันหรือหลายสัปดาห์กว่าจะรู้ตัว ในสถานการณ์ที่มีการฉีดลิงก์สแปม อาจส่งผลต่อ SEO ของคุณ (เนื่องจาก Google ไม่ชอบลิงก์ที่เป็นสแปมอย่างยิ่ง) ด้วยเหตุนี้ อันดับใน Google ของคุณจึงอาจได้รับผลกระทบ และอาจใช้เวลานานในการซ่อมแซมความเสียหายประเภทนี้

นอกจากนี้ยังมีเรื่องของความไว้วางใจของลูกค้า ผู้คนมีความกังวลอย่างมากเมื่อได้ยินว่าเว็บไซต์ที่พวกเขาใช้ถูกแฮ็ก

การใช้ใบรับรอง SSL ได้ป้องกันผลกระทบที่ร้ายแรงที่สุด เช่น การรั่วไหลของหมายเลขบัตรเครดิต แต่ยังสามารถรับข้อมูลบางส่วนได้ ผู้ใช้อาจเชื่อมโยงการโจมตีของแฮ็กเกอร์ในเว็บไซต์ของคุณซึ่งมีความปลอดภัยต่ำ และตัดสินใจหยุดใช้บริการของคุณโดยสิ้นเชิง

โดยรวมแล้ว หากเว็บไซต์ของคุณถูกแฮ็ก คุณสามารถซ่อมแซมมันได้ แต่การปกป้อง WordPress ของคุณตั้งแต่แรกนั้นเป็นวิธีที่ไม่เจ็บปวดมาก

คุณสามารถแก้ไข WordPress ที่ถูกแฮ็กได้หรือไม่?

หากคุณไม่คุ้นเคยกับกระบวนการนี้ การแก้ไขเว็บไซต์ WordPress ที่ถูกแฮ็กอาจเป็นเรื่องยุ่งยาก การล้างโค้ดที่ติดไวรัสต้องใช้ความรู้เฉพาะประเภท ไม่เหมือนกับปัญหาทางเทคนิคอื่นๆ Google จะแก้ไขอย่างรวดเร็วเนื่องจากลักษณะที่แตกต่างกันของการโจมตีของแฮ็กเกอร์

หากมีการโจมตีเกิดขึ้น คุณสามารถใช้ปลั๊กอินเพื่อสแกนเว็บไซต์ของคุณ แต่ปลั๊กอินที่มีอยู่ส่วนใหญ่จะระบุว่าไฟล์ใดที่ได้รับการแก้ไขเมื่อเร็วๆ นี้ และคุณจะต้องล้างข้อมูลทุกอย่างด้วยตนเอง



อีกวิธีหนึ่งที่คุณสามารถลองแก้ไขปัญหานี้คือการกู้คืนข้อมูลสำรองของเว็บไซต์ของคุณ อย่างไรก็ตาม นี่ไม่ใช่วิธีแก้ไขที่รับประกัน 100% โดยเฉพาะอย่างยิ่งหากคุณไม่แน่ใจว่า WordPress ของคุณถูกแฮ็กเมื่อใด (และด้วยเหตุนี้ สำเนาสำรองใดที่ไม่มีปัญหา)

คุณยังสามารถติดต่อหน่วยงานเฉพาะทางที่เสนอการลบมัลแวร์และความช่วยเหลือด้านเทคนิค พวกเขาจะทำงานค่อนข้างเร็วและทำความสะอาด WordPress ของคุณ แต่แน่นอนว่าต้องเสียค่าใช้จ่าย

คุณต้องจำไว้ว่าแม้ว่าคุณจะซ่อมแซมความเสียหายได้สำเร็จ สถานการณ์นี้ก็อาจเกิดขึ้นได้ (และมีแนวโน้มว่าจะเกิดขึ้นอีก) หากคุณไม่ได้ตั้งค่าการป้องกันที่เหมาะสม

สิ่งที่ดีที่สุดของคุณที่นี่คือการดำเนินการป้องกันและรักษาความปลอดภัยเว็บไซต์ของคุณโดยใช้แนวทางการป้องกันอย่างละเอียดและครอบคลุม

แต่สิ่งนี้หมายความว่าอย่างไร

ดังนั้น คุณจะปกป้องเว็บไซต์ WordPress ของคุณได้ อย่างไร ? คุณสามารถดำเนินการขั้นตอนใดได้บ้าง เราดีใจที่คุณถาม! อ่านต่อไป

ขั้นตอนที่ดำเนินการได้เพื่อปกป้องเว็บไซต์ WordPress ของคุณ

1. เลือกผู้ให้บริการโฮสติ้งที่ดี

ก่อนที่จะมุ่งเน้นไปที่ขั้นตอนการรักษาความปลอดภัยอื่น ๆ การเลือกรากฐานที่มั่นคงสำหรับเว็บไซต์ของคุณเป็นสิ่งสำคัญ การทำงานกับผู้ให้บริการโฮสติ้งที่ดีที่สามารถมอบการรักษาความปลอดภัยหลายชั้นให้กับคุณได้นั้นเป็นวิธีที่ง่ายที่สุดในการปกป้องเว็บไซต์ของคุณจากการโจมตีทางไซเบอร์ในอนาคต ทางเลือกของผู้ให้บริการเว็บโฮสติ้งนั้นไม่ค่อยเป็นสิ่งที่ผู้คนวางแผนอย่างพิถีพิถัน โดยเฉพาะอย่างยิ่งหากพวกเขาไม่ได้ทำธุรกิจออนไลน์มาหลายปีแล้ว

วิธีการเลือกเว็บโฮสติ้งโดยปกติคือผ่านคำแนะนำจากเพื่อน ผ่านหน่วยงานที่สร้างเว็บไซต์หรือผ่านการค้นคว้าออนไลน์

สิ่งที่ผู้ใช้ที่ไม่มีประสบการณ์มักมองหาคือราคาที่ถูกที่สุด เช่นเดียวกับสิ่งอื่นๆ ในชีวิต โฮสติ้งคุณภาพสูงที่เชื่อถือได้จะมีราคาสูงกว่า และยังให้คุณมากกว่าด้วย ผู้ให้บริการโฮสติ้งที่ดีมีคุณสมบัติด้านความปลอดภัยมากมายที่อาจหมายถึงความแตกต่างระหว่างว่าคุณต้องจัดการกับเว็บไซต์ที่ถูกแฮ็กหรือไม่

ในทางกลับกัน ผู้ให้บริการโฮสติ้งต้นทุนต่ำจะตัดมุมทุกครั้งที่ทำได้เพื่อครอบคลุมความแตกต่าง และน่าเสียดายที่การรักษาความปลอดภัยเป็นพื้นที่ที่ได้รับผลกระทบอย่างมาก

ให้เรายกตัวอย่างคุณลักษณะบางอย่างที่เราให้บริการแก่ลูกค้าของเรา นอกจากตัวเลือกแบบคลาสสิก เช่น การป้องกัน DDoS, ใบรับรอง SSL และไฟร์วอลล์ของเว็บแอปพลิเคชันแล้ว เรายังมีอีกสองสามตัวเลือกที่จะยกระดับเกมการรักษาความปลอดภัยของเว็บไซต์ของคุณ

หนึ่งในนั้นคือ Patchman แอปพลิเคชั่นที่มีประโยชน์อย่างยิ่งกับผู้ใช้ที่ไม่ได้อัปเดต WordPress โดยอัตโนมัติ Patchman จะสแกนการติดตั้งของคุณและแก้ไขช่องโหว่ที่ทราบในไฟล์หลักของ WordPress และปลั๊กอินยอดนิยมมากมาย แทนที่จะอัปเดตซอฟต์แวร์โดยอัตโนมัติเพื่อแก้ไขช่องโหว่ ซึ่งอาจทำให้เกิดปัญหาการขึ้นต่อกันของเว็บไซต์ไม่ได้ Patchman จะใช้การแก้ไขด้านความปลอดภัยกับเวอร์ชันที่ติดตั้งอยู่ในปัจจุบัน



คุณสามารถมั่นใจได้อย่างเต็มที่ว่าแพทช์ที่นำมาใช้จะเกิดขึ้นได้อย่างปลอดภัยและไม่ทำให้เว็บไซต์ของคุณเสียหาย

หากคุณกำลังจะใช้โฮสติ้งที่ใช้ร่วมกัน การเลือกโฮสติ้งที่มีประสิทธิภาพสูงและปลอดภัยเป็นสิ่งสำคัญ บริษัทหลายแห่งยังมีโฮสติ้ง WordPress ซึ่งได้รับการกำหนดค่าไว้โดยเฉพาะสำหรับ WordPress และไซต์ของคุณมักจะทำงานได้ดีกว่ามาก

หากคุณมีเว็บไซต์จำนวนมากและเลือกที่จะอัพเกรดบัญชีโฮสติ้งของคุณ ให้เลือกเซิร์ฟเวอร์เฉพาะที่มีการจัดการเต็มรูปแบบจะรับประกันความปลอดภัยในระดับที่สูงขึ้น เมื่อเทียบกับคู่ที่ถูกกว่า (ไม่มีการจัดการ)

โดยรวมแล้ว ทำวิจัยเกี่ยวกับเว็บโฮสติ้งอย่างละเอียด และอย่าให้ราคาเป็นแนวทางในการเลือกของคุณ

2. อัปเดต WordPress ของคุณอยู่เสมอ

นี่อาจเป็นคำแนะนำแรกที่คุณจะได้ยินจากนักพัฒนาเว็บของคุณ - คอยอัปเดตทุกอย่างอยู่เสมอ! เจ้าของ WordPress หลายคนไม่สนใจสิ่งนี้ตามกฎ ไม่ว่าจะโดยรู้ตัวหรือไม่ก็ตาม และกลายเป็นเป้าหมายของการโจมตีที่มุ่งร้าย

สาเหตุนี้เกิดจากช่องโหว่ที่ค้นพบโดยแฮกเกอร์ หากคุณสนใจที่จะอ่านเพิ่มเติมในหัวข้อนี้ เราขอแนะนำบทความนี้ แต่โดยสรุป ช่องโหว่คือ "ช่องโหว่" ในโค้ดของแอปพลิเคชันที่คุณใช้ มีการต่อสู้กันอย่างต่อเนื่องระหว่างแฮกเกอร์และนักพัฒนาซอฟต์แวร์ โดยที่ แฮกเกอร์ค้นหาและใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัย และนักพัฒนาพยายามแก้ไขอย่างรวดเร็ว

เช่นเดียวกับแอปพลิเคชัน CMS อื่น ๆ WordPress จะผ่านรอบการอัปเดตซึ่งมีการเพิ่มคุณสมบัติใหม่ ๆ และนักพัฒนาทำงานเพื่อแก้ไขช่องโหว่ที่รู้จัก ทุกปี มักจะมีการอัปเดตหลัก 1-3 รายการและผู้เยาว์จำนวนมาก ซึ่งทั้งหมดมีความสำคัญต่อความปลอดภัย เนื่องจากมักจะมีแพตช์ความปลอดภัยอยู่เสมอ

แต่เดี๋ยวก่อน - หากคุณมีบางอย่างเช่น Patchman ทำไมคุณยังต้องอัปเดต?

Patchman ครอบคลุมไฟล์หลักของ WordPress และปลั๊กอินยอดนิยมบางตัว แต่ปลั๊กอินจำนวนมากไม่ได้รับการแพตช์ผ่านแอพ ซึ่งหมายความว่าหากปล่อยทิ้งไว้ล้าสมัย ปลั๊กอินเหล่านี้จะกลายเป็นจุดเริ่มต้นสำหรับแฮกเกอร์ที่จะทำตามที่พวกเขาพอใจในเว็บไซต์ของคุณได้อย่างง่ายดาย

การอัปเดต WordPress ของคุณนั้นค่อนข้างง่าย

ก่อนอื่น ทุกเวอร์ชันหลังจาก 5.6 (เผยแพร่ในเดือนธันวาคม 2020) มีการเปิดใช้งานการอัปเดตอัตโนมัติ ซึ่งหมายความว่าคุณไม่จำเป็นต้องดำเนินการใดๆ หากไม่เป็นเช่นนั้นด้วยเหตุผลบางประการ (เช่น นักพัฒนาของคุณปิดการใช้งาน) มีสองวิธีที่คุณสามารถเปิดใช้งานการอัปเดตอัตโนมัติของคุณได้

หนึ่งคือผ่าน Softaculous แอปพลิเคชันที่ผู้ใช้ cPanel มักใช้เพื่อติดตั้ง WordPress บนเซิร์ฟเวอร์ของตน โปรแกรมจัดการ WordPress ของ Softaculous ช่วยให้คุณกำหนดค่าการอัปเกรดอัตโนมัติได้ คุณสามารถเลือกที่จะอัปเกรดอัตโนมัติได้เฉพาะการอัปเดตเล็กน้อยหรือหลักก็ได้



คุณยังสามารถเลือกที่จะอัปเกรดปลั๊กอินและธีมของคุณโดยอัตโนมัติได้อีกด้วย เหนือสิ่งอื่นใด มันจะทำการสำรองข้อมูลก่อนการอัปเกรดอัตโนมัติใด ๆ ในกรณีที่จำเป็นต้องเปลี่ยนกลับ

อีกทางเลือกหนึ่ง หากคุณเชี่ยวชาญในการแก้ไขโค้ดของคุณบ้าง ก็คือการใช้การกำหนดค่าการอัปเดตอัตโนมัติดั้งเดิมของ WordPress - ดูข้อมูลเพิ่มเติมเกี่ยวกับเรื่องนี้ได้โดยตรงที่ KB ของ WordPress

3. เลือกชื่อผู้ใช้และรหัสผ่านที่รัดกุม

ความพยายามในการแฮ็ค WordPress ที่พบบ่อยที่สุดรวมถึงการใช้รายละเอียดการเข้าสู่ระบบที่ถูกขโมย เรากำลังพูดถึงสิ่งที่เรียกว่าการโจมตีแบบ Brute Force ซึ่งเป็นประเภทการโจมตีทางไซเบอร์ที่มีประสิทธิภาพและตรงไปตรงมา โดยที่แฮกเกอร์ให้คอมพิวเตอร์ลองใช้ชื่อผู้ใช้และรหัสผ่านที่แตกต่างกันไปจนกว่าจะพบสิ่งที่ถูกต้อง

หลายคนใช้ชื่อผู้ใช้ "admin" เนื่องจากสิ่งนี้จะปรากฏขึ้นตามค่าเริ่มต้นเมื่อใช้แอปพลิเคชันซอฟต์แวร์ เช่น Softaculous เพื่อติดตั้ง WordPress ของคุณ

อย่าใช้ชื่อผู้ใช้เริ่มต้น ทำให้แฮกเกอร์ง่ายขึ้น - เลือกชื่อผู้ใช้อื่น เช่น ที่อยู่อีเมลของคุณ หากคุณได้รับผู้ใช้ที่สร้างไว้แล้วด้วยชื่อผู้ใช้นี้ ให้สร้างผู้ดูแลระบบใหม่และลบชื่อผู้ใช้ที่มีอยู่



เช่นเดียวกับรหัสผ่านของคุณ ยิ่งแข็งแกร่งยิ่งดี เลือกรหัสผ่านแบบยาวที่มีตัวเลขและอักขระพิเศษ หรือให้สร้างรหัสผ่านแบบสุ่มก็ได้

หากคุณกังวลว่าคุณจะลืมรหัสผ่าน ให้ลองใช้ระบบที่สามารถช่วยให้คุณจดจำได้ บางคนชอบใช้การผสมผสานระหว่างอักขระแบบคงที่ + ชื่อของเว็บไซต์เป็นตัวสร้างความแตกต่าง ( Jack1990Apple!) ส่วนคนอื่นๆ เลือกใช้รหัสผ่านที่เชื่อมโยงกัน

แน่นอน คุณสามารถบันทึกรายละเอียดการเข้าสู่ระบบของคุณ และไม่ต้องกังวลว่าคุณจะจำข้อมูลเหล่านั้นได้หรือไม่ อย่าใช้เบราว์เซอร์ของคุณเพื่อเก็บรายละเอียดการเข้าสู่ระบบของคุณ! นี่เป็นตัวเลือกที่ค่อนข้างไม่ปลอดภัย (และใช้กันทั่วไป)

หากคุณต้องการเก็บรายละเอียดการเข้าสู่ระบบของคุณเพื่อที่คุณจะได้ไม่ต้องพิมพ์ทุกครั้ง ให้ใช้ตัวจัดการรหัสผ่านเช่น Lastpass - พวกมันมีแผนฟรี และรายละเอียดการเข้าสู่ระบบของคุณจะปลอดภัยที่สุด ด้วยตัวจัดการรหัสผ่าน คุณต้องจำรหัสผ่านเพียง 1 รหัสผ่าน (รหัสหลัก) และเก็บรายละเอียดบัตรเครดิตไว้ด้วย

4. จำกัดความพยายามในการเข้าสู่ระบบ

อีกวิธีหนึ่งในการป้องกันการโจมตีด้วยกำลังเดรัจฉาน (อีกครั้ง พวกเขาจะพยายามเจาะเข้าไปโดยเดารายละเอียดของคุณ) ก็คือการจำกัดจำนวนครั้งในการพยายามเข้าสู่ระบบ โชคดีที่นี่เป็นสิ่งที่ค่อนข้างง่ายที่จะทำ เพียงติดตั้งปลั๊กอิน เช่น Loginizer หรือหากคุณใช้ปลั๊กอินความปลอดภัย ให้ตรวจสอบว่าไม่มีคุณลักษณะนี้เป็นคุณลักษณะหรือไม่

ลูกค้าบนบริการโฮสติ้งที่ใช้ร่วมกันของ Kualo ยังได้รับการปกป้องจากการเข้าสู่ระบบด้วยกำลังเดรัจฉานโดยอัตโนมัติ - ด้วยความพยายามที่ดุร้ายจะถูกควบคุมและบล็อก

5. ใช้ 2FA (การรับรองความถูกต้องด้วยสองปัจจัย)

การรับรองความถูกต้องด้วยสองปัจจัยได้กลายเป็นมาตรฐานทองคำในช่วงสองสามปีที่ผ่านมา อันที่จริง เว็บไซต์ที่มีชื่อเสียงหลายแห่งจะบังคับให้ผู้ใช้ติดตั้ง 2FA ในบัญชีของตน โดยเป็นหนึ่งในวิธีการปกป้องที่น่าเชื่อถือที่สุด วิธีการทำงานคือจะต้องมีการตรวจสอบสิทธิ์เพิ่มเติม (โดยปกติผ่านโทรศัพท์ของคุณ) ทุกครั้งที่คุณเข้าสู่ระบบจากอุปกรณ์ที่ไม่เป็นที่รู้จัก

ซึ่งหมายความว่าแม้ว่าแฮกเกอร์จะมีรายละเอียดการเข้าสู่ระบบที่แน่นอนของคุณ แต่พวกเขาก็ยังไม่สามารถเข้าสู่ระบบได้หากไม่มีการตรวจสอบสิทธิ์เพิ่มเติม

คุณสามารถติดตั้งปลั๊กอิน เช่น WP 2FA และบังคับให้ผู้ใช้รายอื่นในเว็บไซต์ของคุณใช้สิ่งนั้นได้เช่นกัน (โดยเฉพาะหากพวกเขามีสิทธิ์ผู้ดูแลระบบหรือผู้แก้ไข) อย่าลืมดาวน์โหลดรหัสสำรองของคุณและเก็บไว้ในสถานที่ที่ปลอดภัย เผื่อในกรณีที่คุณไม่สามารถเข้าถึงโทรศัพท์ได้

6. เปลี่ยน URL ของหน้าเข้าสู่ระบบของคุณ

เช่นเดียวกับชื่อผู้ใช้ "ผู้ดูแลระบบ" อีกรายละเอียดหนึ่งที่มีชื่อเสียงของ WordPress เมื่อพูดถึงการเข้าถึงการเข้าสู่ระบบคือหน้าเข้าสู่ระบบ ค่าเริ่มต้นคือ "www.yourwebsite.com/wp-login.php" หรือ "www.yourwebsite.com/wp-admin"

ไม่ว่าจะด้วยวิธีใด หากคุณปล่อยให้เป็นเช่นนี้ คุณจะทำให้แฮกเกอร์สามารถระบุทางเข้าแบ็กเอนด์ของคุณได้ง่ายขึ้น และเริ่มการโจมตีด้วยกำลังเดรัจฉานได้ง่ายขึ้น

เปลี่ยน URL (กระสุน) เป็นหน้าเข้าสู่ระบบของคุณโดยใช้ปลั๊กอิน เช่น ThemeMyLogin หรือค้นหาปลั๊กอินความปลอดภัยที่จะรวมคุณสมบัติหลายอย่างที่เราระบุไว้ (2FA จำกัดความพยายามในการเข้าสู่ระบบ ฯลฯ)

ยังมีบทความดีๆ จาก WPBeginner เกี่ยวกับวิธีเปลี่ยน URL ล็อกอินด้วยตนเอง แต่หากคุณไม่สะดวกในการจัดการโค้ด ทางที่ดีไม่ควรไปที่นั่น

7. ติดตั้งปลั๊กอินความปลอดภัย

ในขณะที่เขียนบทความนี้ มีปลั๊กอินมากกว่า 50 ล้านตัวให้เลือกใช้ ทั้งแบบฟรีและมีค่าใช้จ่าย น่าเสียดายที่ไม่ได้ใช้ประโยชน์จากฐานปลั๊กอินขนาดใหญ่ที่สามารถป้องกันการติดตั้งของคุณจากการโจมตีที่เป็นอันตราย

ในทางกลับกัน ปลั๊กอินแต่ละตัวที่คุณติดตั้งเป็นโค้ดอีกส่วนหนึ่งที่ต้องได้รับการดูแล (เช่น อัปเดต) ปลั๊กอินจำนวนมากยังเพิ่มความเสี่ยงของความไม่ลงรอยกัน - นี่คือเมื่อปลั๊กอินสองตัวขึ้นไปไม่สามารถทำงานร่วมกันได้ - ดังนั้นคุณต้องหลีกเลี่ยงการติดตั้งปลั๊กอินที่คุณไม่สามารถทำได้

ปลั๊กอินความปลอดภัยที่ดีที่สุดบางตัวจะรวมคุณสมบัติหลายอย่างไว้ด้วยกัน ดังที่ได้กล่าวไว้ข้างต้น ซึ่งจะช่วยลดจำนวนปลั๊กอินที่คุณต้องติดตั้ง เพื่อทำทุกสิ่งที่เรากำลังพูดถึง ตัวอย่างที่ดีคือ:

• ความปลอดภัยของ Wordfence - อีกหนึ่งตัวเลือกที่แพร่หลายซึ่งเต็มไปด้วยคุณสมบัติต่างๆ เหมาะสำหรับผู้ใช้ที่มีเว็บไซต์หลายแห่งผ่านทางศูนย์กลาง Wordfence ปลั๊กอินจะตรวจสอบ WordPress เพื่อหาความเสี่ยงด้านความปลอดภัยหลายประการ เช่น โค้ดที่เป็นอันตราย การแทรกสแปม และแม้แต่ URL ที่ไม่ดี
• WP Cerber Security - ปลั๊กอินที่ยอดเยี่ยมที่มีตัวเลือกมากมายซึ่งแนะนำในบทความนี้ อันที่จริง นี่อาจเป็นหนึ่งในปลั๊กอินที่มีรายการคุณลักษณะด้านความปลอดภัยที่ครอบคลุมมากที่สุด
• All in One WP Security - ปลั๊กอินนี้ได้รับความนิยมในหมู่ผู้ใช้ที่ไม่ค่อยมีประสบการณ์ทางเทคนิค และไม่มีเวอร์ชันที่ต้องชำระเงิน ดังนั้นจึงไม่มีข้อจำกัดใดๆ มันจะต้องมีการกำหนดค่าด้วยตนเองมากขึ้น แต่ความเรียบง่ายช่วยให้มั่นใจว่าเส้นโค้งการเรียนรู้ที่ค่อนข้างแบน

8. ติดตั้งปลั๊กอินบันทึกกิจกรรม

นี่เป็นคำแนะนำที่เป็นประโยชน์ในหลายๆ โอกาส ปลั๊กอินบันทึกกิจกรรมจะบันทึกและแสดงบันทึกของกิจกรรมใดๆ ที่ดำเนินการโดยผู้ใช้ที่แตกต่างกันบนเว็บไซต์ของคุณ คิดว่าเป็นกล้องวงจรปิด คอยจับตาดูทุกสิ่งที่เกิดขึ้นบนเว็บไซต์ของคุณ (ในรูปแบบข้อความแน่นอน!)

หากผู้ใช้ที่มีสิทธิ์ของผู้ดูแลระบบหลายคนทำงานบนเว็บไซต์ของคุณ นี่เป็นวิธีที่ยอดเยี่ยมในการบันทึกสิ่งที่กำลังทำอยู่

จากมุมมองด้านความปลอดภัย มันสามารถแสดงข้อมูลต่าง ๆ ที่มีประโยชน์มาก - ตั้งแต่การพยายามเข้าสู่ระบบที่ล้มเหลวไปจนถึงการเปลี่ยนแปลงในไฟล์ไซต์ WordPress และการตั้งค่า หากคุณเป็นคนที่ชอบดูแลเว็บไซต์ของตัวเอง คุณสมบัตินี้เป็นสิ่งจำเป็น

ตัวเลือกที่ยอดเยี่ยม (และฟรี) คือบันทึกกิจกรรม WP ซึ่งเป็นปลั๊กอินที่มีมาหลายปีแล้ว และยังเป็นที่รู้จักจากทั้งบันทึกที่มีรายละเอียดและความเรียบง่ายของอินเทอร์เฟซ

9. ติดตั้งใบรับรอง SSL

สิ่งนี้ควรดำเนินไปโดยไม่บอก แต่รวมคำแนะนำนี้ไว้เพื่อความปลอดภัย

ครั้งหนึ่ง จำเป็นต้องมี SSL สำหรับเว็บไซต์ที่ต้องการความปลอดภัยสำหรับธุรกรรมเฉพาะ เช่น การชำระเงิน อย่างไรก็ตาม ในปัจจุบันนี้ ไม่สำคัญว่าคุณกำลังประมวลผลการชำระเงินบนเว็บไซต์ของคุณหรือไม่ SSL จำเป็นสำหรับเว็บไซต์ใดๆ ที่ประมวลผลข้อมูลที่ละเอียดอ่อน เช่น รหัสผ่าน ชื่อ ที่อยู่ ฯลฯ

กลไกข้างเคียงของสิ่งนี้มีดังนี้: หากไม่มี SSL บนเว็บไซต์ของคุณ ข้อมูลทั้งหมดที่ถ่ายโอนระหว่างเว็บเบราว์เซอร์ของผู้ใช้และเว็บเซิร์ฟเวอร์ของคุณจะถูกส่งเป็นข้อความธรรมดาที่แฮกเกอร์สามารถอ่านได้

เมื่อคุณติดตั้ง SSL ข้อมูลที่ละเอียดอ่อนจะได้รับการเข้ารหัสก่อนที่จะถ่ายโอนระหว่างสองฝ่าย – เว็บเบราว์เซอร์ของผู้ใช้และเซิร์ฟเวอร์ของคุณ ปกป้องข้อมูลจากบุคคลที่สามด้วยเจตนาร้าย

Google เล็งเห็นถึงความสำคัญของใบรับรอง SSL มาระยะหนึ่งแล้ว และเริ่มแสดงบนเว็บไซต์อันดับต้นๆ ที่สามารถเสนอการถ่ายโอนข้อมูลที่เข้ารหัสได้

นอกจากนี้ ในปี 2018 Google ได้เตือนเจ้าของเว็บไซต์ทุกคนว่าทุกเว็บไซต์ที่ไม่มี SSL ที่ใช้งานอยู่จะแสดงเป็น “ไม่ปลอดภัย” ใน URL สิ่งนี้ทำให้ใบรับรอง SSL เป็นสิ่งที่จำเป็นอย่างยิ่ง ข่าวดีก็คือมันค่อนข้างง่ายที่จะได้รับ และที่มากกว่านั้น บริษัทโฮสติ้งบางแห่ง (รวมถึง Kualo!) มี SSL ให้ฟรีด้วย

10. ตั้งค่าการสำรองข้อมูล

แม้ว่าการสำรองข้อมูลอาจไม่ทำงาน 100% หากคุณต้องการแก้ไขปัญหา WordPress และเมื่อใด สิ่งเหล่านี้คือแนวป้องกันแรกของคุณ การสำรองข้อมูลเว็บไซต์อาจมีประโยชน์ไม่เพียงแค่เมื่อมีการโจมตีของแฮ็กเกอร์เท่านั้น แต่ยังมีประโยชน์เมื่อมีปัญหาทางเทคนิคอีกด้วย

หลายครั้ง เมื่อติดตั้งธีม/ปลั๊กอินใหม่ หรือทำงานอย่างแข็งขันบนไซต์ของคุณ บางสิ่งอาจเสียหาย ดังนั้นการสำรองไว้จึงเป็นสิ่งที่จำเป็นอย่างไม่ต้องสงสัย

แม้ว่าผู้ให้บริการโฮสต์ที่เชื่อถือได้ส่วนใหญ่จะมีการสำรองข้อมูลรายวันไว้ให้คุณ แต่ก็ไม่ควรเรียนรู้วิธีดำเนินการด้วยตนเองหรือใช้ปลั๊กอินสำรอง เช่น UpdraftPlus หรือ BackupBuddy ทั้งสองมีตัวเลือกในการอัปโหลดข้อมูลสำรองของเว็บไซต์ของคุณไปยังบริการคลาวด์ เช่น Amazon หรือส่งออกในเครื่อง

คุณยังสามารถใช้คุณสมบัติ Softaculous Backup ซึ่งสามารถเข้าถึงได้ง่ายใน cPanel ของคุณ ข่าวดีก็คือมีความเรียบง่ายสูงสุดและไม่มีค่าใช้จ่ายเพิ่มเติม ข่าวร้ายก็คือมันจะอัปโหลดข้อมูลสำรองในบัญชีโฮสติ้งของคุณ ซึ่งแตกต่างจากคู่แข่งรายอื่น ดังนั้นมันจึงจะใช้พื้นที่ดิสก์และจะถูกเก็บไว้ในที่เดียวกับเว็บไซต์ด้วย หากมีอะไรเกิดขึ้นกับบัญชีของคุณ (เช่น ลบไฟล์โดยไม่ได้ตั้งใจหรือการบุกรุกของแฮ็กเกอร์ด้วยตนเอง) สำเนาสำรองของคุณอาจถูกบุกรุกเช่นกัน

อย่าลืมสร้างสำเนาสำรองไว้เสมอ หากคุณกำลังวางแผนที่จะทำงานบน WordPress และคุณไม่แน่ใจถึงผลลัพธ์สุดท้าย!

หากคุณกำลังใช้งานเว็บไซต์อีคอมเมิร์ซที่มีการเข้าชมสูง การสำรองข้อมูลรายชั่วโมงอาจเป็นทางเลือกที่ดีที่สุดสำหรับคุณ ดังที่ได้กล่าวไว้ก่อนหน้านี้ เว็บไซต์ที่สร้างคำสั่งซื้อจำนวนมากอาจประสบความสูญเสียอย่างมากในกรณีที่ต้องกู้คืนข้อมูลสำรองที่ดำเนินการก่อนหน้านี้หลายชั่วโมง

ขั้นตอนที่ดำเนินการได้เพิ่มเติมเพื่อปกป้องเว็บไซต์ WordPress ของคุณ [ขั้นสูง]

เคล็ดลับที่คุณจะพบในส่วนนี้ต้องการความรู้ขั้นสูงอีกเล็กน้อยในการจัดการ WordPress และความมั่นใจในการเขียนโค้ดโดยตรง หากคุณรู้สึกไม่สบายใจที่จะทำตามขั้นตอนเหล่านี้ ขอแนะนำให้ปรึกษานักพัฒนา WordPress ที่สามารถช่วยคุณดำเนินการได้

11. ปิดใช้งานการแก้ไขไฟล์

WordPress มาพร้อมกับตัวแก้ไขโค้ดในตัว ซึ่งช่วยให้คุณแก้ไขไฟล์ธีมและปลั๊กอินได้จากแผงการดูแลระบบของคุณ หากบุคคลที่ไม่ถูกต้องเข้าถึงแผงการดูแลระบบของคุณ นั่นอาจเป็นความเสี่ยงด้านความปลอดภัยอย่างมาก นั่นเป็นเหตุผลที่เราแนะนำให้ปิดการใช้งานคุณสมบัตินี้

คุณสามารถทำได้โดยเพิ่มโค้ดลงในไฟล์ wp-config.php ของคุณ:

 1 // Disallow file edit
 2 define( 'DISALLOW_FILE_EDIT', true );

12. ปิดใช้งานการดำเนินการไฟล์ PHP สำหรับไดเรกทอรี WordPress เฉพาะ

เพิ่มการป้องกันอีกชั้นหนึ่งโดยปิดการทำงานของไฟล์ PHP ในไดเร็กทอรีที่ไม่จำเป็น เหตุผลที่คุณต้องการทำเช่นนั้นก็เพราะว่าแฮกเกอร์มักใช้ฟังก์ชันนี้เพื่ออัปโหลดไฟล์การเข้าถึงลับๆ หรือมัลแวร์ไปยังไซต์ WordPress ของคุณ นี่เป็นขั้นตอนที่อันตราย หากคุณไม่รู้ว่าคุณกำลังทำอะไรอยู่เนื่องจากเว็บไซต์ของคุณอาจหยุดทำงาน ดังนั้นให้ระมัดระวัง! ไดเร็กทอรีที่คุณกำลังมองหาคือ /wp-content/uploads/

คุณสามารถทำได้โดยเปิดโปรแกรมแก้ไขข้อความเช่น Notepad และวางรหัสนี้:

<ไฟล์ *.php>

ปฏิเสธจากทั้งหมด

</Files>

บันทึกไฟล์นี้เป็น .htaccess และอัปโหลดไปที่ /wp-content/uploads/ โฟลเดอร์บนเว็บไซต์ของคุณโดยใช้ไคลเอนต์ FTP หรือผ่านตัวจัดการไฟล์ใน cPanel

13. ปิดใช้งาน XML-RPC

เมื่อใช้ XML-RPC เพื่อเชื่อมต่อไซต์ WordPress ของคุณกับเว็บและแอปบนอุปกรณ์เคลื่อนที่ แต่เนื่องจาก WordPress ได้เปิดตัว REST API ของตัวเอง XML-RPC จึงกลายเป็นภาระหน้าที่แทนที่จะเป็นคุณลักษณะที่มีประโยชน์

ตัวอย่างเช่น หากแฮ็กเกอร์ต้องการลองใช้รหัสผ่านที่แตกต่างกัน 1,000 รหัสบนเว็บไซต์ของคุณ พวกเขาจะต้องพยายามเข้าสู่ระบบแยกกัน 1,000 ครั้ง ซึ่งปลั๊กอินความปลอดภัยหรือไฟร์วอลล์ของคุณดักจับได้ อย่างไรก็ตาม หากคุณเปิดใช้งาน XML-RPC ไว้ แฮ็กเกอร์อาจใช้ฟังก์ชัน system.multcall และลองใช้รหัสผ่านที่แตกต่างกัน 1,000 รายการพร้อมคำขอ 30-60 รายการ

นั่นเป็นเหตุผลที่เราแนะนำอย่างยิ่งให้ปิดการใช้งาน และคุณสามารถทำได้โดยเพียงแค่เพิ่มรหัสในไฟล์ .htaccess ของคุณ:

 # Block WordPress xmlrpc.php requests

 <Files xmlrpc.php>

 order deny,allow

 deny from all

 allow from xxx.xxx.xxx.xxx

 </Files>

ในบรรทัดที่ 5 คุณควรแทรก IP ของคุณเอง หากเป็นรายการเดียวที่คุณต้องการเก็บ XML-RPC จาก (มิฉะนั้น ให้ลบออก)

หมายเหตุ: หากคุณเป็นหนึ่งในผู้ใช้ของเรา ไม่จำเป็นต้องทำตามขั้นตอนนี้ เนื่องจาก XMLRPC ของคุณจะได้รับการปกป้องโดยฟีเจอร์ Brute Force Protection ของ LiteSpeed

14. จำกัดการเข้าถึงบอท

แม้ว่าบ็อตบางตัวจะรวบรวมข้อมูลเว็บไซต์ของคุณอยู่เสมอ แต่บอทที่ไม่ดีสามารถสร้างสิ่งรบกวนที่น่ารำคาญได้ สิ่งเหล่านี้อาจทำให้เวิร์กโฟลว์ของคุณช้าลงและ/หรือขัดขวางการทำงานของไซต์ WordPress ของคุณ ซึ่งทำให้สูญเสียผู้ใช้

วิธีที่ดีในการจัดการกับสิ่งนี้คือการป้องกันไม่ให้บอทที่ไม่เหมาะสมเข้าถึง WordPress ของคุณ ใส่รหัสต่อไปนี้ในไฟล์ .htaccess

 SetEnvIfNoCase User-Agent ^$ keep_out

 SetEnvIfNoCase User-Agent (pycurl|casper|cmsworldmap|diavol|dotbot) keep_out

 SetEnvIfNoCase User-Agent (flicky|ia_archiver|jakarta|kmccrew) keep_out

 SetEnvIfNoCase User-Agent (purebot|comodo|feedfinder|planetwork) keep_out

 Order Allow,Deny

 Allow from all

 Deny from env=keep_out

เคล็ดลับที่ไม่ใช่ทางเทคนิคเพื่อให้ WordPress ของคุณปลอดภัย

ใช้ หลักการสิทธิพิเศษน้อยที่สุด (POLP)

ให้ผู้ใช้เว็บไซต์ของคุณเข้าถึงได้น้อยที่สุด ตัวอย่างเช่น หากคุณมีผู้เขียนเนื้อหา ไม่จำเป็นต้องให้บัญชีผู้ดูแลระบบแก่พวกเขา ผู้ใช้ Editor จะช่วยคุณได้ อย่าเปิดเผยบัญชีของคุณเว้นแต่จำเป็นจริงๆ และถ้าคุณทำ - เปลี่ยนรหัสผ่านของคุณทันทีที่ใครก็ตามที่คุณให้ไว้ก็ไม่ต้องการมันอีกต่อไป

อย่าเปิดเผยรายละเอียดโฮสติ้งของคุณด้วยเว้นแต่จำเป็นจริงๆ

อย่าใช้ธีมและปลั๊กอิน WordPress ที่ไม่มีค่าว่าง (ดาวน์โหลดอย่างผิดกฎหมาย)

เมื่อถึงจุดหนึ่ง อาจกลายเป็นสิ่งล่อใจให้ประหยัดเงินและดาวน์โหลดปลั๊กอินหรือธีมที่ไม่มีใบอนุญาต ในกรณีนี้ คุณจะต้องชำระเงินด้วยวิธีอื่น - ส่วนใหญ่แล้วจะเป็นการวางตำแหน่งลับๆ ให้กับ WordPress ของคุณ แฮกเกอร์มักจะซ่อนลิงก์สแปมหรือโค้ดที่เป็นอันตรายภายในรายการที่ไม่มีใบอนุญาต และเสนอให้ดาวน์โหลดฟรี

หลีกเลี่ยงค่าใช้จ่ายใดๆ และหากคุณว่าจ้างเว็บไซต์หรือฟังก์ชันการทำงาน ตรวจสอบให้แน่ใจว่าได้ยืนยันกับนักพัฒนาว่าทุกอย่างได้รับอนุญาตอย่างถูกต้อง

ความคิดสุดท้าย

พิจารณาเวลา (และเงินทุน) ที่คุณจะใช้เพื่อรักษาความปลอดภัยให้ WordPress เป็นการลงทุนทางธุรกิจที่สำคัญอีกอย่างหนึ่ง การแก้ไขเว็บไซต์ที่ถูกแฮ็กจะทำให้คุณเสียค่าใช้จ่ายมากขึ้น - ในกรณีที่โชคร้ายที่สุด อาจทำให้ธุรกิจของคุณเสียค่าใช้จ่าย การปฏิบัติตามคู่มือนี้จะไม่รับประกันการป้องกันการโจมตีที่เป็นอันตราย 100% แต่จะลดโอกาสที่จะเกิดขึ้นอย่างมาก

คุณพบว่าคำแนะนำใดที่ยากต่อการปฏิบัติตามหรือไม่? เราพลาดเรื่องสำคัญไปหรือเปล่า? ส่งความคิดเห็นถึงเรา เราชอบที่จะได้ยินความคิดเห็นของคุณ!

หรือหากคุณพร้อมที่จะเปลี่ยนไปใช้โฮสติ้ง WordPress ที่มีความปลอดภัยสูงของ Kualo ให้ตรวจสอบแผนของเราที่นี่