คุณเคยสงสัยไหมว่าเนื้อหาเว็บไซต์เก็บอยู่ที่ไหน? หรือเคยได้ยิน wp-content บน WordPress และอยากรู้เพิ่มเติม?
เว็บไซต์ WordPress ประกอบด้วยไฟล์และโฟลเดอร์มากมาย wp-content เป็นหนึ่งในโฟลเดอร์สำคัญที่สุด เพราะเก็บเนื้อหาเว็บ ธีม และปลั๊กอินที่ติดตั้ง ถ้าโฟลเดอร์นี้ถูกลบโดยไม่ได้ตั้งใจ เว็บไซต์จะล้มเหลวทันที
ที่ MalCare เราเคยเจอหลายกรณีที่เว็บ WordPress ล้มเพราะแฮ็กเกอร์จัดการ wp-content เนื่องจากเจ้าของเว็บหลายคนไม่เคยเข้า Backend เช็ค wp-content ทำให้กลายเป็นที่หลบซ่อนมัลแวร์และ Backdoor (ประตูหลัง) ให้แฮ็กเกอร์เข้าได้อีก
การรู้ว่าแฮ็กเกอร์ทำอะไรกับ wp-content น่ากลัว แต่ไม่ต้องกังวล!
ในคู่มือนี้ เราลดความซับซ้อนทั้งหมดเกี่ยวกับ wp-content คุณจะรู้ว่าโฟลเดอร์นี้ทำหน้าที่อะไร และใช้ยังไง ต่อมาจะเรียนรู้วิธีซ่อนหรือป้องกันไม่ให้ผู้ไม่ได้รับอนุญาตเข้าถึง
TL;DR: wp-content เป็นส่วนสำคัญของ WordPress เพื่อปกป้อง เราแนะนำติดตั้ง WordPress Security Plugin (MalCare) จะสแกนปกป้องไฟล์/โฟลเดอร์จากแฮ็กเกอร์ และ Backup อัตโนมัติเก็บไว้ที่ปลอดภัย
WP-content Folder คืออะไร?
ตามที่กล่าวมา เว็บ WordPress ประกอบด้วยไฟล์/ไดเรกทอรีมากมาย สร้างขึ้นอัตโนมัติตอนสร้างเว็บ เป็นหนึ่งในโฟลเดอร์สำคัญที่สุด
ทุกรูปภาพที่อัปโหลด ทุกธีมและปลั๊กอินที่ติดตั้ง เก็บอยู่ในโฟลเดอร์นี้ (รายละเอียดในส่วนถัดไป) กล่าวคือ ไฟล์ที่ไม่ได้เก็บใน Database จะเก็บอยู่ที่นี่ ถ้าโฟลเดอร์หาย เว็บจะ Crash ต้อง Build ใหม่ทั้งเว็บ
โดยทั่วไปเจ้าของเว็บไม่ใช้โฟลเดอร์นี้โดยตรง แต่บางครั้งอาจต้องเข้าถึง
ตัวอย่าง: เราติดตั้งปลั๊กอิน แต่ทำให้เว็บผิดปกติเพราะไม่เข้ากับเวอร์ชัน WordPress ปิดปลั๊กอินจาก Dashboard ไม่ได้ จึงต้องไปที่ wp-content ลบปลั๊กอินเพื่อเข้าถึงเว็บได้อีก
อ่านเพิ่ม: คู่มือมือใหม่: เข้าใจโครงสร้างไฟล์และ Database ของ WordPress
วิธีเข้าถึง WP-Content Folder
ต้องเข้าถึง WordPress Root Directory ก่อน วิธีทำ:
- ล็อกอินบัญชี Web Hosting (เช่น WP Engine)
- เข้า cPanel เปิด File Manager
- จะเห็นโฟลเดอร์ 'public_html' โฟลเดอร์นี้อยู่บน Web Server ประกอบด้วยไฟล์และซับโฟลเดอร์ WordPress ทั้งหมดที่ทำให้เว็บทำงานและแสดงผล
- ภายใน public_html มี 3 ซับโฟลเดอร์หลัก:
- wp-admin – ไฟล์บริหารจัดการ: ใครเข้าถึง Panel ได้ บ้าง สิทธิ์อะไร
- wp-includes – ไฟล์กฎระเบียบ ลำดับชั้น การตั้งค่า WordPress
- wp-content – ไฟล์ธีม ปลั๊กอิน และ Media Uploads (ใน wp-content/uploads)
วันนี้เราจะเน้น wp-content และเรียนรู้บทบาทมากขึ้น โฟลเดอร์นี้มีซับโฟลเดอร์และไฟล์อีกมาก เราจะพูดถึงในส่วนถัดไป
WP-content เก็บอะไรบ้าง?
wp-content บน WordPress มาตรฐาน มี 3 ซับโฟลเดอร์: plugins, themes, uploads
แต่เว็บโตขึ้น ติดตั้งปลั๊กอิน/ธีมเพิ่ม โฟลเดอร์เพิ่มอาจสร้างขึ้น เราแบ่งโครงสร้างเป็น 4 ส่วน:
- Plugins Folder
- Themes Folder
- Uploads Folder
- โฟลเดอร์ทั่วไปอื่นๆ ใน Wp-content
- mu-plugins
- Languages
- Upgrade
- Specific Plugins
1. Plugins Folder
ปลั๊กอินที่ติดตั้งทั้งหมด (Active และ Inactive) เก็บอยู่ที่นี่ เปิดโฟลเดอร์ย่อยจะเจอไฟล์ Rules และ Config ของปลั๊กอิน การแก้ไขโฟลเดอร์นี้อาจทำให้ปลั๊กอินทำงานผิดปกติ
รู้วิธีเข้าถึงโฟลเดอร์นี้ช่วยได้ตอนติดตั้งปลั๊กอินจาก Dashboard ไม่ได้: Copy ไฟล์ Zip ปลั๊กอิน วางในโฟลเดอร์นี้ Extract แล้วปลั๊กอินจะ Active
เช่นกัน ใช้โฟลเดอร์นี้ลบ/ปิดปลั๊กอินได้ บางปลั๊กอินทำให้เว็บผิดปกติ (Compatibility Issue) ปิดจาก Dashboard ไม่ได้ → เข้าโฟลเดอร์นี้ปิดด้วยตนเอง
เราไม่แนะนำวิธี Manual เพราะเสี่ยงมาก ผิดนิดเดียวเว็บพัง ใช้เฉพาะกรณีไม่มีทางเลือกอื่น
2. Themes Folder
คล้าย Plugins Folder เก็บธีมทั้งหมด ใช้วิธีเดียวกัน
ติดตั้งธีมจาก Dashboard → โฟลเดอร์ย่อยสร้างอัตโนมัติ
ตัวอย่าง: เราติดตั้งธีม Astra:
เช็ค Themes Folder → โฟลเดอร์ 'astra' สร้างขึ้นอัตโนมัติ:
Copy ธีมมาไว้ในโฟลเดอร์นี้ → ปรากฏใน Dashboard ลบธีมจากที่นี่ได้เช่นกัน
3. Uploads Folder
ทุกไฟล์ที่อัปโหลดเก็บที่นี่: รูปภาพ, วิดีโอ, PDF, Word Docs, GIFs
Default: จัดเก็บในซับโฟลเดอร์ตาม ปี/เดือน ที่เพิ่ม เรียกได้ว่า Media Library
นี่คือ Default Setup ของ wp-content แต่เว็บพัฒนาไป โฟลเดอร์เพิ่มเติมมักจะมี เราอธิบายสรุปด้านล่าง:
4. โฟลเดอร์ทั่วไปอื่นๆ ภายใน Wp-content
มี 4 โฟลเดอร์เพิ่มเติมที่มักสร้างใน wp-content
a) mu-plugins
mu-plugins = Must-Use Plugins ปลั๊กอินที่สำคัญต่อการทำงาน WordPress ถือว่าบังคับใช้ ตัวอย่าง: ปลั๊กอินมาพร้อมธีม ปิดปลั๊กอิน → ธีมพัง → เว็บพัง Developer ตั้งเป็น mu-plugins กันปิดโดยไม่ได้ตั้งใจ ถ้ามีบนเว็บ จะอยู่ในโฟลเดอร์นี้
b) Languages
WordPress สร้างเว็บหลายภาษา ถ้าใช้ภาษาอื่นนอกจาก English หรือหลายภาษา WordPress จะเก็บ Language Files ไว้ที่นี่
c) Upgrade
โฟลเดอร์ชั่วคราว สร้างโดย WordPress ตอนอัปเดตเวอร์ชันใหม่
d) Specific Plugins
บางปลั๊กอินสร้างโฟลเดอร์ของตัวเองใน wp-content เช่น WP Super Cache สร้างโฟลเดอร์ 'cache'
เห็นได้ว่า wp-content เก็บข้อมูลสำคัญของเว็บ จึงต้องปกป้องเสมอ
ส่วนต่อไปจะพูดถึงมาตรการปกป้องโฟลเดอร์นี้จากการจัดการหรือลบโดยผู้ไม่ได้รับอนุญาต
วิธีปกป้อง WP-content หรือ Uploads Folder
มี 3 มาตรการปกป้อง wp-content และ uploads:
- Backup โฟลเดอร์เหล่านี้
- เปลี่ยนชื่อ wp-content folder
- บล็อกโฟลเดอร์ไม่ให้แสดงใน Index ของเว็บ
1. Backup WP-Content Repository
Backup = สำเนาเว็บ ใช้กู้คืนถ้าอะไรผิดพลาด (ลบไฟล์ผิด แฮ็กเกอร์จัดการโฟลเดอร์)
Backup ด้วย BlogVault Plugin ติดตั้งง่าย Backup เต็มเว็บในไม่กี่นาที แนะนำ BlogVault เพราะ Restore ได้แน่นอน
ยังสามารถ Selective Restore เฉพาะ wp-content ได้
2. เปลี่ยนชื่อ WP-content
Default ชื่อโฟลเดอร์ = wp-content ชื่อนี้เหมือนกันทุก WordPress ใครก็หาเจอง่าย แฮ็กเกอร์เจอช่องโหว่ → หาโฟลเดอร์นี้ง่าย เพราะรู้ชื่อ เปลี่ยนชื่อ = ปกป้องได้
มี 2 วิธี: ใช้ Plugin หรือ Manual
A. ใช้ Plugin (ปลอดภัย)
แนะนำ WP Hide & Security Enhancer วิธีง่ายซ่อน wp-content และไฟล์สำคัญอื่นๆ
ปลั๊กอินนี้ดีเพราะอธิบายทุกขั้นตอน ใช้ง่ายทั้งมือใหม่และโปร ยังทำมาตรการป้องกันอื่นๆ: Comments, Authors, Uploads ได้อีก
B. Manual (ไม่แนะนำ)
เปลี่ยนชื่อด้วยตนเอง: เข้า Web Server แก้ไขโฟลเดอร์ ไม่แนะนำอย่างยิ่ง ผิดนิดเดียวเว็บพัง
ขั้นตอนที่ 1: เข้า Web Hosting → cPanel → File Manager
ขั้นตอนที่ 2: ไป wp-content folder → คลิกขวา → 'Rename'
ขั้นตอนที่ 3: ตั้งชื่อใหม่ ให้ Unique และไม่ซ้ำชื่อที่มีอยู่บนเว็บ
3. ซ่อน WP-Contents Folder
แฮ็กเกอร์อาจ Request wp-content ผ่านโค้ดร้ายพร้อม URL Path ปกติคือ yourdomain.com/wp-content หรือ yourdomain.com/public_html/wp-content
URL Path นี้ไม่ได้ใช้ใน Address Bar ใช้ในโค้ดเว็บ แฮ็กเกอร์เขียนโค้ดร้ายดึงข้อมูลโฟลเดอร์หรือฉีดโค้ดร้าย
บล็อกคนภายนอกเข้าถึง URL Path นี้ ได้เฉพาะผู้ล็อกอิน Dashboard เท่านั้น ใช้ Plugin เดิม หรือ Manual
A. ใช้ Plugin (ปลอดภัย)
WP Hide & Security Enhancer บล็อก wp-content URL Path ได้ 2 คลิก
ไปที่ Option 'Block wp-content URL' → Yes → Save Changes → Plugin จะบล็อก URL Path
B. Manual (ไม่แนะนำ)
ต้องเพิ่มโค้ดใน .htaccess ไฟล์ แก้ไข WordPress Files เอง = เสี่ยงมาก Error นิดเดียว = เว็บผิดปกติ/พัง แต่ถ้ายังอยากลอง ขั้นตอน:
ขั้นตอนที่ 1: เข้า Web Hosting → cPanel → File Manager
ขั้นตอนที่ 2: ไป wp-content folder → สร้างไฟล์ใหม่ ชื่อ .htacess file
ขั้นตอนที่ 3: คลิกขวาไฟล์นี้ → 'Edit' วางโค้ดด้านล่าง Save Changes
Order Allow, Deny Deny from all Allow from all
ถ้าไม่เห็น .htaccess หลังสร้าง → Settings → 'Show Hidden Files'
ขั้นตอนที่ 4: wp-contents จะถูกซ่อน พยายามเข้าผ่าน https://www.yourdomain.com/wp-contents → ควรเจอ Error:
จบการอภิปราย wp-content และ uploads folder เราเชื่อว่าคุณเข้าใจหน้าที่ ที่ตั้ง และวิธีปกป้องแล้ว
The wp-contents folder of your WordPress site is more than just a place that stores your content. Learn all about it in this guide. Click to Tweet
ข้อคิดสุดท้าย
wp-content folder เป็นส่วนสำคัญของ WordPress จึงสำคัญมากที่ต้องมีมาตรการความปลอดภัยและ Backup
นอกจาก wp-content ยังมีไฟล์/โฟลเดอร์สำคัญอื่นๆ ที่ต้องปกป้อง เราแนะนำปกป้องเว็บทั้งหมด ไม่ใช่แค่ 1-2 ส่วน
ติดตั้ง MalCare Security Plugin จะสแกนมัลแวร์ทุกวัน แจ้งเตือนถ้าพบอะไรผิดปกติ Backup เต็มเว็บอัตโนมัติ เก็บ Offsite ปลอดภัย
ปกป้องเว็บ WordPress ด้วย MalCare!
