WordPress占了全球网站的四成多,也正因如此成了黑客的头号目标。用WordPress建站的人多,被黑的也多——挂马、被植入垃圾链接、后台被爆破。本文给出10个必做的安全设置,大幅降低你的WP站被黑风险。
一、后台登录加固(头号入口)
WordPress后台默认路径 /wp-admin 和 /wp-login.php 是全网扫描器和爆破脚本的目标。加固:
- 改登录路径:用插件(如WPS Hide Login)修改默认登录地址,让扫描器扑空;
- 强密码 + 改默认用户名:别用admin,密码要复杂;
- 开启两步验证(2FA):即使密码泄露也登不进。
二、限制登录尝试(防暴力破解)
装限制登录次数的插件,连续失败几次就锁定IP一段时间,让暴力破解无从下手。配合服务器层的Fail2ban(参考博客安全加固篇)双重防护。
三、插件和主题:最大的风险源
WordPress被黑,绝大多数是插件/主题漏洞导致的,而非WP核心。铁律:
- 只从官方仓库或可信来源安装插件主题;
- 绝不用破解/盗版主题插件——它们常被植入后门,是挂马重灾区;
- 及时更新(漏洞公布后黑客会批量扫描利用旧版本);
- 删除停用的插件主题,不用的就是纯风险。
四、及时更新一切
WordPress核心、插件、主题、PHP版本都保持更新。历史漏洞是最常见的入侵途径,更新就是打补丁。开启核心的自动小版本更新。
五、文件权限设置
合理的文件权限能限制攻击者的破坏能力:目录一般755、文件644、wp-config.php可设更严格的600。禁止在wp-content/uploads等目录执行PHP(用Nginx规则),防止上传的木马被执行——这是防挂马的关键一招。
六、保护wp-config.php
这个文件含数据库密码等核心配置。除了严格权限,可在Nginx层禁止外部访问它,并修改数据库表前缀(默认wp_改成随机前缀)增加SQL注入难度。
七、禁用文件编辑器
WordPress后台自带的主题/插件代码编辑器,一旦后台被攻破就成了黑客改代码植马的利器。在wp-config.php加一行禁用它:
define('DISALLOW_FILE_EDIT', true);八、装个安全插件
Wordfence、Sucuri等安全插件提供防火墙、恶意软件扫描、登录防护等一站式功能,对不想手动配置的用户很省心。定期扫描,及早发现异常。
九、HTTPS与服务器层安全
全站HTTPS(免费SSL,参考博客SSL篇)、服务器基础加固(SSH、防火墙,参考相关篇)、选择稳定不超售的优质主机。网站安全是”应用层+服务器层”的整体工程,底层不稳固,上层再努力也白搭。
十、备份是最后的保险
再周全的防护也不能保证100%安全,备份才是被黑后的救命稻草。做好每日自动备份 + 异地备份(参考博客备份和rclone篇),一旦被黑,清理或直接从干净备份恢复,损失降到最低。没有备份的网站,一次被黑可能就是灭顶之灾。
结论
WordPress安全的重点:后台加固、拒绝盗版插件主题、及时更新、禁止上传目录执行PHP、做好备份。这几条做到位,能挡住绝大多数针对WP的自动化攻击。安全是持续的习惯,不是一次性设置。配合稳定安全的服务器(支持免费试用),给你的WordPress站建立起应用层到服务器层的完整防护。
