Bảo mật WordPress: 10 việc làm ngay để website không bị hack

Website WordPress bị chèn quảng cáo lạ, chuyển hướng sang trang cờ bạc, hoặc Google gắn cảnh báo nguy hiểm. Phần lớn trường hợp không phải do tin tặc nhắm vào riêng bạn, mà do công cụ tự động dò các lỗ hổng phổ biến trên hàng loạt website.

Tin tốt là bảo mật WordPress phần lớn chỉ cần những việc đơn giản, làm đều đặn. Bài này liệt kê 10 việc bảo mật WordPress nên làm ngay.

Vì sao website WordPress bị hack?

• Phần mềm cũ: lõi, giao diện hoặc plugin có lỗ hổng đã công bố nhưng chưa cập nhật.
• Plugin, giao diện không rõ nguồn: bản “bẻ khoá” thường cài sẵn mã độc.
• Mật khẩu yếu hoặc dùng lại: bị dò hoặc lộ từ nơi khác.
• Quá nhiều quyền quản trị: nhiều tài khoản admin, ít ai quản lý.
• Hosting kém: nhiều website dùng chung, một site nhiễm lây sang site khác.

WordPress có hướng dẫn tăng cường bảo mật chính thức cho người quản trị.

10 việc bảo mật WordPress nên làm ngay

1. Cập nhật lõi WordPress, giao diện và plugin. Xem cách cập nhật an toàn ở bài cập nhật WordPress và plugin.
2. Gỡ plugin, giao diện không dùng. Tắt thôi chưa đủ, tệp vẫn còn trên máy chủ.
3. Chỉ cài từ nguồn chính thức: thư viện WordPress hoặc nhà phát triển có uy tín. Không dùng bản bẻ khoá.
4. Mật khẩu mạnh, riêng cho từng nơi, lưu trong trình quản lý mật khẩu.
5. Bật xác thực hai lớp cho mọi tài khoản quản trị.
6. Phân quyền đúng vai trò: người viết bài dùng quyền Tác giả hoặc Biên tập viên, không cần Quản trị viên.
7. Giới hạn đăng nhập sai để chặn dò mật khẩu tự động.
8. Dùng HTTPS cho toàn bộ website.
9. Sao lưu tự động hằng ngày hoặc hằng tuần, lưu ở nơi khác máy chủ website.
10. Theo dõi: nhật ký đăng nhập, cảnh báo thay đổi tệp, mục Bảo mật trong Google Search Console.

Mức độ ưu tiên khi bảo mật WordPress

Sao lưu đúng cách xem ở sao lưu website. Nếu website đã có dấu hiệu lạ, đọc ngay website bị nhiễm mã độc phải làm gì.

Dấu hiệu website WordPress đã bị xâm nhập

Bảo mật WordPress năm 2026: lỗ hổng đến từ đâu?

Trả lời ngắn: phần lớn lỗ hổng của website WordPress nằm ở plugin và giao diện, không phải ở lõi WordPress. Vì vậy bảo mật WordPress hiệu quả nhất là giữ ít plugin, cập nhật đều và chỉ cài từ nguồn tin cậy.

Theo báo cáo giữa năm 2025 của Patchstack, trong khoảng 6.700 lỗ hổng mới được ghi nhận, plugin chiếm khoảng 89%, giao diện khoảng 11%, lõi WordPress gần như không đáng kể; hơn 40% lỗ hổng được đánh giá là có thể bị khai thác trong thực tế. Xem tại báo cáo của Patchstack.

Website WordPress bị hack ở Việt Nam thường gặp kiểu gì?

Ở Việt Nam, kiểu tấn công hay gặp nhất với website doanh nghiệp nhỏ là chèn nội dung cá độ, cờ bạc, vay tiền để lợi dụng thứ hạng Google của website:

• Hàng nghìn trang lạ xuất hiện khi tìm “site:tênmiền.com” trên Google.
• Khách vào từ điện thoại bị chuyển sang trang cờ bạc, còn chủ website vào bằng máy tính lại thấy bình thường.
• Search Console báo nội dung bị tấn công hoặc vấn đề bảo mật.
• Tên website trên Google hiện tiêu đề lạ bằng tiếng nước ngoài.

Khi gặp các dấu hiệu này, xem cách xử lý trong bài website bị nhiễm mã độc. Website bị chèn nội dung kiểu này có thể bị Google hạ hạng nặng, mất nhiều tháng để hồi phục.

Bảo mật website WordPress ở tầng hosting và tên miền

Ngoài phần mềm WordPress, nhiều lớp bảo vệ nằm ở hosting và tên miền:

1. Tường lửa ứng dụng web (WAF): chặn yêu cầu độc hại trước khi tới website; nhiều hosting và dịch vụ như Cloudflare có sẵn.
2. Phiên bản PHP còn được hỗ trợ: PHP cũ không còn được vá lỗi.
3. Tách website: mỗi website một tài khoản hosting riêng, website này bị nhiễm không lây sang website khác.
4. Khoá tên miền và bật xác thực hai lớp ở nhà đăng ký: tránh bị chiếm tên miền.
5. HTTPS bắt buộc: chứng chỉ SSL tự gia hạn, chuyển mọi truy cập sang https.

Lịch kiểm tra bảo mật WordPress cho doanh nghiệp nhỏ

Quy trình cập nhật an toàn có trong bài cập nhật WordPress và plugin; cách sao lưu đúng xem bài sao lưu website.

Bảo mật WordPress và dữ liệu khách hàng

Website có form liên hệ, đặt hàng là nơi lưu số điện thoại, email của khách. Từ 1/1/2026, Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực, nên bảo mật WordPress không chỉ là giữ website chạy mà còn là bảo vệ dữ liệu khách. Nên hạn chế lưu dữ liệu không cần thiết trên website, chuyển dữ liệu về hệ thống quản lý khách hàng an toàn hơn và xoá định kỳ dữ liệu form cũ.

Plugin bảo mật WordPress: có cần không?

Plugin bảo mật (tường lửa, quét mã độc, giới hạn đăng nhập) hữu ích nhưng không thay được việc cập nhật và sao lưu. Chỉ nên cài một plugin bảo mật chính, tránh cài nhiều plugin trùng chức năng gây chậm và xung đột. Nếu hosting đã có tường lửa và quét mã độc, plugin chỉ cần lo phần đăng nhập và xác thực hai lớp. Quan trọng nhất vẫn là có người theo dõi cảnh báo và xử lý kịp thời.

Câu hỏi thường gặp