เช็กลิสต์ความปลอดภัย WordPress ป้องกันเว็บโดนแฮก

27 ส.ค. 2026 · อ่าน 6 นาที · โดย BuildWebPro

ข้อเท็จจริงที่ควรรู้: เว็บส่วนใหญ่ไม่ได้โดนแฮกเพราะแฮกเกอร์เจาะจงเล่นงาน แต่โดนเพราะบอทสแกนอัตโนมัติไล่ยิงช่องโหว่ที่รู้จักกันดีทีละล้านเว็บ — เว็บไหนไม่อัปเดต เว็บนั้นโดน ไม่เกี่ยวกับว่าเว็บเล็กหรือใหญ่ เช็กลิสต์นี้เรียงจากข้อที่ตัดความเสี่ยงได้มากที่สุดก่อน

ระดับ 1: จำเป็น (ตัดความเสี่ยง ~80%)

• อัปเดตทุกอย่างสม่ำเสมอ — Core, Plugin, Theme อย่างน้อยเดือนละครั้ง ช่องโหว่ปลั๊กอินเก่าคือประตูอันดับ 1
• ลบปลั๊กอิน/ธีมที่ไม่ใช้ — ปิดการใช้งานไม่พอ ต้องลบ เพราะไฟล์ยังอยู่และยังโดนเจาะได้
• เลิกใช้ Theme/Plugin เถื่อน (Nulled) เด็ดขาด — ของฟรีพวกนี้ฝังมัลแวร์มาแล้วครึ่งหนึ่งของเคสที่เราเจอ
• รหัสผ่านยาวไม่ซ้ำ + เปิด 2FA — ทุกบัญชี Administrator และเลิกใช้ username "admin"
• Backup อัตโนมัติรายวัน เก็บนอกเซิร์ฟเวอร์ — วันที่โดนจริง สิ่งเดียวที่การันตีว่าธุรกิจไปต่อได้คือ Backup

ระดับ 2: ควรทำ (เว็บธุรกิจทุกเว็บ)

• ติด Firewall (WAF) — Wordfence หรือเปิดผ่าน Cloudflare ฟรีก็ยังดีกว่าไม่มี
• จำกัดจำนวนครั้ง Login ผิด — กัน Brute Force ที่ยิงรหัสผ่านตลอด 24 ชม.
• ปิดการแก้ไขไฟล์จากหลังบ้าน — เพิ่ม define('DISALLOW_FILE_EDIT', true); ใน wp-config.php แฮกเกอร์ที่ได้บัญชี Admin จะฝังโค้ดต่อไม่ได้ทันที
• ให้สิทธิ์ตามหน้าที่จริง — คนลงบทความให้เป็น Editor ไม่ใช่ Administrator ทุกคน
• ใช้ SSL และบังคับ https ทั้งเว็บ

ระดับ 3: ขั้นสูง (WooCommerce / เว็บที่มีข้อมูลลูกค้า)

• สแกนมัลแวร์อัตโนมัติรายวัน + แจ้งเตือนเมื่อไฟล์ Core ถูกแก้
• เปลี่ยน URL หน้า Login จาก /wp-admin เป็นชื่ออื่น
• แยกโฮสติ้ง/VPS ของตัวเอง ไม่ปนกับเว็บคนอื่น
• ตั้ง Activity Log บันทึกว่าใครแก้อะไรเมื่อไหร่

สัญญาณเตือนที่ต้องเช็กทันที

พบข้อใดข้อหนึ่งต่อไปนี้ ให้สแกนเว็บทันที อย่ารอ: มี Admin แปลกปลอมโผล่มา, เว็บช้าลงผิดปกติทั้งที่ไม่ได้แก้อะไร, โฮสต์แจ้งเตือนการใช้ CPU สูง, ลูกค้าบอกว่าเข้าเว็บแล้วเด้งไปที่อื่น, หรือผลค้นหา Google ของเว็บเป็นภาษาแปลกๆ — อ่านวิธีจัดการต่อได้ที่ เว็บโดนแฮก ทำไงดี