Website vừa phục hồi sau sự cố thường ở thời điểm tốt nhất để gia cố: đội ngũ đã biết điểm yếu, credential đã được rà và có dữ liệu điều tra. Checklist này giúp biến những thay đổi rời rạc thành một kế hoạch phòng thủ có thứ tự, kiểm thử và người chịu trách nhiệm.
Giảm bề mặt tấn công, giới hạn thiệt hại nếu một lớp bị vượt qua và tăng khả năng phát hiện. Không có cấu hình nào khiến WordPress “không thể bị hack”.
Lớp 1: cập nhật và nguồn phần mềm
Đưa core, plugin và theme về phiên bản được hỗ trợ; xóa thành phần không dùng và package không rõ nguồn. Thiết lập staging, backup và quy trình rollback để bản vá bảo mật không bị trì hoãn vì sợ lỗi.
Lớp 2: gia cố wp-config.php và bí mật
Xoay credential có nguy cơ lộ, thay salts, tắt file editor và kiểm soát debug log. Chỉ dùng DISALLOW_FILE_MODS khi đã có pipeline cập nhật thay thế. Giới hạn quyền đọc wp-config theo user chạy PHP thực tế.
Lớp 3: ownership, permission và vùng ghi
Xác định owner/group, thu hẹp quyền ghi của core/plugin/theme và chỉ mở uploads/cache theo nhu cầu. Chặn thực thi PHP trong uploads theo cấu hình web server; không dùng chmod 777 để “sửa nhanh”.
Lớp 4: danh tính và phiên
Mỗi người một tài khoản, role theo quyền tối thiểu, 2FA cho quyền cao và Application Password riêng cho từng tích hợp. Rà session, email khôi phục và vòng đời cấp/thu hồi tài khoản.
Lớp 5: endpoint và lưu lượng
Bảo vệ login bằng rate limit/2FA, kiểm kê XML-RPC và REST API trước khi hạn chế. Endpoint thay đổi dữ liệu phải kiểm tra authentication/capability phía server. WAF là lớp lọc bổ sung, cần tuning và quan sát false positive.
Lớp 6: backup và khả năng phục hồi
Backup đủ file, database và cấu hình, lưu tách biệt, có retention vượt thời gian phát hiện sự cố và restore test. Snapshot bản nhiễm phải được đánh dấu, cách ly và không trộn với backup phục hồi.
Lớp 7: monitoring và cảnh báo
- Thay đổi file thực thi và checksum.
- Tài khoản, role, session và Application Password mới.
- WP-Cron/system cron hoặc plugin mới.
- Login thất bại, request bất thường và lỗi 5xx.
- Uptime, form, checkout, email và Search Console.
Triển khai theo vòng nhỏ
- Ghi baseline và tiêu chí thành công.
- Thử một nhóm thay đổi trên staging.
- Kiểm thử nghiệp vụ và đường rollback.
- Phát hành trong cửa sổ có giám sát.
- Rà log, lỗi và false positive.
- Cập nhật tài liệu và người chịu trách nhiệm.
Những việc không nên làm
Không cài nhiều plugin bảo mật chồng chức năng, không tắt REST API toàn cục, không đổi URL đăng nhập rồi coi như đã an toàn, không bật rule WAF tối đa và không đóng quyền đến mức WordPress không thể cập nhật. Hardening phải dựa trên kiến trúc và luồng thật.
Quyền, plugin, tích hợp và lưu lượng thay đổi theo thời gian. Lịch rà soát định kỳ là một phần của kiểm soát.
Nguồn tham khảo chính thức
Checklist tổng hợp từ Hardening WordPress, File Permissions, Application Passwords và REST API FAQ.
Website vừa sạch là lúc đội ngũ dễ chủ quan nhất
Sau nhiều giờ dọn mã độc, trang chủ mở lại và đơn hàng bắt đầu chạy, ai cũng muốn khép sự cố. Nhưng chính giai đoạn này thường để lại rủi ro lớn: mật khẩu cũ chưa đổi hết, user tạm chưa thu hồi, backup nhiễm vẫn nằm cùng server và plugin từng bị khai thác vẫn hoạt động.
Hardening sau phục hồi không phải trang trí thêm nhiều lớp bảo mật. Nó là lúc biến những gì vừa học được từ sự cố thành thay đổi có thể kiểm chứng: điểm vào đã đóng, quyền đã thu hẹp, persistence bị loại và cảnh báo được đặt đúng nơi.
Một checklist tốt phải trả lời “vì sao”
Nếu chỉ bật hàng loạt rule mà không biết mục đích, đội vận hành sẽ tắt chúng khi website phát sinh lỗi. Mỗi kiểm soát nên gắn với một rủi ro đã thấy: chặn PHP trong uploads vì attacker từng đặt webshell; tắt file editor vì tài khoản admin từng bị lộ; siết session vì có đăng nhập từ thiết bị lạ.
Thứ tự WebAnToan thường ưu tiên trong 24 giờ đầu
- Thu hồi tài khoản, session, key và credential có khả năng bị lộ.
- Khóa đường thực thi và quyền ghi không cần thiết.
- Vá thành phần tạo điểm xâm nhập, xóa phần mềm bỏ rơi.
- Kiểm tra backup sạch và khả năng rollback.
- Bật log, file monitoring và cảnh báo cho dấu hiệu tái nhiễm.
Kết quả cần là website vận hành được nhưng khó bị khai thác lại theo cùng con đường, không phải một bộ cấu hình “cứng nhất” khiến đội kinh doanh không thể làm việc.
Cụm gia cố WordPress sau phục hồi
Hoàn thiện cấu hình, quyền, danh tính và lớp phòng thủ theo một lộ trình có kiểm thử.
Câu hỏi thường gặp
Hardening có bảo đảm WordPress không bị hack không?
Không. Mục tiêu là giảm xác suất, giới hạn tác động và phát hiện sớm.
Nên cài bao nhiêu plugin bảo mật?
Chọn theo nhu cầu và tránh chồng chức năng; quan trọng là cấu hình, cập nhật và quy trình phản ứng.
Nên hardening ngay trên production không?
Nên thử theo nhóm trên staging, có backup, rollback và kiểm thử nghiệp vụ.
Bao lâu nên rà lại hardening?
Theo lịch định kỳ và sau thay đổi lớn về plugin, hosting, tích hợp hoặc nhân sự.
Cần rà cấu hình bảo mật theo website thực tế?
WebAnToan có thể kiểm tra cấu hình, quyền, tài khoản và lớp phòng thủ mà không làm gián đoạn nghiệp vụ.
Thiết lập baseline, theo dõi file và log, ưu tiên cảnh báo rồi kiểm thử khả năng phục hồi.
WebAnToan đã hệ thống hóa việc lựa chọn nguồn, kiểm tra trước khi cài, cập nhật, thay thế và ứng phó sự cố trong cẩm nang an toàn plugin/theme WordPress.
