本文是与Siteground合作创建的系列的一部分。感谢您支持使SitietPoint成为可能的合作伙伴。 黑客。漏洞。蛮力。恶意软件。拒绝服务。中间人。网络钓鱼。所有可怕的话。我们生活在一个危险的在线世界中！
>您的网站已被黑客入侵吗？我有，我们并不孤单。 2012年，有70％的WordPress站点容易受到攻击，此后并没有发生太大变化。您做了什么以保护您拥有安全的WordPress网站？
在本文中，我们从以前的SitePoint文章，我们自己的经验以及网络周围的安全提示中汇总了安全提示，并以某种方式组织了它们，希望您发现有用且可以理解。最重要的是，易于采取行动。>多一对WordPress安全插件很有用（我们将在下一篇文章中介绍它们），但是安全性不仅需要安装插件并走开。它需要仔细的策略和持续的警惕。积极主动，不要反应。换句话说，不要以为您的网站是安全的 - 在
之前制定安全计划
您被黑客入侵！> 话虽如此，没有100％的安全性。您可以实现的是降低风险，并在安全性和便利性之间找到平衡。 安全性与绝对安全的系统无关。这样的事情可能是不切实际的，或者无法找到和/或维护。但是，安全是降低风险的，而不是消除风险。这是关于使用所有适当的控制措施，使您可以改善整体姿势，从而减少使自己成为目标的几率，随后被黑客入侵。” - codex.wordpress.org
您应该在哪里集中注意力？在去年的一篇文章中，WP White Security报告了以下有关黑客网站的统计数据：
好。考虑到所有这些，您可以通过以下40种方法确保WordPress网站安全。选择对您和您的网站有意义的那些。
>>安全WordPress
>如果您不想手动更新WordPress，请考虑像我们的合作伙伴Siteground这样的托管提供商，该提供商在所有计划中都可以使用特殊的自动更高工具。
>
2。定期备份您的网站#Enable all core updates, including minor and major: define ( 'WP_AUTO_UPDATE_CORE', true );
确保您定期对WordPress网站进行备份。 WordPress数据和文件的备份在紧急情况下可以发挥关键作用。如果所有其他方法都失败了，则不必从头开始！
进一步阅读：
5个用于备份和迁移的WordPress插件
最好的WordPress备份插件
进一步阅读：
>用SSL
安全的WordPress
#Enable all core updates, including minor and major: define ( 'WP_AUTO_UPDATE_CORE', true );
>将wp-config.php文件移至WordPress安装上方的文件夹中。这将使使用浏览器的任何人都无法访问它，这意味着饼干的找到它的机会较小。
进一步阅读：
一些版本的WordPress具有已知漏洞。熟悉这些漏洞的人可以发现您正在使用的版本，因为它显示在每个页面的HTML头部。
>通过将以下行添加到主题的函数。
<files wp-config.php>
order allow,deny
deny from all
</files>
7。从您的主题中删除WordPress引用
有人只有在他们知道您正在使用它的情况下才会尝试破解WordPress。因此，请保密！从您的主题文件中删除对WordPress的所有引用。>
8。禁用PHP错误报告
remove_action('wp_head', 'wp_generator');
9。更改默认的秘密键
>安装WordPress时，将四个秘密密钥写入您的wp-config.php文件。他们改善了存储在用户cookie中的信息的加密，并使您更难破解密码。
<meta name="generator" content="WordPress" />
> 51％的黑客站点是由于主题和插件的安全问题。对本节进行特殊考虑！
10。保持主题和插件的最新
11。选择主题和插件，这些主题和插件被积极维护并定期更新
>如果在主题或插件中发现了安全漏洞，则您希望它尽快解决。不再维护的主题或插件不会发生这种情况。只要有可能，请确保您使用的主题和插件将被积极维护。
12。删除您不使用
的主题和插件如果每个主题和插件都是潜在的后门，请尽可能降低风险。如果您不使用它，请删除它。停用插件还不够 - 单击“删除”！
>限制访问您的WordPress插件目录：www.your-domain.com/wp-content/plugins/。否则，浏览文件夹的人可以查看您正在使用的插件，请探索它们是否有潜在的漏洞。
通过将空白索引。或者，在root文件夹中的.htaccess文件中的开始时，添加以下行：14。消除插件和主题编辑器
#Enable all core updates, including minor and major: define ( 'WP_AUTO_UPDATE_CORE', true );
>保护您的登录
<files wp-config.php>
order allow,deny
deny from all
</files>
>避免使用默认的管理用户名，或“管理员”，网站名称或您自己的名称之类的明显名称。他们太容易猜测了，被黑客攻击的管理帐户比作者帐户更危险。
16。使用安全密码
选择一个由字母，数字和字符组成的复杂密码。这是一些提示：
>
不要选择与您的网站名称相似的密码。>诺顿密码生成器
您可以通过使用强制密码（例如强制密码）来确保每个人都使用强密码。
您使用相同密码的时间越长，您给黑客破解它的时间越多。缩短了机会之窗！
每年至少几次更改密码。并鼓励您的其他用户也这样做。
>两因素身份验证（2FA）通过除了用户名和密码之外还需要唯一的代码来提高安全性。该代码是通过应用程序为一次性使用的，或通过短信发送到设备/智能手机的代码。
进一步阅读：
您可以使用以下插件之一限制登录尝试：
wp限制登录尝试
进一步阅读：
没有验证码与WordPress集成
23。自动注销空闲用户
24。为用户分配最低的角色
用户是任何系统中最弱点。当他们拥有管理员特权时，这个弱点是最危险的。
>编辑：可以发布和管理自己和其他人的帖子的人
作者：可以发布和管理自己的帖子的人
#Enable all core updates, including minor and major: define ( 'WP_AUTO_UPDATE_CORE', true );
>知道WordPress Admin URL是WP-Admin，任何黑客都可以轻松地开始使用蛮力攻击。通过更改URL降低攻击的风险，以使黑客无法找到它。
wps隐藏登录是实现此目的的最简单的插件。28。隐藏作者用户名
为此，将以下内容复制并粘贴到您的functions.php文件中：
29。密码保护wp-login.php
<files wp-config.php>
order allow,deny
deny from all
</files>
防止蛮力攻击WordPress网站
>
允许访问多台计算机（Office/Home/笔记本电脑或User1/User2/user3），请在新系列上添加另一个允许的允许。
31。禁用XML-RPCremove_action('wp_head', 'wp_generator');
> XML-RPC允许用户通过博客客户端远程连接到WordPress，并用于反转和pingbacks。由于WordPress 3.5。
不幸的是，黑客可以将其用于DDOS攻击，因此，如果您不使用这些功能，请考虑禁用XML-RPC。禁用XML-RPC Pingback
禁用XML-RPC
>安装WordPress时，表使用默认情况下的表前缀，例如WP_。知道这一点，使用自动化工具的黑客可以解决您的数据库结构。更改前缀，以使运行SQL注入查询和其他攻击变得更加困难。
连接到服务器时，请使用SFTP（安全FTP）连接。这确保了机器和服务器之间的通信受到保护。大多数主机，例如Siteground，都提供SFTP。
进一步阅读：
>将CHMOD值设置为文件夹的755。只有所有者才能写入权限，而其他所有者才会阅读和执行权限。
> 41％的黑客站点是由于托管平台上的安全漏洞。因此，在选择或更改托管提供商时要特别注意。
>
38。选择您负担得起的最佳托管计划>至关重要的是，您必须选择优先安全性的托管提供商。您应该寻找的一些功能是：
>帐户隔离
> Web应用程序防火墙
39。利用您的托管提供商的安全解决方案
>我们专注于涵盖一系列安全功能的高评分插件，而不是单件功能。如果您的托管提供商尚无全面的安全解决方案，那么安装其中之一将是您的安全策略的重要第一步。
我们是否错过了您最喜欢的安全插件？在评论中让我们知道。
41。 wordfenceWordfence包含以下安全功能：
防火墙。 WAF具有自动更新的防火墙规则，该规则阻止了常见的WordPress安全威胁。
成本：免费
费用：免费，专业：2个网站$ 80/年，10个网站$ 100/年，无限网站$ 150/年，黄金$ 297寿命。
费用：免费，基本$ 199/年，Pro $ 299/年，业务$ 499/年> Sucuri构成了包括Siteground在内的许多优质托管提供商的安全解决方案的一部分。它是Siteground保护客户网站免受恶意软件的宝贵工具，因为它每天都可以从网站主页访问每个链接。它包括这些安全功能：>清洁和维修被黑客入侵的网站。 “专业安全事件响应团队24/7/365可用。”
>
攻击和预防攻击。 “基于云的WAF/IPS解决方案旨在阻止黑客攻击和攻击。
VaultPress是由Automattic设计和建造的实时备份和安全扫描服务，该服务是在WordPress.com上运营（并备份）数百万个网站的同一家公司。
VaultPress现在由JetPack提供动力，并毫不费力地备份了您网站上的每个帖子，评论，媒体文件，修订版和仪表板设置到我们的服务器。使用Vaultpress，您可以保护黑客，恶意软件，意外损坏和主机中断。VaultPress包含以下安全功能：
备份。 “在我们的异地数字保险库中存储的全面每日或实时自动备份，对WordPress进行了优化，并且比主机更好。”
还原。 “即使在最紧张的时刻，我们也有您的支持。快速轻松地恢复您的整个在线状态，而无需您的主机。
>文件扫描。 “自动检测并消除可能隐藏在您网站中的病毒，恶意软件和其他可利用的安全问题。”>评分：4.7分中的5星（302个评论）
>
PRO版本添加了以下功能：
>费用：免费，1个网站$ 57.60/年，3个网站$ 144/年，10个网站$ 288/年，无限网站$ 479/年/年
活动安装：5,000
>
防火墙反蛮力登录
>阻止IPS
安全警报
>评分：5星中的5颗（6个评论）
>
您甚至可以使用这些Pro模块进行更多的保护：
>我如何确保我的WordPress插件安全？ >
什么是SSL证书，为什么对WordPress安全至关重要？ Layer）证书是一个数字证书，可在网站和访问者的浏览器之间提供安全的连接。对于WordPress安全性而言，这很重要，因为它可以加密用户和站点之间传输的数据，从而阻止黑客拦截和滥用它。 Google还将其搜索结果中的SSL证书更高的网站对网站进行排名。如何限制WordPress网站上的登录尝试？>
>限制您的WordPress网站上的登录尝试可以通过安装安全性来完成提供此功能的插件。这有助于防止蛮力攻击，黑客试图通过猜测您的密码来访问您的网站。
>防火墙是监视器的安全系统并根据预定的安全规则控制传入和传出网络流量。它充当受信任的网络和不信任网络之间的障碍。它可以通过阻止恶意流量并防止未经授权访问您的网站来保护您的WordPress站点。
>从您的WordPress站点中检测和删除恶意软件可以使用提供恶意软件扫描和删除的安全插件来完成。如果您的网站感染了恶意软件，则该插件将通知您，并经常提供删除它的步骤。
>迹象表明您的WordPress网站已被黑客入侵，包括突然下降网站流量，对您的网站内容的意外更改，您没有使用的新用户帐户' t创建，一个缓慢或反应迟钝的网站，以及您的网络主机或Google发出的有关您网站上恶意活动的通知。如果您注意到这些标志中的任何一个，请立即采取行动以保护您的网站。
以上是创建安全的WordPress网站的48种方法的详细内容。更多信息请关注PHP中文网其他相关文章！
