สรุปคำตอบ
การมี User Admin หลายคนใน WordPress เสี่ยงเพราะ Administrator ทุกบัญชีมีสิทธิ์สูงสุด ทั้งติดตั้ง Plugin แก้โค้ด Theme จัดการ User และส่งออกข้อมูลลูกค้า ถ้าบัญชีใดบัญชีหนึ่งรหัสผ่านอ่อนหรือรั่ว ทั้งเว็บจะตกอยู่ในมือแฮกเกอร์ทันที ความเสี่ยงหลักคือเป้าหมายของ Brute Force กว้างขึ้น บัญชีของอดีตพนักงานหรือเอเจนซี่ยังค้างอยู่ และตรวจย้อนหลังได้ยากว่าใครเปลี่ยนอะไร วิธีลดความเสี่ยงคือให้สิทธิ์เท่าที่จำเป็น ลบบัญชีที่ไม่ใช้ ลด Role เป็น Editor หรือ Author และเปิด 2FA ให้ Admin ที่เหลือ
การมี User ระดับ Administrator หลายคนใน WordPress ดูเหมือนเป็นเรื่องสะดวก โดยเฉพาะเมื่อต้องทำงานร่วมกับทีมหรือให้สิทธิ์เอเจนซี่เข้ามาดูแลเว็บ แต่ในความเป็นจริง แต่ละบัญชี Admin คือ “ประตูหน้า” ที่เปิดกว้างให้กับผู้ไม่ประสงค์ดี หากบัญชีใดบัญชีหนึ่งถูกเจาะ ทั้งเว็บของคุณก็อยู่ในมืออาชญากรไซเบอร์ทันที บทความนี้จะอธิบายความเสี่ยงที่เกิดขึ้นจริง พร้อมวิธีตรวจสอบและจัดการสิทธิ์ผู้ใช้ให้ปลอดภัยขึ้น
หลังลดจำนวนบัญชีผู้ดูแลระบบแล้ว บัญชีที่เหลือทุกบัญชีควรเปิด การยืนยันตัวตน 2 ขั้นตอน (2FA) เพื่อไม่ให้รหัสผ่านที่รั่วเพียงอย่างเดียวเปิดเว็บได้
ทำไมการมี Admin หลายคนถึงเป็นความเสี่ยง
บัญชี Administrator ใน WordPress มีอำนาจสูงสุด (ดูตารางสิทธิ์ของแต่ละ Role) ไม่ว่าจะเป็นการติดตั้งหรือลบ Plugin, แก้ไขโค้ด Theme, เพิ่มหรือลบ User อื่น ไปจนถึงการส่งออกข้อมูลลูกค้าทั้งหมด เมื่อมีบัญชีระดับนี้มากขึ้น โอกาสที่รหัสผ่านอ่อนแอหรือรั่วไหลก็มากขึ้นตาม ความเสี่ยงหลักที่มักพบได้แก่:
- Attack Surface กว้างขึ้น — แฮกเกอร์ที่ทำ Brute Force Attack จะลองทุก username ที่เป็น Admin ยิ่งมีมาก ยิ่งมีโอกาสเดาถูก
- บัญชีที่ไม่ได้ใช้แล้วยังคงอยู่ — อดีตพนักงานหรือเอเจนซี่ที่หมดสัญญาแต่ยังมีบัญชี Admin อยู่ คือช่องโหว่ที่ควบคุมไม่ได้
- รหัสผ่านอ่อนแอของบัญชีใดบัญชีหนึ่ง — แม้คุณตั้งรหัสผ่านแข็งแกร่ง แต่ถ้า Admin คนอื่นใช้รหัสผ่านง่าย ๆ เว็บทั้งหมดก็เสี่ยง
- ขาดการตรวจสอบการกระทำ (Audit Trail) — หากมี Admin หลายคน การระบุว่าใครเป็นผู้เปลี่ยนแปลงการตั้งค่าหรือติดตั้ง Plugin ที่เป็นอันตรายทำได้ยาก
วิธีตรวจสอบ User Admin ในเว็บของคุณ
เข้าไปที่ WordPress Dashboard → Users → All Users แล้วกรองด้วย Role = Administrator สิ่งที่ต้องตรวจสอบในแต่ละบัญชี:
- Last Login — บัญชีที่ไม่เคย Login มานานเกิน 3 เดือน (เกณฑ์ที่ทีมเราใช้) ควรได้รับการตรวจสอบว่ายังจำเป็นอยู่หรือไม่ (ต้องติด Plugin อย่าง WP Last Login หรือ Simple History เพื่อดูข้อมูลนี้)
- Email ที่ผูกกับบัญชี — ตรวจว่าเป็น Email ขององค์กรจริง ไม่ใช่ Email ส่วนตัวของบุคคลภายนอกที่หมดสัญญาแล้ว
- Username ที่คาดเดาได้ — Username อย่าง
admin,administrator, หรือชื่อเว็บเป็นเป้าหมายแรกของการโจมตี (คู่มือ Hardening ของ WordPress.orgระบุเรื่องชื่อ admin และ webmaster) - จำนวน Admin ทั้งหมด — ทีมเราแนะนำให้มี Admin เท่าที่จำเป็นจริง โดยปกติไม่เกิน 1–2 คน
วิธีลดความเสี่ยงจาก Admin หลายคนทีละขั้นตอน
เมื่อตรวจสอบแล้ว ให้ดำเนินการตามลำดับนี้:
- ขั้นที่ 1 — ลบบัญชีที่ไม่จำเป็น: ไปที่ Users → All Users เลือกบัญชี Admin ที่ไม่ใช้แล้ว กด Delete และโอนเนื้อหาทั้งหมดให้กับ Admin หลักก่อนยืนยันการลบ
- ขั้นที่ 2 — ลด Role ของบัญชีที่ยังต้องการแต่ไม่ควรเป็น Admin: เช่น บัญชีของบรรณาธิการให้เปลี่ยนเป็น
Editor(ดูสิทธิ์ของแต่ละ Role), บัญชีของนักพัฒนาที่ดูแลเฉพาะ Plugin บางตัวให้เปลี่ยนเป็นAuthorหรือสร้าง Role เฉพาะทาง - ขั้นที่ 3 — บังคับรีเซ็ตรหัสผ่านบัญชี Admin ที่เหลือ: ใช้ฟีเจอร์ “Send Password Reset” ใน Users หรือเข้าไปแก้ผ่าน Users → Edit User โดยตรง
- ขั้นที่ 4 — เปิดใช้ Two-Factor Authentication (2FA): ติดตั้ง Plugin เช่น WP 2FA หรือ Google Authenticator ตามที่คู่มือ WordPress.orgแนะนำให้เปิด 2FA กับผู้ดูแลทุกคน เฉพาะบัญชี Admin อย่างน้อย
- ขั้นที่ 5 — เปลี่ยน Username “admin”: หน้าโปรไฟล์ของ WordPress ไม่มีช่องให้เปลี่ยน Username และคู่มือ Hardening ของ WordPress.orgเตือนว่าชื่อที่เดาง่ายมักถูกโจมตีก่อน ให้สร้างบัญชีใหม่ที่มีชื่อไม่คาดเดาได้ โอนเนื้อหาทั้งหมด แล้วลบบัญชีเก่า
การจัดการสิทธิ์สำหรับเอเจนซี่และนักพัฒนาภายนอก
การให้สิทธิ์ Admin ชั่วคราวกับบุคคลภายนอกเป็นเรื่องที่หลีกเลี่ยงได้ยาก แต่สามารถจัดการให้ปลอดภัยได้:
- สร้างบัญชี Admin แยกต่างหากสำหรับแต่ละเอเจนซี่หรือฟรีแลนซ์ อย่าแชร์บัญชีเดิมร่วมกัน
- กำหนดวันหมดอายุโดยใช้ Plugin อย่าง Expire User Passwords หรือ User Role Editor
- เมื่องานเสร็จสิ้น ให้ลบบัญชีทันที อย่าปล่อยทิ้งไว้แม้จะ “ปิดการใช้งาน” แล้ว
- บันทึก Log การกระทำด้วย Plugin อย่าง Simple History หรือ WP Activity Log เพื่อตรวจสอบย้อนหลังได้
การป้องกันระยะยาว
นอกจากการจัดการ User แล้ว ควรทำควบคู่กับมาตรการอื่น ๆ ใน Website Security Hardening เพื่อลดความเสี่ยงโดยรวม:
- จำกัดจำนวนครั้งที่ Login ผิดพลาดด้วย Plugin หรือ Wordfence
- ตรวจสอบ File Permission ใน WordPress ให้ถูกต้อง เพื่อจำกัดความเสียหายหาก Admin ถูกเจาะ
- ทบทวนรายชื่อ Admin ทุก 3 เดือน เหมือนกับการทำ Security Audit ประจำ
- เปิดใช้ HTTPS และบังคับ Login ผ่าน HTTPS เท่านั้น เพื่อป้องกัน Credential Sniffing ซึ่งคู่มือ Hardeningระบุว่าช่องโหว่ระดับเครือข่ายทำให้รหัสผ่านถูกดักได้
เมื่อไหร่ควรเรียกผู้เชี่ยวชาญ
หากคุณพบสัญญาณเหล่านี้ ควรติดต่อ ผู้เชี่ยวชาญด้านการเสริมความปลอดภัย WordPress โดยทันที แทนที่จะแก้เองซึ่งอาจทำให้สถานการณ์แย่ลง:
- พบบัญชี Admin ที่ไม่รู้จักปรากฏขึ้นโดยไม่ได้สร้างเอง
- มีการเปลี่ยนแปลงไฟล์
wp-config.phpหรือ Theme โดยไม่ทราบสาเหตุ - เว็บถูก Redirect ไปยังเว็บอื่น หรือมี Script แปลกปลอมถูกแทรกเข้ามา
- Google หรือ Hosting แจ้งเตือนว่าเว็บมี Malware
บัญชีแอดมินที่ไม่มีใครใช้แล้วมักถูกลืมจนกลายเป็นช่องทางเข้า ถ้าต้องการให้มีคนตรวจผู้ใช้และสแกนเว็บให้ประจำ ดูบริการ ดูแลเว็บ WordPress รายเดือน
คำถามที่พบบ่อย
เว็บเล็ก ๆ ของฉันมี Admin 2 คนพอไหม?
สำหรับเว็บทั่วไป Admin 1–2 คนถือว่าเหมาะสม ขอให้แน่ใจว่าทั้งสองบัญชีใช้รหัสผ่านแข็งแกร่งและเปิด 2FA แล้ว หากมีมากกว่านั้นควรพิจารณาว่าแต่ละบัญชีจำเป็นจริงหรือไม่
ฉันจะลบ Admin เก่าได้อย่างไรโดยไม่สูญเสียเนื้อหา?
ตอนลบ WordPress จะถามให้โอนเนื้อหาไปยัง User คนอื่นก่อน ให้เลือก Admin คนปัจจุบันของคุณเป็นผู้รับ แล้วค่อยกด Confirm Deletion เนื้อหาทั้งหมดจะย้ายมาโดยอัตโนมัติ
ถ้าให้เอเจนซี่เข้าถึง Admin ชั่วคราว ควรทำอย่างไร?
สร้างบัญชีใหม่แยกต่างหาก ตั้งรหัสผ่านแข็งแกร่ง และเมื่องานเสร็จให้ลบบัญชีนั้นทันที ห้ามแชร์บัญชี Admin ของคุณเอง
การเปลี่ยน Username จาก admin เป็นชื่ออื่นทำได้ไหม?
WordPress ไม่รองรับการเปลี่ยน Username โดยตรง วิธีที่ถูกต้องคือสร้างบัญชีใหม่ที่มีชื่อต่างออกไป โอน Role เป็น Administrator โอนเนื้อหา แล้วลบบัญชีชื่อ admin ออก
Role ใน WordPress มีอะไรบ้าง ต่างจาก Administrator อย่างไร?
Role มาตรฐานของ WordPress มี Administrator, Editor, Author, Contributor และ Subscriber โดย Editor จัดการบทความและหน้าทั้งหมดได้แต่ติดตั้ง Plugin หรือจัดการ User ไม่ได้ Author เผยแพร่ได้เฉพาะบทความของตัวเอง Contributor เขียนได้แต่เผยแพร่เองไม่ได้ ส่วน Subscriber แก้ได้แค่โปรไฟล์ตัวเอง
จะรู้ได้อย่างไรว่ามีคนแอบสร้าง Admin ในเว็บ WordPress?
เข้า Users → All Users แล้วกรอง Role เป็น Administrator ดูว่ามีบัญชีหรืออีเมลที่ไม่รู้จักหรือไม่ และติด Plugin บันทึกกิจกรรมอย่าง Simple History หรือ WP Activity Log เพื่อดูว่าใครสร้างบัญชีเมื่อไร ถ้าพบ Admin ที่ไม่ได้สร้างเอง ให้ถือว่าเว็บอาจโดนแฮกและตรวจหามัลแวร์ต่อทันที
แหล่งอ้างอิง
- WordPress.org. (ม.ป.ป.). Roles and Capabilities. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/documentation/article/roles-and-capabilities/
- WordPress.org. (ม.ป.ป.). Hardening WordPress (Advanced Administration Handbook). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developer.wordpress.org/advanced-administration/security/hardening/
- WordPress.org. (ม.ป.ป.). Brute Force Attacks (Advanced Administration Handbook). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developer.wordpress.org/advanced-administration/security/brute-force/
- WordPress.org. (ม.ป.ป.). WP 2FA (WordPress plugin). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/plugins/wp-2fa/
- WordPress.org. (ม.ป.ป.). Simple History (WordPress plugin). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/plugins/simple-history/
- WordPress.org. (ม.ป.ป.). WP Activity Log (WordPress plugin). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://wordpress.org/plugins/wp-security-audit-log/
