Đổi URL đăng nhập WordPress bằng WPS Hide Login

Để đổi URL đăng nhập WordPress, bạn cài plugin WPS Hide Login, vào Settings rồi WPS Hide Login, gõ đường dẫn mới vào ô Login url và lưu. Từ lúc đó /wp-admin và /wp-login.php trả về 404, chỉ đường dẫn mới vào được. Cả việc mất khoảng 3 phút.

Việc này cần làm khi log truy cập đầy các lượt POST vào wp-login.php, khi hosting báo vượt CPU mà lượng khách thật không tăng, hoặc khi hộp thư đầy cảnh báo đăng nhập sai từ plugin bảo mật. Bot dò mật khẩu WordPress đều nhắm vào hai đường dẫn mặc định, đổi đường dẫn là cắt gần hết lượt dò mà không phải cấu hình gì thêm.

Ghi đường dẫn mới ra giấy hoặc lưu vào trình quản lý mật khẩu TRƯỚC khi bấm lưu. Quên đường dẫn mới là bạn tự khoá mình khỏi trang quản trị: /wp-admin lúc đó trả về 404 và không có nút quên đường dẫn nào. Lấy lại được nhưng phải vào hosting tắt plugin bằng tay, xem mục cuối bài.

1. Sao lưu website trước khi đụng vào phần đăng nhập.
2. Cài và kích hoạt plugin WPS Hide Login.
3. Đặt đường dẫn mới rồi lưu, ghi lại đường dẫn đó.
4. Mở cửa sổ ẩn danh kiểm cả đường dẫn mới lẫn đường cũ.

Vì sao đổi URL đăng nhập cắt được phần lớn lượt dò mật khẩu

WordPress đặt trang đăng nhập ở /wp-login.php cho mọi website, không đổi được trong phần cài đặt. Bot quét internet chỉ cần thử đúng đường dẫn đó trên hàng triệu tên miền. Đổi đường dẫn khiến bot gõ vào chỗ trống và trả về 404, PHP không phải xử lý form đăng nhập nữa.

Cách này không thay được mật khẩu mạnh, nhưng nó cắt tải máy chủ theo cách các cách khác không làm được. So sánh ba biện pháp hay dùng cùng nhau:

Ba biện pháp bù cho nhau, nên bật cả ba. Đổi đường dẫn giảm số lượt gõ cửa, giới hạn lần sai chặn kẻ đã biết đường, xác thực hai bước giữ lại cửa cuối khi mật khẩu đã lộ.

Cài WPS Hide Login và đặt đường dẫn mới

WPS Hide Login là plugin nhẹ, không thêm bảng vào cơ sở dữ liệu và không đổi file lõi WordPress. Nó chỉ chặn request ở tầng PHP rồi định tuyến lại. Ba bước dưới đây đi từ lúc cài tới lúc đường dẫn mới hoạt động.

1. Sao lưu website trước khi cài

Sao lưu cả mã nguồn lẫn cơ sở dữ liệu trước khi đụng vào phần đăng nhập. Bảng điều khiển hosting đều có sẵn chức năng này, xem cách tạo backup trên Plesk hoặc cách sao lưu website trên DirectAdmin. Có bản sao lưu thì mọi lỗi ở các bước sau đều lùi lại được.

2. Cài và kích hoạt plugin

Trong trang quản trị, vào Plugins rồi Add New Plugin, gõ WPS Hide Login vào ô tìm kiếm. Bấm Install Now rồi Activate.

Kích hoạt xong, plugin đặt sẵn đường dẫn mặc định là /login và hiện một dòng thông báo ở đầu trang. Đường dẫn mặc định đó bot cũng biết, nên đừng dừng ở đây.

3. Đặt đường dẫn riêng và lưu lại

Vào Settings rồi WPS Hide Login. Trang cài đặt có hai ô:

• Login url: đường dẫn mới. Đặt chuỗi không đoán được, không dùng login, admin, dangnhap hay tên công ty. Chuỗi kiểu cong-vao-7k2m vừa gõ được vừa không nằm trong danh sách bot thử.
• Redirection url: chỗ người lạ bị đẩy tới khi gõ /wp-admin. Để mặc định 404 là gọn nhất, trả về trang không tồn tại nên bot không biết website chạy WordPress hay không.

Bấm Save Changes. Trang tải lại và bạn bị đẩy sang đường dẫn mới ngay, đó là dấu hiệu plugin đã ăn.

Kiểm đường dẫn mới đã ăn chưa

Kiểm bằng cửa sổ ẩn danh, đừng kiểm bằng cửa sổ đang đăng nhập. Phiên đăng nhập hiện tại vẫn vào được nhiều chỗ, nên cửa sổ thường cho kết quả sai. Mở cửa sổ ẩn danh rồi thử cả ba đường dẫn.

Kiểm nhanh bằng dòng lệnh nếu máy bạn có curl:

curl -s -o /dev/null -w "%{http_code}\n" https://tenmien.com/wp-login.php

Trả về 404 là đúng. Trả về 200 là plugin chưa ăn, thường do plugin cache còn giữ bản cũ. Xoá toàn bộ cache rồi thử lại. Xong phần kiểm, đăng nhập thử bằng đường dẫn mới một lần nữa để chắc mình vào được trước khi đóng máy.

Xử lý khi không vào được trang quản trị nữa

Tình huống tệ nhất là quên đường dẫn mới. Không có nút khôi phục trong WordPress cho việc này, nhưng lấy lại được bằng cách tắt plugin từ bên ngoài. Tắt plugin thì đường dẫn mặc định trở lại ngay.

Cách nhanh nhất là đổi tên thư mục plugin qua File Manager của hosting hoặc qua FTP:

1. Đăng nhập bảng điều khiển hosting, mở File Manager.
2. Vào thư mục wp-content/plugins/ của website.
3. Đổi tên thư mục wps-hide-login thành wps-hide-login-tat.
4. Mở tenmien.com/wp-admin, form đăng nhập hiện lại như cũ.
5. Đăng nhập rồi đổi tên thư mục về như cũ, đặt lại đường dẫn và ghi lại cẩn thận.

Có SSH thì một lệnh là xong, chạy trong thư mục gốc website:

mv wp-content/plugins/wps-hide-login wp-content/plugins/wps-hide-login-tat

Bốn tình huống khác hay gặp sau khi đổi đường dẫn:

Đường dẫn mới cũng trả về 404. Plugin cache đang phục vụ bản cũ. Xoá cache của plugin, xoá cache phía máy chủ nếu hosting chạy LiteSpeed, rồi thử lại bằng cửa sổ ẩn danh.

Đăng nhập xong bị đẩy ngược ra trang chủ. Thường do đường dẫn mới trùng tên một trang hoặc chuyên mục đã có. Đổi sang chuỗi khác, đừng lấy chữ đã dùng ở chỗ khác trên website.

Ứng dụng WordPress trên điện thoại không kết nối được. Ứng dụng gọi vào /wp-login.php và xmlrpc.php theo đường mặc định. Khai lại địa chỉ đăng nhập trong ứng dụng bằng đường dẫn mới.

Cập nhật plugin xong đường dẫn về mặc định. Cấu hình bị ghi đè, hiếm nhưng có. Vào lại Settings rồi WPS Hide Login đặt lại. Sau mỗi lần cập nhật plugin nên kiểm nhanh một lượt.

Khoá nốt các cửa còn lại sau khi đổi đường dẫn

Đổi đường dẫn đăng nhập mới đóng một cửa. Bot còn hai cửa nữa để dò mật khẩu mà không cần chạm vào trang đăng nhập, và cả hai đều mở sẵn trên WordPress mặc định.

Cửa thứ nhất là xmlrpc.php, gói được hàng trăm cặp tài khoản mật khẩu vào một lượt gọi duy nhất, xem cách chặn ở bài vô hiệu hoá XML-RPC trong WordPress. Cửa thứ hai là REST API, mở sẵn một đầu mục liệt kê tên đăng nhập của mọi tài khoản, nên đổi tên đăng nhập admin thành chuỗi khác là việc nên làm cùng đợt.

Cuối cùng, đổi đường dẫn không thay được mật khẩu mạnh. Bot đoán trúng đường dẫn mới hoặc lấy được từ máy đã nhiễm mã độc thì mật khẩu là lớp còn lại duy nhất. Đặt mật khẩu dài trên 16 ký tự cho mọi tài khoản có quyền quản trị, và bật xác thực hai bước cho những tài khoản đó.