วิธีปกป้อง WordPress Admin: กลยุทธ์ความปลอดภัยที่จำเป็น

รักษาความปลอดภัย WordPress Admin: คุณรู้ไหมว่า มีการพยายามแฮกเว็บไซต์ WordPress เกิน 90,000 ครั้งต่อนาทีทุกวัน? สิ่งนี้หมายความว่า การโจมตีแฮกบนเว็บไซต์ของคุณเป็นเรื่องที่จะเกิดขึ้นแน่นอน ไม่ว่าจะเป็นไซต์ใหญ่หรือเล็ก ความปลอดภัยเป็นเรื่องที่สำคัญที่สุดสำหรับเว็บไซต์

แฮกเกอร์ใช้เทคนิคต่างๆ ในการแฮก WordPress และการโจมตีแบบ Brute Force เป็นหนึ่งในเทคนิคเหล่านั้น มันเกี่ยวข้องกับการลองผสมผสานชื่อผู้ใช้และรหัสผ่านที่ใช้บ่อยๆ บนหน้าล็อกอินของเว็บไซต์

การโจมตี Brute Force ที่สำเร็จจะให้สิทธิ์เข้าถึง WordPress Admin พื้นที่ Admin ของ WordPress เป็นศูนย์กลางการบริหารของเว็บไซต์ที่ขับเคลื่อนโดย WordPress ทุกคนที่มีสิทธิ์เข้าถึง Admin เต็มรูปแบบจะควบคุมไซต์ได้ทั้งหมด ดังนั้น จึงสำคัญมากที่จะปกป้อง WordPress Admin ของคุณจากการโจมตี Brute Force

วิธีรักษาความปลอดภัย WordPress Admin?

เรามีเทคนิคหลายอย่างที่จะช่วยให้คุณรักษาความปลอดภัย WordPress Admin ของไซต์จากการโจมตีแฮก

1. ใช้รหัสผ่านที่แข็งแกร่ง

ข้อผิดพลาดที่พบบ่อยที่สุดของเจ้าของเว็บไซต์คือการใช้รหัสผ่านอ่อนแอ ตลอดหลายปี เทคนิคการแตกรหัสผ่านได้พัฒนาไปอย่างมาก รหัสผ่านที่เดาได้ง่ายถูกแตกภายในไม่กี่นาที รหัสผ่านที่แข็งแกร่งช่วยป้องกันไซต์จากเทคนิคการแทกรหัสผ่านที่เก่งนี่ นี่คือบทความดีเกี่ยวกับวิธีสร้างรหัสผ่านที่แข็งแกร่งจริงๆ สำหรับ WordPress

อย่างไรก็ตาม การจดจำรหัสผ่านที่แข็งแกร่งอาจเป็นปัญหา บทความนี้อธิบายวิธีจัดการรหัสผ่าน WordPress ที่แข็งแกร่ง

ข้อผิดพลาดอีกอย่างที่พบบ่อยคือการใช้รหัสผ่านเดียวกันหลายไซต์ เมื่อรหัสผ่านหนึ่งถูกโจมตี บัญชีทั้งหมดที่เกี่ยวข้องกับรหัสผ่านนั้นก็ถูกโจมตีเช่นกัน ดังนั้น การใช้รหัสผ่านที่ต่างกันสำหรับแต่ละบัญชีช่วยหลีกเลี่ยงสถานการณ์นี้ได้

2. หลีกเลี่ยงการใช้ชื่อผู้ใช้ทั่วไป

การรักษาความปลอดภัยรหัสผ่าน WordPress เป็นขั้นตอนสำคัญสู่การรักษาความปลอดภัยข้อมูลล็อกอิน ส่วนประกอบที่สองของข้อมูลล็อกอินคือชื่อผู้ใช้ หากชื่อผู้ใช้ของคุณเดาง่าย แฮกเกอร์จะต้องเน้นแค่รหัสผ่าน

ชื่อผู้ใช้ WordPress ที่พบบ่อยที่สุดคือ "admin" จนไม่กี่ปีก่อน WordPress แนะนำ "admin" เป็นชื่อผู้ใช้โดยอัตโนมัติ แม้ WordPress จะหยุดแนะนำ "admin" แล้ว แต่เจ้าของไซต์หลายคนยังใช้อยู่ บัญชีผู้ใช้ใหม่หลายบัญชียังสร้างด้วย "admin" เป็นชื่อผู้ใช้ ทุกไซต์เหล่านี้ทำตัวเองเป็นเป้าหมายง่าย

เนื่องจาก WordPress ไม่บังคับให้ใช้ชื่อผู้ใช้ที่ไม่ซ้ำกัน คุณต้องตรวจสอบว่าไม่มีผู้ใช้ของคุณใช้ชื่อผู้ใช้ทั่วไป และไม่มีบัญชีใหม่สร้างด้วย "admin" ดูรายชื่อผู้ใช้ทั่วไปที่นี่เพื่อทราบว่าควรหลีกเลี่ยงชื่อไหน

3. ซ่อนหน้าล็อกอิน WordPress ของคุณ

เว็บไซต์ WordPress ทำงานแบบกำหนดไว้ล่วงหน้า จุดสำคัญ: เว็บไซต์ WordPress ทุกแห่งมีหน้าล็อกอินเริ่มต้นที่คล้ายๆ นี้ "www.anysite.com/wp-admin" สิ่งนี้ทำให้งานของแฮกเกอร์ง่ายขึ้น เพราะพวกเขาสามารถโจมตีอัตโนมัติบนเว็บไซต์ WordPress หลายเป้าหมายพร้อมกันได้ แต่ถ้าคุณซ่อนหน้าล็อกอินโดยการเปลี่ยนมัน คุณสามารถป้องกันการโจมตีประเภทนี้บนไซต์ของคุณได้

มีปลั๊กอินหลายตัวที่คุณสามารถใช้เปลี่ยนหน้าล็อกอินและใช้ URL ที่ปลั๊กอินแนะนำ แต่น่าจะเป็นไปได้ว่าเว็บไซต์อื่นที่ใช้ปลั๊กอินเดียวกันก็ใช้ URL เดียวกัน และถ้าแฮกเกอร์รู้รูปแบบ URL การซ่อนหน้าล็อกอินจะไร้ผล ดังนั้น ใช้เครื่องมือที่ให้คุณสร้าง URL หน้าล็อกอินแบบกำหนดเองได้

4. ใช้การยืนยันตัวตน HTTP (HTTP Authentication)

เพื่อรักษาความปลอดภัย WordPress Admin คุณสามารถป้องกันโฟลเดอร์ wp-admin ทั้งหมดด้วยรหัสผ่าน โฟลเดอร์ wp-admin มีไฟล์การบริหารที่ขับเคลื่อนแดชบอร์ด WordPress ทุกคนที่เข้าถึงโฟลเดอร์นี้ได้ จะควบคุมไซต์ทั้งหมด หากคุณป้องกันโฟลเดอร์ทั้งหมดด้วยรหัสผ่าน ทุกครั้งที่มีคนขอเข้าถึงส่วน Admin เซิร์ฟเวอร์จะเริ่มกระบวนการยืนยันตัวตน HTTP เบราว์เซอร์จะขอรหัสผ่าน HTTP Authentication มีเครื่องมือหลายตัวที่ใช้ได้ เช่น HTTP Auth, AskApache Password Protect ฯลฯ

5. ใช้ Google Authenticator (Two-Factor Authentication)

ด้วยเทคนิคการแฮกเว็บไซต์ที่ซับซ้อนขึ้นเรื่อยๆ การเพิ่มชั้นการป้องกันล็อกอินอีกชั้นนอกจากข้อมูลเข้าสู่ระบบที่แข็งแกร่งเป็นเรื่องปกติ เทคนิคนี้เรียกว่า Two-Factor Authentication (2FA) วิธีนี้เกี่ยวข้องกับการส่งรหัสที่คุณเท่านั้นที่รับได้บนสมาร์ทโฟน ก่อนที่จะได้เข้าถึงแดชบอร์ด WordPress คุณต้องใส่รหัสเฉพาะตัวบนไซต์ ข้อดีคือ แม้แฮกเกอร์แตกรหัสผ่านได้ พวกเขาก็ยังต้องการรหัสที่ส่งมายังอุปกรณ์ของคุณเท่านั้น

มีปลั๊กอิน WordPress หลายตัวที่ใช้สำหรับ 2FA เราเปิดใช้ 2FA บนไซต์ของเราด้วย Mini Orange เพื่อรักษาความปลอดภัย WordPress Admin และเขียนคู่มือเกี่ยวกับเรื่องนี้

6. จำกัดจำนวนครั้งที่ล็อกอินล้มเหลว

เว็บไซต์ที่ถูกโจมตี Brute Force จะประสบกับการล็อกอินล้มเหลวหลายร้อยครั้ง เพื่อป้องกันการโจมตีต่อเนื่องนี้บน WordPress Admin ของคุณ คุณสามารถจำกัดจำนวนครั้งที่ล็อกอินล้มเหลวได้ ปลั๊กอินความปลอดภัย MalCare ป้องกันไม่ให้ผู้ใช้ลองล็อกอินหลังจากล้มเหลว 3 ครั้ง พวกเขาต้องแก้ CAPTCHA ก่อนจะได้เข้าถึงหน้าล็อกอิน WordPress อีกครั้ง สิ่งนี้ช่วยกำหนดว่าผู้ใช้เป็นมนุษย์หรือบอทอัตโนมัติที่พยายามโจมตี Brute Force

7. ติดตั้ง SSL Certificate

ดู URL เว็บไซต์ของเรา! คุณเห็นประตูสีเขียวพร้อมคำว่า "Secure" ไหม? ไซต์ของเราติดตั้ง SSL Certificate ซึ่งหมายถึงไม่มีใครสามารถขโมยดูข้อมูลล็อกอินของผู้ใช้ได้ เว็บไซต์ที่ไม่มี SSL Certificate อยู่ในอันตรายที่อาจเปิดเผยข้อมูลละเอียดอ่อนของไซต์โดยไม่ได้ตั้งใจ

ในอดีต SSL Certificate ใช้ได้แค่หน้าชำระเงินหรือพื้นที่ WordPress Admin แต่ตอนนี้ SSL Certificate ช่วยรักษาความปลอดภัยทั้งไซต์ได้ ในการขับเคลื่อนให้เว็บปลอดภัยขึ้น Google ระบุชัดเจนว่า SSL Certificate เป็นปัจจัยอันดับหนึ่ง คุณสามารถขอ SSL Certificate จากผู้ให้บริการอย่าง Comodo, Let's Encrypt และเว็บโฮสต์จะช่วยตั้งค่าให้

8. บล็อก IP Address ที่เป็นอันตราย (Blacklist Malicious IP)

ทุกคนที่ใช้อินเทอร์เน็ตมี IP Address แฮกเกอร์ที่โจมตีเว็บไซต์ WordPress ก็มี IP Address เช่นกัน หากคุณบันทึก IP Address เหล่านี้ไว้ คุณสามารถบล็อกไม่ให้เข้าถึงไซต์ได้ MalCare — หนึ่งในปลั๊กอินความปลอดภัย WordPress ที่ดีที่สุด — ให้รายละเอียด (IP Address) ของการล็อกอินล้มเหลวบนไซต์ หากคุณสังเกตว่ามีการพยายามล้มเหลวจาก IP เดียวกันซ้ำๆ อย่างสม่ำเสมอ คุณสามารถบล็อก IP น่าสงสัยเหล่านี้จากการเข้าถึงเว็บไซต์โดยการวางโค้ดต่อไปนี้ในไฟล์ .htaccess:

order allow,deny deny from 192.168.20.10 allow from all

"192.168.20.10" คือ IP Address ที่เราต้องการบล็อกบนไซต์หนึ่ง คุณสามารถแทนที่ด้วย IP ที่คุณต้องการบล็อก

9. เปลี่ยน Security Keys

คุณไม่ต้องใส่ข้อมูลล็อกอินทุกครั้งที่ต้องเข้าสู่ระบบ คุณเคยสงสัยไหมว่าเบราว์เซอร์เก็บข้อมูลเหล่านี้ยังไง? หลังจากลงชื่อเข้าใช้ ข้อมูลล็อกอินของคุณถูกเก็บในรูปแบบเข้ารหัสในคุกกี้เบราว์เซอร์ Security Keys คือตัวแปรสุ่มที่ช่วยปรับปรุงการเข้ารหัสนี้ หากไซต์ของคุณถูกแฮก การเปลี่ยน Secret Keys จะทำให้คุกกี้ไม่ถูกต้องและบังคับให้ผู้ใช้งานทั้งหมดล็อกเอาท์อัตโนมัติ หลังจากถูกขับไล้ออก แฮกเกอร์สูญเสียการเข้าถึง WordPress Admin ของคุณ

มาสรุป

ไม่มีทางเดียวในการรักษาความปลอดภัย WordPress Admin จึงควรใช้หลายวิธีร่วมกัน เราแบ่งปันวิธีที่แนะนำมากที่สุดบางส่วน แต่วิธีใดวิธีก่อนที่จะนำไปใช้ คุณต้องสำรองข้อมูลไซต์ก่อน หากมีอะไรผิดพลาด คุณสามารถกู้คืนจากการสำรองข้อมูลและทำให้ไซต์ทำงานได้ในไม่กี่นาที

นอกจากนี้ คุณสามารถใช้มาตรการความปลอดภัยอื่นๆ เช่น การบล็อก IP, การปกป้องหน้าล็อกอิน, การรักษาความปลอดภัยด้วย wp-config.php, ปฏิบัติตามคู่มือความปลอดภัย WordPress ครบวงจร และติดตั้งปลั๊กอินความปลอดภัย WordPress เช่น MalCare

MalCare จะช่วยคุณนำบางมาตรการข้างต้นไปใช้ได้ เช่น MalCare Security Plugin จะช่วยคุณเปลี่ยน Security Keys, จำกัดจำนวนครั้งล็อกอินล้มเหลว, อัปเดตเว็บไซต์ให้ทันสมัย และอื่นๆ

ลอง MalCare Security Plugin ตอนนี้!