Bảo mật wordpress cơ bản

Năm 2026, WordPress tiếp tục củng cố vị thế độc tôn với thị phần vượt mốc 45% toàn cầu. Một miếng bánh khổng lồ! Chính sự phổ biến này biến WordPress trở thành “miếng mồi ngon” béo bở nhất trong mắt các hacker mũ đen.

Hãy thử nghĩ xem: Nếu một hacker muốn phát tán mã độc tống tiền (Ransomware) hoặc tạo mạng máy tính ma (Botnet), họ sẽ chọn tấn công một nền tảng mã nguồn mở vô danh, hay sẽ chĩa mũi dùi vào nền tảng mà cứ 10 website trên thế giới thì có 4 cái đang sử dụng? Chắc chắn là WordPress rồi!

Theo báo cáo mới nhất từ các tổ chức bảo mật uy tín như WPScan và Wordfence năm 2026:

• Khoảng 60% lỗ hổng bảo mật đến từ các Plugin (đặc biệt là Plugin lậu/Nulled).
• Khoảng 25% đến từ Themes.
• Chỉ khoảng 15% lỗi xuất phát từ WordPress Core.

Bài viết này là cẩm nang Bảo mật WordPress Cơ bản dành cho người quản trị viên. Chúng ta không cố gắng xây dựng một pháo đài “bất khả xâm phạm” (vì đến cả Lầu Năm Góc còn bị hack), mà mục tiêu là loại bỏ 99% các nguy cơ tấn công tự động từ Bot và những Hacker hạng ruồi. Khi website của bạn đủ “khó nhằn”, bọn chúng sẽ tự động bỏ đi tìm con mồi khác dễ dãi hơn.

1. Luôn cập nhật WordPress, Plugin và Theme

Đa số các đợt tấn công nguy hiểm nhất đều đánh vào các lỗ hổng đã được công bố (Zero-day hoặc CVE đã biết) trên các Plugin cũ chưa được update. Các nhà phát triển đã tung ra bản vá, nhưng bạn lại “lười” bấm nút Cập nhật!

Chiến lược năm 2026:

• Hãy Chủ động cập nhật.
• Tuyệt đối KHÔNG dùng Plugin/Theme lậu (Nulled). Mã độc backdoor 100% được cấy sẵn trong các file này. Mua rẻ vài đồng nhưng bạn đang tự mở cửa rước giặc vào nhà.
• Thường xuyên xóa bỏ (Delete) các Plugin và Theme bạn đã tắt (Deactivate). Code không dùng nhưng vẫn nằm trên máy chủ vẫn có thể bị lợi dụng để khai thác.

2. Thiết lập Tài khoản và Mật khẩu “Thép”

Gần 10% các trang web bị hack thành công là do các cuộc tấn công Brute Force (Dò mật khẩu) vào tài khoản quản trị.

• Tuyệt đối không dùng tên đăng nhập là admin hay trùng với tên miền.
• Mật khẩu phải dài trên 24 ký tự, pha trộn chữ hoa, chữ thường, số và ký tự đặc biệt (Nên dùng các trình quản lý mật khẩu như Bitwarden, 1Password để tạo ngẫu nhiên).
• MỚI (Bắt buộc năm 2026): Cài đặt Xác thực 2 yếu tố (2FA). Kể cả khi Hacker có được Mật khẩu của bạn, chúng cũng không thể đăng nhập nếu không có mã OTP trên điện thoại của bạn. (WP 2FA).

3. Đổi đường dẫn Đăng nhập (Hide wp-admin)

Mặc định mọi website WordPress đều đăng nhập qua /wp-login.php hoặc /wp-admin. Botnet của Hacker luôn liên tục spam hàng chục ngàn request mỗi ngày vào đường dẫn này để thử mật khẩu, khiến CPU máy chủ của bạn sập nguồn.

Hãy sử dụng plugin như WPS Hide Login hoặc tính năng tương tự để đổi đường dẫn đăng nhập thành một từ khóa bí mật, ví dụ: /cua-vao-nha-kho. Chỉ một thay đổi nhỏ nhưng giúp web của bạn thoát khỏi 99% các đợt càn quét tự động.

4. Bảo mật từ cấp độ Máy chủ (Webserver)

Bảo mật WordPress thực chất là bảo vệ Máy chủ. Nếu bạn thuê VPS, hãy cấu hình Tường lửa (Firewall) hệ thống như Fail2Ban, UFW/Firewalld. Fail2Ban sẽ lập tức chặn IP (Ban IP) của những kẻ đang cố tình dò pass liên tục hoặc spam mã độc vào web.

Ngoài ra, nếu bạn dùng Shared Hosting, hãy chọn các nhà cung cấp uy tín, trang bị hệ thống bảo mật CloudLinux và Imunify360 (ngăn chặn mã độc lây chéo giữa các web trên cùng 1 server).

5. Thay đổi tiền tố Database (Table Prefix)

Khi cài đặt, WordPress mặc định tạo các bảng Database với tiền tố wp_ (ví dụ: wp_users). Kẻ xấu sử dụng các lỗ hổng SQL Injection sẽ luôn tấn công trực tiếp vào tên bảng mặc định này.

Hãy đổi tiền tố thành một chuỗi ngẫu nhiên như vbt9x_ hoặc abcxyz_. Nếu bạn đang cài đặt mới, hãy đổi ngay từ đầu. Nếu web đã chạy, bạn có thể dùng các plugin như Brozzme DB Prefix để đổi.

6. Tắt tính năng chỉnh sửa File trong Dashboard

WordPress cho phép bạn sửa trực tiếp file code của Theme và Plugin ngay trong trang quản trị. Tuy nhiên, nếu Hacker chui lọt được vào Admin, chúng có thể dễ dàng gắn mã độc bằng tính năng này.

Hãy khóa chặt tính năng này lại bằng cách thêm dòng sau vào file wp-config.php:

define( 'DISALLOW_FILE_EDIT', true );

Khi cần sửa code, hãy dùng SFTP, SSH hoặc File Manager trên Hosting.

7. Vô hiệu hóa XML-RPC và Rest API (Nếu không cần thiết)

XML-RPC: Kênh kết nối cổ lỗ sĩ thường bị lợi dụng để tạo các cuộc tấn công DDoS và Brute Force khổng lồ. Năm 2026, 99% người dùng không cần XML-RPC nữa. Hãy tắt nó đi ngay lập tức (Bạn có thể dùng Plugin hoặc chặn bằng .htaccess).

Rest API: Giúp các ứng dụng giao tiếp với web bạn, nhưng Hacker cũng dùng nó để thu thập (cào) danh sách toàn bộ User (tên đăng nhập) của website. Hãy giới hạn Rest API chỉ hoạt động cho những người dùng đã đăng nhập thành công.

8. Bảo vệ “Trái tim” wp-config.php

File wp-config.php chứa mật khẩu Database. Nếu để lộ, coi như bạn mất trắng. Hãy chặn quyền truy cập file này từ bên ngoài bằng cách thêm vào file .htaccess (Nếu dùng Apache/LiteSpeed):

<Files wp-config.php>
    order allow,deny
    deny from all
</Files>

Đồng thời, đảm bảo file này được phân quyền (Chmod) ở mức 440 hoặc 400 trên Linux, chỉ cho phép Hệ thống đọc, không cho ai ghi đè.

9. Ẩn thông tin phiên bản WordPress

Đừng bao giờ la làng cho cả thế giới biết bạn đang dùng WordPress phiên bản bao nhiêu (vì mỗi phiên bản đều có danh sách lỗ hổng riêng bị công bố). Xóa dòng Meta version trong mã nguồn Header bằng cách dán vào functions.php:

remove_action('wp_head', 'wp_generator');
add_filter('the_generator', '__return_empty_string');

Và nhớ xóa bỏ file readme.html nằm ở thư mục gốc chứa mã nguồn của bạn.

10. Backups: Chiếc phao cứu sinh cuối cùng

Dù bạn cấu hình pháo đài thép đến đâu, rủi ro sập web (do thao tác sai, bị tấn công zero-day, hỏng phần cứng) vẫn luôn chực chờ. Sao lưu (Backup) là chân ái cuối cùng!

• Hãy thiết lập Backup Tự động định kỳ (Hàng ngày hoặc Hàng tuần).
• Lưu bản Backup ra một nơi khác hoàn toàn tách biệt với Webserver hiện tại (Ví dụ: Đẩy lên Google Drive, Amazon S3, Dropbox). Nếu máy chủ bị cháy hoặc bị hacker xóa sạch dữ liệu ổ cứng, bạn vẫn còn bản sao lưu trên đám mây để dựng lại từ đầu.

Tổng Kết

Bạn không cần phải là một chuyên gia An ninh mạng để bảo vệ website của mình. Chỉ cần thực hiện 10 thao tác bảo mật cơ bản phía trên, cài thêm một tường lửa miễn phí (Cloudflare WAF / Wordfence), và ĐỪNG BAO GIỜ DÙNG HÀNG NULLED.