WordPress安全防护指南：防黑客、防暴力破解

前言

WordPress占据全球43%的网站份额，这也让它成为黑客最爱攻击的目标。我的网站曾经被暴力破解过一次，虽然没成功，但那种惊出冷汗的感觉至今难忘。从那以后我把安全防护做到了极致，今天把这些经验全部分享出来。

最基本的安全措施

修改默认用户名

安装WordPress时千万不要用admin作为用户名。如果已经用了，创建一个新的管理员账号，删除原来的admin账号。

使用强密码

密码强度对照：

密码类型	示例	破解时间
纯数字6位	123456	不到1秒
简单单词	password	不到1秒
混合8位	Pass1234	几小时
混合12位+符号	Kj8#mP2$xL9!	数千年

推荐使用密码管理器生成和保存密码，比如1Password或Bitwarden。

保持更新

在后台 → 仪表盘 → 更新中，及时更新：

WordPress核心版本
所有插件
当前主题

80%的WordPress安全漏洞来自过时的插件和主题。

防暴力破解

限制登录尝试

安装Limit Login Attempts Reloaded插件：

最大登录尝试次数：3次
锁定时间：30分钟
连续锁定后加长到：24小时

修改登录地址

默认的wp-login.php是黑客第一个尝试的入口。使用WPS Hide Login插件改掉它：

在后台 → 设置 → WPS Hide Login 中，将登录地址改为一个只有你自己知道的路径，比如 /my-secret-login/。

开启两步验证

安装Two Factor Authentication插件，给登录增加一层Google Authenticator验证。即使密码被泄露，没有手机上的验证码也登不进去。

防火墙配置

安装Wordfence

Wordfence是最全面的WordPress安全插件：

1. 安装并激活Wordfence
2. 进入 Wordfence → Firewall
3. 点击"Optimize Firewall"
4. 下载.htaccess备份
5. 点击继续完成优化

Wordfence防火墙配置要点：

Web Application Firewall：开启
Brute Force Protection：开启
Rate Limiting：开启
国家封锁：按需开启（付费功能）

.htaccess安全规则

在网站根目录的 .htaccess 文件中添加以下规则：

# 禁止目录浏览
Options -Indexes

# 保护wp-config.php
<Files wp-config.php>
  Order Allow,Deny
  Deny from all
</Files>

# 保护.htaccess本身
<Files .htaccess>
  Order Allow,Deny
  Deny from all
</Files>

# 禁止PHP在uploads目录执行
<Directory "/var/www/html/wp-content/uploads/">
  <Files "*.php">
    Order Allow,Deny
    Deny from all
  </Files>
</Directory>

wp-config.php安全加固

在wp-config.php中添加以下安全配置：

// 禁用文件编辑器（防止被入侵后通过后台修改文件）
define('DISALLOW_FILE_EDIT', true);

// 限制文章修订版本数量
define('WP_POST_REVISIONS', 5);

// 强制使用SSL登录后台
define('FORCE_SSL_ADMIN', true);

// 更改数据库前缀（安装时设置，已安装的不建议改）
// $table_prefix = 'wp_abc123_';

SSL证书配置

SSL方案	价格	推荐场景
Let’s Encrypt	免费	个人博客、小型网站
Cloudflare SSL	免费	配合CDN使用
付费SSL证书	$10-100/年	电商网站、企业站

安装SSL证书后，使用Really Simple SSL插件一键开启全站HTTPS。

安全扫描和监控

定期进行安全扫描是必要的：

Wordfence每天自动扫描恶意文件
Sucuri SiteCheck在线扫描（免费）
定期检查用户列表，删除可疑账号
监控文件变更通知

建议同时配置网站监控，及时发现异常。

备份是最后的防线

无论安全措施做得多好，都要做好备份。万一真的被入侵了，备份能让你快速恢复。

详细的备份方案可以看WordPress备份与恢复。

安全检查清单

检查项目	频率	优先级
更新WordPress核心	发布即更新	高
更新插件和主题	每周	高
安全扫描	每天（自动）	高
检查用户列表	每月	中
审查登录日志	每周	中
验证备份可用	每月	高
检查文件权限	每季度	中

总结

WordPress安全不是装了一个安全插件就完事了。从密码设置、登录保护、防火墙配置到文件权限，每一层都要做好。记住，安全和性能优化一样，是一个持续的过程。