Sau khi website được làm sạch, danh tính là lớp cần xây lại: ai có tài khoản, họ cần quyền gì, phiên nào còn hoạt động và tích hợp nào đang giữ credential. Chỉ đổi một mật khẩu Administrator không đủ nếu email, session hoặc Application Password vẫn bị lộ.
Mỗi người một tài khoản, mỗi tài khoản một chủ sở hữu
Không dùng chung Administrator cho cả đội. Tài khoản riêng giúp áp quyền tối thiểu, bật 2FA, thu hồi đúng người và đọc audit log có ý nghĩa. Tài khoản dịch vụ cần tên, mục đích, owner và ngày rà soát.
Mật khẩu dài, riêng và được quản lý
Dùng password manager để tạo mật khẩu riêng cho WordPress, hosting, email, CDN và DNS. Mật khẩu chính không nên đưa cho ứng dụng hoặc script. Nếu thiết bị quản trị có nguy cơ nhiễm, kiểm tra thiết bị trước khi đổi để tránh lộ lại.
2FA bảo vệ điều gì?
2FA thêm một yếu tố khi đăng nhập tương tác, giảm tác động khi mật khẩu bị lộ. Ưu tiên tài khoản quyền cao, lưu recovery code an toàn và có quy trình khi mất thiết bị. 2FA không sửa lỗ hổng plugin và không bảo vệ credential API đã bị lộ.
Application Password dùng đúng mục đích
WordPress Application Password dành cho API/integration, được gắn với một user và có thể thu hồi riêng. Đặt tên mô tả, dùng user có quyền tối thiểu, tạo một credential cho mỗi ứng dụng và xóa khi không còn dùng. Không dùng nó để đăng nhập wp-admin.
Hủy phiên sau sự cố
Thu hồi session của tài khoản nghi vấn và thay salts nếu cần kết thúc phiên toàn cục. Rà “Remember me”, thiết bị cũ, application password và token của plugin. Sau đó theo dõi đăng nhập mới, IP/quốc gia bất thường và thay đổi role.
Quy trình vòng đời tài khoản
- Phê duyệt tạo tài khoản và role theo nhiệm vụ.
- Bật 2FA, lưu recovery code và ghi owner.
- Rà quyền định kỳ, đặc biệt Administrator.
- Thu hồi ngay khi nhân sự/đối tác kết thúc.
- Giữ audit trail và cảnh báo thay đổi role/credential.
Nếu email bị chiếm, attacker có thể đặt lại mật khẩu. Bảo vệ email bằng 2FA và rà rule chuyển tiếp lạ.
Nguồn tham khảo chính thức
WordPress mô tả credential theo ứng dụng trong Application Passwords và khuyến nghị mật khẩu mạnh, 2FA, quyền tối thiểu tại Hardening WordPress.
Sự cố kết thúc nhưng phiên đăng nhập của attacker có thể chưa kết thúc
Đổi mật khẩu một admin không tự động xử lý mọi session, application password, API token, email recovery hoặc tài khoản phụ. Nếu attacker đã tạo kênh truy cập khác, họ có thể quay lại mà không dùng mật khẩu vừa bị thay.
Đó là lý do WebAnToan xem identity như một phạm vi riêng: con người, tài khoản dịch vụ, khóa, phiên và quy trình khôi phục đều phải được rà.
Tài khoản dùng chung làm mất dấu vết
Khi ba người cùng dùng “admin”, log không trả lời ai đã cài plugin hay xuất dữ liệu. Mỗi người cần tài khoản riêng, role phù hợp và MFA. Quyền quản trị chỉ cấp trong thời gian cần thiết; người viết nội dung không cần khả năng sửa plugin.
Ngày nhân sự rời dự án là một sự kiện bảo mật
Offboarding phải thu hồi WordPress user, hosting, SSH key, CDN, email, repository và password manager. Đổi một mật khẩu chung không đủ nếu session và token còn sống. Checklist cần có owner xác nhận, không dựa vào trí nhớ của một người.
Khôi phục MFA cũng cần được bảo vệ
Backup code, số điện thoại và quy trình hỗ trợ có thể trở thành đường vòng. Giữ phương tiện dự phòng tách biệt, ghi nhận lần sử dụng và rà recovery contact định kỳ. Một hệ thống MFA mạnh nhưng recovery yếu vẫn có thể bị chiếm bằng social engineering.
Quyền cao cần thời hạn
Agency hoặc kỹ thuật viên hỗ trợ chỉ cần admin trong cửa sổ xử lý. Cấp tài khoản riêng, đặt ngày hết hạn và review hành động sau khi hoàn tất. Quyền tạm không nên trở thành admin vĩnh viễn.
Thông báo thay đổi danh tính
Cảnh báo tạo admin, đổi email, tắt MFA và tạo application password tới kênh độc lập. Đây là những sự kiện ít xảy ra nhưng tác động rất lớn.
Cụm gia cố WordPress sau phục hồi
Hoàn thiện cấu hình, quyền, danh tính và lớp phòng thủ theo một lộ trình có kiểm thử.
Câu hỏi thường gặp
2FA có thay thế mật khẩu mạnh không?
Không. Hai lớp bổ trợ nhau và vẫn cần bảo vệ email khôi phục.
Application Password có dùng đăng nhập wp-admin không?
Không. Nó dành cho API và tích hợp, không dành cho đăng nhập trình duyệt.
Sau sự cố có cần hủy toàn bộ phiên không?
Thường nên thu hồi phiên nghi vấn; thay salts có thể dùng khi cần kết thúc phiên toàn cục.
Cần rà cấu hình bảo mật theo website thực tế?
WebAnToan có thể kiểm tra cấu hình, quyền, tài khoản và lớp phòng thủ mà không làm gián đoạn nghiệp vụ.
