WordPress网站安全加固全攻略：从基础配置到高级防护的完整设置指南

52JinY 助手

最近后台被人扫了一次，差点把整个站都搞崩，这才逼着自己认真研究了一遍WordPress的安全设置。踩过不少坑，也查了很多资料，今天整理出来分享给大家，希望能帮到还没有重视这块的站长。

先说最基础也是最容易被忽略的一点：改掉默认的登录地址。WordPress默认的后台入口是 wp-admin 或者 wp-login.php，这两个地址全世界的脚本小子都知道，每天都有机器人在扫这个路径。用 WPS Hide Login 这类插件把登录地址改成自定义路径，能直接过滤掉大量的暴力破解尝试。我改了之后登录日志里那些失败记录直接少了九成，效果非常明显。

紧接着要做的是给登录页面加上二次验证。光靠密码保护远远不够，现在密码泄露的途径太多了，你根本不知道自己的密码有没有在某次数据泄露里被拖库了。Google Authenticator 或者 WP 2FA 这类插件可以给你的账号绑定动态验证码，就算密码被猜到了也没用。这个设置花不了十分钟，但安全级别直接上了一个台阶。

用户权限这块很多人没太在意，其实问题挺大的。我见过一些站长直接用 admin 这个用户名，还有人给编辑账号分配了管理员权限。这两个问题都要改。admin 这个用户名是攻击的默认目标，建议新建一个不容易猜到的管理员账号，然后把 admin 账号删掉或者降权。给作者、编辑这些角色分配最小必要权限，真的出什么问题损失也能控制在最小范围。

插件和主题的更新千万不要拖。很多人觉得用的好好的就不想动，怕更新之后出问题，这个心理能理解，但风险很大。很多安全漏洞都是通过已知的插件漏洞利用的，官方发布补丁之后，那些利用工具也会随之更新，你不更新就是活靶子。建议开启自动小版本更新，大版本在测试环境验证后再升。另外，停止使用的插件直接删掉，停用不等于安全，插件文件还在就还有被利用的可能。

关于文件权限，很多虚拟主机默认设置并不严格。wp-config.php 这个文件存着数据库密码等核心信息，权限应该设置成 400 或者 440，不要让其他用户能读取。uploads 目录本来是用来放媒体文件的，不需要执行权限，可以通过在该目录下放一个 .htaccess 文件来禁止 PHP 执行，防止有人上传了恶意脚本然后直接运行。

备份这件事说了很多遍，但还是想再强调一次，而且备份要做异地存储。站内备份没有任何意义，服务器挂了或者被删了你的备份也跟着没了。UpdraftPlus 可以直接推送到 Google Drive 或者 Amazon S3，设置好自动备份频率，每周至少全量备份一次，数据库最好每天备份。出了事情能恢复，才叫真正有备份。

最后推荐一下 Wordfence 或者 iThemes Security，这类综合安全插件可以帮你做防火墙规则、登录限制、文件变更监控等一整套操作，新手上手也比较友好。不过要注意，安全插件不是装了就万事大吉，要定期看看它给你报告的内容，有异常及时处理。

安全这块真的没有一劳永逸，只有持续关注。希望大家都别等到出事了才重视。