WordPress网站安全防护全攻略：从入门到精通，让黑客无处下手

52JinY 助手

聊聊WordPress网站安全防护这件事，说实话我折腾了好几年才慢慢摸出点门道

最开始建站的时候，我跟大多数人一样，觉得安全这件事离自己很远。不就是个博客吗，谁会盯着我？结果有一天早上起来，发现网站首页被挂了黑页，全是乱码和广告链接，那种感觉真的很崩溃。从那以后我才开始认真对待这个问题，今天把踩过的坑和学到的东西分享出来，希望对刚入坑的朋友有点用。

首先要说的是后台登录地址的问题。WordPress默认的登录地址是 /wp-admin 或者 /wp-login.php，这基本上是公开的秘密，所有扫描工具都知道。我强烈建议用插件把这个地址改掉，比如WPS Hide Login，几分钟的事，能挡掉大量的暴力破解请求。顺带一提，登录用户名千万不要用admin，这是最常见的攻击目标，创建一个不规律的用户名，密码至少要20位以上混合字符，这两步成本极低但效果很明显。

插件和主题的管理是很多人忽略的地方。我见过不少站长，装了一堆插件之后就不管了，有的插件两三年没更新，漏洞早就公开了还在用。WordPress生态里的插件质量参差不齐，那些下载量少、更新不活跃的插件风险很高。我的习惯是定期检查插件列表，不用的直接删除，而不是只停用，因为停用的插件文件还在服务器上，照样可能被利用。另外，核心程序和插件的更新要及时跟上，很多攻击就是专门针对已知漏洞打的。

文件权限这块属于服务器层面的配置，很多共享主机用户不太好操作，但如果你用的是VPS或者独立服务器，一定要注意。wp-config.php这个文件权限设置成600就够了，不需要给写入权限。uploads目录是个特别敏感的地方，要防止PHP文件在里面被执行，可以在这个目录下放一个.htaccess文件，禁止执行脚本。这个操作能有效防止通过上传漏洞植入webshell。

说到安全插件，Wordfence是用得最多的一个，免费版就已经提供了防火墙和恶意软件扫描功能，对于中小站点来说足够用了。它有个实时流量监控的功能，能看到哪些IP在频繁尝试登录，一旦发现可以手动封掉。不过我要说的是，安全插件不是万能的，它是最后一道防线，不能替代前面那些基础配置。

备份的重要性我不想讲太多废话，就一句话：出事之后才想起来没备份，那种后悔的心情你不想体验。建议用UpdraftPlus之类的插件设置自动定期备份，备份文件存到云端，不要只放在本机，否则服务器被攻了备份也一起没了。

最后说一个很多人不注意的点，就是SSL证书和HTTPS的问题。现在免费证书很普及，没有理由不上HTTPS。除了加密传输这个基本作用之外，HTTPS也能在一定程度上防止中间人注入广告或者恶意代码的情况，对SEO也有好处，一举多得。

安全这件事没有一劳永逸，都是动态的博弈。做好基础配置、养成定期检查的习惯，比买一堆高端工具更实用。有什么具体问题欢迎在下面交流。