วิธีตั้งค่าความปลอดภัยฐานข้อมูล WordPress

ฐานข้อมูล WordPress เก็บข้อมูลสำคัญของเว็บไซต์ เช่น บทความ บัญชีผู้ใช้ และการตั้งค่าต่าง ๆ หากผู้ไม่หวังดีเข้าถึงฐานข้อมูลได้ อาจเปลี่ยนเนื้อหา สร้างผู้ใช้ หรือทำให้เว็บไซต์เสียหายได้ การป้องกันจึงควรครอบคลุมรหัสผ่าน สิทธิ์การเข้าถึง การตั้งค่าโฮสติ้ง และการสำรองข้อมูล

❶ ใช้บัญชีฐานข้อมูลและรหัสผ่านที่ปลอดภัย

ตรวจสอบว่าฐานข้อมูลใช้บัญชีเฉพาะสำหรับเว็บไซต์ ไม่ใช้บัญชีร่วมกับระบบอื่นโดยไม่จำเป็น ตั้งรหัสผ่านที่ยาว คาดเดายาก และไม่ใช้ซ้ำกับบัญชี WordPress อีเมล หรือโฮสติ้ง

① เปลี่ยนรหัสผ่านผ่านโฮสติ้งอย่างถูกลำดับ

หากต้องเปลี่ยนรหัสผ่านฐานข้อมูล ให้เปลี่ยนในแผงควบคุมโฮสติ้งก่อน แล้วปรับข้อมูลการเชื่อมต่อในไฟล์ตั้งค่าของ WordPress ให้ตรงกัน หากข้อมูลไม่ตรง เว็บไซต์อาจเชื่อมต่อฐานข้อมูลไม่ได้ ควรสำรองไฟล์และฐานข้อมูลก่อนดำเนินการ

② เปลี่ยนรหัสผ่านเมื่อสงสัยว่ารั่วไหล

หากพบการเข้าถึงที่ไม่รู้จักหรือสงสัยว่ารหัสผ่านถูกเปิดเผย ให้เปลี่ยนรหัสผ่านฐานข้อมูลและบัญชีที่เกี่ยวข้อง พร้อมตรวจสอบว่าการเชื่อมต่อเว็บไซต์กลับมาใช้งานได้ตามปกติ

❷ จำกัดสิทธิ์และช่องทางเข้าถึงฐานข้อมูล

กำหนดสิทธิ์ของบัญชีฐานข้อมูลให้เหมาะกับการใช้งานเว็บไซต์ และหลีกเลี่ยงการเปิดให้เชื่อมต่อฐานข้อมูลจากอินเทอร์เน็ตโดยไม่จำเป็น หากต้องเข้าถึงจากภายนอก ให้ผู้ให้บริการโฮสติ้งช่วยกำหนด IP หรือช่องทางที่อนุญาต

① ตรวจสิทธิ์ของผู้ใช้ฐานข้อมูล

ตรวจในแผงควบคุมโฮสติ้งว่าบัญชีฐานข้อมูลที่ WordPress ใช้อยู่ผูกกับฐานข้อมูลของเว็บไซต์ถูกต้องหรือไม่ อย่าลดสิทธิ์แบบสุ่ม เพราะการติดตั้ง อัปเดต หรือทำงานบางอย่างของ WordPress อาจต้องใช้สิทธิ์ที่เหมาะสม หากไม่แน่ใจให้สอบถามโฮสติ้ง

② ป้องกันการเข้าถึงจากระยะไกล

ปิดการเชื่อมต่อฐานข้อมูลจากภายนอกหากเว็บไซต์ไม่ต้องใช้ หากจำเป็นต้องเปิด ควรจำกัดแหล่ง IP ที่เชื่อถือได้ และปิดกลับเมื่อเลิกใช้งาน

❸ ปกป้องข้อมูลการเชื่อมต่อในเว็บไซต์

ข้อมูลชื่อฐานข้อมูล ชื่อผู้ใช้ และรหัสผ่านที่ WordPress ใช้เชื่อมต่อควรถูกเก็บในไฟล์ตั้งค่าของเว็บไซต์และไม่เผยแพร่ต่อสาธารณะ ตรวจสิทธิ์ไฟล์และการเข้าถึงแผงควบคุมโฮสติ้งให้เหมาะสม

① จำกัดผู้ที่เข้าถึงไฟล์เว็บไซต์ได้

ให้สิทธิ์เข้าถึงโฮสติ้งเฉพาะผู้ดูแลที่จำเป็น ใช้บัญชีแยกสำหรับผู้ให้บริการแต่ละรายเมื่อทำได้ และยกเลิกบัญชีที่เลิกใช้งานแล้ว ComSiam แนะนำให้เจ้าของเว็บไซต์เก็บข้อมูลสำหรับเข้าระบบไว้ในที่ปลอดภัยและไม่ส่งผ่านช่องทางสาธารณะ

② ใช้การเชื่อมต่อที่ปลอดภัย

เข้าจัดการโฮสติ้งผ่านการเชื่อมต่อ HTTPS และใช้ SFTP แทน FTP เมื่อผู้ให้บริการรองรับ หลีกเลี่ยงการจัดการฐานข้อมูลผ่านเครือข่ายสาธารณะที่ไม่น่าเชื่อถือ

❹ ระมัดระวังการเปลี่ยนคำนำหน้าตาราง

WordPress ใช้คำนำหน้าตารางฐานข้อมูลตามที่กำหนดระหว่างติดตั้ง การเปลี่ยนคำนำหน้าภายหลังอาจทำให้เว็บไซต์หรือปลั๊กอินทำงานผิดพลาดได้ และไม่ควรถือว่าเป็นมาตรการหลักที่ป้องกันการบุกรุก หากจะเปลี่ยน ควรสำรองข้อมูลก่อนและให้ผู้ที่เข้าใจโครงสร้างฐานข้อมูลดำเนินการ

① ตรวจการตั้งค่าก่อนแก้ไข

ตรวจว่าปลั๊กอินหรือธีมใดอ้างอิงชื่อตารางโดยตรงหรือไม่ และทดสอบการเปลี่ยนแปลงในสำเนาทดสอบของเว็บไซต์ก่อนนำไปใช้จริง

② หลีกเลี่ยงการแก้ฐานข้อมูลโดยไม่มีข้อมูลสำรอง

การแก้ชื่อตารางหรือข้อมูลโดยตรงอาจกระทบบัญชีผู้ใช้และเนื้อหา หากไม่แน่ใจ ให้ขอความช่วยเหลือจากโฮสติ้งหรือผู้ดูแล WordPress

❺ อัปเดตระบบและสำรองฐานข้อมูล

อัปเดต WordPress ธีม และปลั๊กอินที่ใช้งานอยู่ เพราะช่องโหว่ในส่วนประกอบเหล่านี้อาจเปิดทางให้ผู้โจมตีเข้าถึงเว็บไซต์หรือข้อมูลที่เชื่อมต่อกับฐานข้อมูลได้ ลบปลั๊กอินและธีมที่ไม่ใช้งานเพื่อลดส่วนประกอบที่ต้องดูแล

สำรองทั้งฐานข้อมูลและไฟล์เว็บไซต์เป็นประจำ เก็บสำเนาไว้นอกบัญชีโฮสติ้งเดียวกัน และทดสอบการกู้คืนเป็นระยะ การสำรองที่กู้คืนไม่ได้อาจไม่ช่วยเมื่อเกิดเหตุจริง ComSiam แนะนำให้กำหนดผู้รับผิดชอบและรอบสำรองข้อมูลให้ชัดเจน พร้อมตรวจว่าไฟล์สำรองล่าสุดเปิดใช้งานได้

หากสงสัยว่าฐานข้อมูลถูกเข้าถึงโดยไม่ได้รับอนุญาต ให้ติดต่อโฮสติ้งทันที ขอให้ตรวจบันทึกการเชื่อมต่อ เปลี่ยนข้อมูลรับรองที่เกี่ยวข้อง และตรวจบัญชีผู้ดูแลกับไฟล์เว็บไซต์ร่วมด้วย