ข้อผิดพลาดด้านความปลอดภัย WordPress: คุณรู้ไหมว่าทุกนาทีมีการพยายามแฮกเว็บไซต์ WordPress ประมาณ 90,978 ครั้ง? เมื่อไซต์ของคุณถูกแฮก แฮกเกอร์จะใช้มันดำเนินกิจกรรมอันตรายหลากหลาย เช่น ส่งอีเมลสแปม (อ่าน: phishing hack) โจมตีเว็บไซต์อื่น แทรกลิงก์สแปม เปลี่ยนทางผู้เข้าชม ฯลฯ
นี่คือเหตุผลที่เจ้าของเว็บไซต์ WordPress อย่างคุณ ต้องปฏิบัติเรื่องความปลอดภัยอย่างจริงจัง ไม่มีวิธีเวทมนตร์ (silver bullet) ที่แก้ปัญหาความปลอดภัยทั้งหมดได้ แต่คุณต้องทำหลายอย่างให้ถูกต้อง บนอินเทอร์เน็ต มีคำแนะนำเยอะมากเกี่ยวกับวิธีรักษาความปลอดภัยไซต์ บางอย่างขัดแย้งกัน บางอย่างล้าสมัย ความคิดเห็นมากมายเกี่ยวกับสิ่งที่เจ้าของไซต์ควรทำและไม่ควรทำ สร้างความสับสน และในความสับสนนั้น ข้อผิดพลาดจึงเป็นเรื่องปกติ
การรักษาความปลอดภัยไซต์ไม่ใช่งานง่าย โดยเฉพาะเจ้าของไซต์ใหม่ที่มักทำข้อผิดพลาดที่ทำให้เปราะบางต่อการโจมตีแฮกทั่วไป การรู้จักข้อผิดพลาดด้านความปลอดภัยที่เจ้าของเว็บไซต์มักทำ จะช่วยหลีกเลี่ยงพวกมัน และนั่นคือเหตุผลที่เราจัดทำรายการนี้ เพื่อให้คุณหยุดทำข้อผิดพลาดที่เจ้าของเว็บไซต์ WordPress ส่วนใหญ่ทำ
ข้อผิดพลาดด้านความปลอดภัย WordPress ที่เจ้าของไซต์มักทำ:
เราแนะนำให้รัน WordPress security audit ก่อนดำเนินมาตรการด้านล่าง –
1. ไม่อัปเดต WordPress Core, ปลั๊กอิน และธีม
การอัปเดต WordPress core และส่วนเสริม (ธีมและปลั๊กอิน) เป็นมาตรการความปลอดภัยที่ดี การอัปเดตไม่ได้แค่เพิ่มฟีเจอร์ แต่ยังช่วยปิดช่องโหว่ ด้วยระบบนิเวศที่ WordPress ทำงาน ข่าวเกี่ยวกับช่องโหว่เผยแพร่เร็วมาก และแฮกเกอร์พยายามใช้ประโยชน์จากสถานการณ์ ถ้าคุณไม่อัปเดตไซต์ซึ่งจะช่วยปิดช่องโหว่ ไซต์ของคุณจะกลายเป็นเป้าหมายง่าย
บางเจ้าของไซต์ไม่อัปเดตเพราะไม่รู้ว่าอัปเดตเกี่ยวข้องกับความปลอดภัย อื่นๆ กลัวปัญหาความเข้ากันไม่ได้ (incompatibility) เว็บไซต์ WordPress อาจพังหลังอัปเดต core และส่วนเสริม
การอัปเกรด WordPress ออกแบบมาให้เข้ากันได้กับเวอร์ชันก่อนหน้าทั้งหมด ดังนั้นถ้าไซต์รันเวอร์ชัน 4.1 คุณยังอัปเดตเป็นเวอร์ชันล่าสุด เช่น 4.9 ได้ แต่แม้จะมีการป้องกัน ทุกอัปเดตก็ยังมีข่าวเว็บพัง นี่คือตัวอย่างจาก WordPress เวอร์ชันล่าสุด 4.9.6
คุณอาจเจอปัญหาเดียวกันตอนอัปเดตส่วนเสริม WordPress คือ ธีมและปลั๊กอิน ปัญหาความเข้ากันไม่ได้ในธีมและปลั๊กอินเกิดขึ้นบ่อย เพราะนักพัฒนาถูกเร่งให้ปล่อยอัปเดตใหม่ หรือนักพัฒนาอาจไม่เชี่ยวชาญพอ ตลาดปลั๊กอินและธีมแข็งขัน และในการพยายามเด่นจากคนอื่น นักพัฒนาถูกดันให้เพิ่มฟีเจอร์ใหม่ๆ ในเวลาสั้นที่สุด บางครั้งพวกเขาไม่ได้เวลาทดสอบว่าเวอร์ชันนั้นเข้ากันได้กับทุกเวอร์ชันก่อนหน้าของ WordPress ดังนั้น ถ้าคนใดใช้ WordPress เวอร์ชันเก่า และอัปเดตปลั๊กอินที่ทำงานกับเวอร์ชันล่าสุดไม่กี่ตัว ไซต์ของเขาก็พัง
ความกังวลเกี่ยวกับปัญหาความเข้ากันไม่ได้ระหว่าง WordPress Core และส่วนเสริม อาจทำให้เจ้าของไซต์ข้ามอัปเดตความปลอดภัย
วิธีแก้: บริการ Staging อาจแก้ปัญหานี้ได้ กระบวนการสร้างไซต์โคลนเพื่อทดสอบการติดตั้ง WordPress core และส่วนเสริม เรียกว่า Staging บริการสำรองข้อมูลอย่าง BlogVault หรือเว็บโฮสต์อย่าง Kinsta มีสภาพแวดล้อม Staging ตรวจสอบกับเว็บโฮสต์หรือบริการสำรองข้อมูล (ถ้าคุณใช้) ว่ามีตัวเลือก Staging ไหม ถ้าไม่มี สมัครบริการที่อนุญาตให้ Staging ไซต์
นอกจากอัปเดตปลั๊กอิน ธีม และ core แล้ว เราแนะนำอย่างยิ่งให้อัปเดต WordPress salts และ security keys เป็นประจำ
2. ใช้ส่วนเสริมคุณภาพต่ำ (Using Poor Quality Add-ons)
ไม่ใช่ปลั๊กอินและธีม WordPress ทุกตัวสร้างได้ดี บางตัวข้ามการตรวจสอบคุณภาพ บางตัวพัฒนาโดยโปรแกรมเมอร์มือใหม่ สำคัญที่ผู้ใช้ต้องใส่ใจสิ่งที่เลือกใช้หรือซื้อ แต่น่าเสียดาย ผู้ใช้ WordPress หลายคนไม่มีความรู้ทางเทคนิค ทำให้ไม่สามารถประเมินได้ว่าปลั๊กอินหรือธีมดีแค่ไหน
วิธีแก้: เพื่อช่วยผู้ใช้แบบนี้ เราระบุลักษณะน้อยๆ ที่ช่วยให้คุณคัดกรองธีมหรือปลั๊กอินที่ดี:
i. รับส่วนเสริมจาก แหล่งที่เชื่อถือได้ เช่น WordPress Plugin repository หรือผู้ขายยอดนิยมอย่าง Elegant Themes, Themeforest ฯลฯ
ii. ตรวจสอบว่า ส่วนเสริมมี คะแนนดีบน WordPress repository และ มีรีวิวจากคนที่ใช้จริง การค้นหา Google เร็วๆ จะช่วยหาได้
iii. ยืนยันว่า ปลั๊กอินมีมานานแล้ว และผ่านการทดสอบเวลา มองหาอัปเดตความปลอดภัยและการแก้บั๊ก ใน repository หรือเว็บไซต์อย่างเป็นทางการ
iv. และให้แน่ใจว่า อัปเดตบ่อย และอัปเดตล่าสุดไม่เกิน 2 เดือน
3. ใช้ปลั๊กอินและธีมผิดกฎหมาย (Using Illegal Plugins & Themes)
เว็บไซต์หลายแห่งขายธีมและปลั๊กอินพรีเมียมฟรี การใช้ผลิตภัณฑ์ฟรีเหล่านี้อาจนำไปสู่ภัยพิบัติ เพราะหลายตัวมีมัลแวร์ฝังอยู่โดยเจตนา การติดตั้งส่วนเสริมผิดกฎหมายเหล่านี้เข้าไซต์ เหมือนเปิดประตูเชิญแฮกเกอร์เข้าไซต์ เมื่อโจมตีเข้าไซต์ผ่านโค้ดร้ายในธีม/ปลั๊กอินที่คุณติดตั้ง พวกเขาจะใช้ไซต์ดำเนินกิจกรรมร้าย เช่น ส่งสแปม โจมตีเว็บอื่น นอกจากนี้ การมีมัลแวร์บนไซต์ ทำให้ถูกจัดว่า compromised ทำให้โฮสติ้งระงับบัญชี Google แบล็คลิสต์ และระงับบัญชี AdWords
วิธีแก้: ซื้อธีมและปลั๊กอินต้นฉบับจากตลาดยอดนิยมอย่าง ThemeForest, Elegant Themes ฯลฯ ในช่วงลดราคา สามารถซื้อได้ราคาต่ำกว่ามาก ค้นหาเว็บไซต์อย่างเป็นทางการของธีมหรือปลั๊กอินที่คุณเลือก
4. เก็บปลั๊กอินและธีมที่ไม่ได้ใช้ไว้บนไซต์
การเก็บธีมและปลั๊กอินที่ไม่ได้ใช้บนเว็บไซต์ เปิดโอกาสให้แฮกเกอร์แฮกเข้าไซต์ หลายเจ้าของไซต์ไม่อัปเดตส่วนเสริมที่ปิดใช้งาน เพราะไม่รู้ประโยชน์ด้านความปลอดภัย บ้างคิดว่าอัปเดตแค่เพิ่มฟีเจอร์ และเพราะไม่ได้ใช้ปลั๊กอิน จึงคิดว่าไม่ต้องการฟีเจอร์ใหม่ ถ้าอัปเดตปล่อยเพื่อปิดช่องโหว่ ไซต์ของคุณยังคงเสี่ยงจนกว่าจะอัปเดต
วิธีแก้: วิธีเดียวคือกำจัดธีมและปลั๊กอิน WordPress ที่ไม่ได้ใช้งาน นี่คือวิธี:
ไปที่หน้า 'installed plugins' จากแดชบอร์ด WordPress ของไซต์คุณ
ในหน้านั้น มีตัวเลือกชื่อ 'inactive' เลือกตัวนั้น
จะไปอีกหน้าที่คุณสามารถ ลบปลั๊กอินที่ไม่ได้ใช้งาน แต่ก่อนกดปุ่ม 'inactive' เราแนะนำให้แน่ใจว่าคุณจะไม่ต้องการปลั๊กอินนั้นในอนาคตใกล้
5. ใช้แนวทางล็อกอินที่ไม่ดี (Using Bad Website Login Practices)
สองแนวทางล็อกอินที่พบบ่อยและอันตรายคือ ใช้ข้อมูลประจำตัวที่ทายง่าย และไม่ออกจากระบบ (logout) เมื่อไม่ได้ใช้ไซต์ โจมตีเขียนบอทลองล็อกอินเข้าไซต์โดยใช้คอมโบชื่อผู้ใช้ที่จำง่าย (เช่น admin) และรหัสผ่านง่าย (เช่น password123) เพื่อแฮกไซต์ วิธีแฮกแนวนี้เรียกว่า Brute force attack
วิธีแก้: แนะนำให้ใช้ ชื่อผู้ใช้และรหัสผ่านที่ไม่ซ้ำกัน (อ่านเพิ่ม: คู่มือป้องกันหน้าล็อกอิน WordPress) ข้อเสียคือ ข้อมูลประจำตัวที่ไม่ซ้ำากจดจำยาก ดังนั้นคุณต้องเก็บเอกสารบันทึกข้อมูลเหล่านี้ และให้แน่ใจว่าเอกสารเข้ารหัสเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต
6. ให้สิทธิ์ Admin ทุกคน (Giving Every User Admin Access)
การทำให้ทุกคนเป็น Admin เป็นความคิดไม่ดี โดยเฉพาะเว็บไซต์ที่มีผู้ใช้เยอะซึ่งเจ้าของไซต์ไม่รู้จักโดยตรง WordPress อนุญาตให้กำหนดบทบาทผู้ใช้: Administrator, Editor, Author, Contributor, Subscriber, SEO Manager, SEO Editor การให้ทุกคนเป็น Admin เสี่ยง เพราะให้เข้าถึงทุกส่วนของไซต์
การให้สิทธิ์ไม่จำกัดนำไปสู่การใช้ประโยชน์ร้ายเหมือนกรณี TechCrunch (เว็บเทคยอดนิยม) ที่ถูกแฮกโดย OurMine (กลุ่มแฮกเกอร์) หลังจากเข้าถึงบัญชีผู้ใช้ OurMine โพสต์บนไซต์ได้ นี่คือสกรีนชอตหน้าแรกตอนผู้อ่านตื่นมาเจอ:
วิธีแก้: บทบาทผู้ใช้แต่ละอย่างบน WordPress อนุญาตเข้าถึงเฉพาะบางส่วนของไซต์ ตามสิ่งที่คุณต้องการให้ผู้ใช้ทำบนไซต์ คุณสามารถกำหนดบทบาทเหล่านี้ การปฏิบัติตามหลักการนี้รับรองว่าเฉพาะคนที่คุณไว้วางใจเท่านั้นที่เข้าถึงทั้งไซต์ และถ้ามีปัญหา คุณรู้ว่าใครรับผิดชอบ
7. ไม่สำรองข้อมูล (Not Taking Backups)
การสำรองข้อมูลคือเครื่องมือช่วยชีวิต ไม่มีมันอาจทำคุณลำบากเมื่อภัยพิบัติเกิด ถ้าไซต์ถูกแฮกและโพสต์ถูกลบ คุณสามารถกู้คืนไซต์กลับสู่ปกติได้ด้วยการสำรองข้อมูล แต่การใช้บริการสำรองข้อมูลแบบไหนก็ได้ ไม่แนะนำ เพราะหลายบริการไม่มีประสิทธิภาพ ตัวอย่าง หลายปลั๊กอินสำรองข้อมูลเก็บไว้บนเซิร์ฟเวอร์เว็บ บางตัวเก็บในที่เดียว เซิร์ฟเวอร์เว็บไม่ใช่ที่เหมาะสมเก็บสำรอง เพราะเซิร์ฟเวอร์ต้องรับภาระสำรองข้อมูลนอกเหนือจากงานปกติ ทำให้ไซต์ชา การเก็บสำรองเพียงที่เดียว หมายถึง ถ้าสูญเสียสำรองนั้น คุณไม่มีสำรองอื่นให้พึ่ง
วิธีแก้: ก่อนเลือกบริการสำรองข้อมูล ตรวจสอบฟีเจอร์ดูว่าพวกเขาเก็บสำรองที่ไหน หาข้อมูลไม่ได้ ส่งอีเมลถามตรงๆ ว่าเก็บที่ไหน และเก็บหลายที่ไหม อ่านเพิ่มเติมวิธีเลือกการสำรองข้อมูลที่น่าเชื่อถือได้ที่นี่
8. ไม่ใช้บริการรักษาความปลอดภัย (Not Using a Security Service)
เจ้าของเว็บหลายคน โดยเฉพาะคนที่มีเว็บเล็กๆ ที่ดึงトラฟฟิกน้อย คิดว่าไซต์เล็กไม่สำคัญ จึงไม่ดึงดูดความสนใจแฮกเกอร์ แต่วันนี้แฮกเกอร์มีหลายเหตุผลโจมตีเว็บเล็ก พวกเขาอาจใช้เก็บไฟล์ หรือส่งสแปม ฯลฯ กลุ่มแฮกเกอร์หลายกลุ่ม ชอบโจมตีเว็บเล็ก เพราะเว็บเล็กไม่กังวลความปลอดภัย จึงแฮกง่ายกว่า พวกเขาเปิดโจมตี Brute force ใหญ่ๆ บอททาย username และ password เข้าไซต์ เทคนิคแฮกยอดนิยมคือใช้ประโยชน์จากปลั๊กอินและธีมที่มีช่องโหว่
วิธีแก้: บริการรักษาความปลอดภัยมาตรฐานเสนอฟีเจอร์จำเป็นอย่าง WordPress Firewall ช่วยป้องกันแฮกเกอร์ Brute-force เข้าไซต์
นอกจากมาตรการข้างต้น คุณสามารถดำเนินมาตรการความปลอดภัยเพิ่มเติมได้ เราแนะนำอย่างยิ่งให้ปฏิบัติตามคู่มือนี้ – Secure Your WordPress Site With wp-config.php
ทุกครั้งที่ช่องโหว่ในปลั๊กอิน ธีม หรือแม้ core พบ นักพัฒนาจะปล่อยแพทช์ผ่านอัปเดต ดังนั้น การอัปเดตธีม ปลั๊กอิน และ WordPress core ทั้งหมดเป็นแนวทางปฏิบัติความปลอดภัยที่ดี MalCare – หนึ่งในปลั๊กอินรักษาความปลอดภัย WordPress ที่ดีที่สุด มีฟีเจอร์ Site Management ให้คุณอัปเดตปลั๊กอิน ธีม และ WordPress core จากแดชบอร์ด MalCare มันช่วยคนที่มีหลายเว็บไซต์ต้องดูแล ล็อกอินแต่ละเว็บและอัปเดตธีม ปลั๊กอิน core ใช้เวลานาน บริการอย่าง MalCare ทำให้เจ้าของไซต์ปฏิบัติแนวทางปฏิบัติที่ดีง่ายขึ้น
นอกจากไฟร์วอลล์และ site management ปลั๊กอินรักษาความปลอดภัยยังมีบริการสแกนรายวัน หากเว็บไซต์ของคุณติดมัลแวร์ ปลั๊กอินจะช่วยซ่อมแซมเว็บไซต์ที่ถูกแฮก ถ้าคุณอยากสบายใจกว่านี้ ทีมที่ให้บริการบำรุงรักษาเว็บไซต์ WordPress โดยตรงจัดการความปลอดภัยให้เต็มที่ WP Buffs จะเป็นตัวเลือกดี พวกเขาดูแลอัปเดต ความปลอดภัย ความเร็วเว็บ และการแก้ไขต่อเนื่อง ไม่ว่าคุณจะดูแล 1 เว็บหรือ 1000!
ขั้นตอนต่อไป?
การใช้ปลั๊กอินรักษาความปลอดภัย WordPress ที่ดี คือขั้นตอนแรกสู่การสร้างเว็บไซต์ปลอดภัย หรือรักษา WordPress ให้ปลอดภัย มาตรการเพิ่มเติมที่คุณสามารถทำได้รวมถึง IP blocking การป้องกันหน้าล็อกอิน และอ่านคู่มือครบถ้วนด้านความปลอดภัย WordPress เพื่อเรียนรู้เพิ่มเติมวิธีรักษาความปลอดภัยเว็บไซต์ WordPress
หากคุณเคยทำข้อผิดพลาดเหล่านี้ในอดีต หวังว่าบทความนี้ช่วยให้เห็นว่าคุณทำผิดที่ไหนและแก้อย่างไร เรายินดีต้อนรับคำถามใดๆ เกี่ยวกับข้อผิดพลาดความปลอดภัย WordPress และวิธีแก้ กรุณาติดต่อเราผ่านหน้าติดต่อเรา
