Kiểm tra bảo mật WordPress là việc rà soát các điểm có thể làm website bị truy cập trái phép, sửa nội dung hoặc mất dữ liệu. Công việc này cần có phạm vi rõ ràng và sự cho phép của chủ website. Một lần kiểm tra không thể chứng nhận website sẽ an toàn tuyệt đối trong tương lai.
Kiểm tra phòng ngừa khác xử lý website bị xâm nhập
Nếu website đang hoạt động bình thường, đợt rà soát có thể tập trung vào cập nhật, phân quyền, sao lưu và cấu hình. Nếu có chuyển hướng lạ, tài khoản quản trị không rõ nguồn gốc hoặc nội dung tự xuất hiện, cần chuyển sang đánh giá sự cố. Không nên vội xóa mọi dấu vết vì nhật ký và thời điểm phát sinh có thể giúp tìm nguyên nhân.
Sáu nhóm hạng mục nên được rà soát
- Phiên bản WordPress, giao diện và plugin: nguồn cài đặt, tình trạng cập nhật và thành phần không còn cần dùng.
- Tài khoản: người đang có quyền quản trị, tài khoản cũ và quyền phù hợp với công việc.
- Đăng nhập: phương án bảo vệ tài khoản, khả năng dùng xác thực bổ sung và quy trình thu hồi quyền.
- Kết nối và cấu hình: HTTPS, thông báo lỗi công khai và khả năng lộ tệp nhạy cảm.
- Sao lưu: dữ liệu được lưu ở đâu, ai truy cập được và có thể khôi phục hay không.
- Dấu hiệu bất thường: thay đổi tệp, nội dung, chuyển hướng hoặc đăng nhập cần xác minh.
Không phải website nào cũng cho phép kiểm tra toàn bộ các mục trên chỉ với một tài khoản WordPress. Quyền hosting, nhật ký máy chủ hoặc thông tin từ nhà cung cấp có thể cần thiết. Báo cáo phải nói rõ phần đã kiểm tra và phần chưa có đủ dữ liệu, thay vì kết luận bao quát từ một lần quét bên ngoài.
Xử lý theo mức rủi ro và kiểm tra lại
Tài khoản quản trị không còn được sử dụng hoặc thành phần có vấn đề cần được đánh giá sớm. Tuy nhiên, cập nhật hàng loạt, đổi quyền truy cập hay thay cấu hình trực tiếp cũng có thể làm website ngừng hoạt động. Các thay đổi phải được thống nhất, có bản sao lưu và kiểm thử tương thích phù hợp.
Sau mỗi thay đổi, cần thử đăng nhập, chỉnh sửa nội dung và các chức năng kinh doanh chính. Cấu hình bảo vệ quá chặt có thể chặn cả người quản trị hợp lệ hoặc yêu cầu từ dịch vụ đang tích hợp. Tiêu chí hoàn tất là giảm rủi ro trong phạm vi đã thống nhất mà vẫn duy trì các hoạt động cần thiết.
Báo cáo bảo mật cần rõ giới hạn
Một báo cáo hữu ích gồm phát hiện, bằng chứng đã lược bỏ dữ liệu nhạy cảm, mức ưu tiên, cách xử lý và trạng thái kiểm tra lại. Những việc phụ thuộc hosting hoặc nhà phát triển plugin cần được nêu riêng. Không công khai đường dẫn quản trị đặc biệt, nhật ký chứa dữ liệu khách hàng hay thông tin truy cập trong bài viết và ảnh minh họa.
Nếu cần trao đổi về kiểm tra bảo mật website WordPress, bạn có thể gửi tên miền và dấu hiệu đang quan tâm cho Tý Hon. Phạm vi rà soát thông thường, xử lý sự cố và kiểm thử chuyên sâu cần được phân biệt ngay từ đầu; không thực hiện thử xâm nhập hoặc gây tải khi chưa được cho phép.
Tham khảo: WordPress: Hardening WordPress.
