Backup & Security WordPress 2026 — คู่มือ backup wordpress + ป้องกันเว็บโดนแฮ็กฉบับสมบูรณ์ | Southern Whale

ลองนึกภาพเช้าวันจันทร์ที่เปิดเว็บร้านแล้วเจอภาษาญี่ปุ่นเต็มหน้า เข้าหลังบ้านไม่ได้ เว็บที่ใช้รับออเดอร์มาหลายปีโดน inject สคริปต์ redirect ไปเว็บพนัน และที่แย่กว่านั้นคือ ไม่เคย backup เลยสักครั้ง สถานการณ์แบบนี้เป็นรูปแบบที่ทีมเราเจอซ้ำเวลามีคนติดต่อมาให้ช่วยกู้เว็บ

เรื่องแบบนี้เราเจอบ่อยกว่าที่คิด — เว็บ SME ในภาคใต้ส่วนใหญ่ตั้งเว็บ WordPress เสร็จแล้วก็ปล่อยทิ้ง ไม่อัปเดต ไม่สำรองข้อมูล ไม่มีระบบป้องกัน จนวันที่ปลั๊กอินตัวหนึ่งมีช่องโหว่ หรือรหัสผ่าน admin โดนเดา ทุกอย่างก็จบในไม่กี่ชั่วโมง

ข่าวดีคือ การ backup wordpress และการทำให้เว็บปลอดภัยไม่ใช่เรื่องของโปรแกรมเมอร์เท่านั้น เจ้าของเว็บทั่วไปทำเองได้ ถ้ารู้ลำดับขั้นตอนที่ถูกต้อง บทความนี้คือคู่มือฉบับเต็มที่จะพาคุณตั้งแต่ “ทำไมต้อง backup” ไปจนถึง “กู้เว็บที่โดนแฮ็กกลับมา” และปิดท้ายด้วย checklist ที่ทำตามได้ทันที

backup wordpress คืออะไร และครอบคลุมอะไรบ้าง

Backup wordpress คือการทำสำเนาข้อมูลทั้งหมดของเว็บไซต์ของคุณเก็บไว้ในที่ปลอดภัย เพื่อให้สามารถกู้กลับมาได้เมื่อเว็บเสียหาย ถูกแฮ็ก หรือต้องการย้ายโฮสต์ หลายคนเข้าใจผิดว่า backup คือการ “เซฟไฟล์ธีม” อย่างเดียว แต่จริงๆ แล้วเว็บ WordPress หนึ่งเว็บประกอบด้วยสองส่วนใหญ่ที่ต้องสำรองทั้งคู่:

1. ไฟล์ (Files) — รวมถึงโฟลเดอร์ wp-content (ธีม ปลั๊กอิน รูปภาพที่อัปโหลด), ไฟล์ core ของ WordPress และไฟล์ตั้งค่าอย่าง wp-config.php
2. ฐานข้อมูล (Database) — เก็บเนื้อหาทั้งหมด: โพสต์ เพจ ความคิดเห็น ผู้ใช้ การตั้งค่า และข้อมูล WooCommerce ถ้าเป็นเว็บขายของ

ถ้าคุณ backup แค่ไฟล์แต่ลืม database คุณจะได้ “บ้านที่ไม่มีเฟอร์นิเจอร์” — มีธีม มีปลั๊กอิน แต่ไม่มีบทความ ไม่มีออเดอร์ ไม่มีสมาชิกเลย ในทางกลับกัน backup แค่ database ก็จะขาดรูปภาพและไฟล์อัปโหลดทั้งหมด ดังนั้นจำให้ขึ้นใจ: backup ที่สมบูรณ์ = ไฟล์ + ฐานข้อมูล เสมอ

ทำไม backup สำคัญกว่าที่คุณคิด

หลายคนคิดว่า “เว็บฉันเล็กนิดเดียว คงไม่มีใครมาแฮ็กหรอก” แต่ความจริงคือ บอตอัตโนมัติไม่สนใจว่าเว็บคุณใหญ่หรือเล็ก มันสแกนหาช่องโหว่ทั่วอินเทอร์เน็ตตลอดเวลา

• WordPress เป็นระบบจัดการเว็บที่มีคนใช้มากที่สุดในโลก จึงเป็นเป้าหมายหลักของบอตที่ไล่สแกนช่องโหว่
• รายงานช่องโหว่ WordPress ที่เผยแพร่สาธารณะส่วนใหญ่อยู่ในปลั๊กอินและธีม ไม่ใช่ตัว core
• เว็บที่ไม่มี backup ต้องทำความสะอาดทีละไฟล์ ใช้เวลานานกว่าและไม่มีอะไรรับประกันว่าจะสะอาดจริง ส่วนเว็บที่มี backup สะอาดกู้กลับได้เร็วกว่ามาก

นอกจากภัยจากการแฮ็ก เว็บยังพังได้จากสาเหตุที่ไม่เกี่ยวกับใครเลย เช่น อัปเดตปลั๊กอินแล้วชนกัน, แก้โค้ดผิด, เซิร์ฟเวอร์ล่ม, หรือเผลอลบไฟล์ผิด สิ่งเหล่านี้คือเหตุผลว่าทำไมแม้แต่เว็บที่ปลอดภัยที่สุดก็ยังต้อง backup ถ้าคุณเคยเจอ HTTP Error 500 หลังอัปเดตปลั๊กอิน คุณจะเข้าใจทันทีว่า backup ที่ดีคือ “ปุ่มย้อนเวลา” ที่ช่วยชีวิตได้จริง

กฎทอง 3-2-1: เก็บข้อมูล 3 ชุด, บน 2 ประเภทสื่อที่ต่างกัน, โดยมีอย่างน้อย 1 ชุดเก็บนอกสถานที่ (off-site เช่น cloud) — นี่คือมาตรฐานสากลที่ใช้ได้กับเว็บทุกขนาด

วิธี backup wordpress — 3 วิธีหลักที่ใช้ได้จริง

มีหลายวิธีในการ backup wordpress แต่ละวิธีเหมาะกับคนต่างกัน เรามาดูทั้งสามวิธีหลักพร้อมข้อดีข้อเสีย

วิธีที่ 1: ใช้ปลั๊กอิน UpdraftPlus (แนะนำสำหรับมือใหม่)

UpdraftPlus เป็นปลั๊กอิน backup ที่ได้รับความนิยมที่สุด มีการติดตั้งใช้งานจำนวนมากตามตัวเลขบน WordPress.org และเวอร์ชันฟรีใช้งานได้ครบสำหรับเว็บทั่วไป ขั้นตอน:

1. ไปที่ Plugins → Add New ค้นหา “UpdraftPlus” แล้วกด Install และ Activate
2. ไปที่ Settings → UpdraftPlus Backups
3. กดปุ่ม Backup Now เพื่อทดสอบ backup ครั้งแรก เลือกทั้ง database และ files
4. ตั้งค่าอัตโนมัติที่แท็บ Settings — เลือกความถี่ เช่น database ทุกวัน, files ทุกสัปดาห์
5. สำคัญที่สุด: เลือก Remote Storage เป็น Google Drive, Dropbox หรือ Amazon S3 — อย่าเก็บ backup ไว้บนเซิร์ฟเวอร์เดียวกับเว็บ เพราะถ้าเซิร์ฟเวอร์โดนแฮ็ก backup ก็หายไปด้วย

ข้อดีของ UpdraftPlus คือกู้คืนได้ด้วยปุ่มเดียว — กด Restore เลือกชุดที่ต้องการ ระบบจะทำให้อัตโนมัติ ไม่ต้องยุ่งกับ phpMyAdmin หรือ FTP เลย

วิธีที่ 2: backup ผ่านโฮสต์ (Padvee / cPanel)

โฮสต์ไทยหลายเจ้ารวมถึงแพ็กเกจของ Padvee มักมีระบบ backup ในตัวผ่านแผงควบคุม วิธีนี้ดีตรงที่ไม่ต้องลงปลั๊กอินเพิ่ม ลด overhead บนเว็บ และบางเจ้า backup ให้อัตโนมัติทุกวันถึงสัปดาห์

• เข้าแผงควบคุมโฮสต์ (Padvee panel หรือ cPanel)
• มองหาเมนู Backup / สำรองข้อมูล / JetBackup
• ดาวน์โหลด Full Backup หรือเลือก backup เฉพาะ Home Directory + MySQL Database
• ตรวจสอบว่าโฮสต์เก็บ backup ไว้กี่วัน และเก็บไว้ที่เซิร์ฟเวอร์เดียวกันหรือไม่

ข้อควรระวัง: backup ของโฮสต์มักเป็น “safety net” ของผู้ให้บริการ ไม่ใช่ของคุณโดยตรง บางครั้งเก็บแค่ 7 วัน หรือเก็บบนเครื่องเดียวกับเว็บ จึงไม่ควรพึ่งวิธีนี้อย่างเดียว ให้ดาวน์โหลด full backup ของ Padvee มาเก็บไว้ในเครื่องตัวเองหรือ cloud ของคุณเองเดือนละครั้งเป็นอย่างน้อย

วิธีที่ 3: backup แบบ Manual (DB + Files)

วิธีนี้สำหรับคนที่อยากควบคุมเต็มที่ หรือเว็บที่ใหญ่เกินกว่าปลั๊กอินจะจัดการไหว แบ่งเป็นสองส่วน:

สำรองไฟล์ (Files) ผ่าน FTP/SFTP:

1. ใช้โปรแกรม FileZilla เชื่อมต่อเซิร์ฟเวอร์ด้วยข้อมูล FTP/SFTP
2. ดาวน์โหลดทั้งโฟลเดอร์ของเว็บ (โดยเฉพาะ wp-content และ wp-config.php)
3. บีบอัดเป็น .zip เก็บไว้

สำรองฐานข้อมูล (Database) ผ่าน phpMyAdmin:

1. เข้า phpMyAdmin จากแผงควบคุมโฮสต์
2. เลือก database ของเว็บ → กดแท็บ Export
3. เลือก Format เป็น SQL → กด Go เพื่อดาวน์โหลดไฟล์ .sql

เก็บทั้งไฟล์ .zip และ .sql ไว้ด้วยกัน พร้อมตั้งชื่อระบุวันที่ เช่น myweb-2026-06-23.zip เพื่อให้รู้ว่าเป็น backup ของวันไหน

กู้คืนและย้ายเว็บ WordPress

backup จะไร้ค่าทันทีถ้าคุณกู้คืนไม่เป็น — และนี่คือจุดที่หลายคนพลาด เคยมีลูกค้า backup ทุกวันอย่างขยัน แต่พอเว็บพังจริงกลับงงว่าจะเอาไฟล์ .sql ไปทำอะไรต่อ ดังนั้น ต้องซ้อมกู้คืนอย่างน้อยปีละครั้ง

กู้คืนด้วย UpdraftPlus

วิธีง่ายที่สุด — ไปที่ Settings → UpdraftPlus → แท็บ Existing Backups → เลือกชุดที่ต้องการ → กด Restore → เลือกองค์ประกอบที่จะกู้ (Database, Plugins, Themes, Uploads) → ยืนยัน ระบบทำให้อัตโนมัติภายในไม่กี่นาที

กู้คืน / ย้ายเว็บแบบ Manual

ถ้าต้องการย้ายเว็บไปโฮสต์ใหม่ หรือกู้จาก backup manual:

1. อัปโหลดไฟล์เว็บทั้งหมดขึ้นโฮสต์ใหม่ผ่าน FTP
2. สร้าง database เปล่าบนโฮสต์ใหม่ แล้ว Import ไฟล์ .sql เข้าผ่าน phpMyAdmin
3. แก้ไฟล์ wp-config.php ให้ชื่อ database, username, password ตรงกับโฮสต์ใหม่
4. ถ้าเปลี่ยนชื่อโดเมน ต้องใช้ปลั๊กอินอย่าง Better Search Replace เพื่อแก้ URL เก่าในฐานข้อมูลให้เป็น URL ใหม่ทั้งหมด
5. ตั้งค่า Permalink ใหม่ (Settings → Permalinks → Save) เพื่อรีเฟรช .htaccess

ปลั๊กอินอย่าง Duplicator หรือ All-in-One WP Migration ช่วยให้การย้ายเว็บง่ายขึ้นมาก เพราะรวมไฟล์และ database เป็นแพ็กเกจเดียว เหมาะกับคนที่ไม่อยากยุ่งกับ phpMyAdmin

ซ้อมกู้คืน (Restore Drill): ทดสอบว่า backup ใช้ได้จริง

backup ที่ไม่เคยทดลองกู้ คือ backup ที่ยังไม่รู้ว่าใช้ได้หรือไม่ ไฟล์อาจไม่ครบ ฐานข้อมูลอาจ export ไม่สมบูรณ์ หรือรหัสเข้า cloud ที่เก็บไว้อาจไม่มีใครจำได้ วิธีซ้อมที่ทำได้จริง:

ก่อนซ้อม ตั้งเป้าสองข้อ

• ยอมเสียข้อมูลย้อนหลังได้นานแค่ไหน (RPO) เช่น ร้านที่มีออเดอร์ทุกวันอาจยอมได้ไม่เกิน 1 วัน แปลว่าต้อง backup ฐานข้อมูลอย่างน้อยวันละครั้ง
• ยอมให้เว็บล่มได้นานแค่ไหน (RTO) ตัวเลขนี้บอกว่าต้องเตรียมขั้นตอนและสิทธิ์เข้าระบบไว้พร้อมแค่ไหน

ขั้นตอนซ้อมกู้คืน (ทำบน staging ไม่ใช่เว็บจริง)

1. สร้างเว็บทดสอบ (staging) บนโฮสต์เดิมหรือ subdomain แยก หลายโฮสต์มีปุ่มสร้าง staging ให้
2. ดาวน์โหลด backup ชุดล่าสุดจากที่เก็บ off-site ไม่ใช่ จากเซิร์ฟเวอร์เดียวกับเว็บ เพื่อทดสอบว่าเข้าถึงที่เก็บได้จริง
3. กู้คืนทั้งไฟล์และฐานข้อมูลตามวิธีในหัวข้อก่อนหน้า
4. ตรวจผล: หน้าแรก หน้าบทความล่าสุด รูปภาพ ฟอร์มติดต่อ ล็อกอินหลังบ้าน และถ้าเป็นร้านค้า ให้ดูว่าออเดอร์ล่าสุดอยู่ครบ
5. จับเวลาตั้งแต่เริ่มจนเว็บทดสอบใช้งานได้ แล้วเทียบกับ RTO ที่ตั้งไว้
6. จดขั้นตอน ปัญหาที่เจอ และที่เก็บรหัสผ่านที่ต้องใช้ ลงเอกสารสั้น ๆ เก็บไว้ในที่ที่ทีมเข้าถึงได้
7. ปิดหรือลบ staging หลังซ้อม และตั้ง noindex ไว้ระหว่างซ้อม เพื่อไม่ให้ Google เก็บเว็บซ้ำ

ความถี่: อย่างน้อยปีละครั้ง และทุกครั้งที่เปลี่ยนโฮสต์ เปลี่ยนปลั๊กอิน backup หรือเว็บโตขึ้นมาก ร้านค้าออนไลน์ควรซ้อมทุกไตรมาส

ก่อนอัปเดตใหญ่ทุกครั้ง ให้ backup ด้วยมือก่อนกดอัปเดต ถ้าอัปเดตแล้วเว็บพังหรือปลั๊กอินไม่ทำงาน มีขั้นตอนไล่หาสาเหตุใน ปลั๊กอิน WordPress ไม่ทำงาน แก้อย่างไร และถ้าเว็บล่มทั้งเว็บ ดู เว็บล่มต้องทำอย่างไร

ความปลอดภัย WordPress — ป้องกันก่อนที่จะต้องกู้

backup คือแผนสำรอง แต่การป้องกันคือแนวรับด่านแรก ยิ่งเว็บปลอดภัย โอกาสที่จะต้องใช้ backup ก็ยิ่งน้อยลง มาดูมาตรการสำคัญที่ต้องทำทุกเว็บ

1. อัปเดต Core, Theme, Plugin เสมอ

ช่องโหว่ส่วนใหญ่ที่ถูกใช้โจมตีอยู่ในปลั๊กอินและธีมที่ไม่อัปเดต เปิด auto-update สำหรับ minor releases และอัปเดต plugin/theme ทันทีที่มีแพตช์ความปลอดภัย ลบปลั๊กอินและธีมที่ไม่ใช้แล้วออกให้หมด เพราะแม้ไม่ได้เปิดใช้งานก็ยังเป็นช่องโหว่ได้ ถ้าจะอัปเดตขึ้นเวอร์ชันใหญ่ ลองอ่าน ฟีเจอร์ใหม่ใน WordPress 7 และ backup ก่อนทุกครั้ง

2. รหัสผ่านที่แข็งแรง + ไม่ใช้ admin

• เปลี่ยน username จาก admin เป็นชื่ออื่น (บอตเดา admin เป็นอันดับแรก)
• ใช้รหัสผ่านยาวอย่างน้อย 16 ตัวอักษร ผสมตัวเลขและสัญลักษณ์
• ใช้ password manager อย่า reuse รหัสเดียวกันหลายที่

3. เปิด Two-Factor Authentication (2FA)

แม้รหัสผ่านหลุด แฮ็กเกอร์ก็เข้าไม่ได้ถ้าไม่มีโค้ดจากมือถือคุณ ติดตั้งปลั๊กอินอย่าง Wordfence Login Security หรือ WP 2FA แล้วผูกกับแอป Google Authenticator — ใช้เวลาตั้งค่าไม่นาน แต่ปิดช่องทางเจาะด้วยรหัสผ่านที่หลุดได้อย่างมีนัยสำคัญ

4. จำกัดการ Login (Limit Login Attempts)

ปลั๊กอินอย่าง Limit Login Attempts Reloaded จะบล็อก IP ที่ใส่รหัสผิดเกินจำนวนที่กำหนด ป้องกันการโจมตีแบบ brute-force ที่บอตเดารหัสซ้ำๆ เป็นพันครั้ง

5. Firewall / WAF และ SSL

• ติดตั้งปลั๊กอินความปลอดภัยอย่าง Wordfence หรือ Sucuri ที่มี Web Application Firewall กรองทราฟฟิกอันตรายก่อนถึงเว็บ
• ใช้ Cloudflare เป็นชั้น WAF ระดับ DNS ช่วยกรอง bot และ DDoS ก่อนถึงเซิร์ฟเวอร์ อ่านวิธีตั้งค่าได้ใน คู่มือ Cloudflare ฉบับสมบูรณ์
• ติดตั้ง SSL (HTTPS) ให้ทุกหน้า — ปัจจุบันโฮสต์ส่วนใหญ่ให้ Let’s Encrypt ฟรี ไม่มีข้ออ้างที่จะไม่ใช้

6. ซ่อน / ป้องกันหน้า wp-admin และ wp-login

• เปลี่ยน URL หน้า login ด้วยปลั๊กอิน WPS Hide Login จาก /wp-admin เป็นอย่างอื่น เพื่อหลบบอต
• จำกัดการเข้าถึง wp-login.php ด้วย IP whitelist ถ้าคุณเข้าจากที่ทำงานประจำ
• ปิดการแก้ไฟล์ผ่าน dashboard โดยเพิ่ม define('DISALLOW_FILE_EDIT', true); ใน wp-config.php

สัญญาณว่าเว็บโดนแฮ็ก + วิธีกู้

รู้ทันเร็วเท่าไร กู้ง่ายเท่านั้น สังเกตสัญญาณเหล่านี้:

• เว็บ redirect ไปเว็บแปลกๆ (พนัน ขายยา ภาษาต่างประเทศ)
• มีหน้าหรือโพสต์ที่คุณไม่ได้สร้างโผล่ขึ้นมา
• Google Search Console แจ้งเตือน “This site may be hacked” หรือ “Deceptive site ahead”
• เว็บช้าผิดปกติ หรือมี user admin แปลกหน้าเพิ่มเข้ามา
• โฮสต์ระงับบัญชีเพราะตรวจพบ malware

ขั้นตอนกู้เว็บที่โดนแฮ็ก:

1. อย่าตื่นตระหนก แต่รีบทำ — เปลี่ยนรหัสผ่านทั้งหมด (admin, FTP, database, โฮสต์) ทันที
2. นำเว็บออฟไลน์ชั่วคราว หรือเปิด maintenance mode เพื่อไม่ให้กระจาย malware
3. สแกนด้วย Wordfence หรือ Sucuri เพื่อหาไฟล์ที่ถูก inject
4. กู้จาก backup ชุดที่สะอาด (ก่อนวันที่โดนแฮ็ก) — นี่คือเหตุผลที่ต้องมี backup หลายชุด
5. อัปเดตทุกอย่าง core, theme, plugin ให้เป็นเวอร์ชันล่าสุด และลบปลั๊กอินที่ไม่จำเป็น
6. ขอ review จาก Google ใน Search Console เพื่อลบป้ายเตือน “hacked” หลังทำความสะอาดเสร็จ

ถ้าเว็บโดนหนักมากและคุณกู้เองไม่ไหว การจ้างผู้เชี่ยวชาญทำความสะอาดมัลแวร์ (malware removal) คุ้มกว่าการนั่งงมเอง เพราะแฮ็กเกอร์มักฝัง backdoor ไว้หลายจุดที่มองไม่เห็น

WordPress Hardening Checklist (ปริ้นต์เก็บไว้ได้เลย)

ทำตามรายการนี้ครบ เว็บคุณจะปลอดภัยกว่าเว็บที่ตั้งแล้วปล่อยทิ้งอย่างชัดเจน (ไม่มีระบบไหนปลอดภัย 100% จึงยังต้องมี backup เสมอ):

• ตั้ง backup อัตโนมัติ (database รายวัน, files รายสัปดาห์) เก็บ off-site
• ทดสอบกู้คืน backup อย่างน้อยปีละครั้ง
• อัปเดต core, theme, plugin ให้เป็นล่าสุดเสมอ
• ลบ theme/plugin ที่ไม่ใช้ทั้งหมด
• เปลี่ยน username admin เป็นชื่ออื่น + รหัสผ่านแข็งแรง 16+ ตัว
• เปิด 2FA สำหรับทุกบัญชี admin
• ติดตั้ง Limit Login Attempts
• ติดตั้ง WAF (Wordfence/Sucuri) + Cloudflare
• เปิด SSL (HTTPS) ทุกหน้า
• เปลี่ยน/ซ่อน URL หน้า login
• เพิ่ม DISALLOW_FILE_EDIT ใน wp-config.php
• ตั้งสิทธิ์ไฟล์ (file permission) ให้ wp-config.php เป็น 600 และโฟลเดอร์เป็น 755
• ตรวจสอบ user admin แปลกหน้าเป็นประจำ
• ให้สิทธิ์ผู้ใช้เท่าที่จำเป็น (คนเขียนบทความใช้ Editor/Author ไม่ใช่ Administrator) และลบบัญชีคนที่เลิกทำงานด้วยแล้ว
• ใช้ PHP เวอร์ชันที่ยังได้รับแพตช์ความปลอดภัย (ดูในแผงควบคุมโฮสต์)
• ปิด XML-RPC ถ้าไม่ได้ใช้แอปหรือบริการที่ต้องพึ่งมัน
• ใช้ SFTP แทน FTP และเปลี่ยนรหัสผ่านโฮสต์ ฐานข้อมูล และ FTP เมื่อมีคนออกจากทีม
• ติดตั้งปลั๊กอินและธีมจากแหล่งทางการเท่านั้น ห้ามใช้ตัวเถื่อน (nulled) ที่มักฝังมัลแวร์มาด้วย
• เข้ารหัสหรือจำกัดสิทธิ์โฟลเดอร์ cloud ที่เก็บ backup เพราะ backup มีข้อมูลลูกค้าทั้งหมด
• ตั้ง uptime monitor แจ้งเตือนเมื่อเว็บล่ม

backup และ hardening เป็นส่วนหนึ่งของงานดูแลเว็บที่ต้องทำต่อเนื่อง ดูรายการงานรายสัปดาห์ รายเดือน และรายปีครบใน เช็กลิสต์ดูแลเว็บไซต์

นอกจากความปลอดภัยแล้ว เว็บที่ดีต้องเร็วด้วย ลองอ่านวิธี เพิ่มความเร็ว WordPress ควบคู่กันไป เพราะเว็บที่ปลอดภัยและเร็วคือเว็บที่ติดอันดับและขายได้

คำถามที่พบบ่อย (FAQ)

ควร backup wordpress บ่อยแค่ไหน? ขึ้นกับความถี่ในการอัปเดตเนื้อหา เว็บข่าว/ขายของควร backup database ทุกวัน ส่วนเว็บบริษัทที่อัปเดตน้อยอาจสัปดาห์ละครั้งก็พอ แต่ files ที่ไม่ค่อยเปลี่ยน backup รายสัปดาห์ถึงรายเดือนได้

UpdraftPlus ฟรีพอใช้ไหม หรือต้องจ่ายเงิน? เวอร์ชันฟรีพอสำหรับเว็บส่วนใหญ่ — backup ครบ ตั้งเวลาได้ ส่งขึ้น cloud ได้ เวอร์ชันเสียเงินเพิ่ม incremental backup, migration และ multisite ซึ่งจำเป็นเฉพาะเว็บใหญ่

เก็บ backup ไว้บนเซิร์ฟเวอร์เดียวกับเว็บได้ไหม? ไม่แนะนำอย่างยิ่ง ถ้าเซิร์ฟเวอร์ถูกแฮ็กหรือล่ม backup ก็หายไปด้วย ให้เก็บ off-site บน Google Drive, Dropbox หรือ S3 เสมอ

WordPress backup restore ต่างจากการย้ายเว็บไหม? ใช้ขั้นตอนเกือบเหมือนกัน ต่างกันตรงที่การย้ายเว็บมักเปลี่ยนโฮสต์หรือโดเมน จึงต้องแก้ wp-config.php และแทนที่ URL ในฐานข้อมูลเพิ่ม ส่วนการกู้คืนบนที่เดิมมักกู้ทับได้เลย

ต้องซ้อมกู้คืนบ่อยแค่ไหน? อย่างน้อยปีละครั้ง และทุกครั้งที่เปลี่ยนโฮสต์หรือเปลี่ยนวิธี backup ร้านค้าออนไลน์ที่มีออเดอร์ทุกวันควรซ้อมทุกไตรมาส

สำรองข้อมูล WordPress ต้องเก็บกี่ชุด? อย่างน้อยเก็บย้อนหลังหลายชุด เช่น รายวัน 7 ชุดและรายเดือนอีกหลายชุด เพราะบางครั้งเว็บโดนแฮ็กมานานก่อนจะรู้ตัว ชุดล่าสุดอาจติดมัลแวร์ไปแล้ว

ปลั๊กอินความปลอดภัยตัวเดียวพอไหม? ไม่พอถ้าไม่ทำอย่างอื่นด้วย ปลั๊กอินช่วยกรองและสแกน แต่การอัปเดต รหัสผ่านที่แข็งแรง 2FA สิทธิ์ผู้ใช้ที่เหมาะสม และ backup ที่กู้ได้จริงยังจำเป็นทั้งหมด

เว็บโดนแฮ็กแล้วแต่ไม่มี backup เลย ทำยังไง? สแกนหาและลบไฟล์มัลแวร์ด้วย Wordfence/Sucuri ติดตั้ง WordPress core ใหม่ทับ และตรวจ database หาโค้ดแปลกปลอม กระบวนการนี้ยุ่งยากและไม่การันตี 100% — จึงเป็นเหตุผลว่าทำไม backup สำคัญตั้งแต่วันแรก

สรุป

backup wordpress และความปลอดภัยไม่ใช่ “งานเสริม” แต่คือประกันชีวิตของเว็บไซต์คุณ สรุปสามสิ่งที่ต้องจำ:

1. Backup ที่สมบูรณ์ = ไฟล์ + ฐานข้อมูล เก็บ off-site ด้วยกฎ 3-2-1 และซ้อมกู้คืนจริง
2. ป้องกันด่านแรกคือการอัปเดต + 2FA + WAF — กันการแฮ็กได้ส่วนใหญ่ก่อนที่จะต้องใช้ backup
3. รู้สัญญาณเว็บโดนแฮ็กและขั้นตอนกู้ จะช่วยให้คุณตอบสนองได้ทันก่อนความเสียหายลุกลาม

Southern Whale เป็นทีมฟรีแลนซ์ที่ดูแลเว็บ WordPress ให้ธุรกิจในภาคใต้ ตั้งแต่ตั้งระบบ backup อัตโนมัติแบบ off-site ซ้อมกู้คืน hardening ความปลอดภัย ไปจนถึงช่วยกู้เว็บที่โดนแฮ็ก ถ้าไม่อยากทำเองทุกเดือน ดู รับดูแลเว็บไซต์ WordPress หรือทักมาคุยทาง LINE OA