วิธีทำให้บัญชีผู้ดูแล WordPress ปลอดภัยขึ้น

บัญชีผู้ดูแล WordPress มีสิทธิ์เปลี่ยนการตั้งค่า เพิ่มผู้ใช้ ติดตั้งปลั๊กอิน และจัดการเนื้อหา หากบัญชีถูกยึด ผู้โจมตีอาจควบคุมเว็บไซต์ได้ทั้งหมด การป้องกันจึงควรครอบคลุมรหัสผ่าน การยืนยันตัวตน สิทธิ์ผู้ใช้ และช่องทางกู้คืนบัญชี

❶ ตั้งรหัสผ่านผู้ดูแลให้เดายากและไม่ใช้ซ้ำ

ใช้รหัสผ่านที่ยาวและไม่ซ้ำกับบัญชีอีเมล โฮสติ้ง หรือบริการอื่น การใช้รหัสผ่านซ้ำทำให้บัญชี WordPress เสี่ยงตามไปด้วย หากข้อมูลจากบริการอื่นรั่วไหล

① ใช้เครื่องมือจัดการรหัสผ่าน

เครื่องมือจัดการรหัสผ่านช่วยสร้างและเก็บรหัสผ่านที่ไม่ซ้ำกัน หลีกเลี่ยงการส่งรหัสผ่านผ่านแชตสาธารณะหรือบันทึกไว้ในไฟล์ที่ผู้อื่นเข้าถึงได้

② เปลี่ยนรหัสผ่านเมื่อมีเหตุให้สงสัย

หากพบการเข้าสู่ระบบที่ไม่รู้จักหรือมีผู้แจ้งว่ารหัสผ่านรั่ว ให้เปลี่ยนรหัสผ่านทันที และเปลี่ยนรหัสผ่านบัญชีอื่นที่ใช้ข้อมูลเดียวกันด้วย

❷ เปิดใช้การยืนยันตัวตนสองขั้นตอน

การยืนยันตัวตนสองขั้นตอนเพิ่มขั้นตอนตรวจสอบนอกเหนือจากรหัสผ่าน ช่วยลดโอกาสที่ผู้ไม่หวังดีจะเข้าบัญชีได้แม้รู้รหัสผ่านแล้ว

① ตั้งค่าด้วยวิธีที่เชื่อถือได้

ใช้ปลั๊กอินหรือบริการยืนยันตัวตนที่ดูแลอัปเดตและเข้ากันได้กับเว็บไซต์ ทำตามขั้นตอนตั้งค่าให้ครบ และทดสอบออกจากระบบแล้วเข้าสู่ระบบใหม่ก่อนใช้งานจริง

② เก็บวิธีกู้คืนไว้ให้พร้อม

บันทึกรหัสสำรองหรือวิธีกู้คืนไว้ในที่ปลอดภัยที่เข้าถึงได้เมื่อโทรศัพท์หาย อย่าเก็บรหัสสำรองไว้ในตำแหน่งเดียวกับอุปกรณ์ที่ใช้ยืนยันตัวตน

❸ จำกัดจำนวนบัญชีและสิทธิ์ผู้ดูแล

กำหนดบทบาทให้เหมาะกับงาน และให้สิทธิ์ผู้ดูแลระบบเฉพาะคนที่จำเป็น ผู้เขียนหรือผู้แก้ไขเนื้อหาอาจไม่ต้องใช้สิทธิ์ระดับผู้ดูแล

① ใช้บัญชีแยกสำหรับแต่ละคน

ไม่ควรให้ทีมงานหลายคนใช้บัญชีผู้ดูแลเดียวกัน เพราะจะตรวจสอบไม่ได้ว่าใครเข้าสู่ระบบหรือเปลี่ยนแปลงอะไร เมื่อมีผู้ดูแลออกจากทีม ให้ปิดบัญชีหรือปรับสิทธิ์ทันที

② ตรวจบัญชีผู้ใช้เป็นระยะ

เข้าเมนู ผู้ใช้ > ผู้ใช้ทั้งหมด ตรวจบัญชีผู้ดูแล อีเมล และบทบาท หากพบผู้ใช้ที่ไม่รู้จัก ให้ยืนยันกับทีมงานก่อนลบหรือเปลี่ยนสิทธิ์ ComSiam แนะนำให้ทบทวนรายชื่อผู้ดูแลทุกครั้งที่มีการเปลี่ยนแปลงทีมงาน

❹ ป้องกันการเข้าถึงหน้าเข้าสู่ระบบ

ใช้ HTTPS สำหรับการเข้าสู่ระบบ และพิจารณาใช้ WAF หรือระบบจำกัดการลองรหัสผ่านตามที่โฮสติ้งรองรับ หลีกเลี่ยงการบล็อกผู้ใช้จริงโดยไม่ตรวจบันทึกและทดสอบกฎก่อน

① เปิดการแจ้งเตือนการเข้าสู่ระบบที่ผิดปกติ

หากปลั๊กอินความปลอดภัยรองรับการแจ้งเตือน ให้ตั้งค่าให้แจ้งเมื่อมีการลองเข้าสู่ระบบผิดปกติหรือมีการเปลี่ยนบัญชีผู้ดูแล แล้วตรวจสอบการแจ้งเตือนอย่างสม่ำเสมอ

② ออกจากระบบเมื่อใช้เครื่องสาธารณะ

อย่าบันทึกรหัสผ่านบนคอมพิวเตอร์สาธารณะ และออกจากระบบทุกครั้งหลังใช้งาน หากสงสัยว่าลืมออกจากระบบ ให้เพิกถอนเซสชันหรือออกจากระบบทุกอุปกรณ์ผ่านเครื่องมือที่มี

❺ เตรียมช่องทางกู้คืนและตรวจสอบกิจกรรม

ใช้ที่อยู่อีเมลกู้คืนที่ยังเข้าถึงได้และป้องกันด้วยรหัสผ่านที่ปลอดภัยกับการยืนยันตัวตนสองขั้นตอน ตรวจบันทึกกิจกรรมและการเข้าสู่ระบบของบัญชีผู้ดูแลเป็นระยะ เพื่อสังเกตการเปลี่ยนแปลงที่ไม่คุ้นเคย

หากพบกิจกรรมผิดปกติ ให้เปลี่ยนรหัสผ่าน ออกจากระบบทุกอุปกรณ์ ตรวจผู้ใช้ใหม่และการเปลี่ยนบทบาท พร้อมแจ้งโฮสติ้งหากสงสัยว่าบัญชีหรือเว็บไซต์ถูกบุกรุก ComSiam แนะนำให้สำรองข้อมูลเว็บไซต์เป็นประจำ เพื่อให้มีทางกู้คืนหากเกิดความเสียหาย