ติดตั้งและตั้งค่าปลั๊กอิน WordPress ที่จำเป็น (SEO, Backup, Security)

ITSCI Laboratorywordpress plugins seo security backup

10306241 Content Management System

LESSON 07 — Lab ปฏิบัติการ: ติดตั้งและตั้งค่าชุดปลั๊กอินที่จำเป็นสำหรับเว็บ WordPress

รูปแบบ: ปฏิบัติการเดี่ยว (1 คน) — ทำบนเว็บไซต์ WordPress ของตนเอง (Local หรือ Staging เท่านั้น) อาจารย์ผู้สอน: Prof. Dr. Watcharin Sarachai — สาขาวิชาเทคโนโลยีสารสนเทศ

เอกสารนี้ขยายจากกิจกรรมปฏิบัติการท้ายบทที่ 08 (สไลด์หน้า 34) ให้เป็นขั้นตอนละเอียดแบบ Step by Step สำหรับคาบปฏิบัติการ

1. วัตถุประสงค์การเรียนรู้

เมื่อจบกิจกรรมนี้ นักศึกษาจะสามารถ:

ติดตั้งและตั้งค่าปลั๊กอิน SEO (Yoast SEO) ให้คะแนน SEO และ Readability เป็นสีเขียวได้
ตั้งค่าระบบสำรองข้อมูลอัตโนมัติไปยัง Google Drive ด้วย UpdraftPlus และทดสอบการกู้คืนได้
ตั้งค่าปลั๊กอินความปลอดภัย Wordfence ครบ 4 องค์ประกอบหลัก (Firewall, Malware Scan, 2FA, Email Alert)
ตรวจสอบความปลอดภัยของปลั๊กอินที่ติดตั้งผ่านฐานข้อมูล Patchstack และสรุปผลเป็นทะเบียนปลั๊กอิน (Plugin Register)
อธิบายเหตุผลเชิงความปลอดภัย (Zombie Plugin, CVE, หลักการใช้ปลั๊กอินน้อยที่สุด) ประกอบการตัดสินใจเก็บ/ลบปลั๊กอินแต่ละตัว

2. สิ่งที่ต้องเตรียมก่อนเริ่ม (Prerequisites)

รายการ	รายละเอียด
เว็บไซต์ WordPress	ติดตั้งบน Local (LocalWP / XAMPP) หรือ Staging subdomain เท่านั้น ห้ามใช้เว็บ Production จริงเด็ดขาด (กฎทองจากสไลด์หน้า 16)
สิทธิ์ผู้ดูแลระบบ	Username/Password ระดับ Administrator ของเว็บที่จะใช้ทำแล็บ
บัญชี Google	สำหรับเชื่อมต่อ Google Drive ในส่วน UpdraftPlus
แอปยืนยันตัวตน (TOTP)	Google Authenticator หรือ Authy ติดตั้งบนมือถือ สำหรับเปิด 2FA ใน Wordfence
อีเมลที่เข้าถึงได้จริง	สำหรับรับการแจ้งเตือนจาก Wordfence
อินเทอร์เน็ต	ใช้ต่อเนื่องได้ตลอดคาบ (ดาวน์โหลดปลั๊กอิน, เชื่อม Google Drive, ค้นข้อมูลบน patchstack.com)
Google Docs/Word/สเปรดชีต	สำหรับบันทึกทะเบียนปลั๊กอินและแคปหน้าจอ

3. ขั้นตอนเตรียมความพร้อม

เข้าสู่ระบบ wp-admin ของเว็บไซต์ที่ใช้ทำแล็บ
ไปที่ Dashboard → Updates และอัปเดต WordPress core, ธีม และปลั๊กอินที่มีอยู่เดิมทั้งหมดให้เป็นเวอร์ชันล่าสุดก่อนเริ่ม
แคปหน้าจอ Dashboard → Plugins → Installed Plugins เก็บไว้เป็นหลักฐาน "ก่อนทำแล็บ" (Before) — จะใช้เปรียบเทียบตอนสรุปผล
เปิดไฟล์บันทึกผลลัพธ์ (Google Docs/สเปรดชีต) ตั้งชื่อไฟล์ว่า Lab07_ชื่อ-รหัสนักศึกษา เตรียมไว้สำหรับแปะภาพหน้าจอระหว่างทำ

⚠️ ข้อควรระวัง: ห้ามข้ามขั้นตอนนี้ — การอัปเดตล่วงหน้าช่วยลดโอกาสเกิดปลั๊กอินขัดแย้งกันระหว่างแล็บ

4. ส่วนที่ A — ติดตั้งและตั้งค่า Yoast SEO

เป้าหมาย: ทำให้บทความตัวอย่างมีคะแนน SEO analysis และ Readability เป็นสีเขียวทั้งคู่

ขั้น	การกระทำ	รายละเอียด/เส้นทางเมนู	ผลลัพธ์ที่ต้องได้
A1	ติดตั้งปลั๊กอิน	`Dashboard → Plugins → Add New Plugin` → ค้นหา "Yoast SEO" → `Install Now` → `Activate`	ปลั๊กอินขึ้นสถานะ Active ในรายการ
A2	รันตัวช่วยตั้งค่าเริ่มต้น	เมนู Yoast SEO ที่เพิ่มเข้ามา → `First-Time Configuration`	เลือกประเภทเว็บไซต์ (เช่น Blog/Business) และองค์กร/บุคคลให้ตรงกับเว็บจริง
A3	เชื่อมต่อ Google Search Console (ถ้าทำได้บน staging)	ทำตามขั้นตอนในตัวช่วย หรือข้ามได้หากเป็นเว็บ Local ที่ไม่มีโดเมนสาธารณะ — ให้บันทึกเหตุผลในรายงานหากข้าม	บันทึกสถานะ เชื่อมต่อสำเร็จ/ข้ามพร้อมเหตุผล
A4	สร้างบทความทดสอบ	`Posts → Add New` ตั้งชื่อ เช่น "รีวิวร้านกาแฟในเชียงใหม่" เขียนเนื้อหาอย่างน้อย 300 คำ	มีบทความ Draft พร้อมแก้ SEO
A5	กำหนด Focus Keyword	เลื่อนลงไปที่กล่อง Yoast SEO ท้ายโพสต์ → ใส่ Focus Keyphrase เช่น "ร้านกาแฟเชียงใหม่"	ระบบเริ่มวิเคราะห์อัตโนมัติ
A6	แก้ไขผลวิเคราะห์ SEO	ปรับ Title, Slug/URL, ย่อหน้าเปิด และ Meta description ตามคำแนะนำของ Yoast จนสถานะ SEO analysis เป็นวงกลมสีเขียว	คะแนน SEO = เขียว
A7	แก้ไขผลวิเคราะห์ Readability	ปรับความยาวประโยค ลด passive voice เพิ่มหัวข้อย่อย (Heading) จนสถานะ Readability เป็นวงกลมสีเขียว	คะแนน Readability = เขียว
A8	ตรวจ XML Sitemap	เปิด URL `/sitemap_index.xml` ของเว็บในเบราว์เซอร์	เห็นรายการ sitemap ที่สร้างอัตโนมัติ
A9	ตรวจ Schema/Social preview	ในกล่อง Yoast แท็บ Social → ดูตัวอย่าง Facebook/Twitter Card	เห็นตัวอย่างการ์ดที่ถูกต้อง
A10	เผยแพร่บทความ	คลิก `Publish`	บทความขึ้นสถานะ Published

สิ่งที่ต้องแคปหน้าจอส่ง: (1) ผล SEO analysis สีเขียว (2) ผล Readability สีเขียว (3) หน้า sitemap.xml

5. ส่วนที่ B — ติดตั้งและตั้งค่า UpdraftPlus

เป้าหมาย: มีระบบสำรองข้อมูลอัตโนมัติรายวันไปยัง Google Drive และพิสูจน์ได้ว่ากู้คืนได้จริง

ขั้น	การกระทำ	รายละเอียด/เส้นทางเมนู	ผลลัพธ์ที่ต้องได้
B1	ติดตั้งปลั๊กอิน	`Plugins → Add New` → ค้นหา "UpdraftPlus" → `Install Now` → `Activate`	ปลั๊กอิน Active
B2	เปิดหน้าตั้งค่า	`Settings → UpdraftPlus → แท็บ Settings`	เห็นตัวเลือกกำหนดเวลาสำรองไฟล์/ฐานข้อมูล
B3	กำหนดเวลาสำรองไฟล์	ตั้งเป็น ทุกวัน (Daily)	เก็บไว้: 7 ชุดล่าสุด
B4	กำหนดเวลาสำรองฐานข้อมูล	ตั้งเป็น ทุกวัน (Daily)	เก็บไว้: 7 ชุดล่าสุด
B5	เลือกพื้นที่จัดเก็บระยะไกล	เลือก Google Drive	คลิก `Save Changes` เพื่อยืนยันการเลือก
B6	เชื่อมต่อบัญชี Google	คลิก "Authenticate with Google" → ล็อกอินด้วยบัญชี Google → กด Allow/อนุญาตการเข้าถึง	ระบบพากลับมาหน้า UpdraftPlus พร้อมสถานะเชื่อมต่อสำเร็จ
B7	เปิดสำรองข้อมูลอัตโนมัติก่อนอัปเดต	กลับไปแท็บ Settings → ติ๊ก "Backup before plugin/theme updates" → `Save Changes`	ตัวเลือกถูกบันทึก
B8	สำรองข้อมูลครั้งแรกด้วยมือ	คลิกปุ่ม "Backup Now" → ในหน้าต่างที่ขึ้นมา ติ๊กทั้ง Database และ Files → กด Backup Now	แถบสถานะแสดงความคืบหน้าจนเสร็จ (100%)
B9	ตรวจสอบไฟล์ใน Google Drive	เปิด drive.google.com ด้วยบัญชีเดียวกัน → หาโฟลเดอร์ `UpdraftPlus`	เห็นไฟล์ .zip ของฐานข้อมูลและไฟล์ที่สำรองไว้
B10	ทดสอบการกู้คืน (Restore)	`UpdraftPlus → Existing Backups → Restore` → เลือกชุดสำรองที่เพิ่งสร้าง → เลือกส่วนประกอบ (แนะนำเลือกเฉพาะ Database เพื่อความรวดเร็ว) → ดำเนินการกู้คืน	เว็บไซต์ยังทำงานปกติหลังกู้คืน ไม่มี error

สิ่งที่ต้องแคปหน้าจอส่ง: (1) หน้าตั้งค่ากำหนดเวลาสำรอง (2) โฟลเดอร์ UpdraftPlus ใน Google Drive ที่มีไฟล์ (3) ข้อความยืนยันการกู้คืนสำเร็จ

💡 หมายเหตุ: หากอินเทอร์เน็ตในห้องช้า การอัปโหลดไป Google Drive อาจใช้เวลานาน ให้เริ่มขั้นตอนนี้ก่อนแล้วสลับไปทำงานอื่นระหว่างรอได้

🔔 พักเบรก

6. ส่วนที่ C — ติดตั้งและตั้งค่า Wordfence

เป้าหมาย: เปิดใช้ Firewall แบบ Extended Protection, สแกนมัลแวร์เต็มรูปแบบ, เปิด 2FA ให้บัญชีผู้ดูแลระบบ และตั้งการแจ้งเตือนทางอีเมล — ครบ 5 ขั้นตอนตามสไลด์หน้า 24

ขั้น	การกระทำ	รายละเอียด/เส้นทางเมนู	ผลลัพธ์ที่ต้องได้
C1	ติดตั้งปลั๊กอิน	`Plugins → Add New` → ค้นหา "Wordfence Security" → `Install Now` → `Activate`	ปลั๊กอิน Active
C2	รันตัวช่วยตั้งค่าเริ่มต้น	`Wordfence → Dashboard` → กรอกอีเมลสำหรับรับการแจ้งเตือน → ทำตัวช่วยตั้งค่าให้เสร็จ	มีอีเมลผูกกับระบบแจ้งเตือนแล้ว
C3	เปิดการป้องกันไฟร์วอลล์แบบขยาย	`Firewall → Firewall Status` → คลิก "Optimize Wordfence Firewall" → ทำตามคำแนะนำให้ปลั๊กอินแก้ไขไฟล์ `.htaccess`	สถานะไฟร์วอลล์ขึ้นเป็น Extended Protection (สีเขียว)
C4	รันสแกนมัลแวร์เต็มรูปแบบ	`Scan → Start New Scan` → รอจนสแกนเสร็จ	ดูรายงานผล — หากพบปัญหาระดับ Critical/High ให้บันทึกและแก้ไข (หรือรายงานในเอกสารส่งงานหากแก้ไขจริงไม่ได้บนเว็บทดสอบ)
C5	ตั้งเวลาสแกนอัตโนมัติรายสัปดาห์	`Scan → Scheduling`	ตั้งค่าความถี่เป็นรายสัปดาห์
C6	เปิด 2FA ให้บัญชีผู้ดูแลระบบ	`Login Security → Add` → เลือกบัญชี Administrator ของตนเอง	ระบบแสดง QR Code
C7	สแกน QR Code ด้วยแอป TOTP	เปิด Google Authenticator/Authy บนมือถือ → สแกน QR Code ที่ได้จาก C6 → กรอกรหัส 6 หลักที่แอปสร้างขึ้นเพื่อยืนยัน	ระบบยืนยันการเปิดใช้ 2FA สำเร็จ
C8	ทดสอบล็อกอินด้วย 2FA	ออกจากระบบ (Log out) แล้วล็อกอินใหม่	ระบบถาม One-Time Code จากแอป TOTP ก่อนเข้า Dashboard ได้
C9	ตั้งค่าการแจ้งเตือนทางอีเมล	`All Options → Email Alert Preferences` → เปิด: แจ้งเตือนเมื่อมีผู้ดูแลใหม่, ผู้ดูแลเข้าสู่ระบบจาก IP ใหม่, พบมัลแวร์	บันทึกการตั้งค่า
C10	จำกัดความถี่การแจ้งเตือน	ในหน้าเดียวกัน ตั้งค่า throttle/limit เพื่อไม่ให้อีเมลท่วมกล่องขาเข้า	บันทึกการตั้งค่า

สิ่งที่ต้องแคปหน้าจอส่ง: (1) สถานะ Firewall = Extended Protection (2) สรุปผลการสแกนมัลแวร์ (3) หน้ายืนยัน 2FA เปิดใช้งานสำเร็จ (4) หน้าตั้งค่า Email Alert

⚠️ ข้อควรระวัง: เก็บรหัสสำรอง (Backup codes) ของ 2FA ไว้ให้ดี หากทำเว็บ Local หายหรือรีเซ็ต แอป TOTP อาจไม่ตรงกับรอบใหม่ ให้ปิด/เปิดใหม่ผ่านฐานข้อมูลหรือถามผู้สอนหากล็อกตัวเองออกไม่ได้

7. ส่วนที่ D — ตรวจสอบความปลอดภัยของปลั๊กอินด้วย Patchstack

เป้าหมาย: ตรวจสอบปลั๊กอินที่ติดตั้งทั้งหมด (รวมปลั๊กอินเดิมของเว็บถ้ามี) และจัดทำทะเบียนปลั๊กอินพร้อมข้อสรุปว่าจะ "เก็บ" หรือ "ลบ" แต่ละตัว โดยอ้างอิงรายการตรวจสอบ 8 ข้อจากสไลด์หน้า 13 และขั้นตอนตรวจสอบรายไตรมาสจากสไลด์หน้า 17

ขั้น	การกระทำ	รายละเอียด	ผลลัพธ์ที่ต้องได้
D1	แสดงรายการปลั๊กอินทั้งหมด	`Dashboard → Plugins → Installed Plugins`	เห็นรายการปลั๊กอินทั้งที่ใช้งานและไม่ใช้งาน
D2	บันทึกวันที่ Last Updated	คลิกดูรายละเอียด (View details) ของปลั๊กอินอย่างน้อย 3 ตัว (เช่น Yoast SEO, UpdraftPlus, Wordfence หรือปลั๊กอินอื่นที่ติดมากับเว็บ)	บันทึกวันที่อัปเดตล่าสุดของแต่ละตัว
D3	ค้นหาแต่ละปลั๊กอินบน Patchstack	เปิด `patchstack.com/database` → ค้นหาชื่อปลั๊กอินทีละตัว	บันทึกจำนวน CVE ที่พบของแต่ละตัว
D4	ตรวจรายละเอียด CVE (ถ้ามี)	ดูคะแนน CVSS (0–10), ประเภทช่องโหว่, เวอร์ชันที่ได้รับผลกระทบ, สถานะการแก้ไข (มีแพตช์แล้ว/ยังไม่แก้)	บันทึกผลตามตารางแนวทางการตัดสินใจ (ดูหัวข้อ 7.1)
D5	จัดทำทะเบียนปลั๊กอิน	กรอกตาราง: ชื่อปลั๊กอิน \| Last Updated \| จำนวน CVE ที่พบ \| CVE ยังไม่แก้หรือไม่ \| การตัดสินใจ (เก็บ/ลบ/เฝ้าดู) \| เหตุผล	ได้ตารางทะเบียนปลั๊กอินฉบับสมบูรณ์
D6	ลงมือปฏิบัติตามการตัดสินใจ	หากพบปลั๊กอินที่เข้าเกณฑ์ Zombie Plugin (ไม่อัปเดตเกิน 2 ปี) หรือมี CVE ที่ยังไม่แก้ → `Deactivate` แล้ว `Delete` ตามลำดับ (ห้ามข้ามขั้นปิดใช้งาน)	เว็บไซต์เหลือเฉพาะปลั๊กอินที่ผ่านเกณฑ์

7.1 ตารางแนวทางการตัดสินใจ (อ้างอิงสไลด์หน้า 14)

ผลที่พบใน Patchstack	ความหมาย	การตัดสินใจ
ไม่พบ CVE	ไม่มีช่องโหว่ที่บันทึกไว้	ปลอดภัยพอที่จะเก็บไว้
มี CVE แต่มีแพตช์แล้ว	มีช่องโหว่แต่ได้รับการแก้ไขในเวอร์ชันล่าสุด	เก็บไว้ได้ เฉพาะเมื่ออัปเดตเป็นเวอร์ชันล่าสุดแล้วเท่านั้น
มี CVE ที่ยังไม่ได้แก้	ผู้พัฒนายังไม่แก้ไข	ห้ามติดตั้ง/ต้องลบทันที
คะแนน CVSS ≥ 7.0	ช่องโหว่ระดับสูง/วิกฤต	หลีกเลี่ยง ไม่ว่าจะมีแพตช์หรือไม่
มี CVE ในอดีตหลายรายการ	มีปัญหาความปลอดภัยซ้ำ ๆ	พิจารณาทางเลือกอื่นที่ปลอดภัยกว่า

สิ่งที่ต้องส่ง: ตารางทะเบียนปลั๊กอินฉบับสมบูรณ์ (ขั้น D5) พร้อมภาพหน้าจอผลค้นหาจาก patchstack.com อย่างน้อย 3 ภาพ

8. สรุปผลและส่งงาน

แคปหน้าจอ Dashboard → Plugins → Installed Plugins อีกครั้ง (After) เปรียบเทียบกับภาพ "ก่อนทำแล็บ" ในหัวข้อที่ 3
รวบรวมไฟล์และภาพหน้าจอทั้งหมดตามรายการในหัวข้อ 9
เขียนสรุปสั้น ๆ (5–8 บรรทัด) ตอบคำถามท้ายแล็บ (หัวข้อ 10)
ส่งไฟล์ผ่านช่องทางที่อาจารย์กำหนด

9. รายการสิ่งที่ต้องส่ง (Deliverables Checklist)

10. คำถามท้ายแล็บ (สำหรับเขียนสรุป)

เพราะเหตุใดจึงต้องปิดใช้งาน (Deactivate) ปลั๊กอินก่อนลบ (Delete) เสมอ?
หากพบปลั๊กอินที่มี CVE ระดับ CVSS 8.5 แต่ยังไม่มีแพตช์ นักศึกษาจะตัดสินใจอย่างไร เพราะเหตุใด?
เพราะเหตุใดจึงไม่ควรทดสอบปลั๊กอินใหม่บนเว็บ Production โดยตรง?
Zombie Plugin คืออะไร และมีสัญญาณอะไรบ้างที่บ่งบอกว่าปลั๊กอินตัวหนึ่งกำลังจะกลายเป็น Zombie Plugin?
จากปลั๊กอินที่ติดตั้งในแล็บนี้ (Yoast SEO, UpdraftPlus, Wordfence) ตัวใดควรเปิด Auto-update และตัวใดไม่ควร เพราะเหตุใด? (อ้างอิงสไลด์หน้า 31)

11. กิจกรรมเสริมสำหรับผู้ที่ทำเสร็จก่อนเวลา (ไม่บังคับ)

หากทำครบ 4 ส่วนก่อนหมดเวลา ให้เลือกทำกิจกรรมเสริมข้อใดข้อหนึ่งเพื่อคะแนนพิเศษ:

ตัวเลือกที่ 1 — ปลั๊กอินแคช/ประสิทธิภาพ

ติดตั้ง LiteSpeed Cache (ฟรี) หรือ WP Rocket (หากมีไลเซนส์)
เปิดใช้งาน Page Cache + Browser Cache + GZIP Compression + Lazy Load Images
บันทึกผลก่อน/หลัง ด้วยเครื่องมือวัดความเร็ว เช่น PageSpeed Insights หรือ GTmetrix

ตัวเลือกที่ 2 — WP-CLI

เปิด Terminal/SSH เข้าเว็บไซต์ (หากสภาพแวดล้อมรองรับ)
รันคำสั่ง wp plugin list และ wp plugin update --all --dry-run
อธิบายผลลัพธ์ที่ได้ในรายงาน

ตัวเลือกที่ 3 — วินิจฉัยความขัดแย้งของปลั๊กอิน

ติดตั้งปลั๊กอินแคช 2 ตัวพร้อมกันโดยตั้งใจ (เช่น LiteSpeed Cache + ปลั๊กอินแคชอื่น) เพื่อจำลองปัญหา
ทำตามขั้นตอนวินิจฉัย 6 ข้อจากสไลด์หน้า 32 (เปิด WP_DEBUG → ปิดปลั๊กอินทั้งหมด → เปิดทีละตัว → ตรวจ Console/PHP error log)
สรุปว่าปลั๊กอินตัวใดคือสาเหตุของความขัดแย้ง และปลดปลั๊กอินที่ไม่จำเป็นออกก่อนส่งงาน

12. เกณฑ์การให้คะแนน (ตัวอย่าง — อาจารย์ปรับได้)

องค์ประกอบ	คะแนน
ส่วน A: Yoast SEO ตั้งค่าครบ + คะแนนเขียวทั้งสอง	20
ส่วน B: UpdraftPlus ตั้งเวลาสำรอง + เชื่อม Google Drive + กู้คืนสำเร็จ	25
ส่วน C: Wordfence ครบ 4 องค์ประกอบ (Firewall/Scan/2FA/Email Alert)	30
ส่วน D: ทะเบียนปลั๊กอิน ครบถ้วน มีเหตุผลประกอบชัดเจน	15
คำถามท้ายแล็บ	10
กิจกรรมเสริม (คะแนนพิเศษ)	+5
รวม	100 (+5)

เอกสารนี้จัดทำขึ้นเพื่อประกอบการสอนรายวิชา 10306241 Content Management System บทที่ 08: ปลั๊กอินของ WordPress — ความปลอดภัย การจัดการ และชุดปลั๊กอินที่จำเป็น