FluentAuth cho WordPress

Khi dùng WordPress, trang đăng nhập admin là trang dễ bị tấn công nhất, nên cần được bảo vệ kỹ hơn. Nhưng bảo mật quá tay, như đặt mật khẩu thật dài, thật khó, thì nhiều khi chính bạn quên luôn mật khẩu đó.

FluentAuth là plugin bảo mật miễn phí, giúp bạn:

• Bảo vệ trang đăng nhập khỏi tấn công brute force.
• Đăng nhập site nhanh hơn qua Google login, bạn không cần nhớ mật khẩu.
• Cho phép đăng ký thành viên (subscriber) với Google login tiện lợi.

Bạn cần chuẩn bị gì?

• Một website WordPress mà bạn cài được plugin.
• Một tài khoản Google đã bật bảo mật hai lớp để vào Google Cloud Console tạo khóa đăng nhập.

Cài đặt và cấu hình FluentAuth

Sau khi cài đặt và kích hoạt plugin FluentAuth, bạn vào cài đặt để tăng cường bảo mật cho website.

• Cài đặt bảo mật cốt lõi

  • Tắt XML-RPC (khuyến nghị).
  • Tắt đăng nhập bằng API (nếu site bạn không dùng các dịch vụ bên ngoài để đăng nhập từ xa).
  • Tắt REST API (nếu site bạn không có plugin nào tự động hóa).

  Site chỉ là một blog thông thường thì tắt hết cả ba. Site có dùng đăng nhập tự động thì chỉ tắt cái trên cùng.

• Cài đặt bảo mật đăng nhập (chống brute force)

  • Login Try Limit. Mặc định là 5.
  • Time limit. Mặc định 30 phút.

• Extended Login Options: không khuyến nghị bật.

• Cài đặt khác: bật gửi email báo khi có tài khoản admin mới, và chặn người đăng ký (subscriber) vào trang quản trị. Lưu lại.

Vì sao không bật magic link và bảo mật hai lớp?

FluentAuth còn có magic link và bảo mật hai lớp, nhưng Cường không khuyến nghị cho bạn mới:

• Magic link: mỗi lần đăng nhập, site gửi một link về email thay cho mật khẩu. Cách này chậm và tốn thời gian.
• Bảo mật hai lớp của FluentAuth: mã gửi qua email nên chậm. Bảo mật hai lớp qua một ứng dụng thì nhanh hơn.

Thay vào đó, hãy bật email báo tài khoản admin mới. Hacker tấn công được thường sẽ tạo một admin mới, và lúc đó email báo về cho bạn.

Vì sao đăng nhập bằng Google an toàn?

Với ứng dụng web hiện nay, đăng nhập bằng Google là cách tốt nhất: phổ biến, được ưa chuộng, vừa nhanh vừa an toàn.

• Bạn không phải nhớ mật khẩu. Chỉ cần nhớ một tài khoản Google duy nhất và bật bảo mật hai lớp cho tài khoản đó.
• Quyền cấp cho website bị giới hạn. Đăng nhập bằng Google không cho website hay hacker lấy được Gmail hay tài khoản Google của bạn.
• Bớt spam. Đăng ký bằng Google đã xác minh email là thật, nên bạn thường bỏ được bước double opt-in. Tài khoản Google vẫn có thể bị tạo hàng loạt, nên giữ thêm một lớp chống bot nhẹ như Cloudflare Turnstile.

Cấu hình Login with Google cho FluentAuth

Làm sao biết Google login đã chạy?

Mở trang đăng nhập admin và bấm đăng nhập bằng Google. Tài khoản admin vào thẳng trang quản trị. Một tài khoản Google mới sẽ được đăng ký với vai trò subscriber (người theo dõi).

Nếu chưa thành công, kiểm tra lại redirect URL và hai khóa đã dán.

Giới hạn đăng nhập sai bảo vệ site thế nào?

Với cài đặt mặc định, ai đăng nhập sai 5 lần sẽ bị chặn 30 phút, giống điện thoại khóa bạn một lúc khi nhập sai mật khẩu nhiều lần. Muốn nặng tay hơn, bạn có thể đổi thành 7 lần và 60 phút, khi đó IP sai quá số lần bị khóa trong 60 phút.

Theo lý thuyết, muốn chặt hơn nữa thì tắt luôn đăng nhập bằng mật khẩu. Nhưng khi đã có giới hạn đăng nhập sai, trang đăng nhập đã được bảo vệ phần nào.

Khi nào FluentAuth hữu ích nhất?

FluentAuth bảo vệ trang đăng nhập và cho người đọc đăng ký vai trò subscriber. Nó rất hữu ích cho site membership, site có form đăng ký, hay tính năng nào dùng vai trò subscriber, vì chống được spam.

Bạn có thể dùng chung FluentAuth với các plugin bảo mật khác như tường lửa và sao lưu.