創建安全的WordPress網站的48種方法-＆＃＆按-PHP中文網

> 話雖如此，沒有100％的安全性。您可以實現的是降低風險，並在安全性和便利性之間找到平衡。安全性與絕對安全的系統無關。這樣的事情可能是不切實際的，或者無法找到和/或維護。但是，安全是降低風險的，而不是消除風險。這是關於使用所有適當的控制措施，使您可以改善整體姿勢，從而減少使自己成為目標的機率，隨後被黑客入侵。 ” - codex.wordpress.org

您應該在哪裡集中註意力？在去年的一篇文章中，WP White Security報告了以下有關黑客網站的統計數據：>

> 41％通過其託管平台上的安全漏洞
> 29％通過他們使用的WordPress主題中的安全問題侵犯了他們
8％被黑客入侵，因為他們的密碼較弱

好。考慮到所有這些，您可以通過以下40種方法確保WordPress網站安全。選擇對您和您的網站有意義的那些。

>安全WordPress

1。保持WordPress最新

安排您的備份，以便您不會忘記它們，並不時進行測試還原。

進一步閱讀：

5個用於備份和遷移的WordPress插件

最好的WordPress備份插件

>如何手動備份WordPress網站
>您的常規WordPress維護清單
的SSL

> SSL認證網站的地址將從HTTPS開始，而未經SSL認證的網站將以HTTP開頭。最好在安裝WordPress之前激活HTTP，但是如果您稍後再添加，則可以更新WordPress設置。託管提供商（例如Siteground）提供免費的SSL證書。

進一步閱讀：

>用SSL

安全的WordPress

要拒絕訪問此文件，您應該在.htaccess文件的頂部添加下面的代碼：>

#Enable all core updates, including minor and major:
define ( 'WP_AUTO_UPDATE_CORE', true );

登入後複製

5。移動wp-config.php

>將wp-config.php文件移至WordPress安裝上方的文件夾中。這將使使用瀏覽器的任何人都無法訪問它，這意味著餅乾的找到它的機會較小。

進一步閱讀：

>有史以來最簡單的WordPress安全提示！

6。隱藏WordPress版本號

一些版本的WordPress具有已知漏洞。熟悉這些漏洞的人可以發現您正在使用的版本，因為它顯示在每個頁面的HTML頭部。

>通過將以下行添加到主題的函數。

<files wp-config.php>
    order allow,deny
    deny from all
    </files>

登入後複製

>您還應刪除readme.html文件，該文件還包含WordPress版本號。

7。從您的主題中刪除WordPress引用

有人只有在他們知道您正在使用它的情況下才會嘗試破解WordPress。因此，請保密！從您的主題文件中刪除對WordPress的所有引用。

>從header.php中刪除並刪除看起來像這樣的引用：

8。禁用PHP錯誤報告

黑客可以使用錯誤消息來提高其優勢。例如，主題或插件中的錯誤可能會顯示您的服務器路徑。

remove_action('wp_head', 'wp_generator');

登入後複製

>禁用錯誤報告，將以下代碼添加到您的wp-config.php文件：

9。更改默認的秘密鍵

>安裝WordPress時，將四個秘密密鑰寫入您的wp-config.php文件。他們改善了存儲在用戶cookie中的信息的加密，並使您更難破解密碼。 >

<meta name="generator" content="WordPress" />

登入後複製

>使用WordPress的秘密代碼生成器獲取一些新鍵，然後將其複製到您的wp-config.php文件中。

>

保護您的主題和插件

> 51％的黑客站點是由於主題和插件的安全問題。對本節進行特殊考慮！

10。保持主題和插件的最新

不僅要更新WordPress，還要確保您的主題和插件也是最新的。每個都是您網站的潛在後門，每個新版本都可能具有較小的漏洞。

11。選擇主題和插件，這些主題和插件被積極維護並定期更新

>如果在主題或插件中發現了安全漏洞，則您希望它盡快解決。不再維護的主題或插件不會發生這種情況。只要有可能，請確保您使用的主題和插件將被積極維護。

>

進一步閱讀：

>如何保護自己免受Rogue WordPress插件的侵害

12。刪除您不使用

的主題和插件

如果每個主題和插件都是潛在的後門，請盡可能降低風險。如果您不使用它，請刪除它。停用插件還不夠 - 單擊“刪除”！

13。限制訪問您的插件目錄

>限制訪問您的WordPress插件目錄：www.your-domain.com/wp-content/plugins/。否則，瀏覽文件夾的人可以查看您正在使用的插件，請探索它們是否有潛在的漏洞。

通過將空白索引。或者，在root文件夾中的.htaccess文件中的開始時，添加以下行：>

14。消除插件和主題編輯器

#Enable all core updates, including minor and major:
define ( 'WP_AUTO_UPDATE_CORE', true );

登入後複製

> WordPress儀表板上有一個內置插件和主題編輯器。如果您的一個用戶帳戶被黑客入侵，則可以使用該編輯器來放下整個網站。

如果您不定期使用編輯器，最好將其禁用。將以下內容插入您的wp-config.php文件：

>保護您的登錄

<files wp-config.php>
    order allow,deny
    deny from all
    </files>

登入後複製

8％的黑客站點是由密碼較弱引起的。這是提高您登錄過程安全性的一些技術。

>

15。更改管理用戶名

>避免使用默認的管理用戶名，或“管理員”，網站名稱或您自己的名稱之類的明顯名稱。他們太容易猜測了，被黑客攻擊的管理帳戶比作者帳戶更危險。

>在設置WordPress時選擇適當的管理用戶名。如果您的網站已經在使用“管理員”，請創建一個新的管理用戶，然後刪除舊的用戶，或者使用諸如用戶名更改器之類的插件。

16。使用安全密碼

選擇一個由字母，數字和字符組成的複雜密碼。這是一些提示：

不要選擇與用戶名相似的密碼。

不要選擇與您的網站名稱相似的密碼。

>不要選擇一個通用單詞的密碼，並進行一些簡單的更改。
避免使用字典單詞。
考慮使用隨機字符串字符串。
考慮使用良好的密碼管理工具安全生成，存儲複雜的密碼。
以下是一些可以為您生成安全密碼的工具：

>諾頓密碼生成器

>最後，請確保您不會使用與其他地方使用的密碼相同的密碼。所有密碼都應該是唯一的。
17。強迫所有用戶具有強密碼

>如果您使用強密碼不好，但是團隊的其餘部分並不那麼勤奮。您不希望鏈條中有任何薄弱的鏈接。

您可以通過使用強制密碼（例如強制密碼）來確保每個人都使用強密碼。 >

18。定期更改密碼

您使用相同密碼的時間越長，您給黑客破解它的時間越多。縮短了機會之窗！

每年至少幾次更改密碼。並鼓勵您的其他用戶也這樣做。

19。使用2因子身份驗證（2FA）

>兩因素身份驗證（2FA）通過除了用戶名和密碼之外還需要唯一的代碼來提高安全性。該代碼是通過應用程序為一次性使用的，或通過短信發送到設備/智能手機的代碼。

進一步閱讀：

使用WordPress的2步驗證

20。限制登錄嘗試

>通過限制可能的登錄嘗試數量，為黑客提供了更少的機會猜測您的密碼，並保護您的網站免受蠻力攻擊。這將自動阻止可配置數量的嘗試後的登錄屏幕，並通過電子郵件通知管理員。

您可以使用以下插件之一限制登錄嘗試：>

wp限制登錄嘗試

>登錄鎖定

除了用戶名和密碼之外，

>在您的登錄屏幕上使用CAPTCHA或RECAPTCHA。要求用戶輸入他們在圖像中看到的內容，這是阻止殭屍網絡試圖通過蠻力登錄的一種有用方法。

進一步閱讀：

沒有驗證碼與WordPress集成

>向您的WordPress登錄屏幕添加一個安全問題，使某人更難獲得未經授權的訪問。您可以通過安裝WP安全性問題插件來做到這一點。

23。自動註銷空閒用戶

>用戶登錄時有時可以從屏幕上徘徊，構成安全風險 - 有人可以劫持他們的會話，更改密碼或更改其帳戶。

您可以使用IDLE用戶註銷插件自動登錄intactive用戶。

24。為用戶分配最低的角色

用戶是任何系統中最弱點。當他們擁有管理員特權時，這個弱點是最危險的。

很少有人需要管理訪問。 WordPress提供了一系列替代角色供您選擇：

>編輯：可以發布和管理自己和其他人的帖子的人

作者：可以發布和管理自己的帖子的人

>
25。使用強制SSL進行登錄
>強制SSL是一個相對簡單的更改，可以產生巨大的變化。即使您沒有加密整個網站，也要確保用戶有安全的登錄頁面。您將需要最新的SSL證書來確保這一點。

>每次失敗的登錄嘗試，登錄頁面上的錯誤消息都可以為黑客提供線索。通過在主題函數中添加以下代碼的以下代碼來刪除它們。 php文件：

#Enable all core updates, including minor and major:
define ( 'WP_AUTO_UPDATE_CORE', true );

登入後複製

27。更改您的WordPress登錄URL

>知道WordPress Admin URL是WP-Admin，任何黑客都可以輕鬆地開始使用蠻力攻擊。通過更改URL降低攻擊的風險，以使黑客無法找到它。

wps隱藏登錄是實現此目的的最簡單的插件。 >

28。隱藏作者用戶名

>要登錄WordPress，您需要一個用戶名和密碼。默認情況下，WordPress使發現作者的用戶名變得容易。根據Dreamhost的說法，最好隱藏作者的用戶名，以確保您不會使黑客的工作更加容易。

為此，將以下內容複製並粘貼到您的functions.php文件中：>

29。密碼保護wp-login.php

<files wp-config.php>
    order allow,deny
    deny from all
    </files>

登入後複製

>這是針對高級用戶的。您可以通過在顯示WordPress登錄屏幕之前需要使用服務器端登錄來提供另一層安全性。

>在此處了解更多信息：

防止蠻力攻擊WordPress網站

如果您（或您的作者，但不是成員或讀者）需要登錄，則限制訪問您 / WP-ADMIN /文件夾或wp-login.php文件。

>如果您僅從家用計算機登錄，請將登錄屏幕限制在該計算機中。獲取您的主頁IP地址（使用Whatismyip.com或類似），然後將這些行添加到WordPress Admin文件夾中的.htaccess文件（用您的IP地址替換xx.xxx.xxx.xxx）：

允許訪問多台計算機（Office/Home/筆記本電腦或User1/User2/user3），請在新系列上添加另一個允許的允許。

31。禁用XML-RPC

remove_action('wp_head', 'wp_generator');

登入後複製

> XML-RPC允許用戶通過博客客戶端遠程連接到WordPress，並用於反轉和pingbacks。由於WordPress 3.5。

不幸的是，黑客可以將其用於DDOS攻擊，因此，如果您不使用這些功能，請考慮禁用XML-RPC。

這可以使用以下插件之一來完成：

禁用XML-RPC Pingback

禁用XML-RPC

33。為您的數據庫設置強密碼

>使用強密碼供WordPress訪問數據庫。在上面的＃16中查看我們的密碼提示。

34。更改WordPress數據庫表前綴

>安裝WordPress時，表使用默認情況下的表前綴，例如WP_。知道這一點，使用自動化工具的黑客可以解決您的數據庫結構。更改前綴，以使運行SQL注入查詢和其他攻擊變得更加困難。

35。使用SFTP連接到您的服務器

連接到服務器時，請使用SFTP（安全FTP）連接。這確保了機器和服務器之間的通信受到保護。大多數主機，例如Siteground，都提供SFTP。

進一步閱讀：

>通過將文件權限設置為最低限度來保護您的網站的安全性：>

>將CHMOD值設置為文件夾的755。只有所有者才能寫入權限，而其他所有者才會閱讀和執行權限。

37。監視惡意軟件

如果確實發生了漏洞，您不想為您的訪客提供惡意軟件。您需要一個適當的解決方案，可以定期掃描被感染的文件。

有幾種服務器端掃描解決方案，包括Sucuri。一些託管提供商（例如Siteground）將其設置為開箱即用。

選擇一個安全的託管提供商

> 41％的黑客站點是由於託管平台上的安全漏洞。因此，在選擇或更改託管提供商時要特別注意。

38。選擇您負擔得起的最佳託管計劃

>您的WordPress網站僅與您的託管帳戶一樣安全。如果它正在運行舊版本的PHP版本，那麼您為保護WordPress做什麼都無關緊要。

>至關重要的是，您必須選擇優先安全性的託管提供商。您應該尋找的一些功能是：

支持最新的PHP和MySQL版本

帳戶隔離

> Web應用程序防火牆

入侵檢測系統
主動更新和補丁
快速服務器監視
每日備份
我們首選的託管提供商
>

選擇託管提供商的最終指南

39。利用您的託管提供商的安全解決方案

> 例如，WP引擎將自動更新WordPress和鍵插件，並禁用已知導致性能和安全問題的插件。他們提供基於硬件的防火牆和配置，以確保分佈式拒絕服務（DDOS）攻擊不會使您的網站失望。 Siteground提供WordPress Core和插件的自動更新，這是一個有效的CH-Root帳戶隔離共享服務器上的所有帳戶，以及阻止惡意機器人和攻擊者的複雜系統。

安全插件

40。安裝良好的安全插件

>我們專注於涵蓋一系列安全功能的高評分插件，而不是單件功能。如果您的託管提供商尚無全面的安全解決方案，那麼安裝其中之一將是您的安全策略的重要第一步。

>
>評分：4.8個5星（3,048個評論）
>

Wordfence包含以下安全功能：

防火牆。 WAF具有自動更新的防火牆規則，該規則阻止了常見的WordPress安全威脅。

>登錄安全性。兩因素身份驗證，強制執行強密碼，鎖定蠻力攻擊的安全性。
安全掃描。掃描核心文件，主題和插件中的惡意軟件和後門，並檢查已更改的文件。
>監視。實時監視流量，包括機器人和反向DNS，用於DNS更改的監視和磁盤空間。

42。全部wp Security＆Firewall

成本：免費

活動安裝：500,000

評分：4.8個5星（669評論）>
>

一台WP Security＆Firewall都包含以下安全功能：>

>用戶帳戶安全。更改默認管理用戶名，檢查與用戶名相同的用戶顯示名稱，密碼強度工具，停止用戶枚舉。
>用戶登錄安全性。登錄鎖定（蠻力保護），註銷未錄製用戶，查看失敗的登錄嘗試，白名單IP地址，查看誰登錄，Captcha。
> htaccess和wp-config.php文件備份和還原。輕鬆備份，還原和修改這些重要文件。
黑名單功能。根據IP地址或範圍或指定用戶代理禁止用戶。
> 蠻力登錄和攻擊預防。基於cookie的登錄預防，登錄表上的驗證碼，重命名登錄表格URL，honeypot。
>查找。獲取可疑主機的完整詳細信息。
安全掃描儀。文件更改警報，可疑字符串的掃描數據庫表。
評論垃圾郵件安全。垃圾郵件機的IP地址，添加驗證碼到註釋表格。
前端文本副本保護。禁用右鍵單擊，文本選擇和復制選項。

43。 ITHEMES SECURICE

費用：免費，專業：2個網站$ 80/年，10個網站$ 100/年，無限網站$ 150/年，黃金$ 297壽命。

先前稱為更好的WP Security

> ITHEMES Security Pro將猜測從WordPress安全性中取出。您不必是安全插件來使用安全插件，因此ITHEMES Security Pro使您可以輕鬆安全並保護您的WordPress網站。

免費版本為您提供了一些保護，但是Pro版本包含以下安全功能：>

兩因素身份驗證。 “使用諸如Google Authenticator或Authy的移動應用程序生成代碼或通過電子郵件發送給您的生成代碼。”
WordPress鹽和安全密鑰。 “ ITHEMES安全插件使您更新您的WordPress密鑰和鹽。”
密碼安全性。 “從您的個人資料屏幕上生成強密碼。”
密碼到期。 “設置最大密碼年齡，並迫使用戶選擇新密碼。您也可以強迫所有用戶立即選擇一個新密碼（如果需要的話）。
>
>
>臨時特權升級。 “給承包商或其他人臨時管理員或編輯訪問您的網站，該網站將自動重置本身。”
> WP-CLI集成。 “從命令行管理您的網站的安全性。”

44。 Sucuri Security

費用：免費，基本$ 199/年，Pro $ 299/年，業務$ 499/年

>

活動安裝：300,000

>評分：4.6個5星（260條評論）
>我們保持您的網站安全無障礙！ Sucuri平台是一套旨在完整網站安全的工具。 Sucuri平台沒有額外的成本或隱藏費用，因此負擔得起，易於部署，並由您可以使用的專業人員團隊提供支持。

> Sucuri構成了包括Siteground在內的許多優質託管提供商的安全解決方案的一部分。它是Siteground保護客戶網站免受惡意軟件的寶貴工具，因為它每天都可以從網站主頁訪問每個鏈接。它包括這些安全功能：

>清潔和維修被黑客入侵的網站。 “專業安全事件響應團隊24/7/365可用。”

攻擊和預防攻擊。 “基於雲的WAF/IPS解決方案旨在阻止黑客攻擊和攻擊。

- >安全活動審核記錄
- >文件完整性監視
- 遠程惡意軟件掃描
- 黑名單監視
- 有效的安全硬化
- >郵政安全性操作
- 安全通知
45。 JetPack，現在包括Vaultpress
- >費用：免費，個人（每年39美元），高級（$ 99/Year），專業人士（$ 299/年）
- 活動安裝：300萬
- >評分：4.1個5星（1,330評論）
> JetPack（由Automattic，帶您的WordPress的Automattic）所做的不僅僅是安全性。它基本上將WordPress.com的功能帶給了我們其他人，這很有吸引力。對於安全和備份，付費計劃包括VaultPress。
VaultPress是由Automattic設計和建造的實時備份和安全掃描服務，該服務是在WordPress.com上運營（並備份）數百萬個網站的同一家公司。
VaultPress現在由JetPack提供動力，並毫不費力地備份了您網站上的每個帖子，評論，媒體文件，修訂版和儀表板設置到我們的服務器。使用Vaultpress，您可以保護黑客，惡意軟件，意外損壞和主機中斷。

VaultPress包含以下安全功能：

備份。 “在我們的異地數字保險庫中存儲的全面每日或實時自動備份，對WordPress進行了優化，並且比主機更好。”

還原。 “即使在最緊張的時刻，我們也有您的支持。快速輕鬆地恢復您的整個在線狀態，而無需您的主機。
>文件掃描。 “自動檢測並消除可能隱藏在您網站中的病毒，惡意軟件和其他可利用的安全問題。”
>評分：4.7分中的5星（302個評論）
>

防彈安全專業人士擁有驚人的記錄。 BPS Pro已公開可用5年，並安裝在全球30,000多個網站上。在5年內，這30,000個網站中沒有一個被黑客入侵。
- - 一單擊設置嚮導
  - .htaccess網站安全保護（防火牆）
  - >隱藏的插件文件夾 /文件cron（HPF）
  - 登錄安全性和監視
  - idle session註銷（isl）
  - auth cookie expiration（ace）
  - db備份：完整/部分，手動/計劃，電子郵件/zip，cron刪除舊備份，日誌記錄
  - db表前綴更改
  - 安全記錄
  - > http錯誤記錄
  PRO版本添加了以下功能：>
  - 隔離入侵檢測與預防系統（ARQ IDP）>
  >費用：免費，1個網站$ 57.60/年，3個網站$ 144/年，10個網站$ 288/年，無限網站$ 479/年/年
  活動安裝：5,000>
  >評分：4.8分中的5顆星（19個評論）
  >
  - 通過惡意軟件掃描，塊機器人和可疑IPS保護您的WordPress。免費獲得一個完整的WordPress安全工具包，或作為專業插件。
  - 如果您積極主動，我們的免費WordPress安全插件是一個不錯的選擇！沒有時間激活每週掃描？然後，Secupress Pro就是要走的路。我們的插件可以通過自動任務來處理所有內容。
  反蠻力登錄
  
  >阻止IPS
  
  防火牆
  
  安全警報
  - 惡意軟件掃描（PRO）
- > PDF格式（PRO）
- >
- >成本：單個網站$ 29（1年更新/支持），多站點$ 79（1年更新/支持），永遠無限的$ 199
>
>評分：5星中的5顆（6個評論）
>

安全性忍者幫助成千上萬的人保持安全並防止由於安全問題而阻止停機時間。 50個測試將提供有關您網站安全性的全面概述。
- - >執行50次安全測試，包括蠻力攻擊。
  - >檢查您的網站是否有安全漏洞和漏洞。
  - 採取預防措施，以防止攻擊。
  - 預防0天的利用攻擊。
  - 使用包含的代碼段用於快速修復。
  - 對用戶帳戶的蠻力攻擊以測試密碼強度。
  - 許多安裝參數測試。
  - >文件權限。
  - 版本隱藏。
  - 0天利用測試。
  - 調試和自動更新模式測試。
  - >數據庫配置測試。
  - apache和PHP相關測試
  - WP選項測試。
  您甚至可以使用這些Pro模塊進行更多的保護：
  - 核心掃描儀。 “輕鬆監視WP核心文件的狀態。清楚地了解已修改但不應該進行的文件，並單擊一次。
  - 自動修復器。 “如果您不喜歡創建備份，編輯文件，弄亂代碼並使您的手變得骯髒，那麼安全忍者Pro將為您做所有事情。單擊修復安全問題。”
  - >事件記錄器。 “監視，跟踪和記錄網站上的50多個事件，詳細介紹了。從用戶操作到發布編輯和小部件更改 - 事件記錄器都可以看到所有內容。
  >確保您的WordPress網站的最佳實踐包括保持WordPress版本，主題和插件更新，使用強密碼，使用強密碼，限制登錄嘗試以及安裝和安裝可靠的安全插件。定期備份您的網站也至關重要，因此您可以在任何安全漏洞的情況下恢復它。此外，考慮使用安全的託管提供商，該提供商提供SSL證書，防火牆和常規站點掃描等功能。
  >
  >如何保護我的WordPress網站免受黑客的保護？涉及幾個步驟。首先，確保您為WordPress管理員帳戶擁有強大的獨特密碼。其次，將WordPress核心，插件和主題保持在最新版本中，因為它們通常包括安全補丁。安裝安全插件，該插件可以監視您的網站以進行任何可疑活動，並阻止任何潛在的威脅。最後，使用提供高級安全功能的安全託管提供商。
  
  >託管提供商在WordPress安全中的作用是什麼？一個好的託管提供商將提供常規備份，防火牆，惡意軟件掃描和刪除，SSL證書以及防止DDOS攻擊的功能。他們還確保其服務器始終使用最新的安全補丁進行更新。
  >
  >我如何確保我的WordPress插件安全？確保您的WordPress插件安全，僅從中下載插件諸如WordPress插件存儲庫之類的知名資源。始終將插件更新到最新版本，因為更新通常包括安全補丁。刪除您不使用的任何插件，因為它們仍然可以構成安全風險。
  >
  什麼是SSL證書，為什麼對WordPress安全至關重要？ Layer）證書是一個數字證書，可在網站和訪問者的瀏覽器之間提供安全的連接。對於WordPress安全性而言，這很重要，因為它可以加密用戶和站點之間傳輸的數據，從而阻止黑客攔截和濫用它。 Google還將其搜索結果中的SSL證書更高的網站對網站進行排名。
  如何限制WordPress網站上的登錄嘗試？
  >
  >限制您的WordPress網站上的登錄嘗試可以通過安裝安全性來完成提供此功能的插件。這有助於防止蠻力攻擊，黑客試圖通過猜測您的密碼來訪問您的網站。
  
  我應該多久備份一次WordPress網站？