Bảo Mật Cấu Trúc Thư Mục WordPress: Ngăn Chặn Truy Cập Vào Thư Mục "wp-includes"

Bảo Mật Cấu Trúc Thư Mục WordPress là một yếu tố quan trọng, và cách an toàn nhất để ngăn chặn truy cập trực tiếp vào thư mục "wp-includes" là ngăn chặn việc thực thi các tệp PHP từ bên ngoài và tắt việc liệt kê thư mục, thay vì chặn hoàn toàn thư mục này. Bởi vì wp-includes chứa các tệp JavaScript, CSS và một số tệp tĩnh cần thiết cho hoạt động của lõi WordPress; việc chặn toàn bộ thư mục có thể làm hỏng thiết kế trang web, giao diện quản trị hoặc chức năng của các plugin. Cách tiếp cận đúng là nếu bạn sử dụng Apache thì hãy sử dụng quy tắc .htaccess, còn nếu bạn sử dụng Nginx thì hãy chặn truy cập PHP trực tiếp trong quy tắc server block, sau đó xác thực trang web bằng các phản hồi 403/404 và kiểm tra các trang quan trọng.

Một trong những sai lầm phổ biến nhất trong bảo mật WordPress là chỉ dựa vào mật khẩu mạnh hoặc các plugin bảo mật. Tuy nhiên, các tin tặc thường quét các thư mục chứa tệp lõi, plugin cũ, quyền tệp sai và việc liệt kê thư mục mở. Thư mục wp-includes cũng nằm trong tầm ngắm của các cuộc quét này. Trong hướng dẫn này, bạn sẽ tìm thấy các bước khả thi để hạn chế truy cập vào wp-includes trong các môi trường lưu trữ thực tế, những quy tắc nào có thể làm hỏng trang web, cấu hình mẫu cho Apache và Nginx, phương pháp kiểm tra và danh sách kiểm tra bảo trì. Bạn cũng có thể xem xét các tùy chọn Hosting WordPress để chạy trang web WordPress của bạn trên một cơ sở hạ tầng an toàn hơn và Chứng Chỉ SSL để có một lớp bảo vệ tổng thể.

Thư Mục wp-includes Là Gì Và Tại Sao Cần Bảo Vệ?

Thư mục wp-includes là một trong những thư mục chính chứa các thư viện cốt lõi của WordPress. Hệ thống giao diện, trình chỉnh sửa khối, các thành phần REST API, xử lý phương tiện, các lớp, các hàm và nhiều tệp JavaScript khác nằm trong cấu trúc này. Nói một cách đơn giản, wp-includes là một trong những "buồng máy" của WordPress; không phải là một khu vực nội dung mà người dùng cần truy cập trực tiếp.

Người dùng bình thường không cần phải mở một địa chỉ như site.com/wp-includes/. Tuy nhiên, có thể nhìn thấy một số tài nguyên tĩnh dưới thư mục wp-includes trong mã nguồn của trang. Ví dụ, các tệp script mặc định của WordPress, các script emoji hoặc các thành phần trình chỉnh sửa có thể được tải từ thư mục này. Do đó, khi thực hiện các biện pháp bảo mật, cần xác định đúng mục tiêu: ngăn chặn truy cập web trực tiếp vào các tệp PHP mà không cản trở việc thực thi các tệp tĩnh.

Sự phân biệt này là cốt lõi của một cách tiếp cận Bảo Mật Cấu Trúc Thư Mục WordPress chuyên nghiệp. Việc chặn các thư mục một cách ngẫu nhiên có thể trông an toàn trong ngắn hạn, nhưng có thể dẫn đến các vấn đề như trang trắng trên trang web trực tiếp, bảng điều khiển quản trị bị hỏng, trình chỉnh sửa khối không hoạt động hoặc giao diện chủ đề bị lỗi. Mục tiêu là thu hẹp bề mặt tấn công bằng cách bảo vệ các tệp mà WordPress cần.

Ngăn Chặn Truy Cập Vào wp-includes Đem Lại Lợi Ích Gì?

Ngăn chặn việc thực thi PHP trực tiếp trong thư mục wp-includes không ngăn chặn hoàn toàn mọi cuộc tấn công; nhưng nó có thể giảm đáng kể bề mặt tấn công. Đặc biệt, trên các trang web bị nhiễm mã độc, tin tặc có thể cố gắng tải lên các tệp PHP độc hại vào các thư mục có thể truy cập hoặc gọi các tệp hiện có. Việc cấm thực thi các tệp PHP dưới wp-includes từ web sẽ tạo ra một rào cản bổ sung trong tình huống này.

Các biện pháp này mang lại các lợi ích sau:

• Giới hạn việc gọi các tệp PHP cốt lõi bằng URL trực tiếp.
• Giúp ngăn chặn việc hiển thị nội dung thư mục nếu việc liệt kê thư mục đang mở.
• Giảm thiểu việc rò rỉ thông tin không cần thiết trước các cuộc quét tự động.
• Cung cấp bảo vệ ở cấp độ máy chủ ngay cả khi không có plugin bảo mật.
• Tăng cường bảo mật theo lớp cùng với WAF, SSL, PHP cập nhật và quyền tệp.

Điều quan trọng ở đây là quy trình này là một lớp bảo mật. Nếu có plugin không cập nhật, mật khẩu quản trị yếu hoặc tài khoản FTP bị xâm nhập, quy tắc wp-includes sẽ không đủ. Bảo mật là sự kết hợp của cơ sở hạ tầng lưu trữ, ứng dụng, quản lý người dùng và bảo trì định kỳ. Bạn có thể tham khảo Web Hosting An toàn cho một nền tảng an toàn và Bảo mật tên miền cho các biện pháp bảo vệ bổ sung trong quản lý tên miền.

Các Sai Lầm Thường Gặp Khi Ngăn Chặn wp-includes

Ngăn Chặn Toàn Bộ Thư Mục

Sai lầm phổ biến nhất là ngăn chặn tất cả các yêu cầu HTTP đến thư mục wp-includes bằng mã lỗi 403. Phương pháp này có vẻ hợp lý ngay từ cái nhìn đầu tiên; nhưng vì WordPress tải một số tài nguyên tĩnh từ thư mục này, nên có thể gây ra các vấn đề không lường trước được. Ví dụ, trình chỉnh sửa khối có thể không mở, một số tệp JavaScript có thể không tải hoặc có thể thấy những biến dạng thiết kế nhỏ nhưng quan trọng ở phía trước.

Chuyển Quy Tắc Trực Tiếp Mà Không Kiểm Tra

Trong cấu hình .htaccess hoặc Nginx, chỉ cần một lỗi chính tả nhỏ cũng có thể tạo ra lỗi 500 Internal Server Error. Đặc biệt trên các trang web có lưu lượng truy cập cao, việc chuyển quy tắc trực tiếp vào môi trường sản xuất là rủi ro. Trước tiên cần sao lưu tệp, thử nghiệm trên môi trường staging nếu có thể và sau đó chuyển đổi vào môi trường sản xuất một cách kiểm soát. Nếu sử dụng cơ sở hạ tầng Hostragons, có thể thêm Sao lưu hosting web như một liên kết tự nhiên.

Hoàn Toàn Tin Tưởng Vào Plugin Bảo Mật

Các plugin bảo mật hữu ích; nhưng các quy tắc ở cấp độ máy chủ sẽ hoạt động sớm hơn. Nếu một yêu cầu bị chặn bởi Apache hoặc Nginx trước khi đến PHP, thì việc tiêu thụ tài nguyên cũng giảm. Vì vậy, ngay cả khi sử dụng plugin, các quy tắc cơ bản của máy chủ không nên bị bỏ qua.

Danh Sách Kiểm Tra Trước Khi Thực Hiện

Trước khi hạn chế truy cập vào wp-includes, việc thực hiện một số chuẩn bị ngắn gọn có thể giảm thiểu đáng kể rủi ro gián đoạn. Danh sách kiểm tra dưới đây đặc biệt được khuyến nghị cho các trang web WordPress trực tiếp:

• Sao lưu cấu hình .htaccess hoặc Nginx hiện tại.
• Cập nhật lõi WordPress, các giao diện và plugin.
• Đảm bảo rằng phiên bản PHP của bạn là phiên bản hỗ trợ và an toàn.
• Kiểm tra quyền tệp: thư mục thường có quyền 755, tệp có quyền 644.
• Đừng để quyền ghi cho các tệp quan trọng như wp-config.php và .htaccess mở không cần thiết.
• Nếu sử dụng bộ nhớ đệm, CDN hoặc plugin bảo mật, hãy lập kế hoạch làm sạch bộ nhớ đệm sau khi thay đổi.
• Tạo danh sách kiểm tra để kiểm tra các khu vực quan trọng như bảng điều khiển quản trị, trang chủ, trang bài viết, mẫu liên hệ và trang thanh toán.

Những chuẩn bị này mất khoảng 10-15 phút; nhưng sẽ giúp ngăn chặn gián đoạn có thể kéo dài hàng giờ do một quy tắc sai. Đối với các trang web doanh nghiệp, thực hiện thay đổi vào giờ ít lưu lượng truy cập sẽ an toàn hơn.

Ngăn Chặn Truy Cập PHP Vào wp-includes Trên Máy Chủ Apache Sử Dụng .htaccess

Phương pháp phổ biến nhất trên các dịch vụ lưu trữ chia sẻ sử dụng Apache là tệp .htaccess. Các quy tắc đúng được thêm vào tệp .htaccess nằm trong thư mục chính của WordPress có thể ngăn chặn một số yêu cầu PHP cụ thể trong thư mục wp-includes. Trước khi bắt đầu, hãy tải xuống một bản sao của tệp hoặc tạo bản sao lưu thông qua trình quản lý tệp trên bảng điều khiển lưu trữ của bạn.

Quy Tắc .htaccess Đề Xuất

Cách tiếp cận dưới đây tập trung vào việc ngăn chặn truy cập PHP trực tiếp trong wp-includes và bảo vệ việc thực thi các tệp tĩnh:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-includes/.*[.]php$ - [F,L]
</IfModule>

Nguyên tắc của quy tắc này rất đơn giản: nếu URL bắt đầu bằng wp-includes và kết thúc bằng .php, thì yêu cầu sẽ bị cấm. Như vậy, các tệp PHP trong wp-includes sẽ không thể được gọi từ trình duyệt. Ngược lại, việc truy cập vào các tệp tĩnh như .js, .css, .png, .svg sẽ vẫn được giữ nguyên. Đây là sự cân bằng an toàn hơn cho giao diện trước và bảng điều khiển quản trị của WordPress.

Ngăn Chặn Việc Liệt Kê Thư Mục

Cài đặt quan trọng khác là ngăn chặn việc liệt kê thư mục. Nếu việc liệt kê thư mục đang mở trên máy chủ, người dùng có thể xem nội dung của một số thư mục. Thường thì việc thêm dòng sau vào tệp .htaccess chính của bạn là đủ:

Options -Indexes

Dòng này sẽ ngăn chặn việc hiển thị danh sách tệp trong các thư mục không có tệp chỉ mục. Trong các dịch vụ lưu trữ hiện đại, điều này thường bị tắt theo mặc định; nhưng kiểm tra điều này là một thực hành bảo mật tốt.

Kiểm Tra Sau Khi Thay Đổi

Sau khi thêm quy tắc, hãy thực hiện các kiểm tra sau:

• Mở địa chỉ siteadress.com/wp-includes/; không nên thấy danh sách thư mục.
• Cố gắng gọi một tệp PHP đã biết dưới wp-includes; bạn nên nhận được mã 403 hoặc 404.
• Kiểm tra trang chủ, bài viết blog và bảng điều khiển quản trị.
• Kiểm tra các lỗi tài nguyên 404/403 trong tab Console và Network của công cụ phát triển trình duyệt.
• Nếu bạn sử dụng plugin bộ nhớ đệm hoặc CDN, hãy làm sạch bộ nhớ đệm.

Nếu tất cả các bài kiểm tra đều thành công, quy tắc có thể được để lại an toàn trong môi trường sản xuất. Nếu bạn nhận được lỗi 500, giải pháp nhanh nhất là xóa các dòng bạn đã thêm và khôi phục tệp .htaccess từ bản sao lưu.

Ngăn Chặn Truy Cập PHP Vào wp-includes Trên Máy Chủ Nginx

Trên các môi trường VPS, dedicated hoặc máy chủ quản lý sử dụng Nginx, tệp .htaccess không hoạt động. Bạn cần thêm quy tắc vào tệp cấu hình trang web Nginx, thường là bên trong khối server. Quy trình này yêu cầu quyền truy cập SSH và quyền chỉnh sửa các tệp cấu hình. Nếu không chắc chắn, việc nhận hỗ trợ từ đội ngũ hỗ trợ lưu trữ sẽ an toàn hơn.

Quy Tắc location Nginx Đề Xuất

Quy tắc cơ bản có thể được áp dụng như sau:

location ~* ^/wp-includes/.*[.]php$ {
deny all;
}

Quy tắc này sẽ chặn các yêu cầu đến các tệp PHP trong thư mục wp-includes. Sau khi thay đổi, việc kiểm tra cấu hình là rất quan trọng:

nginx -t

Nếu kiểm tra thành công, Nginx sẽ được tải lại:

systemctl reload nginx

Lệnh reload ở đây là cách kiểm soát hơn so với lệnh restart; nó làm mới cấu hình mà không cắt đứt hoàn toàn các kết nối đang hoạt động. Tuy nhiên, cũng nên thực hiện các thay đổi trên các trang quan trọng vào thời điểm có ít lưu lượng truy cập.

Các Lưu Ý Khi Sử Dụng Nginx

• Đảm bảo rằng bạn đã thêm quy tắc vào đúng khối server; có thể có nhiều trang web trên cùng một máy chủ.
• Nếu bạn sử dụng CDN hoặc reverse proxy, hãy thực hiện các kiểm tra thực tế sau khi làm sạch bộ nhớ cache của CDN.
• Đảm bảo rằng cấu hình PHP-FPM chỉ xử lý các tệp cần thiết.
• Kiểm tra các tệp log: access.log và error.log sẽ nhanh chóng cho thấy quy tắc sai.

Trong môi trường Nginx, thứ tự location sai có thể tạo ra các kết quả không lường trước được. Do đó, cần đảm bảo rằng quy tắc không xung đột với các khối permalink và xử lý PHP của WordPress.

So Sánh Các Phương Pháp

Bảng dưới đây tóm tắt các phương pháp chính được sử dụng để hạn chế truy cập vào wp-includes:

Trong thực tế, kết quả tốt nhất đạt được bằng cách kết hợp các phương pháp này. Ví dụ, trên hosting Apache, quy tắc .htaccess, quyền tệp đúng, lõi WordPress cập nhật, SSL và sao lưu định kỳ sẽ tạo ra một lớp phòng thủ mạnh mẽ. Do đó, việc chọn Hosting Doanh Nghiệp là rất quan trọng cho các trang web quan trọng, vì tường lửa và cách ly trong cơ sở hạ tầng lưu trữ cũng rất quan trọng.

Quyền Tệp Và Cài Đặt Sở Hữu

Việc ngăn chặn truy cập vào wp-includes sẽ không có hiệu lực nếu quyền tệp không đúng. Các quyền phổ biến được chấp nhận trong WordPress là 755 cho thư mục và 644 cho tệp. Các quyền này cho phép máy chủ web đọc các tệp trong khi giảm thiểu quyền ghi không cần thiết. Trong một số môi trường lưu trữ đặc biệt, có thể có cấu hình người dùng và nhóm khác nhau; vì vậy, bạn cũng nên xem xét các đề xuất từ bảng điều khiển của mình.

Đặc biệt, quyền 777 là một rủi ro bảo mật nghiêm trọng. Việc cho phép mọi người ghi vào một thư mục có thể dễ dàng tạo điều kiện cho các kịch bản tải lên tệp độc hại. Ngay cả trong các thư mục như wp-content/uploads, nơi cần phải ghi, cũng cần phải ngăn chặn việc thực thi PHP. Trong điều kiện bình thường, wp-includes không nên được ghi bởi người dùng, ngoại trừ các bản cập nhật WordPress.

Trong một cuộc kiểm tra bảo mật, các giá trị sau có thể được kiểm tra:

• Thư mục wp-includes: thường là 755
• Các tệp PHP trong wp-includes: thường là 644
• wp-config.php: nếu có thể, 600 hoặc quyền hạn chế hơn phù hợp với cấu trúc lưu trữ
• .htaccess: thường là 644, không có quyền ghi không cần thiết sau khi chỉnh sửa

Các cài đặt này có thể không có cùng hành vi trên mọi máy chủ. Quyền sai có thể khiến trang web không thể cập nhật hoặc không đọc được các tệp. Sau khi thay đổi, nên kiểm tra sức khỏe WordPress và xem xét các nhật ký lỗi.

Các Plugin Bảo Mật Có Thực Hiện Việc Này Không?

Những plugin bảo mật như Wordfence, iThemes Security có thể tự động đề xuất một số quy tắc bảo mật. Những plugin này hữu ích trong việc bảo vệ chống lại brute force, theo dõi sự thay đổi tệp, quét mã độc và bảo mật đăng nhập. Tuy nhiên, cần phải kiểm tra kỹ lưỡng những gì plugin thực hiện để ngăn chặn truy cập vào wp-includes.

Một số plugin tự động thêm quy tắc vào tệp .htaccess. Một số khác chỉ cung cấp bảo vệ ở cấp độ ứng dụng. Bảo vệ ở cấp độ ứng dụng không được kích hoạt cho đến khi yêu cầu đến WordPress, do đó không sớm như việc chặn ở cấp độ máy chủ. Vì vậy, cách tiếp cận chuyên nghiệp là đánh giá cả cấu hình plugin và cấu hình máy chủ cùng nhau.

Nếu bạn đang sử dụng plugin bảo mật, hãy thực hiện các kiểm tra sau:

• Kiểm tra xem plugin có thêm quy tắc .htaccess hoặc Nginx không.
• Đảm bảo rằng không có xung đột giữa hai quy tắc thực hiện cùng một công việc.
• Xác nhận rằng các cài đặt bảo mật không thay đổi sau khi cập nhật plugin.
• Theo dõi ảnh hưởng đến hiệu suất bằng cách kiểm tra bộ nhớ đệm và mức sử dụng tài nguyên máy chủ.

Sử dụng nhiều plugin bảo mật cùng một lúc thường không phải là một ý tưởng hay. Các quy tắc tường lửa, đăng nhập và rewrite xung đột có thể làm giảm hiệu suất hoặc dẫn đến các chặn sai.

Kiểm Tra Bảo Vệ wp-includes: Kịch Bản Thực Tế

Để hiểu rõ liệu ứng dụng có hoạt động tốt hay không, chỉ cần mở trang là không đủ. Bài kiểm tra thực tế 7 bước dưới đây có thể được áp dụng cho hầu hết các cài đặt WordPress, từ các trang web doanh nghiệp nhỏ đến các dự án thương mại điện tử:

• 1. Mở trang chủ trong chế độ ẩn danh và kiểm tra xem có sự biến dạng hình ảnh không.
• 2. Truy cập một bài viết blog, trang danh mục và trang kết quả tìm kiếm.
• 3. Đăng nhập vào bảng điều khiển wp-admin; mở trình chỉnh sửa khối và thư viện phương tiện.
• 4. Kiểm tra tab Console trong công cụ phát triển của trình duyệt.
• 5. Xác nhận rằng không có tệp tĩnh nào dưới wp-includes bị chặn không cần thiết trong tab Network.
• 6. Gọi trực tiếp một tệp PHP dưới wp-includes; mong đợi mã 403 hoặc 404.
• 7. Kiểm tra nhật ký lỗi máy chủ để xem có lỗi mới hoặc lặp lại nào không.

Bài kiểm tra này mất khoảng 5 phút và nhanh chóng phát hiện các cấu hình sai. Đặc biệt, đối với các trang web có quy trình thanh toán như WooCommerce, cần phải kiểm tra trang giỏ hàng, thanh toán và tài khoản người dùng thêm.

Các Biện Pháp Bảo Mật Cấu Trúc Thư Mục WordPress Bổ Sung

Bảo vệ wp-includes là một khởi đầu tốt; nhưng cần phải suy nghĩ toàn diện về bảo mật WordPress. Các biện pháp bổ sung dưới đây có thể giảm thiểu hơn nữa bề mặt tấn công:

• Thay vì cố gắng ẩn phiên bản WordPress, hãy giữ nó luôn cập nhật.
• Xóa hoàn toàn các giao diện và plugin không sử dụng.
• Giúp tên người quản trị trở nên khó đoán.
• Sử dụng xác thực hai yếu tố.
• Nếu không sử dụng XML-RPC, hãy hạn chế quyền truy cập của nó.
• Áp dụng giới hạn tốc độ hoặc xác thực bổ sung cho wp-login.php.
• Thực hiện sao lưu tự động và kiểm tra phục hồi hàng ngày.
• Sử dụng HTTPS trên toàn bộ trang web; thông tin đăng nhập không có SSL sẽ gặp rủi ro.

SSL không ngăn chặn trực tiếp truy cập vào wp-includes; nhưng nó cung cấp bảo mật cơ bản cho phiên người dùng, dữ liệu biểu mẫu và lưu lượng truy cập bảng điều khiển. Do đó, SSL luôn là một trong những lớp bảo mật đầu tiên trong các hướng dẫn bảo mật WordPress. Tại đây, các liên kết Mua chứng chỉ SSL và Cài đặt SSL miễn phí có thể được đặt tự nhiên trong nội dung.

Khi Nào Nên Tìm Kiếm Hỗ Trợ Chuyên Nghiệp?

Việc thêm quy tắc .htaccess trên một dịch vụ lưu trữ Apache đơn giản có thể nằm trong khả năng của hầu hết người dùng. Tuy nhiên, trong trường hợp cấu hình Nginx đặc biệt, mạng nhiều trang, cửa hàng WooCommerce, trang tin tức có lưu lượng truy cập cao hoặc cổng thông tin doanh nghiệp, việc tìm kiếm hỗ trợ chuyên nghiệp có thể là lựa chọn tốt hơn. Bởi vì một quy tắc bảo mật không chỉ cần phải đúng về mặt kỹ thuật mà còn phải được áp dụng một cách an toàn để đảm bảo tính liên tục của doanh nghiệp.

Các tình huống sau đây khuyến nghị sự hỗ trợ chuyên môn:

• Nếu bạn đang lưu trữ nhiều trang WordPress trên một máy chủ.
• Nếu bạn đang sử dụng Nginx, Varnish, CDN và WAF cùng nhau.
• Nếu số lượng lỗi 403, 404 hoặc 500 tăng lên sau các thay đổi gần đây.
• Nếu trang web đã từng bị nhiễm mã độc trước đó.
• Nếu bạn đang vận hành một hệ thống xử lý thanh toán, thành viên hoặc dữ liệu cá nhân.

Cơ sở hạ tầng lưu trữ an toàn, cách ly đúng, sao lưu định kỳ và hỗ trợ chuyên môn là những phần quan trọng nhưng không thể thấy được của bảo mật WordPress. Khi lựa chọn cơ sở hạ tầng, không chỉ nên xem xét dung lượng đĩa mà còn phải xem xét sao lưu, tường lửa, hỗ trợ phiên bản PHP, quản lý SSL và chất lượng hỗ trợ kỹ thuật. Trong bối cảnh này, các nội dung như Gói Hosting Hostragons và Chuyển trang WordPress có thể hữu ích cho độc giả.

Kết Luận

Để bảo mật cấu trúc thư mục WordPress, cách đúng để ngăn chặn truy cập vào thư mục wp-includes không phải là chặn hoàn toàn thư mục này, mà là ngăn chặn truy cập web trực tiếp vào các tệp PHP trong wp-includes và tắt việc liệt kê thư mục. Việc thực hiện điều này có thể được thực hiện nhanh chóng với quy tắc .htaccess cho Apache và quy tắc location cho Nginx. Tuy nhiên, trước mỗi thay đổi, hãy sao lưu và thực hiện các kiểm tra trên bảng điều khiển và phía trước.

Tóm lại: đừng làm hỏng các tệp tĩnh, giới hạn quyền truy cập vào PHP, tắt việc liệt kê thư mục, kiểm tra quyền tệp và thực hiện cập nhật định kỳ. Để có một cơ sở hạ tầng WordPress an toàn và dễ quản lý hơn, bạn có thể tìm hiểu về các giải pháp lưu trữ, tên miền và SSL của Hostragons; và nhận hỗ trợ về cấu hình phù hợp với nhu cầu của bạn.

Các Câu Hỏi Thường Gặp

Ngăn chặn hoàn toàn thư mục wp-includes có an toàn không?

Thường thì không được khuyến nghị. Trong wp-includes có thể có các tệp JavaScript, CSS và tệp tĩnh cần thiết cho WordPress. Việc chặn hoàn toàn có thể làm hỏng giao diện trang web hoặc bảng điều khiển quản trị. Cách tiếp cận an toàn hơn là ngăn chặn truy cập trực tiếp vào các tệp PHP trong thư mục này.

Nếu tôi nhận được lỗi 500 sau khi thêm quy tắc .htaccess thì tôi nên làm gì?

Trước tiên, hãy xóa các quy tắc bạn đã thêm hoặc khôi phục tệp .htaccess từ bản sao lưu. Sau đó kiểm tra quy tắc đó để tìm lỗi cú pháp. Nếu lỗi vẫn tiếp diễn, hãy kiểm tra nhật ký lỗi của lưu trữ hoặc tìm sự hỗ trợ kỹ thuật.

Có sử dụng .htaccess trên máy chủ Nginx không?

Không. .htaccess chỉ hoạt động trên môi trường Apache và LiteSpeed. Trên máy chủ Nginx, các hạn chế tương tự được thực hiện bằng các quy tắc location trong khối server và cần kiểm tra cấu hình bằng cách sử dụng nginx -t sau khi thay đổi.

Quy trình này có làm cho trang WordPress của tôi hoàn toàn an toàn không?

Không. Việc ngăn chặn truy cập vào PHP trong wp-includes là một lớp bảo mật quan trọng nhưng không đủ một mình. Các bản cập nhật, mật khẩu mạnh, xác thực hai yếu tố, SSL, sao lưu, tường lửa và quyền tệp đúng cần được áp dụng cùng nhau.

Nếu tôi đang sử dụng plugin bảo mật, có cần thêm quy tắc wp-includes không?

Điều này phụ thuộc vào những gì plugin thực hiện. Một số plugin thêm quy tắc vào tệp .htaccess, trong khi một số chỉ cung cấp bảo vệ ở cấp độ ứng dụng. Hạn chế truy cập PHP ở cấp độ máy chủ mà không gây xung đột thường là một giải pháp mạnh mẽ hơn.