เปลี่ยน WordPress Login URL: มีเว็บไซต์ WordPress 60 ล้านเว็บบนอินเทอร์เน็ต ไม่แปลกใจที่ WordPress เป็น CMS ยอดนิยมที่สุด ความนิยมดึงดูดทั้งความสนใจดีและไม่ดี พูดถึงความสนใจไม่ดี เว็บไซต์ WordPress มักประสบการโจมตีแฮก 90,000 ครั้งต่อนาทีทุกวัน ดังนั้น การโจมตีแฮกบนเว็บไซต์ของคุณเป็นเรื่องที่จะเกิดขึ้นแน่นอน ไม่ว่าจะเป็นไซต์ใหญ่หรือเล็ก
แฮกเกอร์ใช้เทคนิคต่างๆ แฮก WordPress และ Brute Force Attack เป็นหนึ่งในนั้น ในการโจมตีประเภทนี้ แฮกเกอร์ส่ง HTTP Request ไปที่ wp-login.php ซ้ำๆ จนกว่าจะเข้าถึงได้หรือเซิร์ฟเวอร์ล้ม พวกเขาทำให้หน่วยความจำของเซิร์ฟเวอร์โฮสติ้ง 과부하 ด้วยการสร้าง HTTP Request ซ้ำๆ หลายครั้ง แม้โจมตีจะไม่สำเร็จในการเข้าถึงเว็บไซต์ มักจะผลักดันเซิร์ฟเวอร์ถึงขีดจำกัด ซึ่งอาจทำให้เกิด Crash
การโจมตี Brute Force ที่สำเร็จให้แฮกเกอร์เข้าถึง WordPress Dashboard Admin พื้นที่ Admin เป็นศูนย์กลางการบริหารของเว็บไซต์ที่ขับเคลื่อนโดย WordPress ทุกคนที่มีสิทธิ์เข้าถึง Admin เต็มรูปแบบจะควบคุมไซต์ได้ทั้งหมด ดังนั้น การปกป้องพื้นที่ Admin จึงสำคัญจากการโจมตีภายนอก
มีหลายสิ่งที่คุณทำได้เพื่อปกป้องหน้าล็อกอิน WordPress Admin จากการบังคับให้ใช้ Username ที่ไม่ซ้ำ ใช้รหัสผ่านแข็งแกร่ง ไปจนถึงการใช้ 2FA Two-Factor Authentication หนึ่งในโซลูชันที่แนะนำมากที่สุดสำหรับการป้องกันการโจมตีหน้าล็อกอินคือ การเปลี่ยน Default WordPress Login URL เป็น Custom Admin URL ใหม่ มันช่วยอย่างไรพอดี? มาหาเฉลย!
- เปลี่ยน WordPress Login URL: ข้อดี
- ป้องกันการโจมตี Brute Force
- ซ่อนช่องโหว่ WordPress
- Rebrand หน้าล็อกอิน
- เปลี่ยน WordPress Login URL: ข้อเสีย
- ไม่ลดโหลดบนเซิร์ฟเวอร์ไซต์
- URL ใหม่ไม่ได้ยากที่จะหา
- ผลกระทบอื่นๆ ที่เป็นไปได้
เปลี่ยน WordPress Login URL: ข้อดี
1. ป้องกันการโจมตี Brute Force
การโจมตี Brute Force เป็นหนึ่งในประเภทการโจมตีแฮกที่พบบ่อยที่สุดบน WordPress เกี่ยวข้องกับการเดาชุดผสมของข้อมูลล็อกอินจนกว่าจะเจอชุดที่ถูกต้อง เพื่อดำเนินการ Brute Force ให้สำเร็จ แฮกเกอร์ต้องรู้ 3 สิ่ง: Username, Password, และ Login Page URL
Username และ Password
ง่ายที่จะเห็นว่าทำไมการใช้รหัสผ่านแข็งแกร่งและ Username ที่ไม่ซ้ำเป็นแนวทางปฏิบัติที่ดี หาก Username ของคุณเดาง่าย แฮกเกอร์จะต้องเน้นแค่แตกรหัสผ่าน แต่ Username ที่ไม่ซ้ำทำให้งานของแฮกเกอร์ยากขึ้นมาก เช่นกัน การใช้รหัสผ่านแข็งแกร่งป้องกัน Brute Force ได้ ลักษณะของรหัสผ่านแข็งแกร่ง: ต้องยาวมาก และประกอบด้วยตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก และอักขระพิเศษ ผู้เชี่ยวชาญความปลอดภัยหลายคนแนะนำให้ใช้ Passphrases ยาว 15 ตัวอักษร แต่หน้าล็อกอินปกติไม่รองรับ Passphrases
สิ่งหนึ่งที่ควรหลีกเลี่ยงตอนสร้างรหัสผ่านใหม่คือ หลีกเลี่ยงคำทั่วไปหรือรายละเอียดที่รู้จักสาธารณะ คำทั่วไปเป็นการเดาครั้งแรกในการโจมตี Brute Force และหากคุณเป็นเป้าหมายเฉพาะ แฮกเกอร์จะไปไกลถึงขีดเพื่อหา Username และ Password จากรายละเอียดบนเว็บไซต์ของคุณ
Login Page URL
โครงสร้างไฟล์ WordPress เป็นความรู้ทั่วไป หมายถึงแม้ผู้ใช้นอกจะมีความรู้บ้างเกี่ยวกับการทำงานภายในของไซต์ จุดสำคัญ: เว็บไซต์ WordPress ทุกแห่งมีหน้าล็อกอินเริ่มต้นที่คล้ายๆ นี้: "www.example.com/login.php" สิ่งนี้ทำให้งานของแฮกเกอร์ง่าย เพราะพวกเขารู้วิธีหาหน้าล็อกอินของคุณ และสามารถปล่อยการโจมตีอัตโนมัติได้ง่าย ดังนั้น หากคุณเปลี่ยน WordPress Login URL จะยากที่จะหาหน้าล็อกอินของคุณ การโจมตี Brute Force ส่วนใหญ่ทำโดยบอทอัตโนมัติ หลังจากหาหน้าล็อกอินไม่เจอ พวกเขาจะไปเป้าหมายอื่น
2. ซ่อนช่องโหว่ WordPress
WordPress ขับเคลื่อนเว็บไซต์เกิน 60 ล้านแห่ง ทำให้เป็นแพลตฟอร์มยอดนิยมสำหรับสร้างเว็บไซต์ 儘管มีความนิยม (และเพราะความนิยม) WordPress ไม่ได้ปลอดภัยสมบูรณ์ แฮกเกอร์มุ่งเป้า WordPress มากกว่า CMS อื่น
ด้วยความนิยมและลักษณะ Open Source ของ WordPress ข่าวเกี่ยวกับช่องโหว่แพร่กระจายอย่างรวดเร็ว และแฮกเกอร์ที่ร้ายกาจใช้ช่องโหว่นี้โจมตีเว็บไซต์ WordPress หลายแสนเว็บ หน้าล็อกอินของคุณทำหน้าที่เหมือนบัตรประจำตัวบอกแฮกเกอร์ว่าคุณสร้างไซต์บน WordPress หากคุณเปลี่ยน Default Admin URL คุณก็แยกตัวเองออกจากปัญหา Core ของ WordPress ที่รู้จักกัน
3. Rebrand หน้าล็อกอิน
หากคุณเป็นเจ้าของ Membership Website คุณต้องยอมรับว่าหน้าล็อกอินที่ให้สมาชิกเข้าถึงไซต์ดูน่าเบื่อนิดหน่อย ถึงแม้พวกเขาจ่ายเงินดีเพื่อเข้าถึง จากมุมมองทางธุรกิจและความพึงพอใจลูกค้า การ Rebrand หน้าล็อกอินเป็นความคิดดี คุณสามารถเปลี่ยนหน้าล็อกอินเริ่มต้นให้สวยงามขึ้น
นี่คือเหตุผลที่เกือบทุกปลั๊กอิน WordPress สนับสนุนการเปลี่ยน Default Login URL มันเป็นมาตรการความปลอดภัยที่ดี
แม้จะมีข้อดีที่เห็นได้ชัด หลังจาก Change WordPress Login URL ไซต์ของคุณไม่ได้ปลอดภัยแน่นอน เพื่ออธิบายจุดนี้ มาดูข้อเสียบางอย่างที่เกี่ยวข้องกับมาตรการความปลอดภัยนี้
เปลี่ยน WordPress Login URL: ข้อเสีย
1. ไม่ลดโหลดบนเซิร์ฟเวอร์ไซต์
เมื่อหน้าล็อกอิน WordPress ของคุณถูกโจมตี หน้านั้นถูกโหลดซ้ำๆ สิ่งนี้ระบายทรัพยากรเซิร์ฟเวอร์ เมื่อคุณเปลี่ยน WordPress Login URL (ที่คุณเปลี่ยนชื่อ wplogin.php) หน้าล็อกอินเริ่มต้นจะไม่เจอ และเว็บไซต์โยน Error 404 ซึ่งมักถูกมองว่าเป็นการตอบสนองที่เบา (Lightweight response) หมายถึงการตอบสนองที่เบาไม่กินทรัพยากรเซิร์ฟเวอร์ อย่างไรก็ตาม ความจริงคือ แม้หน้าจะไม่เจอ WordPress ยังคงรันโค้ดส่วนใหญ่บนหน้านั้น
นั่นคือวิธีการทำงานของ WordPress ดังนั้นมันยังคงระบายทรัพยากรของคุณ ดังนั้น ข้อต่อต้านความเชื่อของบางคน การปรับแต่ง WordPress Login Page URL ไม่ลดโหลดบนเซิร์ฟเวอร์ของไซต์
2. URL ใหม่ไม่ได้ยากที่จะหา
ความคิดคือ เมื่อคุณเปลี่ยน WordPress Admin URL มันจะป้องกันแฮกเกอร์ไม่ให้เข้าถึงหน้าล็อกอิน มีปลั๊กอิน WordPress หลายตัวอย่าง WPS Hide Login ช่วยทำได้ มันเสนอ Login Page URL ที่สร้างอัตโนมัติ โอกาสคือ ทุกเว็บไซต์ที่ใช้เครื่องมือเดียวกัน ก็ใช้ URL เดียวกัน มีโอกาสที่แฮกเกอร์รู้รูปแบบ URL ที่เครื่องมือนี้แนะนำ หมายถึง แม้คุณซ่อนหน้าล็อกอิน แฮกเกอร์ก็ยังหาเจอ ดังนั้น แม้หลังจาก Change WordPress Login URL มันไม่ได้ปกป้อง WordPress ไซต์ของคุณด้วยวิธีไหน
3. ผลกระทบอื่นๆ ที่เป็นไปได้
อีกปัญหาที่เกิดจากการย้าย Default Login URL ไปเป็น Custom URL คือ เมื่อผู้ใช้ไม่ได้รับแจ้งอย่างเหมาะสม การเปลี่ยนแปลงทันใจของ Login URL โดยไม่แจ้งให้ทราบล่วงหน้าอาจทำให้ไม่สะดวกมาก ด้วยผู้ใช้หลายคนล็อกเอาท์ สิ่งต่างๆ อาจนำไปสู่ความวุ่นวาย อาจเสียเวลาทำงานหลายวัน คุณรับผิดชอบในการแจ้งข้อมูลเกี่ยวกับ Custom Login URL ใหม่ หากคุณยังตัดสินใจเปลี่ยน WordPress Login URL ให้ส่งอีเมลแจ้งผู้ใช้เกี่ยวกับ Custom Login URL ใหม่ อีกด้านหนึ่งของสถานการณ์เดียวกัน การส่งแจ้งเตือนอีเมลอาจเป็นภัยหากแฮกเกอร์มีบัญชีผู้ใช้ WordPress ที่น่าเชื่อถืออยู่บนไซต์ของคุณแล้ว ในกรณีนี้ การเปลี่ยน WordPress Login URL จะไร้ผล
หวังว่าบทความนี้ช่วยคุณตัดสินใจว่าจะเปลี่ยน WordPress Site URL ของเว็บไซต์หรือไม่ การมี Custom WordPress Login URL สามารถเพิ่มความปลอดภัยได้แน่นอน
หากคุณตัดสินใจเปลี่ยน WordPress Login Page URL เรามีคู่มือพร้อม
วิธีเปลี่ยน WordPress Login Page URL?
เราใช้ปลั๊กอิน WPS Hide Login เพื่อเปลี่ยน Login Page URL ณ เวลาเขียนนี้ ปลั๊กอินนี้มี Active Installs เกิน 30,000 และรีวิว 5 ดาวเกิน 700
ขั้นตอนที่ 1: ติดตั้งและเปิดใช้งานปลั๊กอิน WPS Hide Login บนเว็บไซต์ WordPress
ขั้นตอนที่ 2: หลังจากเปิดใช้งานแล้ว ไปที่แดชบอร์ด WordPress เลื่อนลง จาก WordPress Settings เลือก WPS Hide Login
ขั้นตอนที่ 3: พิมพ์ Login URL ใหม่ในตัวเลือก 'Login URL' และกด 'Save Changes'
เสร็จแล้ว ตอนนี้ WordPress Login URL ของคุณต่างจากเดิม
สรุป
กล่าวคือ การเปลี่ยนหน้าล็อกอิน WordPress เป็นหนึ่งในหลายวิธีเพื่อให้ได้ WordPress Secure Login และปกป้องเว็บไซต์ WordPress
มาตรการความปลอดภัยอื่นๆ ที่คุณทำได้ ได้แก่ ใช้ SSL Certificate, ใช้ Two-Factor Authentication และ HTTP Authentication, เปลี่ยน Database Prefix, ปิดการแก้ไข Theme และ Plugins WordPress, ป้องกันไม่ให้ผู้ใช้ติดตั้งและอัปเดต Theme และ Plugins, บังคับใช้ FTP, เปลี่ยน Security Keys, ซ่อนไฟล์ 'wp-config.php', บล็อก IP Address, ปิด XML-RPC, ปิดการรัน PHP และการเรียกดูไดเรกทอรี, ตั้งค่าสิทธิ์ไฟล์ที่ถูกต้อง, ใช้ Firewall ฯลฯ แต่ก่อนนำวิธีใดวิธีหนึ่งไปใช้ คุณต้องสำรองข้อมูลไซต์ก่อน หากมีอะไรผิดพลาด คุณสามารถกู้คืนจากการสำรองข้อมูลและทำให้ไซต์ทำงานได้ในไม่กี่นาที ติดตามคู่มือ WordPress เพิ่มเติมบนบล็อกของเรา
