如果您拥有自己的博客，论坛或电子商务网站，则很有可能基于WordPress。而且为什么不呢？毕竟，它是世界上最可扩展且最容易使用的CMS。这些事情导致了它的流行和广泛采用。但是，普及具有其自身的风险。作为世界上最流行的内容管理系统，WordPress成为网络犯罪分子的诱人目标。因此，如果您正在使用它，则有责任尽一切可能保护您的网站。因此，在这里我们将介绍保护WordPress网站所必须采取的11个关键步骤。让我们开始吧：

1. 保持软件最新

   此步骤通常被认为是理所当然的，但是通过定期遵循这一单个步骤，可以避免大多数安全问题。保持服务器操作系统和WordPress安装均为最新，并且可以避免在遇到严重问题之前避免许多安全问题。因为只要出现新的软件漏洞，黑客便会为了自己的利益而迅速滥用它。网站上的大规模网络攻击就是证明。

   通过不断更新服务器操作系统和WordPress安装，您可以避免遭受此类事件的破坏，因为WordPress和Linux基金会都在发现新漏洞后就针对新漏洞推出了安全更新。每当宣布可能影响您网站的新软件漏洞并发布修补程序的补丁程序时，您都可以使用Gemnasium等工具自动得到通知。

2. 保持主题和插件为最新

   在软件之后要保持更新的下一个重要内容是主题和插件，因为这些内容中也可能存在错误和安全漏洞。例如，Ninja Forms和WooCommerce在最近成为一些严重安全问题的受害者。避免成为任何此类问题的受害者的最佳方法是保持主题和插件的更新。每当您在各自的页面中看到主题或插件的较新版本时，都应进行更新。

   而且，除了更新主题和插件之外，也不要忘记卸载不使用的主题和插件。不必要的混乱永远都不是好事，因为它会累加您的站点的备份，如果您无论如何都需要从备份中还原站点，这最终会变得更加麻烦。

3. 安装SSL证书并启用HTTPS

   每当您登录WordPress管理面板时，就有可能有人通过中间人（MITM）攻击窃取您的登录凭据。MITM攻击是某人窃取您发送到网站的数据时。因此，当您将WordPress登录凭据发送到Web服务器进行身份验证时，这也容易受到MITM攻击-直到您在站点上安装SSL证书为止！

   SSL证书可防止在用户和站点之间传输数据时窃取用户数据。它对从一端到另一端的传输数据进行加密，因此即使有人在传输过程中捕获了数据，也看不到它。因此，如果您想保持WordPress网站的安全，那么安装SSL证书也应该是您的当务之急。如今，根据购买者的各种需求，市场上可以买到各种类型的SSL证书，而且不再昂贵。

4. 强制使用强密码

   您不仅应该自己输入一个强密码，而且您网站上所有可以向该网站添加内容的用户都应该为其帐户输入强密码。这是因为您永远不知道恶意脚本将以哪种形式进入您的站点。它的形式也可能像贡献者添加到站点的图像一样简单。因此，即使贡献者帐户被黑，您的网站也可能容易受到外部恶作剧的侵害。因此，您应该坚持使用至少8个字符长的强密码，包括数字和符号，并同时混合使用小写和大写字母。您可以使用“强制强密码”插件（或任何其他类似的插件）来强制用户使用强密码。

   关于密码的第二件事是，密码应该存储在加密的环境中。切勿将密码保存在简单的Word文档中。您应该改用高质量的密码管理器，因为它们以某种方式对您的密码内容进行加密，即使它们被盗了，也不会对窃取密码的人有用。

5. 启用两因素身份验证

   进入更高级的安全机制，首先想到的是启用两因素身份验证。此方法可以增加另一层安全性，在某些情况下有人以某种方式持有您网站的有效登录凭据时，可以防止未经授权访问您的WordPress网站。如果您在站点上设置了基于SMS验证或其他某种形式的验证（即秘密问题）的两因素验证机制，则该人将无法登录。WordPress存储库中有不错的插件可以帮助您实现此功能（即Google Authenticator）。

6. 设置登录限制

   如果某人需要尝试5次以上才能登录到一个帐户，则很可能该人未登录自己的帐户。当真实用户几乎总是可以进行少于3-4次登录时，就没有必要在您的站点上进行无限制的登录尝试。在您的WordPress网站上启用登录尝试限制，您将免受蛮力攻击和基于猜测的网络攻击。也有一些插件可用于实现此功能，例如WP Limit Login Attempts。

7. 更改您的登录网址

   Wp-admin和Wp-login.php是网络世界中两个最著名的房地产。如果将它们替换为其他东西，将会更好。只要您也实现此列表中提到的其他技巧，猜测自定义登录URL对黑客来说可能是非常困难的。它将大大减少您的WordPress网站被黑客入侵的可能性。您可以将登录URL更改为my_login.php，my_custom_login.php或您想要保留的其他任何内容。iThemes Security插件可以帮助您轻松地做到这一点。

8. 保护您的Wp-admin目录

   WP-admin无疑是WordPress安装中最重要的目录。与管理员访问权限相关的几乎所有内容都位于其中。使用强HTTP摘要认证对密码进行“ uuencoded”，这意味着您的密码正以未加密格式进行处理，但未以纯文本形式通过网络传递。因此，它将为您的WordPress网站启用另一个强大的安全层。保留一个密码用于登录，另一个密码用于WordPress管理员区域，那就太好了。您可以借助AskApache Password Protect插件来做到这一点。

   现在，根据您的WordPress安装和网站的性质，有时可能需要经常访问某个wp-admin目录。在这些情况下，您可以在保护目录的其余内容的同时使此类目录不受保护。

9. 使用防火墙

   保护WordPress安装的另一重要步骤是使用防火墙。他们通过在运行每段代码之前对其进行检查，从而保护安装了该系统的系统免受各种威胁。恶意请求将被过滤并保留，因此您的系统可以保持安全。

   为了确保对站点的全面保护，您应该在计算机上安装本地防火墙，并在WordPress站点的服务器上安装另一个防火墙。尽管本地防火墙与WordPress站点没有直接连接，但它仍然是必需的，因为您使用PC来访问WordPress站点的管理区域。任何著名的网络安全公司的好的防火墙都可以做：诺顿，ZoneAlarm，Comodo等。

   现在进入WordPress防火墙，有一些好名字，例如Wordfence，iThemes Security等。这些防火墙将保护您的WordPress网站免受恶意软件，病毒，特洛伊木马和其他威胁的侵害。

10. 主动监视您的WordPress文件

    如果您开始主动监视WordPress安装文件，当有人尝试弄乱它们中的任何文件时，您会立即知道。当有人闯入您的网站时，这可以节省生命，因为您越早了解入侵，就可以采取更好的步骤来保护自己。Wordfence等安全插件可以帮助您轻松完成此任务。

11. 定期备份

    最后，在某些情况下发生问题且您的网站遭到黑客入侵的情况下，定期备份WordPress网站的良好传统要求大有帮助。在所有这些情况下，如果您需要更改服务器，那么所做的备份将有助于将站点还原到以前的位置。定期备份可以帮助确保在任何情况下您几乎不会丢失任何数据。您可以使用WordPress中已包含的选项手动执行此操作，也可以借助一些插件为您自动完成该过程。我认为第二种选择会更好。为此目的，一些流行的插件包括Backup Buddy，Vaultpress和blogVault。

因此，这是我们为保护网站而必须实施的11大WordPress安全提示。立即进行操作，您的WordPress网站将比现在更安全地免受各种网络攻击。

---

---

需要提供WordPress主题/插件的汉化服务可以随时联系我们！另外成品WordPress网站以及半成品WordPress网站建设，海外Google SEO优化托管服务，百度SEO优化托管服务，Centos/Debian服务器WP专用环境搭建，WP缓存服务器搭建，我们都是你的首选，拥有多年WP开源程序服务经验，我们一直在坚持客户体验，没有最好，只有更好！