รายการตรวจสอบความปลอดภัย WordPress ที่ดีที่สุด [คู่มือขั้นสูง]

หากคุณต้องการรักษาความปลอดภัยให้กับไซต์ WordPress ของคุณ คุณจะพบคำแนะนำมากมายทางออนไลน์ ซึ่งคำแนะนำบางอย่างก็ดี และบางอย่างก็สร้างความเสียหายได้โดยตรง แม้ว่าจะมีความหมายดีก็ตาม

เมื่อพูดถึงความปลอดภัยของ WordPress คุณต้องสามารถเชื่อถือแหล่งที่มาของคุณและค้นหาข้อมูลที่ไม่เพียงแต่น่าเชื่อถือเท่านั้น แต่ยังเป็นไปได้และนำไปใช้ได้ ในปี 2020 เพียงปีเดียว การโจมตีของมัลแวร์เติบโตขึ้นกว่า 150% และดูเหมือนว่าตัวเลขจะไม่ช้าลงในเร็วๆ นี้ ดังนั้นการรักษาความปลอดภัยเว็บไซต์ WordPress ของคุณจึงต้องเป็นอันดับหนึ่งของคุณ

วิธีที่ดีที่สุดในการรักษาความปลอดภัยให้กับไซต์ WordPress ของคุณคือการติดตั้งปลั๊กอินความปลอดภัยและปล่อยให้มันจัดการกับงานหนัก แต่ถึงแม้จะไม่มีเว็บไซต์ คุณก็ยังสามารถรักษาความปลอดภัยให้กับเว็บไซต์ของคุณได้ในระดับสูงโดยทำตามรายการตรวจสอบความปลอดภัยของ WordPress ที่กล่าวถึงด้านล่าง

TL;DR: ปกป้องไซต์ WordPress ของคุณด้วย MalCare และหลีกเลี่ยงการบำรุงรักษาที่เกี่ยวข้องกับความปลอดภัยเป็นประจำ ความปลอดภัยของ WordPress เป็นช่องว่างที่คุณต้องแก้ไข โปรดดูรายการตรวจสอบความปลอดภัยของ WordPress เพื่อให้แน่ใจว่าคุณจะไม่พลาดสิ่งสำคัญ

วิธีที่ง่ายที่สุดในการทำให้ไซต์ WordPress ของคุณปลอดภัย

ดังที่เราได้กล่าวไปแล้ว วิธีที่ดีที่สุดในการรักษาความปลอดภัยให้กับไซต์ WordPress ของคุณคือการใช้ปลั๊กอินความปลอดภัย โดยเฉพาะ MalCare MalCare ไม่เพียงแต่ดูแลรายการตรวจสอบความปลอดภัยของ WordPress โดยอัตโนมัติเท่านั้น แต่ยังดำเนินการโดยที่คุณไม่ต้องกังวลกับการติดตามทุกรายละเอียดเล็กน้อย

MalCare มีคุณลักษณะหลายอย่างที่ทำงานร่วมกันเพื่อให้ไซต์ของคุณปลอดภัย แต่คุณสมบัติสามอันดับแรกทำให้มั่นใจได้ว่าไซต์ของคุณปราศจากมัลแวร์ เช่น การสแกน ไฟร์วอลล์ และการล้างข้อมูล ด้วย MalCare คุณสามารถกำหนดเวลาการสแกนอัตโนมัติบนไซต์ WordPress ของคุณและรับการแจ้งเตือนหากตรวจพบสิ่งน่าสงสัย MalCare ยังปกป้องเว็บไซต์ของคุณด้วยไฟร์วอลล์อัจฉริยะที่ป้องกันการโจมตีส่วนใหญ่ และที่สำคัญที่สุด หากไซต์ของคุณถูกแฮ็ก เนื่องจากไม่มีไซต์ใดที่สามารถจะเข้าใจผิดได้ MalCare จะทำความสะอาดไซต์ของคุณภายในไม่กี่นาทีด้วยการคลิกปุ่มเพียงครั้งเดียว

อีกเหตุผลหนึ่งที่คุณควรเลือกใช้ MalCare ก็คือด้วยมาตรการรักษาความปลอดภัยแบบแมนนวล มีโอกาสเกิดข้อผิดพลาดจากมนุษย์ได้เสมอ แต่ข้อผิดพลาดด้านความปลอดภัยอาจทำให้คุณมีรายได้มากกว่าเงินเพียงไม่กี่ดอลลาร์ หากการแฮ็กแย่ลง อาจนำไปสู่การขโมยข้อมูล ความเสียหายของเว็บไซต์ การสูญเสียลูกค้า และที่สำคัญที่สุดคือการสูญเสียความไว้วางใจที่ธุรกิจของคุณได้รับ

รายการตรวจสอบความปลอดภัยขั้นสูงของ WordPress

มีองค์ประกอบมากมายในไซต์ WordPress ที่การติดตามทุกสิ่งสามารถครอบงำได้ เราได้รวบรวมรายการตรวจสอบความปลอดภัยของ WordPress สำหรับคุณโดยพิจารณาจากความถี่ของเวลาที่คุณต้องดูแลงาน

เพื่อความปลอดภัยทุกวัน

การรักษาความปลอดภัยของเว็บไซต์เป็นกระบวนการที่ต่อเนื่องและไม่สามารถทำเพียงครั้งเดียวได้ แต่มีวิธีที่คุณสามารถทำให้งานประจำวันเป็นแบบอัตโนมัติได้ งานเหล่านี้ช่วยให้แน่ใจว่าไซต์ของคุณปลอดภัยจากปัญหาหรือภัยคุกคามที่ไม่คาดคิด

สแกนไซต์ของคุณ

การสแกนไซต์ของคุณเพื่อหามัลแวร์ทุกวันเป็นสิ่งสำคัญ เว็บไซต์จะถูกแฮ็กทุกๆ 38 วินาทีบนอินเทอร์เน็ต และมีโอกาสสูงที่คุณอาจเป็นหนึ่งในนั้น การสแกนไซต์ของคุณเป็นประจำช่วยให้แน่ใจว่าคุณเป็นคนแรกที่รู้ถึงภัยคุกคามหรือมัลแวร์ใดๆ ในไซต์ของคุณ และช่วยให้คุณดำเนินการก่อนที่ผู้โจมตีจะสร้างความเสียหายให้กับไซต์ของคุณ

หากการสแกนไซต์ด้วยตนเองทุกวันดูน่าเบื่อสำหรับคุณ คุณสามารถเลือกโซลูชันความปลอดภัย เช่น MalCare ที่ให้คุณกำหนดเวลาการสแกนอัตโนมัติทุกวัน เพื่อให้คุณไม่ต้องกังวลว่าจะสแกนหายหรือต้องเรียกใช้งานด้วยตนเอง .

สำรองข้อมูลเว็บไซต์ของคุณ

มีเหตุผลหลายประการที่คุณควรสำรองข้อมูลเว็บไซต์ WordPress ของคุณ แต่ที่สำคัญที่สุดคือความปลอดภัย หากตรวจไม่พบทันเวลา มัลแวร์อาจทำให้เกิดความหายนะกับไซต์ WordPress ของคุณ และทำให้ข้อมูลสูญหายหรือทำให้เว็บไซต์เสียหาย บ่อยครั้ง โฮสต์เว็บจะลบไซต์ออกจากเซิร์ฟเวอร์ของพวกเขาหากไซต์นั้นติดไวรัส และหากคุณไม่มีการสำรองข้อมูลที่เป็นอิสระสำหรับไซต์ของคุณ คุณจะต้องเริ่มต้นใหม่ทั้งหมด

การสำรองข้อมูลเว็บไซต์ที่มีมูลค่าสูงทุกวันเป็นสิ่งสำคัญ เพื่อไม่ให้ข้อมูลสำคัญสูญหาย โดยเฉพาะอย่างยิ่งสำหรับเว็บไซต์ WooCommerce ที่ต้องการการสำรองข้อมูลแบบเรียลไทม์ โซลูชันที่มีประโยชน์ เช่น BlogVault สามารถทำให้กระบวนการนี้ง่ายมาก BlogVault ช่วยให้คุณสามารถกำหนดเวลาการสำรองข้อมูลรายวันหรือตามเวลาจริง ขึ้นอยู่กับความต้องการของคุณ และจัดเก็บข้อมูลสำรองเหล่านี้บนเซิร์ฟเวอร์ภายนอก ดังนั้นแม้ว่าเซิร์ฟเวอร์เว็บไซต์ของคุณจะถูกแฮ็ก ข้อมูลสำรองยังคงปลอดภัย

เพื่อความปลอดภัยรายเดือน

ตรวจสอบบันทึกกิจกรรม

การแฮ็กและการติดตั้งมัลแวร์ แอดแวร์ หรือโปรแกรมที่เป็นอันตรายประเภทอื่นๆ มักจะเกิดขึ้นอย่างลับๆ บ่อยครั้ง การติดตามที่มองเห็นได้เพียงอย่างเดียวสามารถพบได้ในบันทึกกิจกรรมของไซต์ บันทึกกิจกรรมที่ดำเนินการตามลำดับเวลา และการเปลี่ยนแปลงที่ทำขึ้น ด้วยเหตุนี้ คุณควรตรวจสอบบันทึกกิจกรรมของไซต์ของคุณทุกเดือนเพื่อค้นหาสิ่งไม่สอดคล้องกันหรือกิจกรรมที่น่าสงสัย สามารถช่วยคุณติดตามรายละเอียดที่สำคัญจำนวนหนึ่งในกรณีที่ไซต์ของคุณถูกแฮ็ก เช่น ที่อยู่ IP ที่เกี่ยวข้องและเกิดขึ้นได้อย่างไร

หากไซต์ของคุณมีการผลิตสูง เช่น คุณเผยแพร่เนื้อหาเป็นรายวันหรือรายสัปดาห์ การตรวจสอบบันทึกกิจกรรมเดือนละครั้งอาจเป็นเรื่องที่ยุ่งยาก เนื่องจากมีการเปลี่ยนแปลงมากมายในไซต์ ในกรณีนี้ คุณสามารถตรวจสอบบันทึกกิจกรรมได้สัปดาห์ละครั้งหรือสัปดาห์ละครั้ง

WordPress ไม่มีบันทึกกิจกรรมโดยค่าเริ่มต้น ดังนั้นคุณจะต้องพึ่งพาปลั๊กอิน หรืออีกทางหนึ่ง MalCare จะให้บันทึกกิจกรรมที่มีรายละเอียดและเข้าใจง่ายพร้อมกับการรักษาความปลอดภัย WordPress ที่สมบูรณ์

อัปเดตเว็บไซต์ของคุณ

ตามหลักการแล้ว คุณควรอัปเดตไซต์ WordPress ของคุณทันทีที่มีการอัปเดตใหม่ แต่การอัปเดตรายเดือนก็ใช้ได้เช่นกัน การรักษาตารางเวลาการอัปเดตรายเดือนให้สม่ำเสมอ คุณจะมั่นใจได้ว่าไซต์ได้รับการปกป้องอย่างดี และมีการแก้ไขช่องโหว่ใหม่

การอัปเดตมักจะน่ากลัวเพราะเป็นที่ทราบกันดีว่าเป็นการทำลายไซต์ แต่ถ้าคุณใช้ปลั๊กอิน เช่น BlogVault คุณสามารถทดสอบการอัปเดตของคุณบนไซต์การแสดงละคร และรวมการเปลี่ยนแปลงเข้ากับไซต์จริงของคุณได้อย่างราบรื่น

ตรวจสอบ Search Console

การเพิ่มไซต์ WordPress ของคุณลงใน Search Console ของ Google มีประโยชน์มากมายที่เกี่ยวข้องกับ SEO แต่ก็สามารถช่วยให้ไซต์ของคุณมีความปลอดภัยได้เช่นกัน Search Console ของ Google มีแท็บปัญหาด้านความปลอดภัยที่ตั้งค่าสถานะมัลแวร์ที่ตรวจพบในไซต์ของคุณ ดังนั้นการตรวจสอบเป็นครั้งคราวสามารถช่วยคุณตรวจจับมัลแวร์ได้

หากคุณสแกนไซต์ด้วย MalCare เป็นประจำ คุณจะตรวจพบมัลแวร์ในไซต์ของคุณแล้ว แต่ยังคงเป็นแนวปฏิบัติที่ดีที่จะดูว่า Google คิดว่ามีกิจกรรมที่น่าสงสัยในเว็บไซต์ของคุณหรือไม่

ลบธีมและปลั๊กอินที่ไม่ได้ใช้

การลบธีมและปลั๊กอินเก่าและไม่ได้ใช้มีจุดประสงค์สองประการ อย่างแรกคือการเร่งความเร็วไซต์ของคุณ เนื่องจากไฟล์จำนวนมากเกินไปอาจทำให้การบวมและเซิร์ฟเวอร์ทำงานช้าลง ประการที่สองคือเพื่อให้แน่ใจว่าเว็บไซต์ของคุณไม่สามารถโจมตีผ่านพวกเขาได้ ธีมและปลั๊กอินที่ไม่ได้ใช้มักจะถูกละเลยและไม่ได้รับการอัปเดต ทำให้เกิดช่องโหว่ที่สามารถใช้ประโยชน์ได้ง่าย ดังนั้น อย่าลืมตรวจสอบธีมและปลั๊กอินทั้งหมดที่คุณใช้ทุกเดือน และนำธีมและปลั๊กอินที่ตรงตามวัตถุประสงค์ออก

หมายเหตุ:ตรวจสอบปลั๊กอินปลอมในเว็บไซต์ของคุณด้วย มัลแวร์มักถูกซ่อนเป็นโฟลเดอร์ปลั๊กอิน แต่ปลั๊กอินปลอมมีเพียงหนึ่งหรือสองไฟล์เท่านั้น ไม่สามารถอยู่ในที่เก็บ WordPress และมีชื่อแปลก ๆ เช่น 'azzz' หรือ 'tiff'

Update your credentials

Using the same credentials for too long or reusing them across multiple accounts is a major risk. To protect your WordPress site, update your passwords at least once a month. This ensures that any hacker who may have acquired your password cannot use it, and it also logs you out of your account on all devices. While slightly inconvenient, it ensures that you can control access to your website.

Check user roles and privileges

The user accounts on your WordPress site are as important as the admin account. If a hacker gets access to any account, they can infect your site, upgrade their role privileges, and even lock you out of your own site.

Make sure that every user on the site has only the necessary privileges, and old user accounts are deleted. Also check if any user privileges have been escalated without your authorization, it could be a sign of malware.

Block malicious IPs

Blocking or restricting malicious IPs can make life significantly easier for you. If you are getting hacked, you can trace the IP address it’s happening from, and simply block it. This stops anyone with that IP address from accessing your site. This method is used to combat hackers, stop bots or trolls, and keep unauthorized users out. If you use a firewall, it will automatically block malicious IPs for you.

You can also block an entire geographical area, if you are experiencing repeated attacks coming from the region.

Test your backups

If the worst should happen and your WordPress site goes down, you can rely on your backups to get it up and running again. But you need to make sure that your backups are safe as well. In case your backups have already been hacked, restoring them will be pointless. Similarly, you also need to test if they’re functional, or else you’ll be restoring a broken site. You can test your backups easily if you use BlogVault, and make sure that they are reliable.

Update WordPress salts

WordPress uses salts as part of its encryption process. A salt is a random string of characters that is added to a password before encryption. The resulting string is a hash, and that is what is stored in the database. That way, if a hacker is able to get the hashed passwords out of the database, AND decrypt them, they still don’t know what part of the password is actually the password and what is the salt. The only way they would know this is if they get access to the salts and security keys in the config file.

It is similar to how passwords are stored in browser cookies. The reason you can stay logged into any site is that the session information is stored in cookies. But if plaintext passwords were stored there, it would be dangerous. So WordPress stores the salted and hashed version instead. Having access to the salt doesn’t mean you can decrypt hashes, but it does reduce the level of security. Therefore, it is important to updates your WordPress salts periodically.

For long term security

Check SSL

SSL is a security protocol designed to encrypt any communication to and from your website server. This stops attackers from accessing, reading, or changing any information that is being transferred.

Usually, you secure your site with SSL when getting your domain or hosting plan. However, SSL certificates expire approximately every two years, and you need to ensure that it is renewed at the earliest. This is doubly important if users perform transactions on your website, as any security breach can lead to credit card details or bank account details getting leaked.

Check hosting plans

If you forget to renew your hosting plan on time, your WordPress account will be suspended. This can cause a number of issues. Your site traffic will take a hit, you’ll lose customers, and you might even wind up losing data. Checking your hosting services regularly also allows you to analyze your site traffic and server usage. Overly high server usage is a common symptom of a brute force attack, and catching such attacks earlier stands a better chance of stopping them. When you are alerted to a brute force attack early, you can act and secure your site before the hackers gain access to your site.

One-time measures for complete security

While WordPress security needs to be reviewed constantly, there are some measures that you can take once and not have to update constantly.

Invest in a strong firewall

A firewall protects your WordPress site by filtering out malicious traffic, and stopping most attacks before they can infect your website. There are several kinds of firewalls, like web application firewalls, network firewalls, or cloud-based firewalls. A strong web application firewall such as MalCare’s allows you to filter your website traffic, and block visitors by the number of login attempts or geographic location.

Implement HTTP Authentication

HTTP Authentication is a protocol that allows access to a web resource only to those who are meant to access it. HTTP authentication restricts access by asking for a username and password when a certain web page is requested. Now obviously, you cannot do this for your entire website, but implementing it for your admin dashboard or login page can significantly reduce the number of bot attacks.

Use Two-Factor Authentication

Two-factor authentication is a method that requires a user to present two separate keys to access an account. For example, if you are trying to access your email, usually you need to provide the username and password, but when you implement two-factor authentication, you will also have to provide a key that is created in real-time such as a one-time password or PIN. This lowers the number of login attempts and does not overwhelm your website server with login requests. It also protects your website against brute force attacks. You can use a plugin like 2FA to enable two-factor authentication for your site.

Limit login attempts

We’ve already talked about how login attempts need to be limited. WordPress, by default, allows unlimited login attempts, and this offers a ripe opportunity for hackers to try accessing your WordPress account with brute force attacks. The easiest way to limit login attempts is to use a security plugin like MalCare, or you can add custom code to your function.php file.

Disable XML-RPC

Similar to WP REST API, XML-RPC is a WordPress feature that allows you to publish content remotely. It is useful if you use the WordPress app or need to enable trackbacks and pingbacks but otherwise, it can be exploited by hackers to gain access to your site through brute force attacks. The easiest solution here is to disable it with a plugin or manually.

Disable Directory Browsing

When your server doesn’t find an index file for a website, it shows an index of the contents of the directory. If a hacker can access this information, they can check if you have any files that are vulnerable on your website. This opens your website to major security risks.

In order to avoid this, you can disable directory browsing by adding a line of code to your .htaccess file. Follow these steps to disable directory browsing on your WordPress site.

• Download the .htaccess file on your site through an FTP client.
• Open the file and add the following code to the bottom of the file:

Options All -Indexes

• Now save the file, and reupload it. You will have to delete the original file from your site first.

Restrict File Permissions

The file permissions on your site determine who can access what parts of your site and who can modify them. Usually, your web host configures all of this information for you. But it is still a good practice to understand file permissions and ensure that they are configured optimally.

If you want to understand how file permissions work and how you can optimize them for your site security, go through our guide which is detailed and beginner-friendly.

Hide wp-config file

The wp-config file on your website is full of sensitive information such as passwords, keys, and salts. If hackers gain access to the file, it will be like rolling a red carpet to the website for them. The wp-config file is located in the public_html folder by default, so hackers know where to look for it. But you can change the location of the file, and it still functions just as well, while hiding sensitive information effectively.

Disabling PHP Execution in Specific Folders

Hackers can upload PHP files on your site disguised as core WordPress files and gain access to your site. Some folders like wp-uploads shouldn’t have PHP files at all. So what do you do in this case?

You can disable PHP execution in these folders so that even if hackers manage to get in these files through any backdoors, they cannot gain access to your site.

Why Website Security is Important

WordPress is a secure platform, but it is very popular and attracts all sorts of attention. Some of which are nefarious. In order to make sure that hackers can’t gain access to your site, you need to ensure that your website security is up to date, or else you could face dire consequences like:

• Loss of customers
• Data loss
• Leaked private credentials
• สูญเสียรายได้
• Legal issues
• Hit to the brand reputation
• Loss of trust

ความคิดสุดท้าย

WordPress security is not a mystery. If you take a few steps to secure your site, you will be able to fend off attacks and malware, and avoid any damages. We hope that this WordPress security checklist helps you tighten your security measures.

If you want a hassle-free solution that does not compromise your security, MalCare is the only option. With automated scans, an advanced firewall, and one-click cleanups, MalCare is a 360 degree solution that protects your site.

คำถามที่พบบ่อย

How do I secure my WordPress site?

The easiest method to secure your WordPress site is to install a security plugin like MalCare. MalCare scans your website everyday to ensure that your website is safe, and protects your website with its advanced firewall. It also offers a one-click cleanup in case there is a hack.

Does WordPress have security issues?

WordPress is a secure platform used by over half of the websites on the internet. However, it is because of this popularity that it attracts the attention of hackers. You can secure your WordPress site with a security plugin to ensure that your site is safe from these elements.

How do I secure my WordPress site without plugins?

If you wish to secure your site without using plugins, you need to perform several security checks regularly. You will have to perform site scans, take backups, look for suspicious behavior in the site’s activity log, and manually clean up any malware that you may detect. The list of ways hackers can get into your site is endless, and the only way you can secure your site without having to constantly be on alert is to use a security plugin.