Xóa tùy chọn reset mật khẩu trong WordPress

4 giờ ago, Hướng dẫn WordPress, Views

Giới Thiệu: Tại Sao Nên Xóa Tùy Chọn Reset Mật Khẩu?

Trong quá trình quản lý một trang web WordPress, việc đảm bảo an ninh luôn là ưu tiên hàng đầu. Một trong những biện pháp bảo vệ trang web của bạn khỏi các cuộc tấn công là hạn chế các phương thức mà kẻ xấu có thể sử dụng để truy cập trái phép. Tùy chọn “Quên mật khẩu?” (Forgot Password?) trên trang đăng nhập WordPress, mặc dù hữu ích cho người dùng quên mật khẩu, cũng có thể trở thành một điểm yếu tiềm ẩn cho các cuộc tấn công brute-force hoặc các phương pháp xâm nhập khác.

Bài viết này sẽ hướng dẫn bạn các cách để xóa hoặc vô hiệu hóa tùy chọn reset mật khẩu trong WordPress, tăng cường đáng kể an ninh cho trang web của bạn.

Các Rủi Ro Liên Quan Đến Tùy Chọn Reset Mật Khẩu Mặc Định

Tùy chọn reset mật khẩu mặc định của WordPress cho phép người dùng yêu cầu một liên kết để đặt lại mật khẩu thông qua email. Mặc dù tính năng này rất tiện lợi, nó cũng đi kèm với những rủi ro đáng kể:

Tấn công Brute-Force: Kẻ tấn công có thể sử dụng các công cụ tự động để thử nhiều lần các địa chỉ email khác nhau trên trang reset mật khẩu, nhằm mục đích tìm ra tài khoản quản trị hoặc tài khoản người dùng khác.
Spoofing Email: Kẻ tấn công có thể giả mạo (spoof) địa chỉ email của WordPress hoặc một nguồn tin cậy khác để gửi email reset mật khẩu giả mạo, dẫn dụ người dùng nhấp vào liên kết độc hại và cung cấp thông tin đăng nhập của họ.
Thông Tin Người Dùng Bị Tiết Lộ: Nếu kẻ tấn công biết hoặc đoán được địa chỉ email của người dùng, họ có thể sử dụng trang reset mật khẩu để xác nhận sự tồn tại của tài khoản đó, cung cấp thông tin có giá trị cho các cuộc tấn công khác.

Việc vô hiệu hóa hoặc hạn chế tùy chọn reset mật khẩu có thể làm giảm đáng kể nguy cơ bị tấn công theo các phương pháp này.

Các Phương Pháp Xóa Tùy Chọn Reset Mật Khẩu

Có nhiều cách để xóa hoặc vô hiệu hóa tùy chọn reset mật khẩu trong WordPress, tùy thuộc vào mức độ can thiệp bạn muốn và khả năng kỹ thuật của bạn. Dưới đây là một số phương pháp phổ biến:

1. Sử Dụng Plugin WordPress

Đây là phương pháp đơn giản và phổ biến nhất, đặc biệt đối với những người không quen thuộc với việc chỉnh sửa code. Có rất nhiều plugin WordPress miễn phí và trả phí có thể giúp bạn vô hiệu hóa tùy chọn reset mật khẩu. Một số plugin phổ biến bao gồm:

WPS Hide Login: Plugin này cho phép bạn thay đổi URL đăng nhập mặc định của WordPress (ví dụ: từ wp-login.php thành một URL tùy chỉnh), làm cho việc tìm trang đăng nhập của kẻ tấn công trở nên khó khăn hơn. Mặc dù không trực tiếp xóa tùy chọn reset mật khẩu, nhưng nó làm giảm đáng kể nguy cơ tấn công brute-force.
Rename wp-login.php: Tương tự như WPS Hide Login, plugin này cho phép bạn đổi tên tập tin wp-login.php, tăng cường bảo mật cho trang đăng nhập.
Custom Login Page Customizer: Plugin này cho phép bạn tùy chỉnh trang đăng nhập, bao gồm cả việc ẩn hoặc loại bỏ tùy chọn reset mật khẩu.

Cách sử dụng plugin:

Đăng nhập vào bảng điều khiển WordPress của bạn.
Truy cập “Plugins” -> “Add New”.
Tìm kiếm plugin bạn muốn sử dụng.
Cài đặt và kích hoạt plugin.
Truy cập trang cài đặt của plugin và cấu hình các tùy chọn để vô hiệu hóa hoặc ẩn tùy chọn reset mật khẩu.

2. Chỉnh Sửa Tập Tin functions.php của Theme

Đây là một phương pháp nâng cao hơn, yêu cầu bạn phải chỉnh sửa code của theme WordPress của bạn. Lưu ý rằng việc chỉnh sửa code trực tiếp có thể gây ra sự cố cho trang web của bạn nếu bạn không cẩn thận. Luôn luôn sao lưu trang web của bạn trước khi thực hiện bất kỳ thay đổi nào.

Cách thực hiện:

Đăng nhập vào bảng điều khiển WordPress của bạn.
Truy cập “Appearance” -> “Theme Editor”.
Tìm tập tin “functions.php” của theme bạn đang sử dụng.
Thêm đoạn code sau vào cuối tập tin functions.php:


function disable_password_reset() {
  return false;
}
add_filter( 'allow_password_reset', 'disable_password_reset' );

function remove_lostpassword_text ( $text ) {
    if ($text == 'Lost your password?'){
        $text = '';
    }
    return $text;
}
add_filter( 'gettext', 'remove_lostpassword_text' );

Nhấn nút “Update File” để lưu các thay đổi.

Đoạn code trên có hai chức năng:

disable_password_reset(): Hàm này trả về `false` cho bộ lọc `allow_password_reset`, ngăn chặn WordPress gửi email reset mật khẩu.
remove_lostpassword_text(): Hàm này loại bỏ dòng chữ “Lost your password?” trên trang đăng nhập.

Lưu ý: Nếu bạn cập nhật theme của mình, các thay đổi bạn đã thực hiện trong tập tin functions.php sẽ bị mất. Để tránh điều này, bạn nên sử dụng child theme hoặc một plugin tùy chỉnh để thêm code tùy chỉnh.

3. Sử Dụng Code Snippets Plugin

Một cách an toàn và tiện lợi hơn để thêm code tùy chỉnh vào WordPress là sử dụng plugin Code Snippets. Plugin này cho phép bạn thêm các đoạn code vào trang web của bạn mà không cần chỉnh sửa trực tiếp các tập tin theme.

Cách thực hiện:

Cài đặt và kích hoạt plugin Code Snippets.
Truy cập “Snippets” -> “Add New”.
Sao chép đoạn code sau vào trình chỉnh sửa snippet:


function disable_password_reset() {
  return false;
}
add_filter( 'allow_password_reset', 'disable_password_reset' );

function remove_lostpassword_text ( $text ) {
    if ($text == 'Lost your password?'){
        $text = '';
    }
    return $text;
}
add_filter( 'gettext', 'remove_lostpassword_text' );

Đặt tên cho snippet (ví dụ: “Disable Password Reset”).
Chọn “Run snippet everywhere”.
Kích hoạt snippet.
Nhấn nút “Save Changes and Activate”.

Sử dụng Code Snippets giúp bạn dễ dàng quản lý và kích hoạt/vô hiệu hóa các đoạn code tùy chỉnh trên trang web của bạn.

Các Phương Pháp Thay Thế Để Quản Lý Mật Khẩu

Sau khi vô hiệu hóa tùy chọn reset mật khẩu, bạn cần cung cấp cho người dùng các phương pháp thay thế để quản lý mật khẩu của họ. Dưới đây là một số gợi ý:

Yêu cầu người dùng liên hệ trực tiếp với quản trị viên: Nếu người dùng quên mật khẩu, họ có thể liên hệ với bạn qua email hoặc điện thoại để được hỗ trợ đặt lại mật khẩu thủ công.
Sử dụng plugin quản lý người dùng: Một số plugin quản lý người dùng cung cấp các tính năng nâng cao để quản lý mật khẩu, chẳng hạn như yêu cầu người dùng tạo mật khẩu mạnh hoặc thiết lập xác thực hai yếu tố.
Hướng dẫn người dùng sử dụng trình quản lý mật khẩu: Khuyến khích người dùng sử dụng các trình quản lý mật khẩu an toàn để lưu trữ và quản lý mật khẩu của họ một cách an toàn.

Kiểm Tra và Đảm Bảo Hoạt Động Chính Xác

Sau khi thực hiện bất kỳ thay đổi nào, hãy kiểm tra kỹ lưỡng trang web của bạn để đảm bảo rằng tùy chọn reset mật khẩu đã được vô hiệu hóa thành công và không gây ra bất kỳ sự cố nào khác. Hãy thử truy cập trang đăng nhập và kiểm tra xem liên kết “Lost your password?” đã biến mất hay chưa. Ngoài ra, hãy thử yêu cầu reset mật khẩu để đảm bảo rằng email reset mật khẩu không được gửi.

Lưu ý quan trọng: Việc vô hiệu hóa tùy chọn reset mật khẩu có thể gây khó khăn cho người dùng quên mật khẩu. Hãy đảm bảo rằng bạn cung cấp cho họ các phương pháp thay thế rõ ràng và dễ dàng để được hỗ trợ đặt lại mật khẩu.

Kết Luận

Việc xóa tùy chọn reset mật khẩu trong WordPress là một biện pháp quan trọng để tăng cường an ninh cho trang web của bạn. Bằng cách sử dụng các phương pháp được trình bày trong bài viết này, bạn có thể giảm thiểu nguy cơ bị tấn công brute-force, spoofing email và các hình thức xâm nhập khác. Hãy nhớ cung cấp cho người dùng các phương pháp thay thế để quản lý mật khẩu của họ và luôn luôn sao lưu trang web của bạn trước khi thực hiện bất kỳ thay đổi nào.

#ezw_tco-2 .ez-toc-widget-container ul.ez-toc-list li.active::before { background-color: #ededed; } aa