Bảo mật WordPress cơ bản: 6 việc chủ website cần làm ngay

Bảo mật WordPress không đòi hỏi bạn là chuyên gia an ninh mạng; phần lớn website doanh nghiệp nhỏ bị tấn công vì những lỗ hổng cơ bản như plugin cũ, mật khẩu yếu hay không có bản sao lưu. Làm đúng vài việc nền tảng đã chặn được phần lớn rủi ro thường gặp. Bài này là danh sách việc cần làm, cập nhật tháng 11/2026.

Bảo mật WordPress là gì và vì sao quan trọng?

Bảo mật WordPress là tập hợp các biện pháp giữ cho website chạy WordPress không bị truy cập trái phép, chèn mã độc, đánh cắp dữ liệu hay bị dùng để phát tán thư rác. Nó gồm cả phần kỹ thuật (cập nhật, tường lửa, quyền file) và phần thói quen (mật khẩu, phân quyền, sao lưu).

WordPress phổ biến nên cũng là mục tiêu phổ biến. Kẻ tấn công thường dùng công cụ quét tự động hàng loạt website để tìm plugin có lỗ hổng đã công bố. Họ không cần biết bạn là ai, chỉ cần website của bạn chưa cập nhật.

Hậu quả không chỉ là website ngừng chạy. Google có thể cảnh báo “trang web này có thể gây hại” trên kết quả tìm kiếm, khách hàng mất niềm tin, và dữ liệu đơn hàng, liên hệ có thể bị lộ. Tôi đã làm web nhiều năm ở Đắk Lắk, và phần lớn ca website bị hack tôi từng xử lý đều bắt nguồn từ những lỗi cơ bản dưới đây.

1. Cập nhật WordPress, giao diện và plugin

Đây là việc quan trọng nhất. Khi một lỗ hổng được phát hiện, nhà phát triển phát hành bản vá. Từ lúc đó, chi tiết lỗ hổng thường được công khai và website chưa cập nhật trở thành mục tiêu dễ dàng.

• Bật cập nhật tự động cho các bản phụ của WordPress lõi (mặc định đã bật).
• Bật tự động cập nhật cho plugin uy tín, ít thay đổi giao diện.
• Với plugin lớn như WooCommerce, page builder: cập nhật thủ công sau khi sao lưu, kiểm tra website sau khi cập nhật.
• Giữ phiên bản PHP còn được hỗ trợ; hỏi nhà cung cấp hosting nếu không biết cách đổi.
• Dùng giao diện con (child theme) nếu có sửa giao diện, để cập nhật không mất chỉnh sửa.

Tài liệu chính thức về bảo mật có tại hướng dẫn tăng cường bảo mật của WordPress.org.

2. Tài khoản, mật khẩu và xác thực hai yếu tố

Mỗi người một tài khoản

Không dùng chung một tài khoản admin cho cả nhóm. Mỗi người một tài khoản giúp bạn biết ai làm gì và gỡ quyền khi người đó nghỉ việc.

Mật khẩu mạnh và 2FA

• Dùng trình quản lý mật khẩu để tạo mật khẩu dài, ngẫu nhiên, không dùng lại ở nơi khác.
• Không đặt tên đăng nhập là “admin”, tên miền hay tên công ty.
• Bật xác thực hai yếu tố cho mọi tài khoản có quyền Editor trở lên, bằng plugin 2FA uy tín hoặc tính năng của plugin bảo mật.
• Giới hạn số lần đăng nhập sai để chống dò mật khẩu.

Đừng quên tài khoản bên ngoài WordPress: hosting, quản lý tên miền, email quản trị. Chiếm được một trong ba thứ này cũng đủ chiếm website. Phần chọn nhà cung cấp, xem bài tên miền và hosting.

3. Plugin tối thiểu, nguồn uy tín

Mỗi plugin là thêm một phần mã có thể có lỗi. Ít plugin hơn nghĩa là bề mặt tấn công nhỏ hơn và website nhẹ hơn.

1. Liệt kê toàn bộ plugin, ghi rõ mỗi cái dùng để làm gì.
2. Gỡ và xóa hẳn plugin không còn dùng; plugin tắt nhưng chưa xóa vẫn có thể bị khai thác.
3. Tránh plugin lâu không cập nhật hoặc đã bị gỡ khỏi kho chính thức.
4. Chỉ cài từ kho plugin WordPress.org hoặc từ trang chính thức của nhà phát triển.
5. Tuyệt đối không dùng plugin, giao diện “bẻ khóa” (nulled); đây là nguồn mã độc rất phổ biến.

4. Sao lưu: tấm lưới an toàn cuối cùng

Không biện pháp bảo mật nào chắc chắn 100%. Sao lưu là thứ giúp bạn quay lại trạng thái sạch khi mọi thứ khác thất bại.

Quy tắc sao lưu nên áp dụng

• Đủ cả hai phần: cơ sở dữ liệu và thư mục wp-content (ảnh, plugin, giao diện).
• Tự động: hằng ngày với website có đơn hàng, hằng tuần với website ít thay đổi.
• Lưu tách biệt: ngoài hosting, ví dụ Google Drive, dịch vụ lưu trữ đám mây. Nếu hosting gặp sự cố, bản sao lưu vẫn còn.
• Giữ nhiều phiên bản: ít nhất 14–30 ngày, vì có khi mã độc nằm im nhiều ngày mới bị phát hiện.
• Thử khôi phục: ít nhất mỗi quý một lần trên môi trường thử. Bản sao lưu chưa từng khôi phục là bản sao lưu chưa chắc dùng được.

5. Tường lửa và giám sát

Tường lửa ứng dụng web (WAF) lọc truy cập độc hại trước khi chạm đến WordPress. Có hai cách phổ biến:

Ngoài ra nên bật:

• Thông báo qua email khi có đăng nhập quản trị mới hoặc file lõi bị thay đổi.
• Theo dõi cảnh báo bảo mật trong Google Search Console; Google sẽ báo nếu phát hiện website bị chèn mã độc. Xem thêm bài Google Search Console là gì.
• HTTPS cho toàn bộ website, chứng chỉ SSL tự gia hạn.

6. Quyền file và cấu hình máy chủ

Phần này thường do hosting hoặc người kỹ thuật làm, nhưng chủ website nên biết để kiểm tra.

• Thư mục thường đặt quyền 755, file 644; wp-config.php nên chặt hơn, ví dụ 640 hoặc 600 tùy hosting.
• Tắt chỉnh sửa file từ trang quản trị bằng dòng define('DISALLOW_FILE_EDIT', true); trong wp-config.php.
• Chặn chạy file PHP trong thư mục uploads.
• Đổi tiền tố bảng cơ sở dữ liệu khi cài mới (không bắt buộc, chỉ giảm bớt tấn công tự động đơn giản).
• Tắt XML-RPC nếu không dùng ứng dụng di động hay dịch vụ cần đến nó.

Bảo mật WordPress khi làm việc với người ngoài

Khi thuê freelancer hay đơn vị làm web, hãy tạo tài khoản riêng cho họ với quyền vừa đủ và thời hạn rõ ràng. Xong việc thì gỡ tài khoản, đổi mật khẩu hosting nếu đã chia sẻ. Không gửi mật khẩu qua tin nhắn nhóm; dùng tính năng chia sẻ của trình quản lý mật khẩu nếu có. Cũng nên yêu cầu bàn giao danh sách plugin đã cài và bản quyền kèm theo, để sau này bạn tự cập nhật được.

Nếu bạn dùng hosting chia sẻ giá rẻ, nhiều thiết lập trên phụ thuộc nhà cung cấp. Đây là một lý do nên chọn hosting có hỗ trợ kỹ thuật tốt.

Ở Việt Thái Group, công ty tôi chuyên thiết kế website và viết phần mềm, chúng tôi cũng chính là “người ngoài” trong mối quan hệ này. Vì vậy khi bàn giao, chúng tôi gửi đủ tài khoản quản trị, danh sách plugin và bản quyền kèm theo để khách tự đổi mật khẩu. Nếu khách cần hỗ trợ lâu dài, chúng tôi dùng tài khoản riêng thay vì dùng chung tài khoản của chủ website.

Bảo mật WordPress theo mức độ ưu tiên

Nếu chỉ có một buổi chiều, đừng làm theo thứ tự ngẫu nhiên. Bảng dưới đây sắp xếp theo hiệu quả so với công sức, để bạn làm việc quan trọng trước.

Thời gian trên chỉ là ước lượng cho website nhỏ; website nhiều plugin hay có cửa hàng sẽ lâu hơn.

Khi website bị hack làm gì?

Dấu hiệu thường gặp: chuyển hướng sang trang lạ, xuất hiện bài viết rác, Google cảnh báo, hosting báo gửi thư rác, xuất hiện tài khoản admin lạ. Hãy bình tĩnh làm theo thứ tự.

1. Cô lập: bật chế độ bảo trì hoặc nhờ hosting tạm khóa để không lây sang khách truy cập.
2. Đổi mật khẩu: hosting, FTP/SSH, cơ sở dữ liệu, mọi tài khoản WordPress, email quản trị. Xóa tài khoản lạ.
3. Khôi phục bản sạch: chọn bản sao lưu trước thời điểm bị nhiễm. Nếu không chắc, chọn bản cũ hơn.
4. Tìm nguyên nhân: plugin nào có lỗ hổng, tài khoản nào bị lộ. Không vá nguyên nhân thì sẽ bị hack lại.
5. Cập nhật toàn bộ rồi quét lại mã độc.
6. Xin Google xem xét lại trong Search Console nếu website bị gắn cảnh báo.
7. Thông báo cho khách hàng nếu có khả năng dữ liệu cá nhân bị lộ.

Nếu không có bản sao lưu sạch, hãy nhờ người có chuyên môn xử lý. Tự xóa từng file lạ thường bỏ sót cửa hậu và website bị nhiễm lại sau vài ngày.

Checklist bảo mật WordPress hằng tháng

• Cập nhật lõi, giao diện, plugin; xóa plugin không dùng.
• Rà danh sách người dùng, gỡ tài khoản không còn cần.
• Kiểm tra bản sao lưu mới nhất có đủ và tải về được.
• Xem báo cáo của plugin bảo mật và Search Console.
• Kiểm tra SSL còn hạn, website vẫn chạy HTTPS.

Có thể dùng AI để soạn checklist riêng theo website của bạn và nhắc việc hằng tháng, theo cách trong bài SOP quy trình chuẩn cho AI.

Câu hỏi thường gặp

Bảo mật WordPress có cần plugin trả phí không?

Không bắt buộc. Cập nhật đều, mật khẩu mạnh, 2FA và sao lưu tách biệt đã giải quyết phần lớn rủi ro. Bản trả phí hữu ích khi website có nhiều đơn hàng hoặc cần hỗ trợ dọn mã độc.

WordPress có kém an toàn hơn nền tảng khác không?

Bản thân WordPress lõi được duy trì và vá lỗi thường xuyên. Phần lớn sự cố đến từ plugin, giao diện cũ và mật khẩu yếu, tức là cách quản trị chứ không phải nền tảng.

Bao lâu nên sao lưu website một lần?

Website bán hàng, có form liên hệ nên sao lưu hằng ngày. Website giới thiệu ít thay đổi có thể sao lưu hằng tuần, và luôn sao lưu thủ công trước khi cập nhật lớn.

Đổi đường dẫn trang đăng nhập có giúp bảo mật WordPress không?

Có giúp giảm lượt dò mật khẩu tự động, nhưng không thay được mật khẩu mạnh và 2FA. Hãy coi đây là lớp bổ sung, không phải biện pháp chính.

Kết luận

Bảo mật WordPress chủ yếu là kỷ luật: cập nhật đều, tài khoản gọn, plugin ít, sao lưu tách biệt. Hãy dành một buổi làm hết danh sách trong bài, rồi 15 phút mỗi tháng rà checklist. Đọc tiếp: Core Web Vitals là gì để website vừa an toàn vừa nhanh.