ความปลอดภัย WordPress: ขั้นตอนเรียงตามความสำคัญ

เว็บไซต์ WordPress ส่วนใหญ่ที่ถูกแฮก ไม่เคยถูกเลือกเป็นเป้าโดยเฉพาะ บอทสแกนเว็บเพื่อหาปลั๊กอิน ที่มีช่องโหว่ที่รู้กันอยู่แล้ว และลองรหัสผ่านตลอดเวลา แล้วเจาะเข้าไปในเว็บไหนก็ตามที่ป้องกันไม่อยู่ สำหรับเว็บไซต์ธุรกิจ ความปลอดภัย WordPress ที่ดีจึงไม่ได้อยู่ที่การเอาชนะ ผู้โจมตีที่ตั้งใจจริง แต่อยู่ที่การไม่เป็นเป้าที่เจาะง่าย

บอทเหล่านั้นอาศัยจุดอ่อนแค่ไม่กี่อย่าง คู่มือนี้เรียงวิธีแก้ตามผลกระทบ โดยอ้างอิงแนวทางเสริมความแข็งแรงของ WordPress.org และ OWASP Top 10 ซึ่งเป็นรายการอ้างอิงมาตรฐาน ของความเสี่ยงด้านความปลอดภัย ที่สำคัญของเว็บแอปพลิเคชัน

คำตอบสั้น ๆ

เพื่อทำให้เว็บไซต์ WordPress ปลอดภัย ให้ไล่ทำตามลำดับนี้ สี่ข้อแรกปิดช่องทางเข้าที่พบบ่อยที่สุด

อัปเดต แกนหลักของ WordPress ปลั๊กอิน ธีม และ PHP และลบสิ่งที่ไม่ได้ใช้
ปกป้องการล็อกอิน ด้วยรหัสผ่านที่ไม่ซ้ำ และการยืนยันตัวตนสองขั้นตอน
ให้แต่ละคนมีบัญชีของตัวเอง ด้วยสิทธิ์ต่ำที่สุดที่จำเป็น
ติดตั้งเฉพาะปลั๊กอินที่มีคนดูแล จากแหล่งที่เชื่อถือได้
ให้บริการทุกอย่างผ่าน HTTPS พร้อม security header พื้นฐาน
วางไฟร์วอลล์สำหรับเว็บแอปพลิเคชัน ไว้ด้านหน้าเว็บไซต์
จำกัดจำนวนครั้งที่พยายามล็อกอิน รวมถึงผ่าน XML-RPC
ล็อกไฟล์และการตั้งค่า เพื่อให้การเจาะระบบทำอะไรได้น้อยลง
เก็บข้อมูลสำรองไว้นอกเซิร์ฟเวอร์ และทดลองกู้คืนจริงแล้ว

เว็บไซต์ WordPress ถูกเจาะได้อย่างไรจริง ๆ

แกนหลักของ WordPress ได้รับการดูแลอย่างดี และรุ่นอัปเดตความปลอดภัยย่อย จะติดตั้งอัตโนมัติโดยค่าเริ่มต้น ฐานข้อมูลช่องโหว่อย่าง WPScan, Patchstack และ Wordfence แสดงรูปแบบเดิมทุกปี คือช่องโหว่ WordPress ที่ถูกรายงานส่วนใหญ่ อยู่ในปลั๊กอินและธีม ไม่ใช่แกนหลัก ความเสี่ยงจริงอยู่ในชั้นที่เพิ่มเข้ามาบนแกนหลัก (ดู เว็บไซต์ถูกสร้างอย่างไร) และในคนที่ล็อกอิน

ความเสี่ยง แบบภาษาง่าย ๆ	หน้าตาบน WordPress	แก้ด้วย
ส่วนประกอบที่ล้าสมัย	ปลั๊กอินที่มีช่องโหว่ประกาศไว้แล้ว แต่ไม่มีใครอัปเดต	ขั้นที่ 1 และ 4
การยืนยันตัวตนที่อ่อนแอ	รหัสผ่านที่ใช้ซ้ำ ไม่มีขั้นตอนที่สอง ลองได้ไม่จำกัด	ขั้นที่ 2 และ 7
การควบคุมสิทธิ์ที่บกพร่อง	บัญชีแอดมินที่ใช้ร่วมกัน หรือบั๊กในปลั๊กอินที่ให้ subscriber เปลี่ยนการตั้งค่าได้	ขั้นที่ 1 และ 3
การแทรกคำสั่ง (injection)	ฟอร์มหรือปลั๊กอิน ที่ส่งข้อมูลที่ไม่ได้ตรวจเข้าฐานข้อมูล	ขั้นที่ 1 และ 6
การตั้งค่าผิดพลาด	ข้อผิดพลาดแสดงให้ผู้เข้าชมเห็น ไม่มี security header และตัวแก้ไขไฟล์ในแดชบอร์ดยังเปิดอยู่	ขั้นที่ 5 และ 8

ลำดับที่ 1: ปิดช่องทางเข้าที่พบบ่อย

1. อัปเดตให้ทันเวลา

ช่องโหว่ใหม่ของปลั๊กอินถูกเผยแพร่ทุกสัปดาห์ และมักมีวิธีแก้มาด้วย ผู้โจมตีก็อ่านประกาศเดียวกัน และเป้าหมายยอดนิยมอาจถูกโจมตีภายในไม่กี่ชั่วโมง เว็บไซต์ที่โดน จึงเป็นเว็บไซต์ที่ยังใช้เวอร์ชันเก่าอยู่ หลังผ่านไปหลายสัปดาห์

เปิดการอัปเดตความปลอดภัยอัตโนมัติของ WordPress ไว้
ตั้งอัปเดตอัตโนมัติให้ปลั๊กอินที่ไม่ซับซ้อน ส่วนปลั๊กอินที่ซับซ้อน (page builder ร้านค้าออนไลน์ ระบบสมาชิก) ให้ทดสอบบนสำเนา staging ก่อน แล้วอัปเดตโดยเร็ว
ถ้าช่องโหว่ที่ถูกเปิดเผยยังไม่มีวิธีแก้ ให้ปิดใช้งานหรือเปลี่ยนปลั๊กอินนั้น จนกว่าแพตช์จะออก
ใช้ PHP เวอร์ชันที่ยังได้รับการแก้ไขด้านความปลอดภัย php.net เผยแพร่วันสิ้นสุดการรองรับไว้ และ Tools → Site Health จะแจ้งเตือนเวอร์ชันที่ล้าสมัย
ลบปลั๊กอินและธีมที่ไม่ได้ใช้ โค้ดที่ปิดใช้งานแล้วยังอยู่บนเซิร์ฟเวอร์ และบางส่วนยังเข้าถึงได้

ลองตรวจเอง อะไรก็ตามที่รออยู่ใน Dashboard → Updates นานเกินสองสามสัปดาห์ คือคำถามที่ต้องถามคนดูแลเว็บไซต์

2. การล็อกอินที่แข็งแรงและการยืนยันตัวตนสองขั้นตอน

บอทลองรหัสผ่านที่รั่วจากเว็บไซต์อื่น รหัสผ่านที่ใช้ซ้ำ จึงปลอดภัยได้แค่เท่ากับเว็บไซต์ที่อ่อนแอที่สุด ที่มันเคยถูกใช้ ใช้รหัสผ่านที่ยาวและไม่ซ้ำ จากตัวจัดการรหัสผ่าน

การยืนยันตัวตนสองขั้นตอน ณ เวลาที่เขียน (สิงหาคม 2026) แกนหลักของ WordPress ยังไม่มีการยืนยันตัวตนสองขั้นตอนในตัว จึงต้องมาจากปลั๊กอินหรือบริการด้านความปลอดภัย บังคับใช้กับทุกบัญชี ที่เผยแพร่เนื้อหาหรือเปลี่ยนการตั้งค่าได้ ไม่ใช่แค่ผู้ดูแลระบบ แอป authenticator กุญแจความปลอดภัย หรือ passkey ปลอดภัยกว่ารหัสที่ส่งทาง SMS หรืออีเมล เก็บรหัสสำรองไว้อย่างปลอดภัย และมีผู้ดูแลระบบคนที่สองไว้ เผื่อมีใครทำโทรศัพท์หาย

ปกป้องบัญชีรอบ ๆ WordPress ด้วย ทั้งโฮสติ้ง ผู้ให้บริการจดโดเมน SFTP หรือ SSH และที่สำคัญที่สุด คือกล่องอีเมลที่รับลิงก์รีเซ็ตรหัสผ่าน ใครที่ควบคุมกล่องนั้นได้ ก็รีเซ็ตรหัสผ่าน WordPress ของคุณได้ จากนั้นตรวจส่วน Application Passwords ในโปรไฟล์ผู้ใช้แต่ละคน และเพิกถอนรายการที่ไม่มีใครอธิบายได้

3. สิทธิ์น้อยที่สุดเท่าที่จำเป็น

ความเสียหายที่ผู้โจมตีทำได้ ขึ้นอยู่กับบัญชีที่เขายึดได้ บทความ แนวปฏิบัติที่ดีสำหรับ WordPress ของเราอธิบายบทบาทมาตรฐานไว้ ในด้านความปลอดภัย มีกฎสามข้อที่สำคัญที่สุด

ให้ผู้ดูแลระบบมีแค่หนึ่งหรือสองคนที่รับผิดชอบได้ ผู้ดูแลระบบติดตั้งปลั๊กอินได้ และปลั๊กอินรันโค้ดอะไรก็ได้ตามที่มันต้องการ
ถือว่า Editor เป็นบทบาทที่ต้องไว้ใจ ในการติดตั้งแบบเว็บไซต์เดียวทั่วไป Editor ใส่ HTML ที่ไม่ผ่านการกรองได้ รวมถึงสคริปต์
ถอนสิทธิ์ในวันที่คนออก รวมถึงนักพัฒนาและซัพพลายเออร์เก่า และตรวจบทบาทเพิ่มเติม ที่ปลั๊กอินร้านค้าออนไลน์หรือปลั๊กอินฟอร์ม เพิ่มเข้ามา

หนึ่งคน หนึ่งบัญชี การใช้บัญชีร่วมกัน ทำให้ถอนสิทธิ์ของคนใดคนหนึ่งไม่ได้ หรือดูไม่ได้ว่าใครเปลี่ยนอะไร

4. ใช้แค่ปลั๊กอินที่เชื่อถือได้

ปลั๊กอินแต่ละตัว คือโค้ดจากผู้เขียนคนละคน ที่เข้าถึงเว็บไซต์และฐานข้อมูลของคุณได้กว้างขวาง ก่อนติดตั้ง ให้ตรวจ

แหล่งที่มา WordPress.org หรือเว็บไซต์ของผู้พัฒนาเอง สำหรับปลั๊กอินแบบพรีเมียม ห้ามใช้สำเนา “nulled” (ละเมิดลิขสิทธิ์) เด็ดขาด ซึ่งเป็นช่องทางแพร่มัลแวร์ที่รู้กันดี
การดูแล มีการอัปเดตล่าสุด และทดสอบกับ WordPress เวอร์ชันปัจจุบัน ไดเรกทอรีของ WordPress.org จะเตือนเมื่อปลั๊กอินไม่ได้ทดสอบ กับเวอร์ชันหลักล่าสุด
ประวัติ ค้นชื่อปลั๊กอินในฐานข้อมูลช่องโหว่ ปัญหาในอดีตที่ถูกแก้อย่างรวดเร็วและเปิดเผย เป็นสัญญาณที่ดี
ไลเซนส์ เมื่อไลเซนส์พรีเมียมหมดอายุ การอัปเดตมักหยุดลง รวมถึงการแก้ไขด้านความปลอดภัย

ลำดับที่ 2: ป้องกันเว็บไซต์จากภายนอก

5. HTTPS และ security header

HTTPS เข้ารหัสการล็อกอินและการส่งฟอร์ม และโฮสต์ส่วนใหญ่ให้ใบรับรองฟรี ตรวจว่าทุกที่อยู่ http:// redirect ไปยัง https:// และที่อยู่ทั้งสองช่องใน Settings → General ใช้ https

security header บอกเบราว์เซอร์ว่าอะไรได้รับอนุญาตบนหน้าเว็บของคุณ

Header	ทำอะไร	แรงที่ใช้
`Strict-Transport-Security`	บังคับใช้ HTTPS กับโดเมนของคุณ	ต่ำ เริ่มจากระยะเวลาสั้น ๆ เพราะเบราว์เซอร์จะจำค่านี้ไว้
`X-Content-Type-Options`	หยุดไม่ให้เบราว์เซอร์เดาประเภทไฟล์	ต่ำ
`X-Frame-Options`	หยุดไม่ให้เว็บไซต์อื่นใส่เว็บของคุณในเฟรม เพื่อหลอกให้คลิก	ต่ำ
`Content-Security-Policy`	ควบคุมว่าแหล่งไหนโหลดสคริปต์และเนื้อหาอื่นได้	สูง ต้องอนุญาตให้ page builder และ analytics

ตั้งค่าที่เซิร์ฟเวอร์ ที่ไฟร์วอลล์ หรือด้วยปลั๊กอิน และทดลอง Content-Security-Policy ในโหมดรายงานอย่างเดียวก่อน เพื่อให้การละเมิดถูกรายงานแทนที่จะถูกบล็อก HTTP Observatory ของ Mozilla ให้เกรด header ที่เว็บไซต์ของคุณส่งออกไป

6. ไฟร์วอลล์สำหรับเว็บแอปพลิเคชัน

ไฟร์วอลล์สำหรับเว็บแอปพลิเคชัน (WAF) ตรวจคำขอก่อนที่ WordPress จะจัดการ และบล็อกรูปแบบการโจมตีที่รู้จัก เช่น ความพยายามทำ injection และการสอดแนมหาปลั๊กอินที่มีช่องโหว่ บางตัวยังใช้ “แพตช์เสมือน” กับช่องโหว่ใหม่ ก่อนที่คุณจะได้อัปเดตด้วย

ประเภท	จุดแข็ง	ต้องระวัง
ไฟร์วอลล์บนคลาวด์ อยู่หน้าเซิร์ฟเวอร์ของคุณ	บล็อกทราฟฟิกก่อนถึงเซิร์ฟเวอร์ของคุณ	อาจถูกเลี่ยงได้ ถ้าเซิร์ฟเวอร์ยังรับทราฟฟิกโดยตรง
ไฟร์วอลล์แบบปลั๊กอิน อยู่ใน WordPress	รู้จักผู้ใช้และปลั๊กอินของคุณ	ใช้ทรัพยากรของเซิร์ฟเวอร์คุณ
ไฟร์วอลล์ของเซิร์ฟเวอร์ ที่โฮสต์ดูแล	ไม่ต้องติดตั้งหรือดูแลอะไร	กฎทั่วไปอาจพลาดการโจมตีเฉพาะปลั๊กอิน

โฮสติ้ง WordPress แบบ managed มักรวมไฟร์วอลล์ของเซิร์ฟเวอร์ การสแกนมัลแวร์ และบัญชีที่แยกขาดจากกัน ซึ่งคุ้มที่จะพิจารณาเมื่อคุณ เลือกเว็บโฮสติ้ง ไม่ว่าจะใช้แบบไหน ไฟร์วอลล์ช่วยซื้อเวลา แต่ไม่ได้แทนการอัปเดต

7. จำกัดจำนวนครั้งที่พยายามล็อกอิน

แกนหลักของ WordPress ไม่ได้จำกัดจำนวนครั้งที่ล็อกอินผิด บอทจึงเดาได้ไม่รู้จบ ให้จำกัดจำนวนครั้งต่อที่อยู่ IP ที่ไฟร์วอลล์ ในปลั๊กอิน หรือบนเซิร์ฟเวอร์

อย่าลืม xmlrpc.php ด้วย อินเทอร์เฟซเผยแพร่ระยะไกลรุ่นเก่านี้ รับชื่อผู้ใช้และรหัสผ่าน บอทจึงใช้มันเป็นประตูบานที่สอง การเชื่อมต่อส่วนใหญ่ในปัจจุบันใช้ REST API ถ้าไม่มีอะไรบนเว็บไซต์ของคุณพึ่ง XML-RPC (Jetpack เป็นตัวหนึ่งที่ยังพึ่งอยู่) ให้บล็อกมัน การล็อกบัญชีเป็นแค่ด่านสำรอง การยืนยันตัวตนสองขั้นตอน คือสิ่งที่ทำให้รหัสผ่านที่เดาถูกไร้ประโยชน์

ลำดับที่ 3: จำกัดความเสียหาย

8. ไฟล์และการตั้งค่า

การเสริมความแข็งแรงให้ WordPress ในชั้นนี้ ทำให้การเจาะระบบมีประโยชน์น้อยลง

สิทธิ์ของไฟล์ แนวทางเสริมความแข็งแรงของ WordPress.org คือ 644 สำหรับไฟล์ 755 สำหรับโฟลเดอร์ และ 440 หรือ 400 สำหรับ wp-config.php ถ้าเซิร์ฟเวอร์ของคุณอนุญาต ห้ามใช้ 777
ปิดตัวแก้ไขไฟล์ การตั้งค่า DISALLOW_FILE_EDIT เป็น true ใน wp-config.php จะเอาตัวแก้ไขโค้ดในแดชบอร์ดออก ซึ่งเป็นทางที่เร็วที่สุด ที่บัญชีแอดมินที่ถูกขโมยจะใช้ฝังโค้ด แต่มันไม่ได้หยุดการอัปโหลดปลั๊กอิน นั่นคือเหตุผลที่ขั้นที่ 2 สำคัญ
ไม่มี PHP ในโฟลเดอร์ uploads โฟลเดอร์ uploads ต้องเขียนได้ จึงเป็นที่ซ่อนโปรดของสคริปต์อันตราย ขอให้โฮสต์บล็อกไม่ให้ PHP รันในโฟลเดอร์นั้น
ปิดการแสดงข้อผิดพลาด ปิด WP_DEBUG ไว้บนเว็บไซต์จริง เพราะข้อความผิดพลาดอาจเผยให้เห็นที่อยู่ของไฟล์
ไม่มีสำเนาที่ถูกลืม เว็บไซต์ staging เก่าและการติดตั้งที่ถูกทิ้งไว้ แทบไม่เคยถูกอัปเดต และเว็บไซต์ที่ถูกเจาะหนึ่งแห่ง มักเข้าถึงเว็บไซต์อื่นในบัญชีโฮสติ้งเดียวกันได้ ลบมันทิ้ง และตั้งรหัสผ่านให้ staging

9. ข้อมูลสำรองที่คุณเคยกู้คืนจริงแล้ว

ไฟล์และฐานข้อมูลไปด้วยกัน ฐานข้อมูลเก็บหน้า การตั้งค่า และข้อมูลที่ส่งผ่านฟอร์ม ส่วนไฟล์เก็บสิ่งที่อัปโหลด ธีม และปลั๊กอิน
เก็บนอกเซิร์ฟเวอร์ ด้วยข้อมูลเข้าระบบแยกต่างหาก เพื่อให้ผู้โจมตีที่เข้าถึงเว็บไซต์ได้ ลบข้อมูลสำรองไปด้วยไม่ได้
ทุกวัน สำหรับเว็บไซต์ที่รับการติดต่อสอบถามหรือคำสั่งซื้อ โดยมีประวัติย้อนหลังพอจะกลับไปได้หลายสัปดาห์ เพราะการติดมัลแวร์มักไม่ถูกสังเกต
ทดสอบแล้ว ด้วยการกู้คืนลงสำเนา staging การกู้คืนไปยังเซิร์ฟเวอร์ใหม่ ก็คือการย้ายเว็บไซต์ดี ๆ นี่เอง บทความ ย้ายเว็บไซต์ไปโฮสต์ใหม่ อธิบายเรคคอร์ด DNS และอีเมล ที่มักพังบ่อยที่สุด

มาตรการความปลอดภัย WordPress ที่ช่วยได้น้อยกว่าที่คิด

ซ่อนหน้าล็อกอิน ลดเสียงรบกวนจากบอท แต่ไม่ได้ปกป้อง XML-RPC และไม่ได้หยุดคนที่หาที่อยู่เจอ
เปลี่ยน prefix wp_ ของฐานข้อมูล ช่วยได้น้อย และเสี่ยงบนเว็บไซต์ที่ใช้งานจริง
ซ่อนเวอร์ชันของ WordPress แทบไม่มีผล การโจมตีอัตโนมัติมักแค่ลองช่องโหว่ไปเลย
ติดตั้งปลั๊กอินความปลอดภัยซ้อนกันหลายตัว ทำให้เกิดความขัดแย้ง ทำให้เว็บไซต์ช้า และสร้างความมั่นใจแบบผิด ๆ ในแต่ละระดับ มีชั้นป้องกันเดียวที่ตั้งค่าดีก็พอแล้ว

เว็บไซต์ WordPress ถูกแฮก? ชั่วโมงแรก ๆ

สัญญาณทั่วไปคือ ผู้เข้าชมถูกพาไปยังเว็บไซต์สแปม (มักเกิดเฉพาะบนมือถือ หรือเมื่อมาจาก Google คุณจึงอาจไม่สังเกต) คำเตือนจากเบราว์เซอร์ ข้อความด้านความปลอดภัยใน Search Console ผู้ดูแลระบบที่ไม่รู้จัก หรือหน้าในผลการค้นหา site: ที่คุณไม่เคยสร้าง

ควบคุมไม่ให้ลุกลาม ถ้าผู้เข้าชมถูกพาไปที่อื่น หรือได้รับมัลแวร์ ให้เปิดโหมดปิดปรับปรุง หรือขอให้โฮสต์ปิดเว็บไซต์ไว้ก่อน
เก็บสำเนาไว้ ก่อนเปลี่ยนอะไร ให้ดาวน์โหลดไฟล์และฐานข้อมูลที่ติดมัลแวร์ และขอ access log จากโฮสต์ เพราะคุณต้องใช้หาทางที่ผู้โจมตีเข้ามา
ล็อกประตู จากอุปกรณ์ที่เชื่อถือได้ ให้เปลี่ยนรหัสผ่านของผู้ดูแลระบบทุกคน โฮสติ้ง SFTP หรือ SSH ฐานข้อมูล (และอัปเดต wp-config.php ให้ตรงกัน) และกล่องอีเมลที่รับลิงก์รีเซ็ตรหัสผ่าน ลบผู้ใช้ที่ไม่รู้จัก เพิกถอน application password และเปลี่ยน security key ใน wp-config.php เพื่อให้ทุกคนหลุดออกจากระบบ
หาทางที่เข้ามา เทียบเวอร์ชันปลั๊กอินกับฐานข้อมูลช่องโหว่ และอ่าน log จากช่วงที่การเปลี่ยนแปลงแรกปรากฏ ถ้าข้ามขั้นนี้ การทำความสะอาดจะได้ผลแค่ชั่วคราว
กู้คืนหรือทำความสะอาด กู้คืนข้อมูลสำรองจากก่อนถูกเจาะ อัปเดตทุกอย่างทันที และทำฝั่ง WordPress ของขั้นที่ 3 ใหม่ เพราะการกู้คืนจะนำรหัสผ่าน key และรายละเอียดฐานข้อมูลเดิมกลับมา ถ้าไม่มีข้อมูลสำรองที่สะอาด ให้ติดตั้งแกนหลัก ปลั๊กอิน และธีมใหม่จากแหล่งทางการ ลบไฟล์ PHP ออกจาก uploads และตรวจฐานข้อมูล .htaccess และงานที่ตั้งเวลาไว้ ผู้โจมตีมักทิ้งประตูหลังไว้หลายบาน นั่นคือเหตุผลที่การทำความสะอาดแค่บางส่วน มักกลับมาติดซ้ำ
แจ้งคนที่ควรรู้ ขอให้ตรวจสอบใหม่ใน Search Console ถ้า Google แจ้งเตือนเว็บไซต์ไว้ ถ้าข้อมูลส่วนบุคคลอาจถูกเข้าถึง ให้ขอคำปรึกษาโดยเร็ว เช่น ภายใต้มาตรา 33 ของ GDPR ของสหภาพยุโรป การละเมิดที่ต้องแจ้ง ต้องรายงานต่อหน่วยงานกำกับดูแล โดยไม่ชักช้าเกินสมควร และถ้าทำได้ ภายใน 72 ชั่วโมงหลังรับรู้
เสริมความแข็งแรง แล้วเฝ้าดู ผู้ใช้ใหม่ ไฟล์ที่ถูกเปลี่ยน และการพาไปที่อื่น ในช่วงหลายสัปดาห์ต่อมา

ถ้าการทำความสะอาดเผยให้เห็นธีมที่ถูกทิ้งร้าง หรือปลั๊กอินที่อัปเดตไม่ได้ การทำความสะอาดก็แค่ช่วยซื้อเวลา นั่นคือหนึ่งใน สัญญาณว่าเว็บไซต์ของคุณต้องรีดีไซน์

ขั้นต่อไป

คู่มือนี้ครอบคลุมสิ่งที่ต้องตั้งค่าครั้งเดียว การรักษาให้มันทำงานต่อไป คือกิจวัตรรายสัปดาห์และรายเดือน ทั้งการอัปเดต การตรวจข้อมูลสำรอง และการเฝ้าระวัง ตามที่ระบุไว้ใน เช็กลิสต์การดูแลเว็บไซต์

ถ้าไม่อยากรับกิจวัตรนั้นไว้เอง แผนดูแลเว็บไซต์ ของเราครอบคลุมการอัปเดต WordPress ธีม และปลั๊กอิน การสำรองข้อมูลเป็นประจำ การเฝ้าระวังความปลอดภัย และการตรวจสอบว่าเว็บไซต์ออนไลน์ตลอดเวลา พร้อมทำความสะอาดถ้ามีอะไรหลุดรอดเข้ามา ไม่แน่ใจว่าเว็บไซต์ของคุณผ่านเก้าขั้นตอนนี้แค่ไหน? ตรวจสอบเว็บไซต์ฟรี ของเรามีการตรวจความปลอดภัยรวมอยู่ด้วย คุณจะได้รู้ว่าควรปิดช่องโหว่ไหนก่อน

ความปลอดภัย WordPress: คู่มือเสริมความแข็งแรงให้เว็บไซต์ธุรกิจ