如何强化 WordPress：包含基本工具的 18 步指南

如果 WordPress 网站维护不当，它们可能会变得脆弱。 一些跳过的更新或错误的插件，您的网站将面临风险。 如果登录页面未得到适当保护，攻击者还可以通过登录页面进入该页面，或者通过分布式拒绝服务 (DDoS) 攻击使您的网站停止运行。

太多的忧郁和厄运？

幸运的是，如果您采取必要的步骤来强化 WordPress，这些攻击就可以轻松预防。 内容管理系统 (CMS) 使您可以完全控制站点的设置，这意味着您可以实施策略来保护站点免受不同类型的攻击。

在本文中，我们将为您提供有关 WordPress 安全性的完整课程。 我们将讨论您应该使用哪些工具，介绍强化 WordPress 的 18 个步骤，并向您展示 Jetpack Security 如何通过单个插件帮助您确保网站安全。 让我们开始吧！

强化 WordPress 网站的重要性

网络攻击者倾向于在网络上搜寻存在可利用漏洞的网站。 即使您的网站相对较新，攻击者仍然可以将其作为目标来传播恶意软件或窃取数据。

这使得 WordPress 的安全性对于所有网站都至关重要。 截至撰写本文时，已有超过 50,000 个已记录的 WordPress 漏洞。 其中包括 7,800 多个已知易受攻击的插件和大约 670 个主题。

由于 WordPress 的日益普及以及市场上大量新插件和主题的出现，漏洞逐年增加。

如果您的网站成为目标，您可能会失去对其的访问权限，并且您的数据可能会受到损害。 根据违规的严重程度，修复您的网站可能需要一段时间，这可能会导致许多转化丢失。 此外，如果您经营规模较大的在线业务，成为网络犯罪的受害者可能会导致严重的财务损失。

好消息是，您可以采取很多措施来保护您的 WordPress 网站。 但为了确保其安全，您需要积极主动。

强化 WordPress 网站的基本工具

在本指南中，我们将提到几种您可以使用的安全工具。 这些将帮助您实施强化 WordPress 网站的措施。 让我们看看它们是什么。

1. 漏洞扫描器

漏洞扫描器是一种通过您的网站查找安全问题的软件。 对于 WordPress，扫描仪将扫描您网站的文件、插件和主题，以查找攻击者可以利用的潜在保护漏洞。

扫描器将其发现的数据与漏洞数据库（例如 WPScan）进行比较。 这是最大的已知 WordPress 安全漏洞数据库，并且会持续更新。

Jetpack Protect 是扫描网站漏洞的首选。 该插件使您能够通过在网站上运行自动扫描来利用 WPScan 数据库。

如果 Jetpack 检测到漏洞，它会通知您并告诉您如何解决该问题。 在大多数情况下，这将涉及删除或更新易受攻击的插件或主题。

2. 恶意软件扫描程序

恶意软件扫描器的工作原理与漏洞扫描器类似。 在这种情况下，该软件专注于查找受感染的文件并帮助您隔离或删除它们，以便您可以清除网站上的恶意软件。

在大多数情况下，漏洞和恶意软件扫描程序齐头并进。 例如，WPScan 可以帮助您识别 WordPress 网站上的漏洞和恶意软件。

如果您使用 Jetpack 并且有权访问安全计划（或将 Protect 升级到高级版），该插件将扫描您的网站是否存在恶意软件和漏洞。 如果它发现您的网站有任何问题，该插件将为您提供解决这些问题的选项，通常只需单击一两次即可。

3. Web应用程序防火墙（WAF）

您可能熟悉防火墙的概念。 这是一个阻止来自服务器或计算机的传入或传出流量的程序。

Web 应用程序防火墙 (WAF) 的工作原理类似。 它旨在帮助您阻止传入的恶意流量或防止您网站上的恶意软件发送信息。

大多数 WAF 都预先配置了有关阻止哪种连接的规则。 他们甚至可以根据其设置识别已知的恶意 IP 地址。

Jetpack Protect 包括一个具有简单配置设置的 WAF。 您可以将 WAF 设置为使用自动规则，这些规则由 Jetpack 的安全专家定期提供和更新。 这些自动规则旨在阻止高严重性漏洞，因此即使您的扩展程序存在漏洞，WAF 规则也可能能够保护您的网站。

该插件还允许您将特定的 IP 地址放入允许列表或阻止列表中。 如果您想限制谁可以访问仪表板，这会很有用。

4.异地备份解决方案

备份工具会复制您的网站并在需要时恢复它们。 备份背后的想法是，您将始终拥有网站的最新副本，以防网站出现故障或遇到无法轻松修复的安全问题。

为了提高安全性，建议在站点内外存储备份，以防其中一个失败。 这样，您网站的数据就永远不会真正丢失。

虽然您可以手动备份网站，但使用 Jetpack VaultPress Backup 等专用插件可以让您高枕无忧，并使整个过程自动化。

该插件可为您的网站创建实时备份，并将其异地存储最多 30 天。 所有这一切都会自动发生，尽管您也可以根据需要创建自己的手动备份。

Jetpack 会保存您对网站所做的任何更改。 当您需要恢复最近的备份时，这消除了部分数据丢失的风险。 只需转到活动日志并选择您想要恢复的日期和时间，Jetpack 将立即开始恢复您的网站（即使它完全离线）。

说到活动日志...

5. 监控站点变化的活动日志

活动日志是一种工具，可让您详细了解网站上发生的事情。 您可以使用这些日志来监视不同类型的活动，包括登录、插件安装、帖子上传，甚至站点配置的更改。

活动日志的重要性怎么强调都不为过。 如果您与其他人合作运营网站，此工具将使您深入了解其他人在做什么。

您还可以使用活动日志来解决问题。 例如，如果您的漏洞扫描程序突然检测到某个插件存在问题，您可以检查日志以了解该插件的安装时间和安装者。

Jetpack 包含带有免费 WordPress.com 帐户的活动日志，您可以在其中查看网站上最近 20 个事件。 凭借高级许可证，您可以访问至少过去 30 天内的活动

如何通过 18 个步骤强化您的 WordPress 网站

除了我们在上一节中介绍的工具之外，您还需要采取措施来强化 WordPress。 以下是您网站最重要的安全措施。

1. 备份您的网站

备份可能是全面安全策略中最重要的部分。 始终拥有最新的备份意味着，如果您的网站受到攻击或被恶意软件感染，您可以随时恢复您的内容。

理想情况下，您将使用自动备份的插件。 这消除了对网站进行重大更改后忘记执行备份的风险。

正如我们所提到的，Jetpack VaultPress Backup 是一个功能强大的备份解决方案，它单独包含或包含在 Jetpack Security 等合格计划中。 它使用实时备份系统。 这意味着您每次对网站进行更改时都会保存，因此每个新的修改都会立即受到保护。

该系统优于计划备份。 对于后者，如果最后一个还原点太早，您将面临数据丢失的风险。 如果您使用 VaultPress Backup，这不是问题。

2. 安装一体化安全插件

有很多 WordPress 安全插件可供选择。 有些工具是为特定目的而设计的，例如启用 WAF 或双因素身份验证 (2FA)。 其他人则采取更全面的方法并结合多种功能来保护您的网站。

一体化安全插件背后的想法是最大限度地减少您需要在网站上设置的第三方工具的数量，同时获得尽可能多的功能。

Jetpack 提供广泛的安全功能。 如果您选择免费插件，您可以访问活动日志、WAF 功能、安全身份验证选项等。

您可以通过注册 Jetpack Security 计划来扩展该插件提供的安全功能范围。 该计划使您可以访问备份解决方案、具有一键修复功能的自动恶意软件扫描、垃圾邮件防护等。

就价值而言，Jetpack Security 为 WordPress 用户提供了最全面的安全解决方案之一。 如果您愿意，您可以随时开始使用免费插件，并在感觉舒服后更新到高级版本。

3.更新WordPress核心

将 WordPress 更新到最新版本是提高网站安全性最重要的事情之一。 这是因为较新的版本往往包含安全修复和改进。 此外，软件开发人员经常发布补丁来修复紧急漏洞。

使用过时版本的 WordPress 还会导致插件和主题的兼容性问题。 这些可能会导致您网站上的关键元素停止工作。

保持 WordPress 更新很简单。 当您访问仪表板时，WordPress 会告诉您是否有可用的更新。 您可以通过单击仪表板 → 更新来更新 WordPress。

请注意，如果您的插件或主题不支持较新版本，则更新 WordPress 可能会导致兼容性问题。 要从中恢复，您需要在重大更新之前创建站点的备份。

如果您使用 VaultPress Backup，则不需要这样做。 该插件将实时备份您的网站，以便您在更新之前有一个可用的恢复点，以防您需要恢复您的网站。

4.删除未使用的插件和主题

随着您的网站的发展，您可能需要新的插件，甚至可以切换到不同的主题。 这可能会给您的网站带来更多漏洞。 根据经验，删除不再需要的任何插件或主题是明智之举。

过程很简单。

转到仪表板中的插件或主题页面。 然后，停用并删除您不再使用的任何内容。

如果您决定稍后重新安装其中一些插件，也没有问题。 安装和激活它们只需要几分钟的时间，但您可能需要再次配置它们的设置。

5.更新所有剩余的插件和主题

清理插件和主题列表后，您需要检查网站上的剩余元素是否需要更新。 就安全性而言，插件和主题更新与 WordPress 核心更新一样重要，因为它们是最常见的攻击媒介之一。

当您访问仪表板时，WordPress 会通知您任何可用的插件和主题更新。 理想情况下，一旦有新版本可用，您就应立即更新站点的组件。

您可以从仪表板中的插件和主题页面执行此操作。

如果您太忙而无法每天检查您的网站，您可以为每个插件启用自动更新。这是一个简单的措施，但它可以大大降低您网站上的漏洞风险。

6. 实施强密码策略

很多时候，网站泄露并不是由 WordPress 漏洞造成的，而是由人为错误造成的。 许多人使用弱凭据登录其网站，使黑客更容易访问仪表板。

避免这种情况的最佳方法是实施强密码策略。 当您在 WordPress 网站上注册帐户时，系统会为您生成一个安全密码。

如果您使用 Jetpack，您还可以使用双因素身份验证 (2FA) 功能，该功能可用于进一步保护登录页面。

如果您的网站上有多个用户（例如作者和商店经理），这会非常有用。 即使您的用户坚持使用弱密码，您也可以使用 2FA 来保护您的网站免受访问这些凭据的攻击者的攻击（稍后会详细介绍）。

7. 限制登录尝试

一般来说，如果有人忘记了自己的登录详细信息，他们通常会尝试几种不同的凭据，然后请求重置密码。

如果您（通过活动日志）注意到某人正在尝试大量用户名和密码组合，则您可能正在应对攻击。 这就是为什么限制用户在特定时间内可以尝试登录的次数是一个好主意。

这是 Jetpack 中提供的一项功能。 该插件提供强力保护，可以识别已知的恶意 IP 地址并阻止它们尝试登录。

Jetpack 默认启用暴力破解保护。 您可以通过转至Jetpack → 设置来查看其配置。 在这里，您还可以添加允许的 IP 地址，这样 Jetpack 就不会错误地阻止您访问登录页面。

8. 使用 2FA 强化登录安全性

最近的一项调查表明，超过 40% 的开发人员认为实施 2FA 是他们的首要任务。 此措施可最大限度地降低攻击者使用被盗凭据访问您网站的风险。

双因素身份验证是一项关键的安全功能，因为许多用户的密码较弱，或者在多个站点上重复使用其凭据。 使用 2FA，您要求这些用户提供另一种形式的身份验证。

正如我们所讨论的，Jetpack 使您能够在 WordPress 网站上使用 2FA。 这需要用户设置 WordPress.com 帐户。 然后，他们可以使用此帐户登录其他 WordPress 网站，甚至是那些使用开源版本 WordPress 的网站。

免费版本的 Jetpack 提供 2FA。 该功能可以打开或关闭，并且您无需修改​​高级设置来配置它，因为它依赖于 WordPress.com。

9. 删除未使用的用户帐户

不活动的用户帐户可能会给您的网站带来安全风险，特别是如果它们具有高级权限（我们将在下一节中详细讨论这一点）。 这些帐户增加了安全漏洞的机会，因为它们的凭据可能会被泄露并在网络上共享。

这就是为什么如果您的帐户长时间不活动，许多网站会自动删除您的帐户（当然是在警告您之后）。 WordPress 使您可以完全控制您的用户列表，这意味着您可以随意添加或删除用户。

删除用户是一个简单的过程。 转到用户→所有用户， 找到该帐户，然后选择删除选项。 WordPress 会要求您确认，但用户本身不需要批准帐户删除。

您可能需要在删除用户的帐户之前联系他们。 但如果一个帐户多年来一直不活跃，那么它可能应该被删除。

10. 为剩余用户分配正确的角色

清理用户列表后，下一步应该是检查剩余用户的权限。 WordPress 使用简单的角色系统，每个角色都有一组预定的权限。

唯一拥有所有 WordPress 设置完全访问权限的用户角色是管理员。 为了安全起见，管理员应该只有一名。 其他 WordPress 角色包括作者、编辑、贡献者和订阅者。

一些插件还添加具有更新权限的新用户角色。

每个角色都具有使用户能够执行某些任务的权限。 例如，作者可以发布和编辑自己的帖子，但不能发布和编辑其他用户创建的帖子。

理想情况下，任何用户都不应该拥有比他们需要的更多权限的角色。 分配错误的角色可能会导致安全问题，因为用户可能会更改他们不应该触及的 WordPress 设置。

定期检查用户列表以确保每个人都分配有正确的角色非常重要。 这个简单的做法将帮助您最大限度地减少因团队成员权限不正确而导致的安全问题。

11.重命名默认的“admin”帐户

WordPress 管理员帐户是攻击者皇冠上的明珠。 如果他们获得访问权限，他们将能够在您的网站上做任何他们想做的事情，包括窃取数据和植入恶意软件。

默认情况下，WordPress 使用admin用户名作为管理员帐户。 您可以在创建帐户时更改此设置，但之后不能更改。

如果您使用管理员用户名，那么大多数攻击者很容易猜测，这意味着他们只需要获取您的密码即可。 WordPress 不允许您更改现有用户名，即使是管理员也是如此。

为了避免这种情况，您可以使用更强的用户名创建一个新的管理员帐户，然后删除第一个帐户。 请注意，只有您是管理员才能执行此操作。

12.更改默认数据库前缀

默认情况下，WordPress 使用wp_前缀作为站点数据库。 这使得猜测数据库名称相对容易，进而可以帮助攻击者连接到它。

您可以通过更改该前缀来降低自动 SQL 注入工具识别数据库的风险。 理想情况下，您将在设置过程中执行此操作。 在设置网站之前，WordPress 设置向导会询问您要使用什么数据库前缀。

如果您的网站已经上线，您需要修改wp-config.php文件以更改数据库前缀。 使用文件传输协议 (FTP) 连接到网站，并在 WordPress根目录中查找wp-config.php文件。

编辑该文件并查找 $table_prefix = 'wp_'; 行。 继续将wp_值替换为您要使用的前缀。 当您保存并关闭文件时，您的 FTP 客户端应上传更改。

现在，使用 phpMyAdmin 访问数据库。 选择您的数据库并使用SQL 屏幕顶部的选项卡可对数据库中的每个表运行以下查询：

将表 wp_xxxx 重命名为 otherprefix_xxxx；

该查询在现实生活中应该是这样的：

这是一个高度敏感的过程，因此在尝试更改前缀之前，您应该确保拥有完整站点备份（包括数据库）。

该过程完成后，请确保您的网站运行正常。 如果遇到任何错误，您可能忘记重命名数据库表之一或执行了错误的查询。

13.隐藏/wp-admin和/wp-login.php

您可能认识这两个 URL 后缀。 它们用于登录 WordPress 并访问仪表板。 它们很容易记住，但这可以使黑客更轻松地访问您的网站。

从安全角度来看，对两个 URL 使用不同的后缀更有意义。 首先，您可以查看本教程，了解如何更改 WordPress 登录 URL。 这包括手动和使用插件更改wp-login和wp-admin.php 的说明。

14.安装SSL证书进行数据加密

如今，网站没有理由不使用安全套接字层 (SSL) 证书。 这些证书验证您网站的合法性，并使您能够使用 HTTPS 协议发送和接收加密数据。

如果用户与站点的连接不安全或者该站点是否具有无效或过期的 SSL 证书，某些浏览器会向用户发出警告。

您可以按照本指南为您的网站获取免费的 SSL 证书并安装它。 您还可以使用 Jetpack 推荐的 Web 主机之一，所有这些主机都提供具有自动设置功能的免费 SSL 证书。

15.通过IP地址限制FTP访问

默认情况下，任何有权访问您网站的 FTP 凭据的人都可以使用该协议连接到该网站。 这意味着，如果攻击者获得您的凭据，他们几乎可以修改您网站的任何方面。

一些 Web 主机为您提供高级 FTP 安全措施，例如通过 IP 地址限制访问。 这使您能够选择哪些地址可以通过 FTP 连接到您的网站。

只有需要通过 FTP 访问的管理员和其他团队成员才应拥有必要的权限。 这可以帮助最大限度地减少安全事件，并在您遇到 WordPress 问题时帮助您识别谁对关键文件进行了更改。

理想情况下，您根本不会使用 FTP，而是选择 SFTP 或 SSH 来访问您的服务器。

此过程将根据您的网络托管服务商的不同而有所不同。 如果您不确定您的托管提供商是否允许您通过 IP 地址限制 FTP 访问，您可以查看他们的文档。

16. 保护文件和目录权限

基于 UNIX 的系统使用基于数字集的权限规则。 单个文件和目录可以具有不同的权限集，这些权限集控制谁可以访问、编辑和执行它们。

您可以在 WordPress 开发人员手册中阅读有关 UNIX 权限如何工作的更多信息。

目前，需要注意的是，WordPress 网站及其文件系统有理想的权限级别。

这些都是：

• 文件为 644 或 640。 第一组数字赋予所有者对文件的完全读写访问权限，而组中的其他用户仅具有读取访问权限。 第二组权限不向用户提供读取访问权限。
• 目录为 755 或 750。 这组权限的工作方式与上一个示例相同，但适用于目录。 755 为所有者提供完全的读写访问权限，而该组的其他成员则具有读取访问权限。

您可以使用 FTP 更改 WordPress 文件系统的文件权限。 为此，请右键单击文件或目录，然后选择文件权限选项（这可能会根据您使用的 FTP 客户端而有所不同）。

某些 FTP 客户端允许您通过选中特定框以及使用数字系统来设置文件权限。 您可以自由选择您喜欢的选项。

17.禁止文件编辑

WordPress 包含开箱即用的主题和插件文件编辑器，尽管某些网络主机默认禁用它们。 这些是简单的文本编辑器，您可以从仪表板使用它们来更改网站上插件和主题的代码。

从仪表板启用文件编辑会带来安全风险。 这意味着，如果攻击者获得了仪表板的访问权限，他们可以直接修改站点的代码，而无需 FTP 凭据或访问托管面板。

如果您的网络主机允许您在 WordPress 中使用文件编辑功能，您可以通过修改wp-config.php文件手动禁用此选项。 打开文件并将以下代码行添加到/* 行之前的末尾，停止编辑！ 快乐的博客。 */ ：

 define('DISALLOW_FILE_EDIT', true);

确保该值设置为“true”，然后将更改保存到wp-config.php并关闭它。 如果您现在检查仪表板，主题和插件编辑器不应再出现在那里。

18. 保护您的wp-config.php文件

正如您从 WordPress 强化指南中看到的，从安全角度来看，wp-config.php文件至关重要。 您可以修改该文件的代码以增强网站的保护，因此确保其他人无法访问该文件非常重要。

我们已经研究了一种保护您的wp-config.php文件免受未经授权的访问的方法。 主要是限制谁可以通过 FTP 连接到您的网站。 理想情况下，您只有一个或有限数量的 IP 地址被授权通过 FTP 连接，以降低风险。

您可以采取的第二个安全措施是确保适当的文件权限到位。 虽然其他文件的建议权限级别是 644 或 640，但wp-config.php文件应设置为 440 或 400。这些权限级别意味着除管理员之外的其他用户甚至无法获得读取访问权限到文件。

备份对于灾难恢复的重要性

自动备份可能是最重要的安全措施。 有了最近的异地备份，如果出现问题，您随时可以恢复您的网站。

如果您使用 VaultPress Backup，则无需担心手动创建备份。 您可以通过转至Jetpack → VaultPress Backup并单击 查看您在云中的备份按钮。

这将向您显示所有可用的备份，并为您提供只需单击一下即可恢复其中任何备份的选项。 每当您对站点进行更改时，VaultPress Backup 都会创建该站点的实时副本，因此您将始终拥有可用的最新备份。

Jetpack Security 如何处理备份，让您高枕无忧

让我们仔细看看 Jetpack Security 如何处理备份。 请注意，以下功能仅适用于 Jetpack Security、Jetpack Complete 或 VaultPress Backup 等高级计划。

1.实时备份

大多数备份解决方案要么要求您手动创建备份，要么按计划生成备份。 例如，您可以选择每日、每周或每月进行备份。

每日备份是一个很好的开始，但即便如此，当您需要恢复网站时，您仍面临丢失关键数据的风险。 如果您在每日备份之后和下一次备份之前对站点进行了任何更改，则需要重新实施它们。

VaultPress Backup 通过实时创建站点副本来解决此问题。 每当您进行更改时，该插件都会备份内容，并且您将有一个可用的新还原点。 这意味着您不会有丢失数据的风险。

2. 超安全的异地存储

对于大多数备份解决方案来说，存储可能是一个问题。 您可以将站点的副本存储在其服务器上、本地甚至使用云存储。 从安全角度来看，异地解决方案更好，因为如果服务器出现故障，您仍然可以访问它们。

VaultPress Backup 提供自己的异地存储解决方案。 当您可以访问 Jetpack 存储时，无需配置插件即可与云存储提供商合作。

该插件将自动异地存储最近 30 天的备份。 您可以随时选择其中一个备份并将其恢复。

3.一键恢复

VaultPress Backup 可以轻松恢复您的网站。 您所需要做的就是选择要恢复的备份并确认您的选择，插件将处理剩下的事情。

当您再次访问您的网站时，您将看到使用 VaultPress Backup 恢复的版本。 从那时起，您可以继续对网站进行更改。

经常问的问题

如果您对如何保护您的 WordPress 网站或 VaultPress Backup 仍有疑问，本节将解答这些问题。

什么是 WordPress 强化，为什么它很重要？

强化 WordPress 是指提高网站安全性的过程。 这使得攻击者更难访问该网站。

WordPress 网站最常见的威胁有哪些？

大多数 WordPress 漏洞来自过时的插件、主题和 WordPress 核心。 过时的软件更有可能存在攻击者可以利用的漏洞来访问或控制您的网站。

如何监控我的 WordPress 网站是否存在安全漏洞？

监视站点是否存在漏洞的最简单方法是使用安全扫描器。 Jetpack Security 利用 WPScan 来检查您的网站是否存在已知的 WordPress 漏洞。

此外，Jetpack 可以帮助您修复插件在扫描过程中发现的任何安全问题。

我应该在 WordPress 安全插件中寻找什么？

最好的 WordPress 安全插件提供了一系列功能，有助于保护您的网站，同时最大限度地减少对其他第三方工具的需求。 您可以将 Jetpack 与 Jetpack Security 计划结合使用，以访问实时备份、WAF、垃圾邮件防护、2FA 实施等功能。

有多少网站信任 Jetpack 的网站安全？

Jetpack 因其丰富的安全性和性能优化功能而成为市场上最受欢迎的 WordPress 插件之一。 超过 500 万个网站使用 Jetpack，因此对于 WordPress 新用户和经验丰富的用户来说，它都是一个不错的选择。

Jetpack Security 是否也可以帮助处理垃圾评论和表单提交？

Jetpack Security 包括垃圾邮件防护功能，可根据高级算法和数据自动阻止或过滤垃圾评论。 您还可以查看标记的评论以确保没有误报。

在哪里可以了解有关 Jetpack Security 的更多信息？

如果您想了解有关 Jetpack Security 的更多信息，可以访问该计划的主页。 您可以在那里找到有关其功能的更多信息并注册计划。

使用 Jetpack Security 保护您的网站

有很多方法可以强化您的 WordPress 网站。 其中一些涉及实施安全措施，例如更改默认登录和仪表板 URL、保护wp-config.php文件等。 但在大多数情况下，保护网站最有效的方法是使用一体化安全插件。

Jetpack Security 是一个强大的解决方案。 它使您能够保护您的登录页面并保护您的网站免受 DDoS 攻击。 它还提供实时备份、垃圾邮件防护等等。

如果您不确定从哪里开始强化 WordPress，请查看 Jetpack Security。 您可以注册计划并立即开始保护您的网站！