กำจัดสแปมสมัครสมาชิก WordPress: คู่มือขั้นตอนที่พิสูจน์ผลแล้ว

ลองจินตนาการ:

คุณต้องการขยายเว็บไซต์ ต้องการลูกค้าและรายได้มากขึ้น

วางแผนปรับปรุงเนื้อหาและดีไซน์

เพิ่ม CTA และเปิดให้ผู้ใช้สมัครสมาชิก/ลงทะเบียนบนเว็บไซต์!

แต่ทันใดนั้น พบว่าเว็บถูกโจมตีด้วยสแปมสมัครสมาชิกจำนวนมาก อีเมลแปลกๆ เช่น inbox.imailfree.cc, mail.imailfree.cc

แทนที่จะขยายธุรกิจ คุณต้องใช้เวลาทำความสะอาดสแปมทุกเช้า

น่าหงุดหงิดมากใช่ไหม?

ราว 10 ปีที่ผ่านมา เราช่วยลูกค้าที่ต้องจัดการสแปมสมัครสมาชิก WordPress ทุกวัน

อย่ากังวล ไม่ว่าสถานการณ์จะแย่แค่ไหน เราจะช่วยคุณคืนเวลา คุณจะกลับไปโฟกัสขยายธุรกิจและสร้างรายได้หลังอ่านบทความนี้

ก่อนจะไปวิธีป้องกัน หากอยากเข้าใจ ทำไมแฮกเกอร์ทำสแปมสมัครสมาชิก ข้ามไปส่วน สาเหตุ

หากอยากรู้ ผลกระทบต่อเว็บไซต์ ไปที่ส่วน ผลกระทบ

วิธีบล็อกสแปมสมัครสมาชิก WordPress

คิดดูสิ: แทนที่จะป้องกันสแปม ไม่เปิดการสมัครสมาชิกสาธารณะ (Public Registration) ไปเลยดีกว่า

หากต้องการให้คนไม่มากนักเข้าถึงเว็บ ไม่ต้องเปิดสมัครสมาชิกสาธารณะ สร้างบัญชีผู้ใช้ด้วยตนเอง ไม่ให้สิทธิ์แอดมิน

> ปิดการสมัครสมาชิกผู้ใช้

ไปที่แดชบอร์ด WordPress > Settings > General

ในหน้า General Settings เลื่อนลงไปที่ Membership ยกเลิกถูก 'Anyone Can Register'

URL หน้าสมัครสมาชิก mặc địnhของ WordPress: https://example.com/wp-login.php?action=register

หลังปิดการสมัครสมาชิก พยายามเปิดหน้าสมัครจะขึ้นข้อความ:

"User registration is currently not allowed."

เคล็ดลับ: อย่าลืมลบผู้ใช้ปลอมหรือที่สมัครแล้ว ตรวจสอบอีเมลด้วยเครื่องมือ: Hunter, VerifyEmailAddress, Email-Checker ตรวจสอบว่ามีคำว่า inbox.imailfree.cc, mail.imailfree.cc หรือไม่ หากเป็นอีเมลปลอม ให้ลบทิ้ง

แต่ถ้าปิดสมัครสมาชิกสาธารณะไม่ได้ ให้พิจารณา จำกัดสิทธิ์ผู้ใช้บนเว็บไซต์

> ตั้งค่าบทบาทผู้ใช้ (User Roles) ให้เหมาะสม

เมื่อแฮกเกอร์ได้สิทธิ์เข้าถึงเว็บ พวกเขาทำอะไรไม่ได้มาก หากถูกจำกัดด้วยบทบาทผู้ใช้

WordPress มี 6 บทบาท แต่ละอย่างมีสิทธิ์ต่างกัน: Admin ควบคุมทั้งเว็บ Editor เผยแพร่โพสต์และทำบางอย่าง Contributor/Author สร้าง/แก้ไขโพสต์ Subscriber จัดการโปรไฟล์และอ่านอย่างเดียว

ตราบใดที่ผู้สมัครไม่ใช่ Admin (หรือ Super Admin ใน Multisite) และ Editor พวกเขาจะเผยแพร่เนื้อหาร้ายหรือรันฟังก์ชันอันตรายไม่ได้

อ่านเพิ่ม: WordPress User Roles & Capabilities

ตั้งค่าบทบาทเริ่มต้นสำหรับผู้ใช้ใหม่: แดชบอร์ด WordPress > Settings > General หา New User Default Role

เลือก Contributor, Author หรือ Subscriber จากเมนูแบบเลื่อนลง

การจำกัดบทบาท ไม่ป้องกันสแปมสมัครสมาชิก ได้ เพื่อหยุดสแปมสมัครสมาชิกต้อง:

• ติดตั้งไฟร์วอลล์
• ใช้ Geo-blocking
• เปิด reCAPTCHA
• บังคับยืนยันอีเมล (Email Activation)
• เปลี่ยน URL หน้าสมัครสมาชิก WordPress
• บังคับ Multi-factor Registration
• เปิด Honeypot Protection
• เปิดการอนุมัติด้วยตนเอง (Manual Approval)

คุณอาจสงสัยว่าต้องทำทั้งหมดไหม? หากทำทั้งหมด ผู้ใช้จะต้องผ่านหลายขั้นตอน ไม่แนะนำ

ขึ้นอยู่กับว่ารุนแรงแค่ไหน จะต้องใช้มาตรการไหนบ้าง

เช่น ติดตั้ง CAPTCHA แต่มีสแปมสมัครหลายร้อยในหนึ่งสัปดาห์ CAPTCHA ละไม่พอ ต้องรวมมาตรการอื่นๆ ด้วย

1. ติดตั้งไฟร์วอลล์ (Firewall)

ไฟร์วอลล์เป็นเส้นป้องกันแรก ต่อสแปม

เมื่อเปิดใช้งาน ทุกトラฟฟิกเข้าจะผ่านไฟร์วอลล์ก่อน ตรวจสอบกับฐานข้อมูล IP อันตราย หากพบ IP อันตราย จะบล็อกทันที

ไฟร์วอลล์ช่วยป้องกันโจมตีสแปมสมัครสมาชิกก่อนถึงเว็บไซต์

ข้อดี:

• อัตโนมัติ ไม่ต้องดูแลเอง
• ป้องกัน 24/7
• ให้รายละเอียดトラฟฟิกที่บล็อก ช่วยเสริมความปลอดภัยต่อ

ข้อเสีย:

• อาจพลาดบล็อกบางトラฟฟิกอันตราย
• อาจบล็อกトラฟฟิกที่ถูกต้องโดยผิดพลาด

วิธีทำ: ใช้ไฟร์วอลล์อย่าง MalCare สมัคร ติดตั้งปลั๊กอิน ไฟร์วอลล์จะทำงานอัตโนมัติ

MalCare ให้ข้อมูลトラฟฟิกที่บล็อก: ประเทศที่มา, URL ที่พยายามเข้าถึง, IP Address เป็นต้น

ข้อมูลเหล่านี้ช่วยเสริมความปลอดภัย เช่น ถ้ามีトラฟฟิกร้ายเยอะจากประเทศหนึ่ง บล็อกประเทศนั้นได้เลย

2. ใช้ Geo-blocking (บล็อกตามประเทศ)

Geo-blocking = บล็อกประเทศทั้งประเทศไม่ให้เข้าถึงเว็บ

จะบล็อกทั้งトラฟฟิกร้ายและดีจากประเทศนั้น ต้องแน่ใจว่าประเทศนั้นไม่สำคัญต่อธุรกิจ

ข้อดี: ลดสแปมสมัครสมาชิกได้มาก

ข้อเสีย: บล็อกトラฟฟิกดี / แฮกเกอร์ใช้ VPN เข้าได้อยู่ดี

วิธีทำ: มีปลั๊กอินช่วย แต่ถ้าใช้ไฟร์วอลล์ MalCare ดู Log ตรวจสอบประเทศที่มาทرافฟิกร้ายมากที่สุด แล้วใช้ Geo-blocking ของ MalCare บล็อกประเทศนั้น ดูวิธี How to Implement Geo-Blocking?

3. ใช้ reCAPTCHA Protection

แฮกเกอร์สร้างบอททำสแปมสมัครสมาชิก

reCAPTCHA = ทดสอบแยกมนุษย์และบอท

เดิมเป็นข้อความ บอทแก้ได้ ตอนนี้เป็นติ๊กกล่อง "I'm not a robot" แล้วเลือกภาพ

บอทมองภาพไม่ได้ = แก้ reCAPTCHA ไม่ได้ = กันบอทสมัครสมาชิกได้

ข้อดี: บันทึกผู้ใช้ในฐานข้อมูลก็ต่อเมื่อผ่านการทดสอบ

ข้อเสีย: ต้องพึ่ง Google หาก Google หยุดบริการ ต้องหาวิธีใหม่

วิธีติดตั้ง:

1. ติดตั้งปลั๊กอิน Invisible reCaptcha for WordPress
2. เปิด URL นี้ ล็อกอิน Google
3. ลงทะเบียนเว็บไซต์

4. Google ให้ Site Key และ Secret Key คัดลอกไว้

5. แดชบอร์ด WordPress > Settings > Invisible reCAPTCHA ใส่ Key

6. หน้าเดียวกัน ไปที่ WordPress เลือก Enable Registration Form Protection

เสร็จแล้วครับ

4. เปิด Honeypot Protection (กระดิ่งผึ้ง)

Honeypot = วิธีฉลาดป้องกันฟอร์มสมัครสมาชิก

บอทถูกเขียนให้กรอกทุกช่องในฟอร์ม

วิธีนี้: มีช่องในฟอร์มที่ มนุษย์มองไม่เห็น (Invisible) บอทอ่านซอร์สโค้ดหน้าเว็บ = กรอกช่องที่มองไม่เห็น = จับบอทได้

ข้อดี: มีประสิทธิภาพสูงสุดในการจับและบล็อกสแปมบอท

ข้อเสีย: ไม่กันแฮกเกอร์ที่สมัครด้วยตนเอง / บล็อกซอฟต์แวร์อ่านหน้าจอ (Screen reader) ที่กรอกอัตโนมัติ / บล็อกผู้ใช้ที่มีปัญหาการมองเห็น

วิธีติดตั้ง: ฟอร์มกำหนดเองแบบ Formidable Forms และ Page Builder แบบ Elementor มี Honeypot ในตัว (ต้องเป็น Premium) แต่มีปลั๊กอินเฉพาะทาง เช่น Clean Login ช่วยเปิด Honeypot ได้

1. ติดตั้ง Clean Login Honeypot จะเปิดใช้งานอัตโนมัติ

5. บังคับยืนยันอีเมล (Email Activation)

ผ่านอุปสรรคมาถึงขั้นสมัคร = ใคร่ไม่อาจเป็นบอท แต่อาจเป็นแฮกเกอร์

วิธีตรวจสอบอีเมล: ส่งลิงก์ไปที่อีเมลที่ใช้สมัคร คลิกลิงก์ = เปิดใช้งานบัญชี

หากอีเมลปลอม = ไม่สามารถเปิดใช้งานได้ บัญชีจะค้างที่ Pending คุณสามารถลบด้วยตนเอง

ข้อดี: ยืนยันว่าอีเมลมีอยู่จริง

ข้อเสีย: อีเมลตกโฟลเดอร์สแปม / บันทึกผู้ใช้ในฐานข้อมูลแม้ยังไม่เปิดใช้งาน

วิธีติดตั้ง: มีปลั๊กอินหลายตัว เช่น Gravity Forms, Formidable Forms (รองรับในเวอร์ชัน Premium) หรือปลั๊กอินเฉพาะทางอย่าง User Verification

1. ติดตั้งและเปิดใช้งาน User Verification
2. แดชบอร์ด WordPress > Users > User Verification
3. หน้าตั้งค่า User Verification เลือก Enable email verification > Yes

ปลั๊กอิน User Verification ยังบังคับ reCAPTCHA ได้อีกด้วย

6. เปลี่ยน URL หน้าสมัครสมาชิก WordPress

อีกมาตรการหนึ่ง: เปลี่ยน URL หน้าสมัครสมาชิก

URL เริ่มต้น: https://example.com/wp-login.php?action=register

แฮกเกอร์เขียนบอทค้นหาลิงก์นี้ เปลี่ยน URL = กันบอทหาหน้าสมัครไม่เจอ

หน้าสมัครเป็นส่วนหนึ่งของหน้าล็อกอิน เปลี่ยน Login URL = เปลี่ยน Registration URL ได้

ข้อดี: กันแฮกเกอร์/บอทหาหน้าสมัครไม่เจอ

ข้อเสีย: ผู้เยี่ยมชมจริงหาหน้าสมัครไม่เจอหากเปิด URL เดิม = เศร้าหมดความสนใจ

วิธีทำ:

1. ติดตั้งและเปิดใช้งาน WPS Hide Login
2. แดชบอร์ด WordPress > Settings > WPS Hide Login
3. ในช่อง Login URL ใส่ URL ใหม่ ให้เป็นอันที่ไม่มีใครเดาได้

เช่น URL ใหม่คือ https://example.com/nowornever

หน้าสมัครใหม่จะอยู่ที่ https://example.com/nowornever?action=register

4. ในช่อง Redirection URL ใส่หน้าข้อผิดพลาด เช่น 404 หรือ 503

ใครพยายามเข้าหน้าล็อกอินด้วย URL เดิม (wp-login.php) จะถูก Redirect ไปหน้าข้อผิดพลาด (404)

7. บังคับ Multi-factor Registration (การสมัครหลายปัจจัย)

Multi-factor Registration = ชั้นป้องกันที่ 2 เช่น มี CAPTCHA แล้ว ก็ยังให้ยืนยันทาง SMS หรือแอป

ผู้ใช้ต้องใช้โทรศัพท์มือถือสมัคร = บอทหยุดทันที แฮกเกอร์สมัครด้วยตนเอง = สมัครได้ 1 บัญชีต่อ 1 เบอร์โทร = ช้าลงมาก

ข้อดี: ไม่สร้างบันทึกผู้ใช้ในฐานข้อมูลจนกว่าจะสมัครสำเร็จ

ข้อเสีย: ขั้นตอนเยอะเกิน / ผู้ใช้อาจไม่สะดวกให้เบอร์โทร

วิธีติดตั้ง:

1. ติดตั้งและเปิดใช้งาน MiniOrange OTP Verification
2. แดชบอร์ด WordPress > OTP Verification
3. ลงทะเบียนกับ MiniOrange

4. ไปที่ Forms เลือก WordPress Default Registration Forms

5. ติ๊ก WordPress Default / TML Registration Form เมนูเลื่อนลง現れる เลือก Enable Phone Verifications > Do not allow users to use the same phone number for multiple accounts กด Save Settings

เสร็จแล้ว ผู้ใช้ต้องใช้เบอร์โทรศัพท์สมัครสมาชิก

8. เปิดการอนุมัติด้วยตนเอง (Manual Approval)

อนุมัติผู้สมัครด้วยตนเอง WordPress ไม่มีตัวเลือกนี้ แต่ปลั๊กอินช่วยได้

ผู้สมัครจะเห็นข้อความว่าต้องรออนุมัติจากแอดมิน แอดมินได้รับแจ้งเตือน ตรวจสอบอีเมลด้วยเครื่องมือ (Hunter, VerifyEmailAddress, Email-Checker) อนุมัติ/ปฏิเสธ

ข้อดี: บล็อกผู้สมัครที่ผ่านมาตรการอื่นๆ ได้

ข้อเสีย: ใช้เวลา เหนื่อย / เว็บที่มีผู้สมัครหลายสิบต่อสัปดาห์ ไม่สามารถอนุมัติด้วยตนเองได้ทั้งหมด

วิธีติดตั้ง:

1. ติดตั้งและเปิดใช้งาน New User Approve ปลั๊กอินทำงานทันที ผู้สมัครต้องรออนุมัติ
2. อนุมัติผู้ใช้ใหม่: ไปที่ Users > Unapproved

แฮกเกอร์ได้อะไรจากสแปมสมัครสมาชิก WordPress?

คุณได้ยินแฮกเกอร์โจมตีเว็บรัฐบาล สดุดโทรศัพท์เซเลบริที แต่มันยากที่จะคิดว่าแฮกเกอร์ได้ประโยชน์อะไรจากเว็บของคุณ

มีหลายเหตุผลที่แฮกเกอร์โจมตีเว็บคุณ แม้ไม่รู้จักคุณ ไม่เกี่ยวกับคุณส่วนตัว ไม่ได้เป็นเรื่องส่วนตัว เป็นธุรกิจ

แฮกเกอร์อยากได้สิทธิ์เข้าถึงเว็บเพื่อ:

• ขายยาปลอม, โป๊, ลừาลงทุน, มัลแวร์ เพื่อรายได้
• สร้าง Backlink ไปเว็บตัวเองหรือลูกค้า
• ทำลาย SEO ของคุณ
• ขโมยข้อมูลผู้ใช้: อีเมล, บัตรเครดิต, ประวัติการแพทย์
• เก็บหนังลิขสิทธิ์, ซอฟต์แวร์แตก

แต่การได้สิทธิ์ผู้ใช้เพียงอย่างเดียว ไม่พอสำหรับบางการโจมตี ต้องมีสิทธิ์แอดมินสำหรับการเก็บไฟล์ สิทธิ์ Editor พอสำหรับทำลาย SEO

สิทธิ์เข้าถึง + ช่องโหว่ปลั๊กอิน/ธีม = ช่องโหว่ร้ายแรง ตัวอย่าง: ช่องโหว่ Contact Form 7 ทำให้ Subscriber กลายเป็น Admin ได้

• ได้สิทธิ์สูงกว่า = Redirect ผู้เยี่ยมชมไปเว็บอันตราย
• เผยแพร่โพสต์คีย์เวิร์ดญี่ปุ่นสแปม ทำลาย SEO
• สแปมหน้าเว็บชื่อยาเสพติด (Pharma Hack)

แม้ Editor ที่มีสิทธิ์จำกัด ก็สามารถอนุมัติความคิดเห็นอันตราย ได้ทำลายฐานข้อมูล อ่านเพิ่ม: WordPress SQL Injection

ไม่ต้องพูด ผลกระทบของการโดนแฮกแบบนี้ น่าสะพรึงกลัว

ผลกระทบของสแปมสมัครสมาชิก WordPress ต่อเว็บไซต์

แฮกเกอร์พยายามเข้าถึงเว็บ เพื่อใช้ทรัพยากร หรือทำลายล้าง นี่คือวิธีที่พวกเขาทำลายเว็บคุณ:

• การสมัครสมาชิกเก็บอยู่ในฐานข้อมูล สแปมหลายร้อย = ฐานข้อมูลอึดอัด เว็บช้า

• อันดับ SEO ตก หากผู้ใช้โพสต์สแปมและ Redirect ผู้เยี่ยมชม

• ผู้เยี่ยมชมถูก Redirect ไปเว็บขายยาเสพติด, โป๊, บังคับดาวน์โหลดซอฟต์แวร์ = เสียชื่อเสียง

• ขโมยข้อมูลผู้ใช้อื่น (บัตรเครดิต, ประวัติการแพทย์) ขายออนไลน์ = คุณต้องรับผิดชอบทางกฎหมายเรื่อง Data Breach

• โฮสติ้งและเครื่องมือค้นหาพบว่าเว็บโดนแฮก = ระงับเว็บ, ติดป้าย Deceptive, Google Blacklist

• ทำความสะอาดเว็บที่โดนแฮก = ค่าใช้จ่ายสูง

ชัดเจนว่า สแปมสมัครสมาชิก WordPress ไมควร輕視

ต่อไปควรทำอะไร?

ด้วยคู่มือนี้ เรามั่นใจว่าคุณจะป้องกันสแปมสมัครสมาชิก WordPress ได้

แต่การบล็อกสแปมสมัครสมาชิกเพียงอย่างเดียว ไม่ป้องกันแฮกเกอร์พยายามแฮกเว็บ

เพื่อความปลอดภัยสมบูรณ์ ติดตั้งปลั๊กอินความปลอดภัย WordPress เช่น MalCare

• ไฟร์วอลล์ระหว่างเว็บและトラฟฟิกเข้า
• ป้องกันหน้าล็อกอินจาก Brute Force
• สแกนเว็บทุกวัน ทำความสะอาดทันทีหากโดนแฮก
• Site Hardening และ Backup

ลองใช้ MalCare Security Plugin!