ความปลอดภัยของเว็บ WordPress ที่รับชำระเงิน: สิ่งที่ควรทำเป็นพื้นฐาน

WordPress เป็นระบบที่แพร่หลายมาก จึงเป็นเป้าของการโจมตีอัตโนมัติอยู่เสมอ เมื่อเว็บนั้นรับชำระเงินหรือมีข้อมูลลูกค้า ความเสียหายหากถูกเจาะจะมากขึ้น บทความนี้เป็นแนวปฏิบัติเชิงป้องกันขั้นพื้นฐาน ที่ทำได้ทันทีโดยไม่ต้องเป็นผู้เชี่ยวชาญ และไม่ได้ครอบคลุมทุกกรณี หากเว็บของคุณสำคัญมาก ควรปรึกษาผู้เชี่ยวชาญด้านความปลอดภัยเพิ่มเติม

1 บัญชีผู้ดูแลระบบ

บัญชีแอดมินคือกุญแจหลัก ควรทำดังนี้

• ใช้รหัสผ่านยาวและไม่ซ้ำกับที่อื่น เก็บด้วยตัวจัดการรหัสผ่าน
• เปิดการยืนยันตัวตนสองชั้น (2FA) ให้ทุกบัญชีที่มีสิทธิ์แก้ไข
• อย่าใช้ชื่อผู้ใช้ admin ที่เดาง่าย
• ให้สิทธิ์เท่าที่จำเป็น เช่นคนตอบลูกค้าไม่ต้องเป็นผู้ดูแลระบบเต็มสิทธิ์
• ลบบัญชีของคนที่ออกจากทีมหรือเอเจนซี่เก่าทันที

2 ปลั๊กอินและธีม

ช่องโหว่ส่วนใหญ่ของ WordPress มาจากปลั๊กอินและธีม มากกว่าแกนหลักของระบบ จึงควร

1. ติดตั้งเท่าที่ใช้จริง ลบอันที่ปิดไว้และไม่ใช้
2. เลือกจากแหล่งที่เชื่อถือได้ และดูว่ามีการอัปเดตอย่างสม่ำเสมอ
3. หลีกเลี่ยงปลั๊กอินหรือธีมเถื่อนที่แจกฟรีจากแหล่งไม่ทราบที่มา เพราะอาจฝังโค้ดอันตราย
4. อัปเดตอย่างมีขั้นตอน (ดู การดูแลและอัปเดตปลั๊กอินชำระเงิน)

3 การรับชำระเงินบนเว็บ

หลักสำคัญคือ อย่าให้เว็บของคุณเก็บข้อมูลที่ไม่จำเป็น ถ้าคุณใช้บริการภายนอกรับและตรวจการชำระ เว็บคุณก็ไม่ต้องเก็บรายละเอียดอ่อนเอง ปลั๊กอิน WooCommerce ของ PPay ตามเอกสาร ส่งลูกค้าไปจ่ายและอัปโหลดสลิปที่หน้าชำระเงินของ PPay แล้วเว็บคุณตรวจสถานะกลับผ่าน API เท่านั้น นอกจากนี้ปลั๊กอินตรวจลายเซ็น HMAC และเวลาของ webhook ก่อนเชื่อถือ แต่ผู้ดูแลก็ต้องรักษาความลับของ API key และ webhook secret เอง ไม่ใส่ไว้ในโค้ดที่ผู้อื่นเห็น (อ่านต่อ ความปลอดภัยของ API key)

4 สำรองข้อมูลและกู้คืน

• สำรองทั้งไฟล์และฐานข้อมูลเป็นประจำ ความถี่ขึ้นกับจำนวนออเดอร์ต่อวัน
• เก็บสำเนาไว้นอกเซิร์ฟเวอร์เดียวกัน
• ทดลองกู้คืนจริงอย่างน้อยปีละครั้ง เพราะไฟล์สำรองที่กู้คืนไม่ได้ไม่มีความหมาย

5 เซิร์ฟเวอร์และการเชื่อมต่อ

• ใช้ HTTPS ทั้งเว็บ
• อัปเดต PHP เป็นเวอร์ชันที่ยังได้รับการสนับสนุน
• จำกัดการล็อกอินผิดซ้ำ และพิจารณาปิดตัวแก้ไขไฟล์ในหน้าแอดมิน
• แยกสิทธิ์ไฟล์ให้ถูกต้อง ไม่ตั้งสิทธิ์เปิดกว้างเกินไป

6 เฝ้าระวังและตั้งแผนรับมือ

การเจาะระบบไม่ได้ประกาศตัวเอง ลองสังเกตสัญญาณเหล่านี้

• มีผู้ดูแลระบบใหม่ที่เราไม่ได้สร้าง
• ไฟล์ในโฟลเดอร์ปลั๊กอินเปลี่ยนโดยไม่มีการอัปเดต
• หน้าชำระเงินหรือลิงก์จ่ายเงินเปลี่ยนไปจากเดิม
• มีออเดอร์ที่สถานะเปลี่ยนเป็นชำระแล้วโดยไม่มีหลักฐาน

เตรียมแผนไว้ล่วงหน้า: ใครมีสิทธิ์ปิดเว็บ ใครติดต่อผู้ให้บริการโฮสต์ ต้องเปลี่ยนรหัสผ่านและคีย์อะไรบ้าง และแจ้งลูกค้าอย่างไรถ้าเกี่ยวข้องกับข้อมูลส่วนบุคคล

เช็กลิสต์ประจำเดือน

1. ตรวจรายชื่อผู้ใช้ที่มีสิทธิ์แอดมิน
2. ตรวจปลั๊กอินที่ไม่ได้ใช้และลบทิ้ง
3. ตรวจว่าการสำรองข้อมูลยังทำงาน
4. เทียบรายการชำระกับยอดเงินเข้าบัญชีจริง
5. เปลี่ยนคีย์ทันทีเมื่อสงสัยว่ารั่ว

ดูรายละเอียดปลั๊กอินและวิธีตั้งค่าอย่างเป็นทางการได้ที่ หน้าปลั๊กอิน และอ่านภาพรวมการตรวจสลิปที่ ตรวจสลิปออนไลน์อย่างไร