Hướng dẫn thay đổi đường dẫn đăng nhập web wordpress

Bạn đã có các lớp bảo mật mạnh mẽ cho trang đăng nhập, và việc thay đổi đường dẫn đăng nhập WordPress mặc định là một bước bảo mật bổ sung cực kỳ hiệu quả! WordPress sử dụng /wp-login.php và /wp-admin làm đường dẫn mặc định cho trang đăng nhập và khu vực quản trị. Kẻ tấn công thường nhắm vào các đường dẫn này để thực hiện tấn công dò mật khẩu (brute-force). Việc thay đổi chúng sẽ khiến kẻ tấn công khó tìm thấy điểm vào hơn nhiều.

Có hai cách chính để thực hiện việc này: sử dụng plugin (dễ nhất) hoặc thủ công (phức tạp hơn và không khuyến nghị nếu không có kinh nghiệm).

Cách 1: Đổi đường dẫn đăng nhập bằng Plugin (Được khuyến nghị)

Đây là cách an toàn và đơn giản nhất, phù hợp với hầu hết người dùng. Các plugin này sẽ tự động xử lý mọi việc cần thiết để đường dẫn mới hoạt động đúng và chuyển hướng các đường dẫn cũ.

Cài đặt và kích hoạt Plugin:
- Truy cập bảng điều khiển WordPress của bạn.
- Đi tới Plugin > Cài mới (Add New).
- Tìm kiếm một trong các plugin sau (đều hoạt động tốt):
  - WPS Hide Login (nhẹ và chỉ tập trung vào việc đổi URL đăng nhập).
  - Rename wp-login.php.
  - Hoặc một plugin bảo mật tổng thể như LiteSpeed Cache (nếu bạn dùng) hoặc Solid Security (trước đây là iThemes Security), Sucuri Security cũng có tính năng này.
Cấu hình Plugin:
- Sau khi cài đặt và kích hoạt, đi tới Cài đặt (Settings) (hoặc mục menu của plugin đó) để tìm tùy chọn đổi URL đăng nhập.
- Với WPS Hide Login, bạn sẽ tìm thấy tùy chọn này trong Cài đặt > Chung (Settings > General) hoặc Cài đặt > WPS Hide Login.
- Bạn sẽ thấy một trường để nhập đường dẫn đăng nhập mới, ví dụ: /dangnhapcuatoi, /adminarea, hoặc bất kỳ thứ gì độc đáo mà bạn muốn.
- Nhập đường dẫn mới của bạn (ví dụ: yourdomain.com/dangnhapcuatoi).
- Lưu thay đổi.
Lưu ý quan trọng:
- Hãy ghi nhớ (hoặc đánh dấu trang) đường dẫn đăng nhập mới của bạn ngay lập tức! Nếu bạn quên, bạn sẽ không thể đăng nhập vào WordPress được nữa.
- Đường dẫn /wp-admin và /wp-login.php mặc định sẽ tự động chuyển hướng đến đường dẫn mới của bạn.
- Nếu bạn vô hiệu hóa hoặc gỡ cài đặt plugin này, đường dẫn đăng nhập sẽ trở lại mặc định.

Cách 2: Đổi đường dẫn đăng nhập thủ công bằng Code (Không khuyến nghị cho người mới)

Cách này phức tạp hơn và có thể gây lỗi nếu không thực hiện cẩn thận. Tôi không khuyến nghị phương pháp này trừ khi bạn có kinh nghiệm về code PHP và FTP, và hiểu rõ cấu trúc WordPress.

Các bước chính:

Sao lưu website: Luôn luôn sao lưu toàn bộ website và cơ sở dữ liệu trước khi thực hiện các thay đổi thủ công.
Đổi tên file wp-login.php:
- Sử dụng FTP/SFTP hoặc File Manager, điều hướng đến thư mục gốc của WordPress.
- Đổi tên file wp-login.php thành một tên mới, ví dụ: my-secret-login.php.
Chỉnh sửa các file WordPress:
- Mở file my-secret-login.php (file bạn vừa đổi tên) bằng trình soạn thảo code.
- Tìm kiếm chuỗi wp-login.php trong file này và thay thế tất cả các lần xuất hiện bằng tên file mới của bạn (ví dụ: my-secret-login.php).
- Tiếp theo, bạn cần tìm và thay thế chuỗi /wp-login.php trong file wp-includes/general-template.php (và có thể một số file khác tùy theo phiên bản WordPress và theme/plugin của bạn) bằng đường dẫn mới.
- Bạn cũng có thể cần chỉnh sửa file wp-config.php để thêm một số hằng số liên quan đến URL đăng nhập mới.
Cấu hình .htaccess để chuyển hướng (tùy chọn): Bạn có thể thêm các quy tắc vào file .htaccess chính để chuyển hướng các yêu cầu từ /wp-admin và /wp-login.php cũ đến đường dẫn mới, hoặc để chặn truy cập vào chúng hoàn toàn.

Rủi ro của cách thủ công:

Rất dễ gây lỗi trắng trang (White Screen of Death): Nếu bạn bỏ sót bất kỳ một chỗ nào cần thay thế hoặc thay thế không đúng, website của bạn sẽ bị lỗi.
Vấn đề với cập nhật WordPress: Các bản cập nhật WordPress có thể ghi đè lên các thay đổi của bạn trong các file cốt lõi, khiến bạn phải thực hiện lại sau mỗi lần cập nhật.
Xung đột Plugin/Theme: Một số plugin hoặc theme có thể vẫn cố gắng gọi đường dẫn cũ, gây ra xung đột hoặc lỗi.

Tổng kết và lời khuyên

Luôn ưu tiên sử dụng plugin chuyên dụng để đổi đường dẫn đăng nhập. Chúng được thiết kế để xử lý các vấn đề phức tạp một cách tự động và an toàn, đồng thời đảm bảo khả năng tương thích tốt nhất với các bản cập nhật WordPress.

Bằng cách kết hợp đổi đường dẫn đăng nhập với HTTP Basic Authentication và giới hạn IP (nếu có thể), bạn đã tạo ra một hệ thống phòng thủ nhiều lớp rất mạnh mẽ cho khu vực quản trị WordPress của mình. Đây là những biện pháp chủ động giúp giảm thiểu đáng kể rủi ro từ các cuộc tấn công tự động và dò mật khẩu.

Xem thêm: Hướng dẫn tối ưu file .htaccess cho web được bảo mật hơn