Nhiều người nghĩ bảo mật website WordPress là việc của một plugin bảo mật cài vào rồi xong. Thực tế, phần việc quan trọng nhất lại nằm ở những thứ cơ bản hơn: file cấu hình, quyền truy cập tệp, mật khẩu, và việc cập nhật đúng hạn — những điều một plugin không tự làm thay bạn được.
Bài này tổng hợp lại các bước theo đúng tài liệu hardening chính thức của WordPress.org, không thêm số liệu hay cam kết ngoài những gì tài liệu gốc nói.
Sai lầm thường gặp trước khi nói tới kỹ thuật
Trước khi vào từng bước kỹ thuật, ba sai lầm phổ biến khiến website WordPress dễ bị tấn công hơn mức cần thiết:
- Dùng tên đăng nhập “admin”: đây là tên đầu tiên mọi công cụ dò mật khẩu tự động thử.
- Không bao giờ cập nhật WordPress/plugin/theme: phần lớn lỗ hổng bị lợi dụng là lỗ hổng đã có bản vá công khai nhưng site chưa cập nhật.
- Cài quá nhiều plugin bảo mật cùng lúc rồi bỏ quên phần cấu hình cơ bản: plugin không thay được việc siết quyền tệp hay khoá file cấu hình.
wp-config.php: nơi cần siết chặt đầu tiên
File wp-config.php chứa thông tin kết nối cơ sở dữ liệu — nếu lộ ra, gần như lộ toàn bộ website. Theo hướng dẫn hardening chính thức, nên làm các việc sau:
- Di chuyển wp-config.php lên một cấp thư mục phía trên thư mục gốc website, nếu hosting cho phép — WordPress vẫn tự tìm thấy file ở vị trí đó.
- Thêm dòng
define('DISALLOW_FILE_EDIT', true);vào wp-config.php để tắt hẳn việc sửa file plugin/theme ngay trong trang quản trị — chặn một cách kẻ tấn công hay dùng sau khi có được quyền đăng nhập. - Chặn truy cập trực tiếp vào wp-config.php bằng quy tắc trong .htaccess, và đặt quyền tệp thật chặt cho file này (chỉ chủ sở hữu đọc được).
Cơ sở dữ liệu: tách riêng và giới hạn quyền user
Nếu server đang chạy nhiều website WordPress cùng lúc, hướng dẫn hardening chính thức khuyên dùng cơ sở dữ liệu riêng và user CSDL riêng cho mỗi website, thay vì để tất cả dùng chung một user có toàn quyền. Cách này giới hạn phạm vi thiệt hại: nếu một website bị hack, kẻ tấn công không tự động có quyền truy cập cơ sở dữ liệu của các website khác trên cùng server.
Với user CSDL mà WordPress dùng để kết nối hằng ngày, chỉ nên cấp đúng quyền cần thiết để website hoạt động (đọc, ghi, sửa, xoá dữ liệu), không cần cấp quyền thay đổi cấu trúc bảng hoặc cấp quyền cho user khác — trừ khi bạn đang chuẩn bị cập nhật lớn cần quyền đó tạm thời. Trước khi siết quyền theo cách này, luôn giữ một bản sao lưu cơ sở dữ liệu gần nhất, vì một số thao tác cập nhật WordPress có thể cần quyền cấu trúc bảng mà bạn vừa thu hẹp lại.
Quyền tệp và thư mục (file permissions) đúng chuẩn
Theo tài liệu chính thức, quyền truy cập cho thư mục và tệp của WordPress nên theo mức sau, trừ khi hosting của bạn có quy định riêng:
| Loại | Quyền khuyến nghị | Ý nghĩa |
|---|---|---|
| Thư mục (directories) | 755 | Chủ sở hữu đọc/ghi/thực thi; người khác chỉ đọc/thực thi |
| Tệp (files) thông thường | 644 | Chủ sở hữu đọc/ghi; người khác chỉ đọc |
| wp-config.php | Chặt hơn mức 644 thông thường (400 hoặc 440 nếu hosting hỗ trợ) | Chỉ chủ sở hữu (và máy chủ web khi cần) đọc được, không ai sửa trực tiếp qua quyền tệp |
Quyền tệp quá rộng (ví dụ để toàn bộ ở mức cho phép mọi người ghi) là lỗ hổng phổ biến, đặc biệt trên hosting chia sẻ (shared hosting) nhiều website dùng chung server — khác biệt giữa các loại hosting ở việc này cũng khác nhau, nên kiểm tra lại với bên cung cấp hosting của bạn nếu không chắc.
Chưa chắc website đang để quyền tệp đúng chuẩn chưa?
VIDCO kiểm tra cấu hình wp-config.php, quyền tệp, và các điểm hardening cơ bản — báo đúng tình trạng, không thêm số liệu không kiểm chứng được.
Cập nhật, mật khẩu, SSL và đăng nhập hai lớp
Bốn việc sau nên làm thường xuyên, không phải làm một lần rồi để đó:
- Cập nhật WordPress, plugin, theme ngay khi có bản mới, ưu tiên các bản vá bảo mật — xem cách cập nhật an toàn, có bước thử trên môi trường staging, ở bài cập nhật WordPress/plugin an toàn.
- Dùng mật khẩu đủ phức tạp, tránh tên thật, từ trong từ điển, hoặc chuỗi số đơn giản — đặc biệt với tài khoản quản trị.
- Bật xác thực hai lớp (two-step authentication) cho trang quản trị, để dù mật khẩu bị lộ, kẻ tấn công vẫn cần thêm một bước xác minh nữa.
- Dùng SSL/HTTPS cho toàn bộ website, đặc biệt trang đăng nhập wp-admin — tránh thông tin đăng nhập bị chặn giữa đường khi truyền qua kết nối không mã hoá.
Bảng tổng hợp hardening theo WordPress.org
| Hạng mục | Khuyến nghị chính thức |
|---|---|
| File cấu hình | Di chuyển wp-config.php ra ngoài thư mục gốc nếu được, chặn truy cập trực tiếp, tắt sửa file qua trang quản trị |
| Cơ sở dữ liệu | Dùng user CSDL riêng cho mỗi website nếu server chạy nhiều site, giới hạn quyền user CSDL ở mức cần thiết |
| Đăng nhập | Đổi tên đăng nhập khỏi “admin”, mật khẩu mạnh, bật xác thực hai lớp, thêm lớp bảo vệ phía server cho wp-admin nếu cần |
| Giám sát | Ghi log để phát hiện truy cập bất thường, kiểm tra tính nguyên vẹn file định kỳ (ví dụ bằng wp core verify-checksums cho phần core) |
Giám sát và kiểm tra định kỳ
Hardening không phải việc làm một lần rồi xong. Nên có lịch kiểm tra định kỳ: rà danh sách plugin/theme còn dùng, xoá cái không dùng tới, kiểm tra tài khoản quản trị lạ, và theo dõi log truy cập nếu hosting có cung cấp. Xem công cụ và cách đọc kết quả kiểm tra ở bài kiểm tra bảo mật website.
Nếu đã làm đủ các bước trên mà website vẫn có dấu hiệu bất thường, nên xử lý theo đúng trình tự ở bài website bị hack: xử lý từng bước, và giữ bản sao lưu website sạch, cập nhật thường xuyên, để luôn có đường lùi khi cần khôi phục.
Sai lầm hay gặp khi làm bảo mật website WordPress
- Nghĩ cài một plugin bảo mật là đủ: bỏ qua phần cấu hình cơ bản như quyền tệp, wp-config.php.
- Không bật xác thực hai lớp dù đây là bước đơn giản, ít tốn công nhất trong danh sách hardening.
- Dùng chung một mật khẩu cho nhiều tài khoản (WordPress, hosting, email) — một nơi lộ là lộ hết.
- Để quyền tệp quá rộng, đặc biệt trên hosting chia sẻ nhiều site dùng chung server.
Nguồn tham khảo
Thông tin trong bài được đối chiếu với các nguồn chính thức dưới đây tại thời điểm biên soạn; văn bản và chính sách có thể thay đổi.
- Hardening WordPress – Hướng dẫn bảo mật chính thức
- Bảo mật cho quản trị viên WordPress
- Quản lý người dùng WordPress
Câu hỏi thường gặp
DISALLOW_FILE_EDIT trong wp-config.php dùng để làm gì?
Khi đặt bằng true, dòng này tắt hẳn chức năng sửa file plugin/theme ngay trong trang quản trị WordPress — chặn một cách kẻ tấn công thường dùng sau khi có được quyền đăng nhập.
Quyền tệp 644 và 755 nghĩa là gì?
755 áp dụng cho thư mục: chủ sở hữu đọc/ghi/thực thi, người khác chỉ đọc/thực thi. 644 áp dụng cho tệp thông thường: chủ sở hữu đọc/ghi, người khác chỉ đọc. wp-config.php nên đặt chặt hơn nữa nếu hosting hỗ trợ.
Có cần xác thực hai lớp không nếu mật khẩu đã mạnh?
Nên có thêm, vì mật khẩu mạnh vẫn có thể bị lộ qua cách khác (lừa đảo, rò rỉ từ nơi khác dùng chung mật khẩu). Xác thực hai lớp thêm một lớp chặn nữa dù mật khẩu đã bị lộ.
SSL/HTTPS có phải là bảo mật website WordPress không?
Là một phần trong đó. SSL mã hoá đường truyền, tránh thông tin đăng nhập bị chặn giữa đường, nhưng không thay được các bước khác như siết quyền tệp hay cập nhật phần mềm.
Cài nhiều plugin bảo mật cùng lúc có tốt hơn không?
Không nhất thiết. Nhiều plugin bảo mật cùng lúc có thể xung đột và làm website chậm, trong khi các bước cơ bản như siết wp-config.php, quyền tệp, cập nhật đều đặn thường quan trọng hơn số lượng plugin.
Muốn rà soát bảo mật website WordPress theo đúng checklist, không chạy theo quảng cáo plugin?
Dịch vụ quản trị website của VIDCO áp dụng các bước hardening chính thức, báo cáo rõ đã kiểm gì, sửa gì.
Xem thêm: dịch vụ chăm sóc website, sao lưu website WordPress, website bị hack xử lý thế nào.
Nguồn đối chiếu: developer.wordpress.org/advanced-administration/security/hardening/ (“Hardening WordPress”), developer.wordpress.org/advanced-administration/security/backup/, developer.wordpress.org/cli/commands/db/export/ và …/core/verify-checksums/, support.google.com/webmasters/answer/9044101 (báo cáo Security Issues) — kiểm tra ngày 11/10/2026. Các bước kỹ thuật có thể thay đổi theo phiên bản WordPress hoặc theo hosting bạn đang dùng; nên đối chiếu lại tài liệu chính thức trước khi áp dụng.
