WordPress是全球使用最广泛的建站程序，也是黑客攻击的重点目标。做好安全防护可以避免99%的常见攻击。这篇教程教你从零开始加固WordPress网站安全。
一、WordPress安全风险
WordPress常见的安全威胁：
| 威胁类型 | 说明 | 危害 |
|---|---|---|
| 暴力破解 | 自动尝试用户名和密码登录后台 | 被盗号、网站被篡改 |
| SQL注入 | 通过表单或URL注入恶意SQL代码 | 数据库被窃取、篡改 |
| XSS跨站脚本 | 在页面注入恶意JavaScript | 窃取用户Cookie、钓鱼 |
| 恶意代码/后门 | 在主题/插件中植入后门代码 | 网站被控制、发送垃圾邮件 |
| 文件上传漏洞 | 上传恶意PHP文件到服务器 | 获取服务器控制权 |
| 漏洞利用 | 利用WordPress/主题/插件的已知漏洞 | 各种攻击，取决于漏洞类型 |
| DDoS攻击 | 大量请求导致网站无法访问 | 网站宕机 |
| 社会工程 | 钓鱼邮件、假客服骗取账号 | 账号被盗 |
💡 安全原则
最小权限原则：只授予必要的权限，用户角色能低就低
及时更新原则：WordPress核心、主题、插件保持最新版本
备份原则：定期备份，出问题可以快速恢复
纵深防御原则：多层防护，一层被突破还有下一层
二、基础安全设置
基础安全10项
- 使用强密码：管理员密码12位以上，包含大小写字母、数字、特殊符号。用密码管理器（如1Password、Bitwarden）生成和保存随机密码
- 不要使用admin用户名：安装时不要用"admin"作为管理员用户名，黑客首先尝试admin。如果已经是admin，创建一个新管理员账号，删除admin
- 及时更新：WordPress核心、主题、插件保持最新版本。后台 → 更新，定期检查更新。开启自动更新小版本（安全更新）
- 删除不用的主题和插件：不使用的主题和插件要删除，不要只是停用。过时的主题插件是主要的安全漏洞来源
- 只从官方渠道安装：主题和插件只从WordPress官方库或主题官网下载，不要安装"破解版"、"nulled"主题插件，可能包含后门和恶意代码
- 修改数据库表前缀：安装时修改默认的wp_前缀为随机前缀（如wp3x9_），防止SQL注入攻击。已安装的可以用插件修改（如WP Migrate DB）
- 禁用文件编辑：在wp-config.php中添加
define('DISALLOW_FILE_EDIT', true);禁用后台的主题/插件编辑器，防止黑客通过编辑器修改文件 - 关闭XML-RPC：XML-RPC常被用于暴力破解和DDoS攻击。用插件（如Disable XML-RPC）或.htaccess禁用。如果不需要手机端发布文章，建议禁用
- 设置正确的文件权限：文件夹权限755，文件权限644，wp-config.php权限600。不要设置777（任何人可读写）
- 定期备份：参考备份教程，定期备份网站文件和数据库，备份到异地（云端），出问题可以快速恢复
三、登录安全加固
登录安全设置
- 限制登录尝试：安装Wordfence或Limit Login Attempts Reloaded插件，限制同一IP的登录尝试次数（如5次失败后锁定15分钟），防止暴力破解
- 双因素认证（2FA）：安装Wordfence或Google Authenticator插件，开启双因素认证。登录时除了密码，还需要手机验证器APP生成的6位动态码，即使密码泄露也无法登录
- 修改后台登录地址：默认后台地址是 /wp-admin/ 和 /wp-login.php，黑客都知道。用WPS Hide Login插件修改为自定义地址（如 /my-admin/），隐藏真实登录地址
- 登录验证码：在登录页面添加图形验证码或数学验证码，防止机器人自动登录。Wordfence或Captcha插件可以实现
- 限制后台访问IP：如果只有固定IP管理网站，可以在.htaccess中限制只有指定IP才能访问wp-admin和wp-login.php，其他人无法访问登录页面
- 强制退出空闲用户：用插件设置用户空闲一段时间后自动退出，防止忘记退出导致账号被他人使用
- 用户角色最小化：只给用户必要的角色。订阅者只能管理个人资料，投稿者可以写文章但不能发布，编辑可以管理文章，管理员拥有全部权限。不要轻易给管理员权限
四、防火墙与恶意扫描
4.1 Wordfence安全插件
Wordfence是最受欢迎的WordPress安全插件，免费版功能足够个人站使用。
Wordfence配置要点
- 安装启用Wordfence Security插件
- 输入邮箱接收安全警报
- 防火墙（Firewall）：默认开启Web应用防火墙，拦截SQL注入、XSS、目录遍历等常见攻击。可以设置学习模式（Learning Mode）一周，让防火墙学习正常流量，然后切换到启用和保护模式
- 扫描（Scan）：定期运行扫描，检查恶意代码、漏洞、异常文件、被黑文件。建议每周扫描一次，开启邮件通知
- 登录安全（Login Security）：
- 开启双因素认证（2FA）
- 开启登录验证码（reCAPTCHA）
- 设置登录尝试限制（如5次失败锁定15分钟）
- 禁用XML-RPC（如果不需要）
- 工具（Tools）：
- 实时流量：查看网站实时访问，识别恶意访问和攻击
- 禁止IP：手动封禁恶意IP地址
- 国家拦截（付费版）：拦截特定国家的访问
- 所有选项（All Options）：配置邮件通知、扫描频率、防火墙规则等
4.2 服务器端防火墙
- Cloudflare：免费版提供基础DDoS防护和Web应用防火墙规则，在DNS层面拦截攻击。参考Cloudflare教程
- 安全狗/云锁：服务器端安全软件，提供防火墙、防注入、防篡改、防暴力破解等功能。参考安全狗教程
- 云服务商安全组：阿里云/腾讯云安全组只开放必要端口（22/80/443），关闭其他端口
五、文件与数据库安全
5.1 文件安全
- 正确的文件权限：
- 所有文件夹：755（rwxr-xr-x）
- 所有文件：644（rw-r--r--）
- wp-config.php：600（rw-------），只有所有者可读写
- 不要使用777权限，除非临时需要且用完改回
- 保护wp-config.php：wp-config.php包含数据库密码等敏感信息，设置600权限，在.htaccess中添加规则禁止直接访问
- 禁止目录浏览：在.htaccess中添加
Options -Indexes，禁止用户浏览目录内容，防止文件泄露 - 保护.htaccess：设置.htaccess文件权限644，防止被篡改
- 禁用PHP执行：在上传目录（wp-content/uploads/）禁用PHP执行，防止上传的恶意PHP文件运行。在.htaccess中添加规则
- 隐藏WordPress版本：在functions.php中添加代码移除wp_generator，不显示WordPress版本号，防止黑客针对特定版本漏洞攻击
5.2 数据库安全
- 修改表前缀：安装时修改默认wp_前缀，已安装的用WP Migrate DB等插件修改
- 数据库用户最小权限：创建专用数据库用户，只授予SELECT、INSERT、UPDATE、DELETE权限，不要用root用户
- 强数据库密码：数据库密码使用随机强密码，不要用简单密码
- 禁止远程访问：数据库只允许本地（127.0.0.1）连接，禁止远程root登录
- 定期备份数据库：参考备份教程，每天备份数据库
- 删除默认数据库：删除MySQL的test数据库和匿名用户
六、被黑应急处理与FAQ
网站被黑应急处理步骤
- 保持冷静，不要慌：大多数被黑情况都可以恢复
- 立即备份当前状态：即使被黑了也先备份一份，方便分析原因和恢复
- 断开网络/维护模式：如果网站在发送垃圾邮件或进行攻击，立即将网站设为维护模式或暂时关闭，防止进一步损害
- 扫描恶意代码：用Wordfence、Sucuri SiteCheck等工具扫描，找出恶意文件和代码
- 修改所有密码：WordPress管理员密码、数据库密码、FTP密码、服务器SSH密码、邮箱密码，全部修改为强密码
- 清理恶意代码：
- 删除未知的管理员用户
- 删除不认识的主题和插件
- 对比官方文件，替换被篡改的核心文件（重新上传WordPress核心文件）
- 清理主题和插件中的恶意代码（最好重新安装干净的主题插件）
- 检查.htaccess、wp-config.php是否被篡改
- 检查上传目录是否有恶意PHP文件
- 重新安装WordPress核心：后台 → 更新 → 重新安装当前版本，覆盖核心文件
- 检查数据库：检查数据库中是否有恶意管理员用户、未知的文章/页面、恶意代码
- 加强安全防护：安装安全插件、开启防火墙、双因素认证、限制登录尝试等
- 恢复干净备份：如果清理不干净，最彻底的方法是恢复被黑之前的干净备份，然后加强安全防护
- 通知用户：如果用户数据泄露，及时通知用户修改密码
- 分析原因：找出被黑的原因（弱密码？过时插件？恶意主题？），避免再次被黑
Q：WordPress安全插件会拖慢网站吗？
A：Wordfence等安全插件会增加一定的服务器负载，但影响很小（通常几十毫秒），相对于安全收益是值得的。可以在插件设置中关闭不需要的功能，减少性能影响。
Q：免费版Wordfence够用吗？
A：对于个人博客和小型企业站，免费版完全够用。免费版包含Web应用防火墙、恶意代码扫描、登录安全、双因素认证、流量监控等核心功能。付费版增加了实时防火墙规则、国家拦截、人工支持等高级功能。
Q：修改后台登录地址会被绕过吗？
A：修改登录地址可以防止绝大多数自动化攻击和暴力破解，但不是绝对安全。如果黑客知道新地址，仍然可以尝试登录。建议配合双因素认证和登录尝试限制，多层防护更安全。
Q：网站被黑后搜索引擎会惩罚吗？
A：如果被黑后网站被植入恶意内容、垃圾链接或被搜索引擎标记为"被黑网站"，会影响SEO排名。清理干净后，可以在Google Search Console和百度站长平台提交重新审核，请求解除标记。恢复需要一定时间。
Q：需要安装多个安全插件吗？
A：不需要，安装一个综合安全插件（如Wordfence）即可。多个安全插件会导致冲突、重复功能和性能下降。如果需要特定功能（如修改登录地址），可以安装单一功能的小插件配合使用。