Bảo mật WordPress cơ bản cho chủ doanh nghiệp: thói quen hằng tháng và việc cần làm khi bị hack

Cập nhật tháng 10/2026. Dựa trên tài liệu bảo mật chính thức của WordPress và OWASP.

Nhiều người hỏi: “Cài plugin bảo mật nào tốt nhất?”. Góc nhìn của bài này: bảo mật là thói quen vận hành, không phải một plugin. Website doanh nghiệp nhỏ thường bị xâm nhập vì một plugin cũ, một mật khẩu dùng chung, hoặc bản sao lưu chưa từng được thử khôi phục.

1. Cập nhật core, plugin, theme: việc đầu tiên và quan trọng nhất

Tài liệu Hardening WordPress khuyên luôn chạy phiên bản mới nhất, vì bản cũ không còn được vá lỗi. Bản vá bảo mật của core thường đến qua bản cập nhật nhỏ, mặc định được cài tự động; plugin và theme thì tuỳ cấu hình, thường phải có người bấm.

OWASP xếp “thành phần có lỗ hổng hoặc lỗi thời” vào nhóm rủi ro hàng đầu của ứng dụng web; với WordPress, đó chính là plugin và theme. Cách làm hợp lý:

• Bật tự động cập nhật cho plugin ít rủi ro, được bảo trì đều.
• Plugin lớn (bán hàng, form, page builder): sao lưu, cập nhật thủ công, rồi kiểm tra giỏ hàng và form.

2. Xoá plugin bỏ hoang, đừng chỉ tắt

Plugin đã tắt nhưng chưa xoá vẫn nằm trên máy chủ, tệp của nó vẫn có thể bị khai thác. Tài liệu chính thức khuyên xoá plugin không dùng và chỉ cài từ nguồn tin cậy như kho plugin WordPress.org hoặc nhà phát triển có uy tín.

Ví dụ minh hoạ: một shop mỹ phẩm cài 4 plugin slider để thử, chỉ dùng 1; ba cái còn lại đã lâu không được cập nhật. Nếu bạn đang dọn plugin để tăng tốc, bài tăng tốc WordPress không cần chồng thêm plugin có cách rà soát plugin bài bản.

3. Tài khoản và quyền: mỗi người một tài khoản, đúng vai trò

Thói quen nguy hiểm nhất ở doanh nghiệp nhỏ là dùng chung một tài khoản admin cho chủ, marketing, agency và cả freelancer cũ. Có sự cố thì không biết ai đã làm gì; có người nghỉ thì không thu hồi được quyền.

WordPress có sẵn các vai trò Administrator, Editor, Author, Contributor, Subscriber. Quy tắc:

4. Mật khẩu mạnh và xác thực 2 lớp

Tài liệu WordPress về tấn công dò mật khẩu khuyên dùng mật khẩu dài, riêng cho từng nơi, lưu trong trình quản lý mật khẩu, và bắt buộc xác thực 2 lớp (2FA) cho mọi quản trị viên. Lưu ý quan trọng: core WordPress không có sẵn 2FA, bạn cần plugin hoặc dịch vụ đăng nhập bên ngoài.

Đừng quên các “cửa” khác: tài khoản hosting, FTP/SFTP, cơ sở dữ liệu và email khôi phục mật khẩu. Chiếm được email quản trị gần như chiếm được website.

5. Sao lưu 3-2-1 và thử khôi phục

Bản sao lưu đầy đủ gồm cơ sở dữ liệu (bài viết, đơn hàng, cài đặt) và tệp (theme, plugin, ảnh, wp-config.php). Tài liệu chính thức gợi ý website nhỏ sao lưu hằng tuần, website bận rộn hằng ngày, và luôn sao lưu trước khi cập nhật.

Quy tắc 3-2-1 dễ nhớ: 3 bản, trên 2 loại nơi lưu khác nhau, 1 bản ở ngoài máy chủ đang chạy website. Ví dụ: bản trên hosting, bản trên đám mây của công ty, bản tải về máy văn phòng mỗi tháng.

Phần hay bị bỏ qua nhất là thử khôi phục: mỗi quý, dựng lại website từ bản sao lưu lên một tên miền phụ. Không khôi phục được nghĩa là chưa thật sự có bản sao lưu.

6. HTTPS, giới hạn đăng nhập và nhật ký

• HTTPS: toàn bộ website, kể cả trang đăng nhập, phải chạy qua HTTPS để mật khẩu không truyền dạng chữ thường. Dùng SFTP thay FTP khi chép tệp.
• Giới hạn đăng nhập: chặn dò mật khẩu vào wp-login.php và xmlrpc.php ở tầng CDN, tường lửa ứng dụng web (WAF) hoặc máy chủ; plugin chỉ là dự phòng. Không dùng XML-RPC thì tắt.
• Chặn sửa code trong bảng quản trị: thêm dòng define( 'DISALLOW_FILE_EDIT', true ); vào wp-config.php.
• Nhật ký: giữ nhật ký truy cập, nhật ký lỗi và nhật ký hoạt động (ai đăng nhập, ai cài plugin). Khi có sự cố, đây là thứ người xử lý cần đầu tiên.

7. Khi nghi bị hack: làm gì trong giờ đầu tiên

Dấu hiệu thường gặp: Google cảnh báo website nguy hiểm, hosting khoá tài khoản, xuất hiện quản trị viên lạ, khách bị chuyển hướng sang trang lạ. Theo hướng dẫn “FAQ My site was hacked” của WordPress.org, thứ tự hợp lý là:

1. Bình tĩnh và ghi lại: thấy gì, lúc mấy giờ, gần đây ai cài hoặc sửa gì.
2. Báo hosting: họ xác nhận được là bị xâm nhập hay chỉ là sự cố dịch vụ.
3. Khoá lại quyền truy cập: đổi mật khẩu wp-admin, hosting, FTP, cơ sở dữ liệu; thay khoá bảo mật (salt) trong wp-config.php để đăng xuất mọi phiên đang mở.
4. Chụp lại hiện trạng: sao lưu cả bản đang nhiễm để phân tích, trước khi dọn.
5. Quét cả máy tính người quản trị: mã độc trên máy cá nhân có thể đánh cắp mật khẩu.
6. Dọn hoặc khôi phục, cập nhật, rồi đổi mật khẩu lần nữa khi đã sạch.

Nếu đội kỹ thuật dùng AI hỗ trợ đọc log và sửa lỗi, quy trình an toàn được mô tả trong bài Claude Code sửa lỗi website WordPress. Các lỗi WordPress phổ biến khác (trắng trang, lỗi kết nối cơ sở dữ liệu) có ở bài tổng hợp lỗi website WordPress và cách xử lý.

8. Checklist bảo mật 15 phút mỗi tháng

1. Cập nhật core, plugin, theme còn chờ (sau khi sao lưu).
2. Xoá plugin, theme không dùng.
3. Rà danh sách người dùng: xoá tài khoản thừa, hạ quyền ai không cần Administrator.
4. Kiểm tra mọi quản trị viên đã bật 2FA.
5. Xem bản sao lưu gần nhất có đủ cơ sở dữ liệu và tệp, có bản nằm ngoài hosting.
6. Lướt nhật ký hoạt động tìm đăng nhập lạ, plugin lạ.
7. Mỗi quý: thử khôi phục một bản sao lưu.

Bài học: giao checklist này cho một người cụ thể, một ngày cố định mỗi tháng. Bảo mật hỏng nhiều nhất ở chỗ “ai cũng tưởng người khác đã làm”.

9. Thuật ngữ cần biết

• Brute force (dò mật khẩu): kiểu tấn công thử liên tục nhiều mật khẩu vào trang đăng nhập đến khi trúng. Nguồn: Brute Force Attacks.
• Xác thực đa yếu tố (MFA/2FA): đăng nhập cần thêm một yếu tố ngoài mật khẩu, như mã trên điện thoại hoặc khoá bảo mật. Nguồn: OWASP Multifactor Authentication Cheat Sheet.
• WAF (tường lửa ứng dụng web): lớp lọc đứng trước website, chặn yêu cầu độc hại trước khi chúng tới WordPress. Nguồn: Hardening WordPress.

10. Tìm hiểu thêm

• Hardening WordPress: danh sách biện pháp gia cố chính thức.
• WordPress Backups: sao lưu gì, bao lâu một lần, lưu ở đâu.
• FAQ My site was hacked: các bước xử lý khi website bị xâm nhập.
• OWASP Top 10: các nhóm rủi ro phổ biến nhất của ứng dụng web.

11. Câu hỏi thường gặp

PDL Digital đào tạo đội ngũ doanh nghiệp tự vận hành website và ứng dụng AI vào công việc. Xem trang đào tạo để chọn khoá phù hợp.