Contact
Line : comsiam
เจ้าของเว็บไซต์สามารถใช้เช็กลิสต์นี้ตรวจมาตรการความปลอดภัย WordPress ได้เป็นระยะ ครอบคลุมบัญชีผู้ใช้ การอัปเดต ไฟล์เว็บไซต์ โฮสติ้ง และการสำรองข้อมูล หากพบข้อที่ยังไม่ได้ทำ ให้จัดลำดับแก้ไขตามความเสี่ยงและทดสอบเว็บไซต์หลังเปลี่ยนการตั้งค่า
❶ บัญชีผู้ใช้และการเข้าสู่ระบบ
① ตรวจบัญชีผู้ดูแล
- มีบัญชีผู้ดูแลเฉพาะเท่าที่จำเป็น
- ผู้ดูแลแต่ละคนใช้บัญชีของตนเอง ไม่ใช้บัญชีร่วมกัน
- ยกเลิกบัญชีของผู้ที่ไม่ได้ดูแลเว็บไซต์แล้ว
- ตรวจรายชื่อผู้ใช้และบทบาทเป็นระยะ
② ป้องกันบัญชี
- ใช้รหัสผ่านที่ยาว คาดเดายาก และไม่ซ้ำกับบริการอื่น
- เปิดการยืนยันตัวตนสองขั้นตอนสำหรับผู้ดูแล
- เก็บรหัสกู้คืนไว้ในที่ปลอดภัย
- ใช้ HTTPS เมื่อลงชื่อเข้าใช้
- ตรวจการแจ้งเตือนและบันทึกการเข้าสู่ระบบ หากมีการตั้งค่าไว้
❷ WordPress ธีม และปลั๊กอิน
① อัปเดตและลดส่วนประกอบที่ไม่ใช้
- อัปเดต WordPress ธีม และปลั๊กอินที่ใช้งานอยู่
- เลือกธีมและปลั๊กอินจากแหล่งที่เชื่อถือได้
- ลบธีมและปลั๊กอินที่ไม่ใช้งาน
- ตรวจความเข้ากันได้และสำรองข้อมูลก่อนอัปเดตครั้งสำคัญ
- ตรวจ Site Health หลังการเปลี่ยนแปลงสำคัญ
② ดูแลการติดตั้งและการตั้งค่า
- ปิดการแก้ไขไฟล์ธีมและปลั๊กอินจากหลังบ้าน หากไม่จำเป็น
- ไม่ติดตั้งปลั๊กอินหรือธีมจากไฟล์ที่ไม่ทราบแหล่งที่มา
- ตรวจบัญชีผู้ดูแลใหม่และการเปลี่ยนแปลงการตั้งค่า
- ใช้ปลั๊กอินความปลอดภัยเท่าที่จำเป็น และดูแลอัปเดตสม่ำเสมอ
❸ โฮสติ้ง ไฟล์ และฐานข้อมูล
① ตรวจการเข้าถึงโฮสติ้ง
- ใช้รหัสผ่านโฮสติ้งที่ไม่ซ้ำกับบัญชีอื่น
- เปิดการยืนยันตัวตนหลายขั้นตอน หากผู้ให้บริการรองรับ
- ใช้ SFTP แทน FTP เมื่อมีให้เลือก
- ยกเลิกบัญชีเข้าถึงโฮสติ้งที่ไม่จำเป็น
- ติดต่อโฮสติ้งเมื่อพบไฟล์หรือกิจกรรมที่ไม่รู้จัก
② ตรวจไฟล์และฐานข้อมูล
- ตั้งสิทธิ์ไฟล์และโฟลเดอร์ตามคำแนะนำของโฮสติ้ง
- จำกัดการเข้าถึงข้อมูลฐานข้อมูลและไฟล์ตั้งค่า
- ตรวจไฟล์ที่เปลี่ยนแปลงผิดปกติเมื่อเว็บไซต์มีอาการน่าสงสัย
- ไม่เปิดการเชื่อมต่อฐานข้อมูลจากภายนอกหากไม่จำเป็น
- เก็บบันทึกเหตุการณ์และตรวจเมื่อมีการแจ้งเตือน
❹ ไฟร์วอลล์และการป้องกันคำขออันตราย
① ป้องกันการโจมตีทั่วไป
- ใช้ WAF หรือระบบป้องกันจากโฮสติ้งหรือ CDN ตามความเหมาะสม
- จำกัดคำขอเข้าสู่ระบบที่ผิดปกติโดยไม่บล็อกผู้ใช้จริง
- ตรวจว่า XML-RPC จำเป็นต่อเว็บไซต์หรือบริการที่เชื่อมต่อหรือไม่
- จำกัดชนิดและขนาดไฟล์ที่ผู้ใช้สามารถอัปโหลด
- ตรวจการตั้งค่าป้องกันสแปมในแบบฟอร์มและความคิดเห็น
② ตรวจผลและข้อยกเว้น
- ตรวจบันทึกการบล็อกหลังเปิดใช้ WAF
- ปรับเฉพาะกฎที่ทำให้ผู้ใช้จริงใช้งานไม่ได้
- ทบทวนข้อยกเว้นและลบรายการที่ไม่จำเป็น
- ติดต่อโฮสติ้งหรือ CDN เมื่อทราฟฟิกผิดปกติหรือเว็บไซต์เข้าไม่ได้
❺ สำรองข้อมูลและแผนรับมือ
① สำรองและทดสอบการกู้คืน
- สำรองทั้งไฟล์เว็บไซต์และฐานข้อมูล
- กำหนดรอบสำรองตามความถี่ที่เว็บไซต์เปลี่ยนแปลง
- เก็บสำเนาอย่างน้อยหนึ่งชุดไว้นอกโฮสติ้ง
- ตรวจว่าไฟล์สำรองเปิดได้และข้อมูลครบ
- ทดสอบกู้คืนในสภาพแวดล้อมแยกจากเว็บไซต์จริง
② เตรียมรับมือเมื่อเกิดเหตุ
- บันทึกช่องทางติดต่อโฮสติ้งและผู้ดูแลเว็บไซต์
- กำหนดผู้รับผิดชอบกรณีเว็บไซต์ล่มหรือถูกบุกรุก
- จดขั้นตอนตรวจสอบและกู้คืนเว็บไซต์ไว้ในที่ปลอดภัย
- ทบทวนแผนหลังเปลี่ยนโฮสติ้งหรือระบบสำรองข้อมูล
❻ ใช้เช็กลิสต์อย่างสม่ำเสมอ
ตรวจรายการนี้หลังอัปเดต WordPress เปลี่ยนผู้ดูแล ติดตั้งปลั๊กอินใหม่ หรือปรับโฮสติ้ง และกำหนดรอบทบทวนตามความสำคัญของเว็บไซต์ เมื่อพบเหตุผิดปกติ ให้เก็บรายละเอียดและตรวจสอบก่อนลบไฟล์หรือเปลี่ยนการตั้งค่าหลายจุดพร้อมกัน
ComSiam แนะนำให้บันทึกวันที่ตรวจ ผู้รับผิดชอบ และสิ่งที่แก้ไขไว้ เพื่อให้ติดตามมาตรการความปลอดภัยได้ต่อเนื่อง หากต้องส่งข้อมูลให้ผู้ให้บริการ ให้ส่งเฉพาะข้อมูลที่จำเป็นผ่านช่องทางที่เชื่อถือได้
