网站安全测试：如何保护您的 WordPress 网站

保持网站“安全”意味着保护其免受恶意软件、攻击者、数据泄露和许多其他潜在安全问题的侵害。 网站安全测试可以帮助您在 WordPress 中的任何漏洞演变成全面问题之前发现它们，从而使这一点成为可能。

WordPress 是一个开箱即用的安全内容管理系统 (CMS)。 然而，在提高网站安全性方面，您始终可以做更多的事情。 安全问题测试是一种主动的方法，可以帮助您避免代价高昂的停机和修复。 此外，保证网站安全有助于维护用户的信任。

在本文中，我们将讨论网站安全测试的关键步骤。 这里的建议是针对 WordPress 网站的。 然而，这些方法中的大多数也可以适用于其他类型的网站。 让我们开始吧！

目录：

1. 扫描您的网站是否存在漏洞
2. 检查用户角色和权限
3. 查看是否有可用的更新
4. 检查 WordPress 活动日志
5. 测试您的备份系统是否正常工作

1. 扫描您的网站是否存在漏洞

我们所说的“漏洞”是指您网站安全方面的潜在弱点。 漏洞可以是任何内容，从过时的插件到使用旧版本的 PHP、未能阻止可疑的 IP 地址等等。

扫描 WordPress 中的漏洞的最简单方法是使用安全插件。 最流行的 WordPress 安全插件提供自动或按需安全漏洞扫描：

为了满足您的需求，我们建议您使用安全插件，该插件还可以让您监控文件更改。 这些类型的扫描仪会告诉您 WordPress 核心文件是否发生了任何更改。 通常，它们还会记录有关更改发生时间的信息，以便您可以追踪安全问题的根源。

如果您需要帮助选择适合您需求的安全插件，我们在这里整理了一份主要选项列表。

如果您不想使用 WordPress 安全插件，另一种选择是利用漏洞数据库，例如 WPScan。 您可以使用 WP-CLI（如果您有权访问它）根据 WPScan 数据库扫描您的网站。

我们建议自动化此过程，以便它至少每天或每周运行一次。 这样，您将始终掌握网站上的任何潜在漏洞，并能够在它们出现时立即介入并修复它们。

2.检查用户角色和权限‍

如果您运行的网站有多个人可以访问仪表板和不同级别的权限，那么定期检查这些内容是值得的。 从安全角度来看，任何用户所拥有的权限都不应超过其执行工作或参与网站所需的最低权限。

为了更好地理解这一点，我们来谈谈管理员用户角色。 在 WordPress（以及大多数系统）中，管理员拥有更改系统配置任何部分的必要权限。 这意味着您可以安装插件、编辑主题、删除内容、更改站点设置以及许多其他您不希望普通用户能够执行的操作。

随着网站的发展，由于某些用户拥有超出所需的权限而出现问题是正常的。 想象一下，您从团队中解雇了某人，但他们保留了对其帐户的访问权限。 如果他们是编辑，他们可以删除或重写内容，这是一个巨大的安全监督。

为了避免这种情况，我们建议每隔几个月检查一次用户角色和权限（取决于您拥有的用户数量）。 检查是否没有人拥有他们不应访问的权限，并根据需要更改用户角色或删除帐户。

3.看看是否有可用的更新️

就网站安全而言，保持 WordPress 及其所有组件最新是您可以做的最重要的事情。 如果可能的话，您应该每天检查仪表板以获取可用的插件、主题和核心更新。 最简单的方法是转到仪表板中的“更新”页面：

该页面包含所有可用的更新，包括插件、主题和核心选项。 或者，您可以启用 WordPress 核心和特定插件的自动更新。

自动更新方法可以节省您的时间。 但是，我们建议在临时站点上测试主要的 WordPress 更新。 这些更新有时会导致插件和主题的兼容性问题，因此在封闭的环境中测试它们会更安全。

每天手动监控网站的更新只需几分钟。 这是保证网站安全的关键，因为过时的软件更有可能包含安全漏洞。

4.检查WordPress活动日志

默认情况下，WordPress 不提供活动日志。 “活动日志”是指您网站上发生的所有事情的记录。 这包括登录尝试、站点配置更改、插件更新以及许多其他类型的事件。

访问活动日志是网站安全测试的关键，因为它使您能够查明可能导致问题的任何事件。 例如，如果您在安全日志中看到有人反复尝试登录您的帐户，您就会知道正在发生暴力攻击。

有很多 WordPress 活动日志插件可供选择。 我们建议查看我们对顶级活动日志插件的综述并对其进行测试，看看哪一个涵盖了您想要监控的事件类型。

一旦您有权访问安全日志，您将需要配置该插件以在发生特定事件时通知您。 这将使您不必每天花时间手动查看日志。 相反，您只会在发生严重情况时才会收到通知。

5. 测试您的备份系统是否正常工作

备份对于任何网站的安全都至关重要。 我们建议为 WordPress 配置自动备份，这样您就不必担心手动创建网站的副本。 随时拥有最新的备份意味着您可以在出现安全问题时轻松恢复您的网站。

仅当您的备份系统功能齐全时，这才有效。 根据您使用的插件或备份工具，它可能会创建不起作用的网站副本。 如果您的服务器或第三方存储系统（这是我们建议使用的系统）上的空间不足，您也可能无法存储备份：

在进行网站安全测试时，我们建议使用临时站点来验证您的备份是否有效。 选择一个或多个最近的备份，然后使用您设置的插件或第三方工具中的恢复功能，并检查它们是否有效。

恢复过程不应显示任何错误，完成后您的网站应正常运行。 根据备份的时间，最近的数据可能不可用，但重要的是它首先可以工作。

关于网站安全测试的最终想法

网站安全测试不应该令人生畏。 您可以在一小时内完成本文中概述的大部分过程。 您这样做的次数越多，您的网站就会越安全，并且可以释放心理空间来专注于运行网站的其他方面。

如何通过进行 ️ 安全测试来保护您的 #WordPress 网站 ️

点击发推文

对于 WordPress，插件通常会在安全方面完成大量繁重的工作，这使得该过程更加简单。 您需要执行以下操作来测试网站的安全性：

您对网站安全测试有任何疑问吗？ 让我们在下面的评论部分讨论它们。