วิธีป้องกัน WordPress โดนแฮกเบื้องต้น

WordPress เป็น CMS ที่ได้รับความนิยมสูงที่สุดในโลก จึงเป็นเป้าหมายอันดับต้น ๆ ของแฮกเกอร์เสมอ ไม่ว่าเว็บของคุณจะเป็นเว็บเล็กหรือใหญ่ ล้วนมีความเสี่ยงถูกโจมตีได้ทั้งนั้น บทความนี้รวบรวมวิธีป้องกัน WordPress โดนแฮกในขั้นพื้นฐานที่เจ้าของเว็บทำเองได้ทันที ไม่ต้องมีความรู้ด้านเทคนิคลึกซึ้ง

nn

ทำไม WordPress ถึงถูกแฮกบ่อย?

nn

nn

สาเหตุหลักที่ WordPress ตกเป็นเป้าโจมตีบ่อยมีอยู่ไม่กี่ข้อ ได้แก่

n

n
• Plugin และ Theme เวอร์ชันเก่า — ช่องโหว่ที่ถูกค้นพบมักได้รับการแก้ไขในเวอร์ชันใหม่ แต่ถ้าไม่อัปเดตก็เท่ากับเปิดประตูเชิญแฮกเกอร์เข้ามา อ่านเพิ่มเติมได้ที่ ทำไมต้องอัปเดต Plugin และ Theme ใน WordPress

n

• รหัสผ่านอ่อนแอ — การใช้รหัสผ่านง่าย ๆ เช่น admin123 หรือ password ทำให้ถูก Brute Force Attack แทบจะได้ทันที

n

• Username เป็น “admin” — ชื่อผู้ใช้ค่าเริ่มต้นนี้แฮกเกอร์รู้อยู่แล้ว เหลือแค่เดารหัสผ่านอย่างเดียว

n

• Hosting ราคาถูกที่ไม่มีระบบป้องกัน — Server ที่ไม่ได้ตั้งค่าความปลอดภัยไว้ ทำให้ไฟล์ WordPress โดนเข้าถึงได้ง่าย

n

nn

nn

วิธีป้องกัน WordPress โดนแฮกขั้นพื้นฐาน

nn

1. อัปเดต WordPress, Plugin และ Theme ให้เป็นเวอร์ชันล่าสุดเสมอ

n

เข้าไปที่ Dashboard → Updates แล้วอัปเดตทุกรายการที่มีการแจ้งเตือน ควรตรวจสอบอย่างน้อยสัปดาห์ละครั้ง และลบ Plugin หรือ Theme ที่ไม่ได้ใช้งานออกด้วย เพราะถึงจะ Deactivate ไว้ก็ยังมีช่องโหว่อยู่

nn

2. เปลี่ยน Username จาก “admin” และตั้งรหัสผ่านที่แข็งแกร่ง

n

WordPress ไม่อนุญาตให้แก้ Username โดยตรง วิธีที่ง่ายที่สุดคือสร้าง User ใหม่เป็น Administrator แล้วลบ User “admin” เดิมออก สำหรับรหัสผ่าน ควรมีความยาวอย่างน้อย 12 ตัวอักษร ผสมตัวพิมพ์ใหญ่-เล็ก ตัวเลข และอักขระพิเศษ WordPress มีตัวสร้างรหัสผ่านแข็งแกร่งในตัวอยู่แล้ว

nn

3. เปิดใช้งาน Two-Factor Authentication (2FA)

n

แม้รหัสผ่านจะรั่วไหล ผู้โจมตีก็ยังเข้าระบบไม่ได้ถ้าไม่มี OTP จาก 2FA ติดตั้ง Plugin เช่น WP 2FA หรือ Google Authenticator แล้วเปิดใช้งานสำหรับบัญชี Admin ทุกบัญชี หากมีหลายคนเข้าถึง Admin ควรอ่านเรื่อง ความเสี่ยงของการมี User Admin หลายคน ด้วย

nn

4. จำกัดการเข้าถึง Login Page และ XML-RPC

n

หน้า wp-login.php เป็นจุดโจมตีหลักของ Brute Force Attack ควรจำกัดจำนวนครั้งที่เข้าสู่ระบบผิดพลาด (Login Attempt Limit) ด้วย Plugin เช่น Limit Login Attempts Reloaded นอกจากนี้ ควรปิดการใช้งาน XML-RPC ถ้าไม่ได้ใช้งาน เพราะเป็นช่องทางอีกทางที่แฮกเกอร์ใช้โจมตี

nn

5. ตั้งค่า File Permission ให้ถูกต้อง

n

File Permission ที่ตั้งไว้หลวมเกินไปทำให้แฮกเกอร์สามารถแก้ไขหรืออัปโหลดไฟล์อันตรายได้ ค่าที่แนะนำคือ 755 สำหรับโฟลเดอร์ และ 644 สำหรับไฟล์ โดยเฉพาะไฟล์ wp-config.php ควรตั้งที่ 600 อ่านรายละเอียดเพิ่มเติมที่ File Permission ใน WordPress ตั้งค่าอย่างไรให้ปลอดภัย

nn

nn

6. ติดตั้ง Security Plugin และทำ Backup สม่ำเสมอ

n

Security Plugin เช่น Wordfence ช่วยสแกนไฟล์อันตราย ตรวจสอบการเข้าถึงที่น่าสงสัย และป้องกันการโจมตีได้แบบ Real-time ควบคู่กับการ Backup ข้อมูลไว้นอก Server (เช่น Google Drive หรือ Dropbox) อย่างน้อยสัปดาห์ละครั้ง เพื่อให้กู้คืนได้ทันทีหากเกิดเหตุ สำหรับภาพรวมทั้งหมด ดูได้ที่ Checklist ความปลอดภัย WordPress ฉบับสมบูรณ์

nn

เมื่อไหร่ควรเรียกผู้เชี่ยวชาญ?

n

หากพบสัญญาณต่อไปนี้ควรติดต่อผู้เชี่ยวชาญทันที ไม่ควรแก้เองเพราะอาจทำให้หลักฐานหายหรือปัญหาลุกลาม

n

n
• เว็บโดน Redirect ไปยังเว็บอื่นโดยที่คุณไม่ได้ตั้งค่า

n

• Google แจ้งเตือนว่าเว็บมีมัลแวร์หรือถูกขึ้น Blacklist

n

• พบไฟล์แปลกปลอมใน Server หรือเนื้อหาเว็บถูกแก้ไขโดยไม่ทราบสาเหตุ

n

• Hosting ระงับบัญชีเพราะตรวจพบกิจกรรมผิดปกติ

n

n

บริการ เสริมความปลอดภัย WordPress ของเราพร้อมช่วยทั้งในการตรวจสอบ ทำความสะอาดมัลแวร์ และวางระบบป้องกันในระยะยาว

คำถามที่พบบ่อย

เว็บ WordPress โดนแฮกแล้วจะรู้ได้อย่างไร?

สัญญาณที่พบบ่อย เช่น เว็บโดน Redirect ไปเว็บอื่น มีเนื้อหาภาษาต่างประเทศแปลก ๆ โผล่ขึ้นมา Google Search Console แจ้งเตือนมัลแวร์ หรือเข้า Admin ไม่ได้ทั้งที่รหัสผ่านถูกต้อง

ต้องติดตั้ง Security Plugin ไหม ถึงจะปลอดภัย?

Security Plugin ช่วยเพิ่มชั้นการป้องกันได้มาก แต่ไม่ใช่สิ่งเดียวที่ต้องทำ การอัปเดต การตั้งรหัสผ่านแข็งแกร่ง และการตั้งค่า File Permission ที่ถูกต้องมีความสำคัญไม่แพ้กัน

เปลี่ยน URL หน้า Login จาก wp-login.php ได้ไหม?

ได้ โดยใช้ Plugin เช่น WPS Hide Login ซึ่งจะเปลี่ยน URL หน้า Login ไปเป็น URL ที่คุณกำหนดเอง ทำให้บอทที่สแกนหา wp-login.php หาไม่เจอ

Backup บ่อยแค่ไหนถึงพอ?

ขึ้นอยู่กับความถี่ในการอัปเดตเนื้อหา สำหรับเว็บที่อัปเดตทุกวันควร Backup ทุกวัน เว็บที่อัปเดตน้อยกว่า Backup สัปดาห์ละครั้งก็เพียงพอ ที่สำคัญคือต้องเก็บ Backup ไว้นอก Server เสมอ