[modiqi]

为什么 WordPress 安全很重要？

WordPress 占据全球 43% 的网站市场份额，这使它成为黑客的主要目标。常见攻击包括：

• 暴力破解登录
• SQL 注入
• 跨站脚本 (XSS)
• 恶意文件上传
• 后门植入

---

基础安全措施

1. 保持更新

最重要的安全措施：

• WordPress 核心及时更新
• 主题和插件保持最新
• PHP 版本升级到 8.x

// 启用自动更新 （wp-config.php）
define("WP_AUTO_UPDATE_CORE", true);

2. 强密码策略

• 管理员密码至少 16 位
• 包含大小写、数字、特殊字符
• 不同网站使用不同密码
• 使用密码管理器

3. 限制登录尝试

推荐插件：

• Limit Login Attempts Reloaded
• Wordfence
• Login LockDown

配置建议：

• 5 次失败后锁定 15 分钟
• 记录失败登录 IP

4. 双因素认证 (2FA)

推荐方案：

• Google Authenticator
• Wordfence 2FA
• Two Factor Authentication 插件

---

进阶安全配置

修改默认登录地址

// 使用插件如 WPS Hide Login
// 或在 .htaccess 中配置

禁用文件编辑

// wp-config.php
define("DISALLOW_FILE_EDIT", true);

保护 wp-config.php

# .htaccess
<files wp-config.php>
order allow,deny
deny from all
</files>

禁用 XML-RPC

如果不需要远程发布：

# .htaccess
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

设置正确的文件权限

目录: 755
文件: 644
wp-config.php: 600

---

安全插件推荐

插件	特点	适合
Wordfence	功能全面，防火墙+扫描	大多数网站
Sucuri	云端防火墙，CDN	高流量网站
iThemes Security	配置简单	新手
All In One WP Security	免费功能丰富	预算有限

---

备份策略

3-2-1 备份原则

• 3 份备份副本
• 2 种不同存储介质
• 1 份异地备份

推荐备份插件

• UpdraftPlus（免费版够用）
• BlogVault（实时备份）
• Jetpack Backup

备份频率建议

网站类型	建议频率
博客	每周
电商	每日
高频更新	实时

---

被黑后的应急处理

第一步：隔离

1. 启用维护模式
2. 更改所有密码
3. 通知主机商

第二步：分析

1. 检查最近修改的文件
2. 查看访问日志
3. 扫描恶意代码

第三步：清理

1. 从干净备份恢复
2. 或手动清理恶意代码
3. 更新所有组件

第四步：加固

1. 安装安全插件
2. 启用 2FA
3. 设置监控告警

---

安全检查清单

• WordPress 核心是最新版本
• 所有插件和主题已更新
• 使用强密码
• 启用双因素认证
• 限制登录尝试
• 定期备份
• 安装安全插件
• 使用 HTTPS
• 删除未使用的主题和插件
• 禁用文件编辑器

---

安全问题可以 @security 专家协助诊断！

[作者]

帖子