รักษาความปลอดภัยหน้าล็อกอิน WordPress: คู่มือ HTTP Authentication ขั้นตอน

ป้องกันหน้าล็อกอินด้วยรหัสผ่านผ่าน HTTP Authentication: มีเว็บไซต์ WordPress 60 ล้านไซต์ ทำให้มันเป็นแพลตฟอร์มสร้างเว็บไซต์ยอดนิยมที่สุดในโลก แต่ความนิยมนี้มีราคาที่ต้องจ่าย มีการพยายามแฮกเว็บไซต์ WordPress ประมาณ 90,978 ครั้งทุกนาทีของทุกวัน แม้จะมีหลายวิธีที่แฮกเกอร์ใช้แฮกเข้าเว็บไซต์ วิธีหนึ่งที่ยอดนิยมและใช้กันอย่างกว้างขวางคือ Brute force attack ในการโจมตีประเภทนี้ แฮกเกอร์เขียนบอทพยายามทายข้อมูลล็อกอินของคุณให้ถูกต้อง ซึ่งเป็นเหตุผลว่าคุณต้องปกป้องหน้าล็อกอิน WordPress ของคุณ

ในบทความก่อนหน้าที่พูดถึงการป้องกันล็อกอิน เราพูดถึงการสร้าง username ที่ไม่ซ้ำ และบังคับรหัสผ่านแข็งแกร่ง มันเป็นวิธีที่มีประสิทธิภาพในการกันบอทแฮกเกอร์เข้าไซต์ แต่เรื่องความปลอดภัย ไม่มีการรับประกันสัมบูรณ์ว่าไซต์จะปลอดภัยตลอดไป อินเทอร์เน็ตไม่เคยเป็นที่ปลอดภัยมาก และไม่มีความปลอดภัยในปริมาณใดก็ตามที่พอเพียง ดังนั้นการมีหลายชั้นของการปกป้องสำหรับไซต์ของคุณจึงดี แม้ username และรหัสผ่านที่ไม่ซ้ำจะสำคัญ การล็อกหน้าล็อกอินก็เป็นขั้นตอนสำคัญสู่ความปลอดภัย วิธีหนึ่งคือการป้องกันหน้าล็อกอินด้วยรหัสผ่านผ่าน HTTP Authentication ในบทความนี้ เราจะแสดงวิธีทำได้

HTTP Authentication คืออะไร?

HTTP Authentication หรือ HTTP Basic Authentication (BA) เป็นเทคนิคบังคับการเข้าถึงที่จำกัด (restrictive access) ไปยังหน้าล็อกอิน เพื่อให้เข้าใจง่าย นึกภาพเว็บไซต์เป็นบ้าน ประตูหน้าคือหน้าล็อกอิน คนอาจพยายามบุกเข้าไปในบ้าน ซึ่งเป็นเหตุผลที่คุณต้องมีล็อกแข็งแกร่ง ล็อกนั้นแทนข้อมูลล็อกอิน ข้างนอกประตูหน้า มีรั้วที่ให้การปกป้องเพิ่มเติมให้บ้าน ในลักษณะเดียวกัน HTTP Authentication ให้ชั้นการปกป้องเพิ่มเติมให้บ้านของคุณ หมายความว่า ทุกคนที่ต้องการเข้าถึงหน้าล็อกอิน จะต้องผ่าน HTTP authentication (รั้ว) ก่อน แล้วค่อยถึงข้อมูลล็อกอิน (ประตูหน้า)

วิธีป้องกันหน้าล็อกอินด้วยรหัสผ่านผ่าน HTTP Authentication?

เพื่อรักษาความปลอดภัยเว็บไซต์ WordPress ด้วย HTTP authentication สิ่งแรกที่คุณต้องทำคือ สร้างไฟล์ .htpasswd แล้วคุณจะต้องแจ้งไฟล์ .htaccess ของเว็บไซต์เกี่ยวกับตำแหน่งของไฟล์ .htpasswd และนั่นจะล็อกหน้าล็อกอินของคุณ

วิธีสร้างไฟล์ .htpasswd?

ในไฟล์นี้ คุณจะเก็บชื่อผู้ใช้และรหัสผ่านของคนที่คุณต้องการให้เข้าถึงหน้าล็อกอิน โดยพื้นฐานแล้วเหมือนมีประตูไปยังรั้วที่ล้อมรอบบ้านของคุณ คุณสามารถให้กุญแจประตูให้เฉพาะคนที่คุณต้องการให้เข้าถึงไซต์ มาดูวิธีสร้างไฟล์ .htpasswd

เพื่อสร้างไฟล์ .htpasswd ใหม่ คุณต้องใช้เครื่องมือ command line .htpasswd มีเครื่องมือหลายตัวออนไลน์ เมื่อคุณหาตัวที่ต้องการใช้ เปิดมัน และในบรรทัดคำสั่ง เขียนโค้ดต่อไปนี้:

htpasswd -c .htpasswd harini

ในบรรทัดคำสั่งนี้ c ย่อมาจาก create และ harini คือ username ที่เราเลือก หลังพิมพ์โค้ดนี้เสร็จ กด enter คุณจะถูกขอสร้างรหัสผ่านที่ไม่ซ้ำสำหรับ username นี้ อย่ากังวล รหัสผ่านของคุณจะถูกเข้ารหัส

แต่ถ้าคุณมีไฟล์ .htpasswd อยู่แล้ว คุณแค่ต้องเพิ่ม username และรหัสผ่านใหม่ ทำได้โดยเขียนบรรทัดคำสั่งต่อไปนี้:

htpasswd .htpasswd rahul

สังเกตว่าเราไม่ได้ใช้ -c ตรงนี้ เพราะเราไม่ได้สร้างไฟล์ใหม่

โดยปกติ ไฟล์ .htpasswd จะมีลักษณะแบบนี้: username:encrypted_password ดังนั้นถ้า username คือ harini และรหัสผ่านคือ dummy123pass ไฟล์ .htaccess จะเป็น: harini:$apr1$50r17zis$lNbFJs4rQFfkp4ToO2/ZS/

รหัสผ่านถูกเข้ารหัส ไฟล์ .htaccess นี้คือข้อมูลประจำตัว HTTP Basic Authentication ของคุณ

ในกรณีที่คุณไม่ต้องการใช้เครื่องมือ หรือไม่รู้วิธีใช้ คุณสามารถใช้ .htpasswd generator เปิดลิงก์นี้ และคุณควรเห็นหน้าต่างแบบภาพด้านล่าง

พิมพ์ username และรหัสผ่านที่คุณต้องการ มีตัวเลือกสร้างรหัสผ่านสุ่มด้วย เมื่อเสร็จ กดปุ่มที่เขียนว่า Generate .htpasswd file คุณควรเห็น output

การแก้ไขไฟล์ .htaccess

ไฟล์ .htaccess เป็นหนึ่งในไฟล์สำคัญที่สุดของเว็บไซต์ WordPress ของคุณ มี 2 สิ่งที่เราจะทำกับไฟล์ .htaccess ของคุณ หนึ่ง เราจะบอกมันว่าต้องจำกัดอะไร สอง เราจะบอกมันว่าจะได้ HTTP Basic Authentication credentials ที่เราสร้างในขั้นตอนข้างต้นจากที่ไหน

.htaccess อยู่ในโฟลเดอร์ public_html เพื่อเข้าถึง คุณต้องไปที่บัญชีเว็บโฮสต์ ล็อกอินเข้าเว็บโฮสต์ ไปหน้าที่เรียกว่า cPanel ที่นั่นคุณควรเจอตัวเลือก File Manager เลือกนั้น และหน้าจะเปิด และในหน้านั้น คุณควรเห็นไฟล์

บางครั้ง .htaccess ถูกซ่อนและอาจไม่ปรากฏในโฟลเดอร์ public_html ถ้าเป็นเช่นนั้น สิ่งที่คุณต้องทำคือ กลับไปที่ cPanel คลิก File Manager ป๊อปอัปจะขึ้น ต้องเลือก 'Show Hidden Files'

ต่อไป คุณต้องดาวน์โหลดไฟล์ แล้วเปิดเพื่อเพิ่มบรรทัดโค้ดนี้:

<Files wp-login.php> AuthUserFile /path/to/.htpasswd AuthName "Private access" AuthType Basic require valid-user </Files>

มีบางสิ่งที่คุณต้องจำไว้ตอนแทรกโค้ดนี้: AuthUserFile /path/to/.htpasswd – คือพาธไปยังไฟล์ .htpasswd ที่คุณสร้างเมื่อกี้ ให้แน่ใจว่าพาธถูกต้อง คำว่า 'valid-user' บอกระบบว่าผู้ใช้ใดก็ตามที่ถูกกล่าวถึงในไฟล์ .htpasswd พร้อมสิทธิ์เข้าถึงหน้าล็อกอิน แต่ถ้าคุณต้องการคัดเลือกผู้ที่ให้เข้าถึง แทนที่จะใช้ 'valid-user' คุณสามารถระบุ username โดยตรง

หลังจากเสร็จแล้ว บันทึกและอัปโหลดกลับไปที่เดิมที่คุณดาวน์โหลดมา และแค่นี้ก็จบ ครั้งต่อไปที่คุณพยายามเข้าถึงหน้าล็อกอิน คุณจะเห็นหน้าต่างเล็กขึ้นขอข้อมูลล็อกอินเฉพาะ

นอกจาก HTTPS authentication เราแนะนำให้คุณนำ two-factor authentication ไปใช้ด้วย ซึ่งจะเพิ่มชั้นความปลอดภัยอีกชั้นให้หน้าล็อกอิน WordPress ของคุณ

นอกจากนี้ ดำเนินมาตรการความปลอดภัยเพิ่มเติม เช่น ย้ายไซต์จาก HTTP ไป HTTPS ติดตั้งปลั๊กอินรักษาความปลอดภัย ป้องกันหน้าล็อกอิน ฯลฯ แม้การป้องกันหน้าล็อกอินเป็นความคิดดี แต่ยังมีวิธีอื่นๆ ที่แฮกเกอร์เข้าถึงเว็บไซต์ของคุณได้ เราแนะนำอย่างยิ่งให้คุณใช้แนวทางความปลอดภัยแบบองค์รวม (holistic) โดยปฏิบัติตามคู่มือ Complete WordPress Security ของเรา