Nguyễn Thượng Sách Blog Kiến thức Wordpress, Plugins, Themes
Như chúng ta đều biết WordPress là mã nguồn được sử dụng phổ biến nhất hiện nay trong việc phát triển website, đó là lý do website cả bạn rất hấp dẫn đối với các hacker, file .htaccess là một tập tin rất quan trọng đối với bất kỳ website nào, bạn có thể thực hiện nhiều thủ thuật để bảo mật WordPress bằng file htaccess.
Đây tất cả những gì bạn cần quan tâm.
Bảo mật WordPress bằng file htaccess như thế nào?
File .htaccess có tầm quan trọng rất lớn đối với website của bạn, nếu bạn thực hiện sai một thao tác bất kỳ nào đó, nó có thể phá hủy website của bạn.
Vì thế, trước khi chỉnh sửa file htaccess bạn cần chắc chắn đã sao lưu nó rồi. Trường hợp bị lỗi bạn có thể restore lại, điều này giúp bảo vệ sự an toàn cho website của bạn.
Bây giờ mình sẽ hướng dẫn bạn một số thủ thuật để bảo mật WordPress bằng file htaccess vô cùng hiệu quả.
#1. Bảo vệ file .htaccess
File .htaccess kiểm soát hầu như toàn bộ trang web, điều đầu tiên bạn cần quan tâm là bảo mật cho file này tránh xa các kẻ tấn công. Sử dụng đoạn code dưới đây bạn có thể hạn chế quyền truy cập từ người dùng trái phép.
Chỉ cần sao chép đoạn mã này vào file htaccess của bạn.
<files wp-config.php>
order allow,deny
deny from all
</files>
#2. Bảo vệ thư mục wp-contents/
Wp-contents là một thư mục của WordPress chứa các tập tin như giao diện, plugin… và các file lưu trữ khác. Tạo một file .htaccess sao chép đoạn mã bên dưới vào sau đó upload vào thư mục wp-contents/
Lợi ích của việc này là chỉ cho phép các tập tin đa phương tiện này tải lên: XML, CSS, JPG, JPEG, PNG, Gif và javascript, ngược lại tất cả các tập tin khác sẽ bị từ chối.
Order deny,allow
Deny from all
<Files ~ ".(xml|css|jpe?g|png|gif|js)$">
Allow from all
</Files>
#3. Bảo vệ file wp-config.php
File wp-config.php chứa các tập tin liên quan đến cơ sở dữ liệu và một số thông tin quan trọng khác, bạn cần sao chép đoạn code sau vào file .htaccess để ngăn chặn quyền truy cập trái phép vào tập tin wp-config.php
<files wp-config.php>
order allow,deny
deny from all
</files>
#4. Bảo vệ các file đính kèm.
Trong WordPress có một số nơi mà người dùng không bao giờ truy cập vào, vì thế bạn nên chặn truy cập vào các nội dung này bằng cách sử dụng đoạn mã sau vào file .htaccess
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>
#5. Hạn chế quyền truy cập vào bảng điều khiển WordPress
Điều gì xảy ra với website của bạn nếu ai đó vào được trang quản trị website, họ có thể phá hủy cả trang web của bạn bất cứ lúc nào, đó thật sự là một điều rất tệ hại đúng không?
Cách tốt nhất là hãy hạn chế và cấp quyền cho một số IP cụ thể nào đó thôi, tức các địa chỉ Ip đó mới có thể đăng nhập vào website. Hãy làm điều này bằng cách tạo một file .htaccess với nội dung bên dưới và tải lên thư mục wp-admin/
# Limit logins and admin by IP
<Limit GET POST PUT>
order deny,allow
deny from all
allow from 22.34.34.13
</Limit>
Hãy đổi địa chỉ ip 22.34.34.13 thành địa chỉ ip của bạn, tìm địa chỉ ip của bạn tại Whatismyip. Tất nhiên bạn có thể thêm các ip khác bằng cách thêm như sau:
allow from 22.34.34.13, 57.76.45.32, 19.51.73.38
#6. Ngăn chặn một IP truy cập vào website
Trong thời gian quản trị website chắc hẳn bạn sẽ bị một địa chỉ ip nào đó cố gắng đăng nhập vào website của bạn vì mục đích phá hoại bất lợi nào đó, nếu bạn sử dụng các plugin bảo mật bạn dễ dàng ngăn chặn ip đó, tuy nhiên bạn cũng có thể sử dụng đoạn code sau cho file .htaccess.
Khi họ cố gắng xâm nhập sẽ xảy ra lỗi, tức nhiên chỉ ip đó thôi.
<Limit GET POST>
order allow,deny
deny from 327.423.78.8
allow from all
</Limit>
#7. Chuyển hướng URL
Đây là một phương pháp giúp bạn chuyển hướng thư mục, trang hoặc toàn bộ trang web đến một địa chỉ mới. Nếu bạn đăng nhập vào một địa chỉ website nào đó và được chuyển đến domain mới tức là, chủ website đã cho chuyển hướng website của họ sang một tên miền mới, phương pháp này gọi là 301 redirect.
Để thực hiện bạn cần sao chép code sau vào file .htaccess. Bạn cần thay đổi tên trang, thư mục và tên miền của bạn vào code trên.
Redirect 301 /oldpage.html http://www.yourwebsite.com/newpage.html
Redirect 301 /oldfolder/page2.html /folder3/page7.html
Redirect 301 / http://www.mynewwebsite.com/
Tuy nhiên, bạn có thể sử dụng một số plugin bảo mật: Wordfence, Sucuri, Ithemes… để thực hiện công việc bảo mật này. Còn một số thủ thuật khác sau này bạn có thể tìm hiểu thêm nhé. Hi vọng bài viết có ích với bạn. Chúc bạn bảo mật hiệu quả cho site WordPress của bạn.
