วิธีป้องกันการเดารหัสผ่านหน้าเข้าสู่ระบบ WordPress

การเดารหัสผ่านหรือ Brute Force Attack คือการใช้โปรแกรมลองชื่อผู้ใช้และรหัสผ่านจำนวนมากกับหน้าเข้าสู่ระบบ WordPress วิธีป้องกันที่ได้ผลควรทำหลายชั้นร่วมกัน ทั้งใช้รหัสผ่านเฉพาะ เปิดการยืนยันตัวตนสองขั้นตอน และจำกัดคำขอเข้าสู่ระบบที่ผิดปกติ

❶ ใช้รหัสผ่านที่เดายากและไม่ซ้ำ

ตั้งรหัสผ่านยาวและไม่ใช้ซ้ำกับอีเมล โฮสติ้ง หรือบัญชีบริการอื่น หลีกเลี่ยงชื่อเว็บไซต์ ชื่อผู้ใช้ วันเกิด และคำที่เดาได้ง่าย หากจำรหัสผ่านหลายชุดไม่ได้ ให้ใช้โปรแกรมจัดการรหัสผ่าน

ตรวจบัญชีผู้ดูแลทุกบัญชี และเปลี่ยนรหัสผ่านที่เคยใช้ซ้ำหรือสงสัยว่ารั่วไหล การใช้รหัสผ่านที่แข็งแรงช่วยลดโอกาสที่ผู้โจมตีจะเข้าระบบได้ แม้จะลองชุดรหัสผ่านที่พบบ่อยจำนวนมาก

❷ เปิดการยืนยันตัวตนสองขั้นตอน

เปิด Two-Factor Authentication (2FA) ให้บัญชีผู้ดูแลระบบ เพื่อให้การเข้าสู่ระบบต้องมีการยืนยันอีกขั้นนอกเหนือจากรหัสผ่าน WordPress แบบติดตั้งเองไม่ได้เปิด 2FA มาให้โดยอัตโนมัติ จึงต้องใช้ปลั๊กอินหรือระบบยืนยันตัวตนที่เหมาะกับเว็บไซต์

ก่อนเปิดใช้งานกับผู้ดูแลทุกคน ให้ทดสอบกับบัญชีของตนเองก่อน และเก็บรหัสสำรองไว้ในที่ปลอดภัย เพื่อป้องกันการเข้าไม่ได้เมื่อโทรศัพท์สูญหายหรือเปลี่ยนเครื่อง

❸ จำกัดการลองเข้าสู่ระบบที่ผิดปกติ

ใช้ระบบจำกัดความถี่การเข้าสู่ระบบจากปลั๊กอินความปลอดภัย โฮสติ้ง หรือ WAF/CDN ที่เชื่อถือได้ ตั้งให้หน่วงเวลาหรือบล็อกการลองรหัสผ่านซ้ำ ๆ ตามความเหมาะสม

① ตั้งค่าการจำกัดให้ไม่รบกวนผู้ใช้จริง

กำหนดช่วงเวลาการบล็อกและจำนวนครั้งที่อนุญาตอย่างสมดุล หากตั้งเข้มเกินไป เจ้าของเว็บไซต์หรือสมาชิกอาจถูกล็อกออกเพราะพิมพ์รหัสผ่านผิด ควรตรวจว่ามีขั้นตอนปลดล็อกและช่องทางกู้คืนบัญชีที่ใช้งานได้

② เปิด CAPTCHA หรือระบบตรวจสอบบอทเมื่อจำเป็น

ระบบ CAPTCHA หรือการตรวจสอบบอทอาจช่วยลดการส่งคำขออัตโนมัติ แต่ควรทดสอบการใช้งานบนมือถือและกับผู้ใช้จริงด้วย เพื่อไม่ให้ขั้นตอนเข้าสู่ระบบยุ่งยากเกินไป

❹ ใช้ชื่อผู้ใช้ที่ไม่คาดเดาง่าย

หลีกเลี่ยงชื่อผู้ใช้ทั่วไป เช่น “admin” และอย่าแสดงชื่อบัญชีผู้ดูแลต่อสาธารณะโดยไม่จำเป็น อย่างไรก็ตาม การเปลี่ยนชื่อผู้ใช้เพียงอย่างเดียวไม่สามารถป้องกันการโจมตีได้ ต้องทำควบคู่กับรหัสผ่านที่ปลอดภัยและการยืนยันตัวตนหลายขั้นตอน

❺ ดูแลบัญชีและซอฟต์แวร์ให้พร้อม

ลบบัญชีผู้ใช้ที่ไม่จำเป็น จำกัดสิทธิ์ผู้ใช้ตามหน้าที่ และอัปเดต WordPress ธีม และปลั๊กอินอย่างสม่ำเสมอ เพราะช่องโหว่ในส่วนเสริมอาจทำให้ผู้โจมตีหาทางเข้าระบบได้โดยไม่ต้องเดารหัสผ่าน

ตรวจบันทึกการเข้าสู่ระบบเป็นระยะ หากพบความพยายามจำนวนมากจากแหล่งที่ไม่รู้จัก ให้ตรวจการตั้งค่าการจำกัดการเข้าสู่ระบบและแจ้งโฮสติ้งเมื่อคำขอส่งผลต่อประสิทธิภาพเว็บไซต์

❻ อย่าพึ่งการเปลี่ยน URL เข้าสู่ระบบเพียงอย่างเดียว

การเปลี่ยน URL หน้าเข้าสู่ระบบอาจช่วยลดคำขอจากบอทบางชนิด แต่ไม่ใช่การป้องกันหลัก และไม่ทดแทนรหัสผ่านที่ดี 2FA หรือการจำกัดความถี่การเข้าสู่ระบบ หากเปิดใช้ ให้จด URL ใหม่ไว้ในที่ปลอดภัยและทดสอบว่าผู้ดูแลยังเข้าใช้งานได้

ComSiam แนะนำให้ใช้มาตรการป้องกันหลายชั้น เพราะบอทอาจโจมตีผ่านช่องทางเข้าสู่ระบบหรือช่องทางอื่นที่เว็บไซต์เปิดใช้งานอยู่

❼ เช็กลิสต์ป้องกันการเดารหัสผ่าน WordPress

• ใช้รหัสผ่านยาว ไม่ซ้ำ และเก็บในโปรแกรมจัดการรหัสผ่าน
• เปิด 2FA ให้บัญชีผู้ดูแล
• ใช้ระบบจำกัดการลองเข้าสู่ระบบซ้ำ
• ทดสอบการปลดล็อกและการกู้คืนบัญชีก่อนใช้งานจริง
• หลีกเลี่ยงชื่อผู้ใช้ทั่วไปและตรวจบัญชีที่ไม่จำเป็น
• อัปเดต WordPress ธีม และปลั๊กอิน
• ตรวจบันทึกการเข้าสู่ระบบเมื่อพบความผิดปกติ

การป้องกันหลายชั้นช่วยให้การเดารหัสผ่านทำได้ยากขึ้นและช่วยลดคำขอจากบอทที่รบกวนเว็บไซต์ ควรทบทวนการตั้งค่าและทดสอบการกู้คืนบัญชีเป็นระยะ โดยเฉพาะเว็บไซต์ที่มีผู้ดูแลหลายคน