Đổi mật khẩu và tạo user quản trị WordPress

Để đổi mật khẩu WordPress, bạn vào Thành viên rồi mở hồ sơ của mình, kéo xuống mục Đặt mật khẩu mới rồi lưu. Tạo user quản trị mới thì bạn vào Thành viên rồi bấm Thêm mới, điền thông tin và chọn vai trò. Mỗi việc mất chưa tới 5 phút.

Bạn cần đổi mật khẩu định kỳ hoặc khi nghi mật khẩu bị lộ, và cần tạo user riêng cho mỗi người cùng quản website thay vì dùng chung một tài khoản. Mỗi người một tài khoản giúp biết ai làm gì và thu hồi quyền dễ khi có người nghỉ, đó là nền tảng của quản lý an toàn.

1. Vào Thành viên rồi mở Hồ sơ để đổi mật khẩu của mình.
2. Kéo xuống Đặt mật khẩu mới, dùng mật khẩu mạnh.
3. Bấm Cập nhật hồ sơ để lưu.
4. Vào Thành viên rồi Thêm mới để tạo user khác.
5. Chọn đúng vai trò cho từng người.

Không dùng chung một tài khoản quản trị cho cả nhóm. Mật khẩu chung dễ lộ, và khi một người nghỉ bạn phải đổi mật khẩu làm ảnh hưởng mọi người còn lại. Mỗi người một tài khoản riêng thì thu hồi quyền chỉ cần xóa đúng user đó, những người khác không bị gián đoạn.

Khi nào cần đổi mật khẩu quản trị

Mật khẩu quản trị mở đường vào toàn bộ website, nên cần đổi khi có dấu hiệu rủi ro. Bạn nên đổi khi nghi mật khẩu đã lộ, khi vừa đăng nhập trên một máy lạ, khi một cộng tác viên biết mật khẩu nghỉ việc, hoặc đơn giản là đã dùng một mật khẩu quá lâu. Mật khẩu càng ít thay đổi càng dễ bị dò ra.

Dấu hiệu cần đổi gấp là website xuất hiện bài lạ, có user quản trị bạn không tạo, hoặc hosting báo đăng nhập từ nơi bất thường. Khi đó đổi mật khẩu là bước xử lý đầu tiên, làm ngay trước khi kiểm các phần khác. Đổi mật khẩu cắt đường vào của kẻ đang giữ mật khẩu cũ.

Đổi mật khẩu tài khoản của bạn

Việc đổi mật khẩu của chính bạn nằm trong hồ sơ cá nhân, không cần quyền gì thêm. WordPress từ bản mới có sẵn nút gợi ý mật khẩu mạnh, dùng luôn cái đó là tiện nhất. Sau khi đổi, các phiên đăng nhập cũ trên máy khác vẫn còn, nên nếu nghi bị lộ hãy đăng xuất khỏi mọi nơi.

1. Mở hồ sơ và đặt mật khẩu mới

Đưa chuột lên tên bạn ở góc phải trên rồi chọn Sửa hồ sơ, hoặc vào Thành viên > Hồ sơ. Kéo xuống mục Đặt mật khẩu mới, bấm nút Tạo mật khẩu. WordPress điền sẵn một chuỗi mạnh, bạn giữ nguyên hoặc gõ đè mật khẩu riêng, miễn là đủ mạnh.

2. Đăng xuất khỏi các phiên khác

Ngay dưới đó có mục Phiên làm việc với nút Đăng xuất khỏi các nơi khác. Bấm nút này khi bạn nghi mật khẩu bị lộ, nó chấm dứt mọi phiên đăng nhập trên các máy khác. Bấm Cập nhật hồ sơ ở cuối trang để lưu toàn bộ.

Các vai trò người dùng trong WordPress

WordPress chia người dùng thành nhiều vai trò với quyền khác nhau, để bạn giao đúng mức quyền cho từng người. Không phải ai cũng cần quyền quản trị cao nhất, một người chỉ viết bài thì cho vai trò thấp hơn là an toàn hơn. Bảng dưới liệt kê các vai trò chính và quyền của chúng.

Nguyên tắc là giao mức quyền thấp nhất đủ để người đó làm việc. Người chỉ viết bài không cần làm Quản trị viên, vì tài khoản quyền cao mà bị chiếm thì thiệt hại lớn hơn nhiều. Càng ít tài khoản quyền quản trị thì website càng ít cửa để bị tấn công.

Tạo user quản trị mới cho website

Khi cần thêm người cùng quản website, hãy tạo cho họ một tài khoản riêng thay vì đưa mật khẩu của bạn. Vào Thành viên rồi bấm Thêm mới, điền tên đăng nhập và email, WordPress có thể gửi email mời họ tự đặt mật khẩu. Ở ô Vai trò, chọn đúng mức quyền theo bảng trên.

Chỉ chọn vai trò Quản trị viên khi người đó thật sự cần quản lý cả website gồm plugin và cài đặt. Người chỉ lo nội dung thì chọn Biên tập viên hoặc Tác giả là đủ. Sau khi tạo, nhắc họ đổi mật khẩu lần đầu và bật xác thực hai lớp nếu website có cài plugin bảo mật hỗ trợ điều đó.

Việc nên làm để giữ tài khoản an toàn

Rà soát danh sách user trong mục Thành viên định kỳ, xóa tài khoản của người đã nghỉ và những user lạ mình không tạo. Mỗi tài khoản còn sống là một cửa vào, giữ danh sách gọn là giảm rủi ro. Đặt mật khẩu mạnh, khác nhau cho mỗi tài khoản, và không dùng lại mật khẩu của email hay hosting.

Nếu website có plugin bảo mật, bật thêm xác thực hai lớp cho các tài khoản quản trị, để dù mật khẩu lộ thì kẻ khác vẫn không vào được. Kết hợp đổi mật khẩu định kỳ, phân đúng vai trò và dọn tài khoản thừa, bạn dựng được lớp phòng thủ cơ bản mà vững cho phần đăng nhập của website.