Hướng Dẫn Bảo Mật Đường Dẫn Đăng Nhập WordPress Bằng WP OneKit (Chống Dò Quét & Tấn Công Brute Force)

1. Cơ Chế Hoạt Động & Ưu Điểm Của WP OneKit

• Tự động chặn truy cập mặc định: Khi kích hoạt, toàn bộ lượt truy cập vào /wp-login.php, /wp-admin, hay /login từ người dùng chưa xác thực sẽ bị chặn đứng và hiển thị trang thông báo 404 Not Found.
• Không làm lộ mã nguồn: Bot quét lỗ hổng sẽ nhận diện website của bạn như không có hệ thống quản trị tại các đường dẫn quen thuộc, từ đó giảm thiểu hơn 90% tải CPU máy chủ do các đợt cào quét gây ra.
• Tích hợp cơ chế khôi phục khẩn cấp 2 lớp: Cung cấp khóa cứu hộ (Recovery Key) và cờ tắt khẩn cấp trong wp-config.php, loại bỏ hoàn toàn rủi ro bị khóa ngoài quản trị (admin lockout).
• An toàn tuyệt đối khi cập nhật: Việc tải đè các bản cập nhật plugin mới dạng file ZIP không bao giờ làm mất slug bí mật mà bạn đã lưu.

2. Lưu Ý Quan Trọng Trước Khi Kích Hoạt

⚠️ Khuyến cáo chống xung đột: Nếu website đang cài đặt các plugin có cùng chức năng đổi đường dẫn như WPS Hide Login, iThemes Security (Hide Backend) hoặc các module login của plugin bảo mật khác, bạn bắt buộc phải Deactivate (hoặc Xóa) các plugin này trước. Việc chạy song song hai bộ lọc chuyển hướng cùng lúc sẽ gây xung đột vòng lặp redirect (Redirect Loop) hoặc làm khóa link đăng nhập.

3. Các Bước Cấu Hình Chi Tiết

Bước 1: Mở Cài Đặt Module Trong WP OneKit

1. Truy cập vào trang quản trị WordPress (wp-admin).
2. Vào menu WP OneKit $\rightarrow$ chọn tab Cài đặt (hoặc tab Bảo mật trên bản Pro).
3. Tìm đến mục Đổi đường dẫn đăng nhập (Custom Login URL).
4. Bật công tắc kích hoạt sang trạng thái BẬT (mặc định công tắc này luôn TẮT khi mới cài đặt để đảm bảo an toàn cho người dùng mới).

Bước 2: Thiết Lập Slug Đăng Nhập Bí Mật

• Trong ô Đường dẫn đăng nhập mới, điền chuỗi định danh bí mật mà bạn muốn sử dụng.
• Quy tắc đặt slug: Chỉ sử dụng chữ cái thường không dấu, chữ số và dấu gạch ngang (Ví dụ: quan-tri-2026, atn-gateway, he-thong-rieng). Tuyệt đối không dùng các từ quá phổ biến như admin, login, signin.
• Đường dẫn đăng nhập mới của bạn sẽ có cấu trúc:

  Plaintext

  https://tenmiencuaban.com/slug-bi-mat/
  ```
  

• 👉 Hành động bắt buộc: Hãy bấm tổ hợp phím Ctrl + D (trên máy tính) để Bookmark (Lưu dấu trang) ngay địa chỉ URL mới này trên trình duyệt của bạn trước khi tiếp tục.

Bước 3: Lưu Lại Khóa Cứu Hộ (Recovery Key)

• Bạn hãy sao chép và lưu khóa này vào một nơi an toàn (ghi chú máy tính cá nhân, sổ tay hoặc ứng dụng quản lý mật khẩu).
• Trường hợp bạn quên mất đường dẫn bí mật đã đặt, bạn chỉ cần gõ đường dẫn trang chủ kèm chuỗi cứu hộ theo mẫu:

  Plaintext

  https://tenmiencuaban.com/?at_recovery_key=chuoi_khoa_cua_ban
  ```
  Hệ thống sẽ ngay lập tức mở lại màn hình đăng nhập cho bạn mà không cần can thiệp vào máy chủ.
  
  

Bước 4: Lưu Thay Đổi & Kiểm Tra Thực Tế

1. Cuộn xuống chân trang và nhấn nút Lưu thay đổi.
2. Không đóng cửa sổ trình duyệt hiện tại. Mở một cửa sổ ẩn danh mới (Incognito Window) bằng cách nhấn Ctrl + Shift + N.
3. Thử truy cập vào link cũ: [https://tenmiencuaban.com/wp-admin](https://tenmiencuaban.com/wp-admin) $\rightarrow$ Website phải trả về trang 404 Không tìm thấy trang[cite: 41].
4. Truy cập vào link mới: [https://tenmiencuaban.com/slug-bi-mat/](https://tenmiencuaban.com/slug-bi-mat/) $\rightarrow$ Website hiển thị chuẩn xác form đăng nhập quản trị[cite: 41].
5. Đăng nhập thử bằng tài khoản quản trị để xác nhận truy cập thành công[cite: 41].

4. Hướng Dẫn Cứu Hộ Khẩn Cấp (Khi Quên Link Đăng Nhập)

Cách 1: Tắt Tạm Thời Qua Tệp wp-config.php

1. Đăng nhập vào cPanel / Hostinger File Manager hoặc FTP máy chủ của bạn.
2. Mở file cấu hình wp-config.php ở thư mục gốc website.
3. Thêm dòng code sau vào ngay phía trên dòng /* That's all, stop editing! Happy publishing. */:

   PHP

   define('WP_ONEKIT_DISABLE_LOGIN_HIDE', true);
   

4. Lưu tệp lại. Ngay lập tức, tính năng ẩn đường dẫn sẽ tạm dừng hoạt động và bạn có thể đăng nhập lại qua /wp-login.php như bình thường. Sau khi đăng nhập vào lấy lại slug, bạn chỉ cần xóa dòng code trên đi.

Cách 2: Đổi Tên Thư Mục Plugin