Security Hardening: Từ 'F' lên 'A+' trên Mozilla Observatory cho website DN

Case study bảo mật website này ghi lại hành trình chúng tôi hardening website của một công ty luật tại TP.HCM — từ điểm F (0/100) lên A+ (125/100) trên Mozilla Observatory, và từ grade C lên A+ trên SSL Labs. Đây là case study chi tiết với từng bước thực hiện, giúp bất kỳ developer nào có thể áp dụng.

Bối cảnh

Khách hàng: Công ty luật với 15 luật sư, chuyên tư vấn doanh nghiệp và M&A.

Website: WordPress, host trên VPS DigitalOcean.

Tại sao cần hardening:

• Đối tác nước ngoài audit website trước khi ký hợp đồng → phát hiện điểm bảo mật F
• Khách hàng gửi thông tin nhạy cảm (hợp đồng, tài liệu pháp lý) qua website
• Yêu cầu tuân thủ Nghị định 13/2023 về bảo vệ dữ liệu cá nhân

Yêu cầu: Đạt A+ trên Mozilla Observatory, A+ trên SSL Labs, đáp ứng OWASP Top 10.

Đánh giá ban đầu

Mozilla Observatory: Grade F (Score: 0/100)

SSL Labs: Grade C

Scan bổ sung

12 bước hardening

Bước 1: Đóng port MySQL (5 phút)

MySQL port 3306 mở ra internet = bất kỳ ai đều có thể thử kết nối.

# Bind MySQL chỉ localhost
sudo nano /etc/mysql/mysql.conf.d/mysqld.cnf
# bind-address = 127.0.0.1

# Update firewall
sudo ufw deny 3306

sudo systemctl restart mysql

Kết quả: MySQL không còn accessible từ internet.

Bước 2: SSL/TLS Hardening (15 phút)

# /etc/nginx/conf.d/ssl-hardening.conf

# Chỉ cho phép TLS 1.2 và 1.3
ssl_protocols TLSv1.2 TLSv1.3;

# Cipher suites mạnh
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers on;

# OCSP Stapling
ssl_stapling on;
ssl_stapling_verify on;
resolver 1.1.1.1 8.8.8.8 valid=300s;

# SSL session caching
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_session_tickets off;

# DH parameters (2048-bit)
ssl_dhparam /etc/nginx/dhparam.pem;

# Generate DH parameters
sudo openssl dhparam -out /etc/nginx/dhparam.pem 2048

Kết quả: SSL Labs: C → A+

Bước 3: Security Headers (10 phút)

# /etc/nginx/conf.d/security-headers.conf

# Chống clickjacking
add_header X-Frame-Options "SAMEORIGIN" always;

# Chống MIME type sniffing
add_header X-Content-Type-Options "nosniff" always;

# XSS Protection
add_header X-XSS-Protection "1; mode=block" always;

# Referrer Policy
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# HSTS (1 năm + subdomains + preload)
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

# Permissions Policy
add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), interest-cohort=()" always;

Kết quả: +75 điểm trên Mozilla Observatory.

Bước 4: Content Security Policy (30 phút)

CSP là header phức tạp nhất — cần test kỹ:

# Phase 1: Report-Only (1 tuần)
add_header Content-Security-Policy-Report-Only "
    default-src 'self';
    script-src 'self' 'unsafe-inline' https://www.googletagmanager.com https://www.google-analytics.com https://www.gstatic.com;
    style-src 'self' 'unsafe-inline' https://fonts.googleapis.com;
    img-src 'self' data: https:;
    font-src 'self' https://fonts.gstatic.com;
    connect-src 'self' https://www.google-analytics.com;
    frame-src 'self' https://www.youtube.com https://www.google.com;
    object-src 'none';
    base-uri 'self';
    form-action 'self';
    frame-ancestors 'self';
    upgrade-insecure-requests;
" always;

# Phase 2: Enforce (sau 1 tuần không có lỗi)
# Đổi Content-Security-Policy-Report-Only → Content-Security-Policy

Kết quả: +25 điểm trên Mozilla Observatory.

Bước 5: Secure Cookies (10 phút)

// wp-config.php — trước "/* That's all, stop editing! */"

// Force secure cookies
@ini_set('session.cookie_httponly', true);
@ini_set('session.cookie_secure', true);
@ini_set('session.cookie_samesite', 'Lax');
@ini_set('session.use_only_cookies', true);

define('COOKIE_DOMAIN', '.yourdomain.com');
define('COOKIEPATH', '/');

# Nginx: Thêm flags cho tất cả cookies
proxy_cookie_path / "/; HTTPOnly; Secure; SameSite=Lax";

Kết quả: +20 điểm.

Bước 6: Update WordPress + Plugins (30 phút)

# WP-CLI update tất cả
wp core update
wp plugin update --all
wp theme update --all
wp core update-db

Bước 7: WordPress Hardening (20 phút)

// wp-config.php

// Tắt file editing trong admin
define('DISALLOW_FILE_EDIT', true);

// Tắt file mods (cài plugin qua admin)
define('DISALLOW_FILE_MODS', true);

// Giới hạn post revisions
define('WP_POST_REVISIONS', 5);

// Custom database prefix (đã có từ cài)
// $table_prefix = 'wp_abc123_';

// Security keys (regenerate)
// https://api.wordpress.org/secret-key/1.1/salt/

# Nginx: WordPress-specific security
location /wp-admin/includes/ { deny all; }
location /wp-includes/theme-compat/ { deny all; }
location /wp-includes/js/tinymce/langs/ { deny all; }
location ~* /wp-config.php { deny all; }
location ~* /readme.html { deny all; }
location ~* /xmlrpc.php { deny all; }

# Chặn PHP execution trong uploads
location ~* /wp-content/uploads/.*\.php$ {
    deny all;
}

Bước 8: Rate Limiting (10 phút)

limit_req_zone $binary_remote_addr zone=login:10m rate=3r/m;
limit_req_zone $binary_remote_addr zone=contact:10m rate=5r/m;

location /wp-login.php {
    limit_req zone=login burst=2 nodelay;
    limit_req_status 429;
    # Thêm: chỉ cho phép IP văn phòng
    # allow 103.x.x.x;
    # deny all;
}

location /wp-admin/admin-ajax.php {
    limit_req zone=contact burst=10 nodelay;
}

Bước 9: 2FA cho Admin (15 phút)

Cài plugin Two Factor Authentication cho WordPress:

wp plugin install two-factor --activate

Bật 2FA bắt buộc cho tất cả admin accounts (Google Authenticator).

Bước 10: Backup & Recovery (20 phút)

Setup backup tự động theo quy tắc 3-2-1:

# Database backup hàng ngày → B2
# Files backup hàng tuần → B2
# Config backup hàng tháng → B2

Bước 11: Monitoring (15 phút)

• UptimeRobot: Kiểm tra uptime mỗi 5 phút
• SSL Monitor: Alert khi SSL sắp hết hạn
• Sucuri SiteCheck: Scan malware hàng tuần

Bước 12: Firewall & WAF (15 phút)

Cloudflare Free:

• DNS proxy → ẩn IP thật
• DDoS protection
• Basic WAF rules
• Rate limiting

Kết quả

Mozilla Observatory

SSL Labs

Security scan

Business impact

Chi phí

Timeline: 12 bước trong 1 ngày

FAQ — Câu hỏi thường gặp

Có cần thuê chuyên gia hay tự làm được?

12 bước trong bài viết đều có thể tự làm nếu bạn quen với Linux và Nginx. Tuy nhiên, CSP (bước 4) cần test kỹ vì có thể break website nếu cấu hình sai. Nếu không chắc chắn, thuê chuyên gia để tránh rủi ro.

A+ trên Mozilla Observatory có giữ được mãi không?

Không tự động — cần maintenance. Khi thêm third-party scripts (analytics, chat widget, ads), CSP cần update. Khi update WordPress/plugins, cần kiểm tra lại. Khuyến nghị: scan lại mỗi tháng 1 lần.

Kết luận

Từ F lên A+ trong 1 ngày — không khó, chỉ cần biết làm gì và làm đúng thứ tự. 12 bước trong case study này áp dụng được cho bất kỳ website nào: WordPress, Laravel, Node.js, hoặc static site.

Nếu bạn cần security audit hoặc dịch vụ hardening website chuyên nghiệp, hãy liên hệ Trinh Digital — chúng tôi đảm bảo A+ trên cả Mozilla Observatory và SSL Labs.