wp-config.php là một trong những tệp quan trọng nhất trong website WordPress. Không chỉ lưu trữ thông tin kết nối cơ sở dữ liệu, tệp này còn chứa các thông số cấu hình giúp kiểm soát và tăng cường bảo mật cho toàn bộ hệ thống. Việc bảo mật website WordPress bằng wp-config.php là bước đầu tiên nhưng cực kỳ hiệu quả để phòng tránh các cuộc tấn công từ hacker.
wp-config.php là gì và tại sao cần bảo mật?
Tệp wp-config.php chứa các thông tin quan trọng như:
- Thông tin đăng nhập database (DB_NAME, DB_USER, DB_PASSWORD)
- Khóa bảo mật (AUTH_KEY, SECURE_AUTH_KEY…)
- Cấu hình tiền tố bảng dữ liệu
- Các lệnh kiểm soát chế độ debug, cache, sửa lỗi,…
Nếu tệp này bị lộ hoặc chỉnh sửa trái phép, hacker có thể:
- Truy cập trái phép cơ sở dữ liệu
- Thay đổi quyền điều khiển website
- Phá vỡ cấu trúc trang và chèn mã độc
Vì vậy, bảo vệ wp-config.php chính là bảo vệ “trái tim” của một website WordPress.
Cách bảo mật website bằng wp-config.php
Dưới đây là các phương pháp phổ biến và hiệu quả để bảo mật tệp wp-config.php khỏi các cuộc tấn công:
1. Di chuyển wp-config.php ra khỏi thư mục gốc
Mặc định, tệp wp-config.php nằm trong thư mục gốc của website (/public_html/ hoặc /htdocs/). WordPress cho phép bạn di chuyển tệp này lên một cấp, bên ngoài thư mục web, giúp tránh bị truy cập trực tiếp từ trình duyệt.
Cách thực hiện:
- Di chuyển tệp
wp-config.phpra khỏi thư mục gốc (ví dụ: lên cấp/home/username/). - WordPress sẽ tự động nhận diện nếu nó nằm ở vị trí mới.
Lưu ý: Không thay đổi đường dẫn trong bất kỳ file nào. Nếu bạn không chắc chắn, hãy sao lưu trước.
2. Chặn truy cập wp-config.php qua .htaccess (với Apache)
Nếu bạn đang dùng server Apache, thêm đoạn sau vào file .htaccess trong thư mục gốc:
<files wp-config.php> order allow,deny deny from all </files>
Lệnh này sẽ chặn toàn bộ truy cập đến wp-config.php từ trình duyệt, ngay cả khi hacker đoán đúng đường dẫn.
3. Đặt quyền truy cập tệp đúng chuẩn
Phân quyền đúng cho tệp wp-config.php là cực kỳ quan trọng. Nếu bạn để quyền ghi hoặc quyền truy cập công khai, hacker có thể khai thác lỗ hổng.
Cách thực hiện trên Linux hosting:
chmod 400 wp-config.php
Lệnh này chỉ cho phép người sở hữu tệp đọc (không ghi, không thực thi), và ngăn người khác truy cập.
4. Thêm các dòng mã tăng cường bảo mật trong wp-config.php
Một số cấu hình nâng cao có thể được chèn trực tiếp vào tệp wp-config.php để tăng khả năng phòng vệ:
a. Tắt chỉnh sửa tệp trong admin
define('DISALLOW_FILE_EDIT', true);
Ngăn chặn hacker sử dụng giao diện quản trị để chỉnh sửa theme/plugin chứa mã độc.
b. Tắt plugin/theme installation qua admin
define('DISALLOW_FILE_MODS', true);
Ngăn việc cài mới, xóa hoặc cập nhật plugin/theme từ Dashboard – đặc biệt hữu ích cho website đã hoàn thiện.
c. Bắt buộc kết nối HTTPS trong admin
define('FORCE_SSL_ADMIN', true);
Tăng cường bảo mật khi đăng nhập và quản trị bằng cách buộc sử dụng HTTPS.
d. Đặt khóa bảo mật Salt Key
Bạn nên truy cập trang https://api.wordpress.org/secret-key/1.1/salt/ để lấy mới các khóa mã hóa:
define('AUTH_KEY', '...');
define('SECURE_AUTH_KEY', '...');
...
Những khóa này giúp mã hóa cookie phiên làm việc, ngăn chặn giả mạo phiên đăng nhập.
Các lệnh bổ sung bảo mật trong wp-config.php
1. Giới hạn số lần lưu bản nháp (Revisions)
define('WP_POST_REVISIONS', 5);
Giới hạn số lượng bản lưu trữ (revisions) mỗi bài viết để tránh chiếm dung lượng database không cần thiết.
2. Tắt hoàn toàn revision nếu không cần
define('WP_POST_REVISIONS', false);
Cẩn thận khi dùng, chỉ nên áp dụng với website ít cập nhật nội dung.
3. Thay đổi tiền tố bảng dữ liệu
$table_prefix = 'wp_secure_';
Đừng dùng tiền tố mặc định wp_ vì dễ bị dò quét SQL injection. Chỉ nên chỉnh trước khi cài WordPress.
4. Tăng bảo mật cookie: DOMAIN & PATH
define('COOKIE_DOMAIN', 'yourdomain.com');
define('COOKIEPATH', '/');
Giới hạn cookie chỉ có hiệu lực trong phạm vi domain và thư mục bạn kiểm soát.
5. Tăng cường session security với cookie constant
define('COOKIEHASH', md5('yourdomain.com'));
Tăng cường xác thực cookie bằng hash riêng biệt.
✅ Tối ưu hiệu suất và kiểm soát lỗi
6. Tắt chức năng tự động cập nhật
define('AUTOMATIC_UPDATER_DISABLED', true);
Hữu ích với website cần kiểm tra kỹ trước khi cập nhật.
7. Kích hoạt hoặc tắt sửa lỗi (Debug Mode)
define('WP_DEBUG', true);
define('WP_DEBUG_LOG', true);
define('WP_DEBUG_DISPLAY', false);
Hiển thị lỗi trong file debug.log thay vì màn hình. Đặc biệt hữu ích khi bạn cần debug nhưng không muốn người dùng thấy lỗi.
8. Tắt Cron nội bộ để dùng Cron server thật
define('DISABLE_WP_CRON', true);
Dùng khi website có traffic cao, và bạn đã thiết lập cron jobs riêng từ server để giảm tải.
9. Giới hạn bộ nhớ tối đa cho WordPress
define('WP_MEMORY_LIMIT', '256M');
Rất cần khi cài nhiều plugin, tránh lỗi thiếu bộ nhớ khi chạy.
10. Tăng thời gian timeout cho kết nối HTTP
define('WP_HTTP_TIMEOUT', 10); // Đơn vị giây
Hữu ích khi gọi API hoặc kết nối máy chủ ngoài chậm.
✅ Một số cấu hình nâng cao khác
11. Chặn quyền truy cập file wp-config.php từ theme/plugin
if ( !defined('ABSPATH') ) {
exit; // Exit if accessed directly
}
Dán đoạn này vào đầu file wp-config.php để ngăn truy cập trực tiếp ngoài hệ thống.
12. Đổi đường dẫn wp-content (ẩn cấu trúc mặc định)
define('WP_CONTENT_DIR', dirname(__FILE__) . '/custom-content');
define('WP_CONTENT_URL', 'https://yourdomain.com/custom-content');
Dùng để bảo mật và tổ chức file gọn gàng hơn (yêu cầu chỉnh thêm cấu trúc thư mục).
Các lưu ý khi chỉnh sửa wp-config.php
- Luôn sao lưu tệp trước khi chỉnh sửa để tránh lỗi nghiêm trọng.
- Kiểm tra syntax PHP sau khi lưu, nếu sai một ký tự có thể khiến website trắng trang.
- Chỉ nên cấp quyền truy cập cho người quản trị hoặc lập trình viên có kinh nghiệm.
Lời kết
Việc bảo mật website bằng wp-config.php là một bước quan trọng nhưng thường bị bỏ qua trong quá trình vận hành WordPress. Chỉ với vài thao tác nhỏ như phân quyền, ẩn tệp, chặn truy cập hoặc thêm dòng mã bảo mật, bạn đã tăng đáng kể khả năng chống lại tấn công và giữ cho website luôn an toàn.
Nếu bạn chưa từng quan tâm đến wp-config.php, bây giờ là lúc nên bắt đầu. Một website an toàn sẽ giúp bạn yên tâm phát triển nội dung, kinh doanh và xây dựng thương hiệu online bền vững.
Liên hệ ngay với chúng tôi qua các kênh dưới đây, đội ngũ sẽ phản hồi nhanh nhất có thể.