WAF WordPress 2026: Hướng Dẫn Bảo Mật Toàn Diện

WAF là gì và tại sao WordPress cần WAF?

WAF (Web Application Firewall) là một lớp bảo vệ ngồi giữa internet và website của bạn, phân tích mọi request trước khi nó đến WordPress và chặn bất kỳ thứ gì có vẻ đáng ngờ.

Bạn có biết WordPress đang chiếm 43% website trên toàn thế giới không? Điều đó có nghĩa là mỗi phút có khoảng 90.000 cuộc tấn công nhắm vào WordPress [1]. Đa số không phải ai đó cố tình nhắm vào bạn — mà là bot tự động quét và tìm kiếm lỗ hổng. Và 56% website WordPress bị hack là do lỗ hổng trong plugin cũ [2].

Đây là lý do WAF trở nên quan trọng: nó không chỉ bảo vệ bạn khỏi các cuộc tấn công hiện tại, mà còn là “vá” ảo cho đến khi bạn cập nhật plugin. Nếu một plugin có lỗ hổng bảo mật nhưng chưa kịp update, WAF vẫn có thể chặn request độc hại trước khi nó đến được code của bạn.

Các loại WAF cho WordPress

Có ba loại WAF chính cho WordPress, mỗi loại có ưu nhược điểm riêng.

WAF dựa trên đám mây (Cloud-based WAF)

Đây là lựa chọn phổ biến nhất. WAF đám mây như Cloudflare, Sucuri hay AWS WAF đặt giữa người dùng và server của bạn, lọc traffic toàn cầu.

• Cloudflare WAF: Miễn phí với tính năng cơ bản, có managed rules tự động chặn SQL injection, XSS. Paid plan từ $20/tháng có thêm firewall rules tùy chỉnh.
• Sucuri WAF: Giá $199/năm, bao gồm WAF + CDN + malware scanning. Phù hợp cho e-commerce.

WAF cấp ứng dụng (Plugin WAF)

Chạy trực tiếp trên WordPress như plugin.

• Wordfence: Miễn phí với WAF cơ bản, premium $99/năm có real-time threat intelligence. Phổ biến nhất với hơn 4 triệu website sử dụng.
• NinjaFirewall: Nhẹ hơn Wordfence, có cả phiên bản miễn phí và premium.

WAF cấp server

Chạy ở level Apache/Nginx như ModSecurity với OWASP Core Rule Set. Yêu cầu kiến thức kỹ thuật cao hơn.

Hướng dẫn cài đặt WAF chi tiết

Dưới đây là hướng dẫn cài đặt Cloudflare WAF — lựa chọn phổ biến nhất cho WordPress.

Bước 1: Đăng ký Cloudflare

Truy cập cloudflare.com, nhập domain của bạn. Cloudflare sẽ quét DNS records hiện tại.

Bước 2: Cập nhật nameservers

Sau khi add site, Cloudflare cung cấp 2 nameservers mới. Bạn cần trỏ domain về nameservers này ở nơi bạn mua domain (GoDaddy, Namecheap, v.v.).

Bước 3: Cài đặt Cloudflare WordPress Plugin

Cài đặt và kích hoạt plugin “Cloudflare” từ WordPress repository. Sau đó:

• Click vào Cloudflare trong menu WP Admin
• Đăng nhập bằng tài khoản Cloudflare
• Bật “Automatic Platform Optimization (APO)” nếu muốn tăng tốc độ

Bước 4: Bật Managed Rules

Trong Cloudflare Dashboard > Security > WAF > Managed Rules:

• Bật “Cloudflare Managed Ruleset” — tự động chặn các attack patterns phổ biến
• Bật “OWASP Core Ruleset” — bảo vệ khỏi top 10 lỗ hổng OWASP

Bước 5: Tạo Custom Rules (nâng cao)

Với Cloudflare Pro ($20/tháng), bạn có thể tạo custom rules. Dưới đây là một số rules hữu ích:

(http.request.uri.path contains "/wp-login.php" and not ip.geoip.country in {"VN"})

// Chặn xmlrpc.php (thường bị dùng để brute force)
(http.request.uri.path contains "/xmlrpc.php")

// Rate limiting: giới hạn 5 request/phút/IP
(#rate_limit: 5 requests per minute)

So sánh các giải pháp WAF phổ biến

Dưới đây là so sánh chi tiết giúp bạn chọn giải pháp phù hợp.

Theo khuyến nghị của mình: nếu bạn mới bắt đầu, hãy dùng Cloudflare Free trước — nó đã đủ tốt cho hầu hết website. Khi site phát triển, có thể nâng cấp lên Pro để có custom rules.

Bạn đang đọc bài viết thuộc chuyên mục Bảo mật website của VietnamTutor — nơi mình chia sẻ những chiến thuật bảo vệ website dựa trên kinh nghiệm thực tế từ các dự án triển khai.

Các quy tắc WAF quan trọng cho WordPress

Không chỉ cài đặt WAF, bạn cần cấu hình đúng để tối ưu bảo vệ.

1. Chặn XML-RPC

XML-RPC là một tính năng cũ của WordPress, nhưng thường bị dùng để brute force attack. Nếu không dùng WordPress API, hãy chặn hoàn toàn.

2. Giới hạn login attempts

Rate limiting là cách hiệu quả nhất chống brute force. Cấu hình giới hạn 5-10 lần đăng nhập thất bại mỗi phút/IP.

3. Chặn user agents đáng ngờ

Một số bot và scraper có user agents rõ ràng là độc hại. Block các bot không cần thiết như “Semrush”, “Ahrefs” (nếu không muốn bị crawl quá nhiều).

4. Bảo vệ wp-config.php

Không cho phép truy cập trực tiếp vào file cấu hình quan trọng:

(http.request.uri.path contains "wp-config.php") -> Block

5. Theo dõi Security Events

Kiểm tra Cloudflare Security Events hàng tuần để xem có attack nào bị chặn, điều chỉnh rules nếu cần.

Nguồn tham khảo

1. WPBeginner: Ultimate WordPress Security Guide 2026
2. Wordfence: WordPress Security Statistics 2026
3. Cloudflare: What is a WAF?
4. Plesk: WordPress Security Best Practices 2026
5. WordPress.org: Security Hardening

Nếu bạn thấy bài viết hữu ích, đừng quên chia sẻ để ai đó khác cũng bảo vệ được website của họ nhé!