Checklist 10 Bước Bảo Mật Website WordPress Chống Tấn Công Brute Force, XML-RPC & Mã Độc 2026

Hơn 43% các website trên internet chạy trên nền tảng WordPress, biến CMS này thành mục tiêu hàng đầu của các cuộc tấn công mạng tự động. Bằng cách thực hiện đúng 10 bước trong checklist dưới đây, bạn sẽ nâng cao mức độ an toàn cho website của mình lên mức tối đa mà không tốn chi phí mua plugin đắt đỏ.

1. Vô Hiệu Hóa Hoàn Toàn XML-RPC

File xmlrpc.php thường xuyên bị tin tặc lợi dụng để thực hiện tấn công Brute Force hàng loạt (hàng ngàn lần thử mật khẩu chỉ trong 1 request). Thêm đoạn mã sau vào file .htaccess:

# Chặn truy cập xmlrpc.php
<Files xmlrpc.php>
Order Allow,Deny
Deny from all
</Files>

2. Chặn Thực Thi Mã PHP Trong Thư Mục Tải Lên (wp-content/uploads)

Kẻ tấn công thường cố gắng khai thác lỗi upload ảnh để đẩy file backdoor (đuôi .php) lên thư mục uploads. Tạo một file .htaccess đặt bên trong thư mục /wp-content/uploads/ với nội dung:

<Files *.php>
Deny from all
</Files>

3. Checklist 10 Bước Bảo Mật Bắt Buộc

1. Đổi URL đăng nhập: Thay vì dùng /wp-admin hoặc /wp-login.php, sử dụng đường dẫn riêng bí mật.
2. Kích hoạt xác thực 2 yếu tố (2FA): Bắt buộc tất cả tài khoản Quản trị viên (Administrator) phải quét mã OTP.
3. Bảo vệ file wp-config.php: Phân quyền file về chmod 400 hoặc 440.
4. Giới hạn số lần đăng nhập sai (Login Rate Limit): Tự động khóa IP tạm thời sau 5 lần gõ sai mật khẩu.
5. Cập nhật PHP và WordPress Core: Luôn duy trì phiên bản PHP 8.2+ và cập nhật bản vá bảo mật kịp thời.
6. Ẩn thông tin phiên bản WordPress: Xóa thẻ meta generator khỏi mã nguồn HTML.
7. Sử dụng Security Headers: Bật X-Frame-Options, X-Content-Type-Options, và Content-Security-Policy.
8. Quét mã độc định kỳ: Tích hợp kiểm tra file integrity với công cụ dòng lệnh WP-CLI.
9. Sao lưu tự động ngoại vi (Off-site Backup): Tự động đẩy file backup nén lên Google Drive / AWS S3 hàng đêm.
10. Bật Cloudflare WAF: Kích hoạt tường lửa đám mây để chặn các dải IP độc hại trước khi chạm tới máy chủ.