เว็บไซต์ WordPress เป็นระบบจัดการเนื้อหาที่ได้รับความนิยมสูงสุดในโลก ด้วยความนิยมนี้เองทำให้ WordPress กลายเป็นเป้าหมายอันดับต้นๆ ที่แฮกเกอร์และบอทอัตโนมัติสแกนหาช่องโหว่อยู่ตลอดเวลา เจ้าของเว็บไซต์จำนวนมากไม่รู้ตัวว่าเว็บถูกฝังมัลแวร์หรือถูกใช้เป็นฐานส่งสแปม จนกระทั่ง Google ขึ้นเตือนว่าเว็บไซต์ไม่ปลอดภัย หรือลูกค้าโทรมาแจ้งว่าเข้าเว็บไม่ได้
1. อัพเดทเวอร์ชั่น WordPress ปลั๊กอิน และธีมอยู่เสมอ
ช่องโหว่ความปลอดภัยส่วนใหญ่ถูกค้นพบและแก้ไขแล้วในเวอร์ชั่นใหม่ แต่เว็บไซต์ที่ไม่เคยอัพเดทยังคงเปิดช่องให้แฮกเกอร์ใช้ช่องโหว่เก่าที่รู้จักกันดีเจาะเข้าระบบได้ ควรตรวจเช็คและอัพเดทอย่างน้อยเดือนละครั้ง และทดสอบเว็บไซต์หลังอัพเดททุกครั้งว่ายังทำงานปกติ
2. ตั้งรหัสผ่านที่คาดเดายาก และเปลี่ยนชื่อผู้ใช้แอดมินเริ่มต้น
หลีกเลี่ยงการใช้ชื่อผู้ใช้ "admin" และรหัสผ่านที่คาดเดาง่าย ควรใช้รหัสผ่านความยาวอย่างน้อย 12 ตัวอักษรผสมตัวเลขและสัญลักษณ์ หรือใช้ตัวจัดการรหัสผ่าน (Password Manager) ช่วยสร้างและจดจำรหัสผ่านที่ปลอดภัย
3. สำรองข้อมูล (Backup) เว็บไซต์อย่างสม่ำเสมอ
ต่อให้ป้องกันดีแค่ไหน ก็ไม่มีระบบใดปลอดภัย 100% การมีไฟล์สำรองข้อมูลทั้งไฟล์เว็บไซต์และฐานข้อมูลที่อัพเดทล่าสุด จะช่วยให้กู้คืนเว็บไซต์กลับมาใช้งานได้อย่างรวดเร็วหากเกิดปัญหาถูกแฮกหรือไฟล์เสียหาย ควรสำรองข้อมูลอย่างน้อยเดือนละครั้งและเก็บไฟล์สำรองไว้นอกเซิร์ฟเวอร์ด้วย
4. ติดตั้งปลั๊กอินและธีมจากแหล่งที่เชื่อถือได้เท่านั้น
ปลั๊กอินหรือธีมฟรีที่ดาวน์โหลดจากเว็บไซต์นอกเหนือจาก WordPress.org อย่างเป็นทางการ มักถูกฝังโค้ดอันตรายมาด้วย ควรติดตั้งจากแหล่งที่เชื่อถือได้เท่านั้น และลบปลั๊กอิน/ธีมที่ไม่ได้ใช้งานออกจากระบบ เพราะแม้ไม่ได้เปิดใช้งานแต่ไฟล์ที่ยังอยู่ในเซิร์ฟเวอร์ก็อาจเป็นช่องโหว่ได้
5. สัญญาณเตือนว่าเว็บไซต์อาจถูกแฮกไปแล้ว
เว็บไซต์โหลดช้าผิดปกติ, มีหน้าเว็บหรือลิงก์แปลกปลอมที่ไม่ได้สร้างขึ้นเอง, Google Search Console แจ้งเตือนปัญหาความปลอดภัย, เบราว์เซอร์ขึ้นคำเตือน "เว็บไซต์นี้อาจไม่ปลอดภัย" หรือมีไฟล์ .php แปลกปลอมในโฟลเดอร์ที่ไม่ควรมี หากพบสัญญาณเหล่านี้ควรรีบตรวจสอบและทำความสะอาดเว็บไซต์โดยด่วน
หากไม่มีเวลาหรือความเชี่ยวชาญในการดูแลเว็บไซต์ด้วยตัวเอง บริการรับดูแลเว็บไซต์รายเดือนของเราครอบคลุมการอัพเดทระบบ สแกนมัลแวร์ และสำรองข้อมูลให้ครบทุกขั้นตอนตามเช็คลิสต์นี้