Checklist Bảo Mật Website WordPress: 9 Lớp Phòng Thủ Quan Trọng Chống Hacker

🛡️ ĐỪNG ĐỢI BỊ HACK MỚI LO BẢO MẬT

Bạn đầu tư tiền làm web, chạy quảng cáo, viết nội dung…
Nhưng chỉ một lần bị hack – mất dữ liệu, bị chèn mã độc, website “bay màu” – mọi công sức có thể tan biến trong vài phút.

Theo thống kê từ Sucuri, hơn 90% website bị tấn công là nền tảng WordPress – và phần lớn đều không có bảo mật cơ bản.

Lý do? Vì đa số người dùng nghĩ website nhỏ thì không ai để ý. Nhưng hacker không quan tâm bạn là ai – chúng chỉ cần biết web bạn có lỗ hổng là đủ.

Bài viết này dành cho:

– Chủ shop online, doanh nghiệp nhỏ đang dùng WordPress
– Freelancer, người mới làm web muốn tự bảo vệ web mình
– Người từng bị hack – đang cần “lên giáp” phòng thủ toàn diện

Bạn sẽ có một checklist 9 lớp bảo mật, đơn giản – thực tế – dễ làm ngay, giúp website của bạn:

✅ An toàn hơn trước tấn công tự động
✅ Tự động phát hiện xâm nhập bất thường
✅ Sẵn sàng phục hồi nếu có sự cố

🧩 LỚP 1 – BẢO MẬT TÀI KHOẢN ADMIN

Tài khoản quản trị (admin) là “cánh cửa chính” vào hệ thống website của bạn.
Và điều bất ngờ là: phần lớn các vụ hack đều bắt đầu từ việc đoán được mật khẩu đơn giản.

✅ Những việc cần làm NGAY:

🔒 Không dùng username “admin” mặc định

• Đây là tài khoản dễ bị bot tấn công nhất
• Hãy tạo username khác (VD: tenweb_admin2024) và xóa tài khoản “admin” cũ sau khi chuyển quyền

🔑 Sử dụng mật khẩu mạnh (kết hợp chữ HOA + số + ký tự đặc biệt)

• Tránh dùng thông tin cá nhân như tên shop, số điện thoại
• Sử dụng trình tạo mật khẩu ngẫu nhiên hoặc quản lý bằng LastPass, Bitwarden

📲 Kích hoạt xác thực 2 bước (2FA)

• Dù hacker có mật khẩu → vẫn không đăng nhập được nếu không có mã 2FA
• Plugin gợi ý: WP 2FA, Google Authenticator, MiniOrange 2FA

🚫 Giới hạn số lần đăng nhập sai

• Plugin gợi ý: Limit Login Attempts Reloaded, Loginizer
• Sau 3–5 lần đăng nhập sai → tự động khóa IP tạm thời

🎯 Kết hợp 4 yếu tố trên là đủ để chặn hơn 80% các cuộc tấn công dò mật khẩu tự động.

🧩 LỚP 2 – GIẤU ĐƯỜNG DẪN ĐĂNG NHẬP /WP-ADMIN

Mặc định, mọi website WordPress đều có đường đăng nhập là:

tenmiencuaban.com/wp-admin  
hoặc  
tenmiencuaban.com/wp-login.php

Điều đó khiến hacker, bot và tool tấn công dễ dàng nhắm vào đúng cổng để dò mật khẩu.

✅ Hướng dẫn giấu đường đăng nhập:

🔧 Cách đơn giản nhất: Dùng plugin

• WPS Hide Login (miễn phí, nhẹ, phổ biến)
  → Cho phép bạn đổi /wp-admin thành bất kỳ URL nào bạn muốn, ví dụ: tenmiencuaban.com/vao-quan-tri tenmiencuaban.com/dang-nhap-web
• iThemes Security hoặc All-in-One WP Security
  → Tích hợp cả tính năng đổi URL + bảo mật nâng cao

⚠️ Lưu ý khi đổi URL:

• Ghi nhớ URL mới (hoặc bookmark), nếu không bạn sẽ không đăng nhập lại được
• Không dùng từ khóa quá đơn giản như /login, /admin, /web123

💡 Mẹo: Kết hợp đổi URL đăng nhập + giới hạn số lần login + 2FA = combo cực mạnh chống tấn công brute-force.

🧩 LỚP 3 – CẬP NHẬT PHIÊN BẢN LIÊN TỤC

Một trong những lỗ hổng bảo mật phổ biến nhất trên WordPress đến từ:
👉 Theme, plugin hoặc core WordPress quá cũ, không được cập nhật.

Theo thống kê từ WPScan, hơn 50% vụ hack WordPress là do plugin lỗi thời.

✅ Những gì cần cập nhật:

🔄 1. Core WordPress

• Luôn cài bản mới nhất (trừ khi hosting yêu cầu phiên bản cụ thể)
• Mỗi bản cập nhật đều có vá lỗi bảo mật quan trọng

🎨 2. Theme (giao diện)

• Dù không dùng vẫn nên xóa các theme không cần thiết
• Nếu dùng theme trả phí → cần tải bản cập nhật chính thức từ nhà cung cấp

🔌 3. Plugin

• Cập nhật định kỳ mỗi tuần
• Gỡ ngay plugin đã 2–3 năm không update, không rõ nguồn gốc

🔧 Cách cập nhật an toàn:

• Backup trước khi cập nhật
• Dùng plugin hỗ trợ auto-update an toàn như:
  – Easy Updates Manager
  – WP Umbrella (theo dõi nhiều website)

💡 Gợi ý: Lên lịch kiểm tra update 1 tuần/lần – vừa đảm bảo bảo mật, vừa giúp website hoạt động ổn định hơn.

🧩 LỚP 4 – BẢO MẬT HOSTING & CÀI SSL

Dù bạn có tối ưu WordPress tốt đến đâu, nếu hosting yếu – dễ bị tấn công, thì website vẫn có nguy cơ bị xâm nhập qua lỗ hổng máy chủ.

Tương tự, nếu chưa cài SSL (https://), toàn bộ dữ liệu đăng nhập, thanh toán của khách hàng có thể bị đánh cắp qua kết nối không an toàn.

✅ Cách bảo mật từ nền tảng hosting:

🛡️ 1. Chọn hosting có firewall & tự động backup

• Ưu tiên các nhà cung cấp có tính năng:
  – Chống DDoS
  – Quét mã độc định kỳ
  – JetBackup / Acronis backup hằng ngày
• Gợi ý: Azdigi, TinoHost, Hostinger, hoặc Cloudways (quốc tế)

🔐 2. Sử dụng SFTP thay vì FTP

• SFTP mã hóa kết nối → an toàn hơn khi truyền file

✅ Cài SSL miễn phí (Let’s Encrypt) hoặc trả phí

• SSL giúp website hiển thị “ổ khóa xanh” và chuyển sang giao thức https://
• Bảo vệ dữ liệu khi người dùng điền thông tin
• Góp phần tăng uy tín, điểm SEO

👉 Plugin hỗ trợ: Really Simple SSL – tự động kích hoạt HTTPS và redirect đúng cách

🎯 Ghi nhớ: Một website không có SSL + dùng hosting rẻ không firewall = hacker chỉ mất 1 cú quét để tìm ra lỗ hổng.

🧩 LỚP 5 – CÀI PLUGIN BẢO MẬT TOÀN DIỆN

Nếu bạn không phải dân kỹ thuật, việc tự cấu hình bảo mật thủ công có thể rối rắm.
👉 Lúc này, cài một plugin bảo mật tổng thể sẽ giúp bạn tự động hoá 80% việc bảo vệ website.

✅ Gợi ý plugin bảo mật phổ biến:

🔧 Những tính năng bạn nên kích hoạt:

• Firewall (tường lửa ứng dụng)
  → Chặn IP độc hại trước khi vào WordPress
• Quét malware & thay đổi bất thường trong file
  → Phát hiện mã độc ẩn trong theme/plugin lậu
• Cảnh báo đăng nhập lạ (email cảnh báo)
  → Biết ngay nếu có ai đăng nhập trái phép
• Khóa IP theo vùng / IP tấn công
  → Tự động chặn quốc gia/địa chỉ IP đáng ngờ

🧠 Mẹo nhỏ:

• Chỉ nên cài 1 plugin bảo mật chính, tránh xung đột
• Nếu dùng Wordfence → không cần thêm All-in-One hoặc iThemes
• Luôn kiểm tra lại web sau khi kích hoạt firewall để tránh chặn nhầm người dùng thật

💡 Gợi ý: Nếu bạn không biết chọn plugin nào, hãy bắt đầu với iThemes Security (dễ dùng, đầy đủ tính năng cơ bản).

🧩 LỚP 6 – PHÂN QUYỀN NGƯỜI DÙNG HỢP LÝ

Một trong những “lỗ hổng nội bộ” dễ bị bỏ qua nhất chính là:
👉 Ai cũng có quyền admin, ai cũng có thể cài/xóa plugin, chỉnh sửa mã nguồn mà bạn không hề hay biết.

Theo báo cáo từ WPWhiteSecurity, 35% sự cố bảo mật WordPress đến từ quản lý người dùng kém.

✅ Cách thiết lập quyền người dùng đúng cách:

👤 1. Dùng đúng vai trò người dùng (User Role)

🔒 2. Xóa hoặc hạ quyền người dùng không hoạt động

• Xóa tài khoản cũ, người từng cộng tác nhưng không còn làm việc
• Dùng plugin: User Role Editor để kiểm soát chi tiết

⚠️ Lưu ý quan trọng:

• Tuyệt đối không chia sẻ tài khoản admin
• Nếu cần cho kỹ thuật viên truy cập → tạo tài khoản riêng, gỡ sau khi hoàn tất

💡 Mẹo: Đặt cảnh báo email nếu có user mới được tạo, hoặc nếu có ai đổi mật khẩu admin.

🧩 LỚP 7 – SAO LƯU ĐỊNH KỲ: “PHAO CỨU SINH” KHI WEBSITE GẶP SỰ CỐ

Không ai muốn website bị hack, nhưng nếu chuyện đó xảy ra, bản sao lưu (backup) là thứ duy nhất giúp bạn phục hồi nhanh chóng – không mất đơn, không mất dữ liệu.

💥 Không có backup = “xây lại từ đầu” = thiệt hại cả thời gian lẫn doanh thu.

✅ Bạn cần backup những gì?

• Cơ sở dữ liệu (database): nội dung bài viết, đơn hàng, bình luận…
• Mã nguồn (files): theme, plugin, ảnh, cấu hình

🔧 Gợi ý plugin sao lưu WordPress miễn phí:

📅 Lịch sao lưu đề xuất:

💡 Gợi ý: Luôn lưu bản backup ở nơi khác ngoài hosting (Google Drive, Dropbox…) để tránh mất cả backup nếu host bị lỗi.

🧩 LỚP 8 – GIỚI HẠN PHÂN QUYỀN FILE

Một trong những cách hacker “ghim cửa hậu” vào website là ghi hoặc sửa file hệ thống như wp-config.php, .htaccess, hoặc cài file độc vào thư mục plugin.

👉 Vì vậy, bạn cần thiết lập quyền truy cập file (file permission) đúng cách – giống như “đặt ổ khóa” lên các khu vực quan trọng.

✅ Cách thiết lập phân quyền an toàn:

📁 Đối với thư mục (folder):

• Quyền: 755
• Nghĩa là: chủ sở hữu có toàn quyền, nhóm và người khác chỉ đọc & chạy

📄 Đối với file (file):

• Quyền: 644
• Nghĩa là: chỉ chủ sở hữu được sửa, người khác chỉ đọc

🔒 Các file nhạy cảm cần hạn chế quyền ghi:

• wp-config.php
• .htaccess
• error_log

🔧 Cách kiểm tra & thay đổi:

• Dùng File Manager trong cPanel hoặc FTP như FileZilla
• Nhấn chuột phải vào file/thư mục → chọn “Change Permissions”

⚠️ Cảnh báo: Không nên đặt quyền 777 cho bất kỳ thư mục nào – đây là “thiên đường” cho hacker ghi mã độc.

🛡️ Bonus: Khóa file bằng lệnh .htaccess

<files wp-config.php>
order allow,deny
deny from all
</files>

→ Chặn truy cập file wp-config.php từ trình duyệt

🧩 LỚP 9 – KIỂM TRA BẢO MẬT ĐỊNH KỲ: CHỐT HẠ HỆ THỐNG PHÒNG THỦ

Bảo mật website không phải là việc “làm 1 lần là xong”.
👉 Bạn cần kiểm tra định kỳ để phát hiện sớm các lỗ hổng, phần mềm lỗi thời, hoặc tệp tin lạ vừa bị cài vào.

✅ Những việc cần kiểm tra mỗi tháng:

🔍 1. Quét mã độc & file lạ

• Dùng plugin: Wordfence, Security Ninja, MalCare
• Kiểm tra thư mục: /wp-content/uploads, /themes, /plugins

🧰 2. Xem nhật ký đăng nhập & hoạt động

• Có user nào đăng nhập bất thường không?
• Có IP lạ truy cập vào ban đêm không?

🔁 3. Kiểm tra bản cập nhật

• Plugin, theme, WordPress core có bản mới chưa?
• Cập nhật xong → test lại website có lỗi gì không?

📂 4. Kiểm tra backup

• Gần nhất bạn backup là khi nào?
• File backup có đầy đủ database & file?
• Đã lưu ở nơi an toàn chưa?

📅 Gợi ý lịch kiểm tra bảo mật:

💡 Gợi ý: Tạo checklist Google Sheet, cài lịch nhắc để không quên kiểm tra đều đặn.

🎯 KẾT LUẬN – MUỐN WEBSITE KIẾM TIỀN ỔN ĐỊNH, HÃY BẢO MẬT NGAY TỪ BÂY GIỜ

Nhiều chủ shop chỉ lo làm đẹp website, chạy quảng cáo… nhưng lại quên mất:
👉 Bảo mật web là nền móng quan trọng nhất để mọi thứ khác vận hành ổn định.

Một website bị hack không chỉ thiệt hại về dữ liệu – mà còn mất uy tín, mất thứ hạng SEO, mất doanh thu và cả khách hàng trung thành.

📩 CẦN GIÚP SETUP BẢO MẬT?

Đội ngũ kỹ thuật của seodichvu.com có thể hỗ trợ bạn:

– Cài đặt plugin bảo mật, cấu hình firewall
– Tối ưu sao lưu định kỳ & lưu trữ đám mây
– Kiểm tra website có đang dính mã độc hay không

📥 Liên hệ ngay qua fanpage Dịch Vụ Viết Content hoặc Zalo 098.xxx.xxxx để nhận file Checklist bảo mật WordPress (PDF) miễn phí!