提升WordPress网站安全性的六个技巧

WordPress 是世界上最流行的内容管理系统（CMS），互联网上约30%的网站是使用它搭建的。Wordpress 拥有大量的定制化代码和插件、一流的搜索引擎优化（SEO）功能以及在建站程序界超高的美誉度，这也是它赢得高知名度的原因。

然而，随着知名度的提高，WordPress也成为入侵者、恶意软件和网络攻击的常见目标。据统计，2019年被黑客攻击的CMS中，约90%是WordPress。无论你是WordPress的新用户，还是有经验的开发者，掌握一些 WordPress的安全技巧，都可以帮助保护你的WordPress网站。

选择可靠的主机托管服务

选择一个可靠的主机服务提供商，是为网站提供安全保障的重要基础。主机服务不仅提供网站的基础托管功能，而且也对网站的速度、性能和安全有重要的影响。

首先，最好你的主机套餐中包含 SSL 安全证书。SSL 对于所有网站来说都是十分必要的，无论是小型博客还是大型在线商店。当然，如果主机服务商不提供SSL证书，我们也可以通过其他渠道申请免费的证书，或者根据需要购买高级 SSL 证书。

除了 SSL 证书之外，以下这些安全服务也是十分重要的：

• 日常自动备份网站数据
• 恶意软件和病毒扫描和删除
• 防范分布式服务攻击（DDoS）
• 实时网络监控
• 高级防火墙保护

此外，除了数字安全功能外，主机服务供应商的物理安全措施也很重要。这些措施包括安全警卫、闭路监控、二次验证或生物识别等，用来限制对数据中心的访问。

安装安全插件

为了保护网站的安全，安装一款安全插件是非常有必要的。WordPress安全插件可以自动化网站安全管理，自动检测和阻止恶意攻击，并提醒你需要注意的安全问题，让你专注于网站运营，而不必花费大量时间来处理威胁。

Sucuri是一个GPLv2许可的开源软件，是一款流行的安全插件，免费版本提供基本的安全功能，如日常自动离线备份、恶意软件和杀毒软件扫描和删除、DDOS保护、实时网络监控和防火墙保护等。

除了基本功能，其高级功能需要付费订阅，例如网站应用防火墙（WAF），它可以防止常见的威胁，并为网站添加额外的安全层。

在选择安全插件时，要注意插件是否提供WAF等高级功能，并考虑你的网站规模和需要的安全级别，以确定是否需要付费升级。

安装可靠的主题和插件

WordPress作为开一个源平台，任何人都能够贡献他们的主题和插件。在选择主题和插件时，也需要注意下面这些问题。

选择免费主题或插件时，需要注意它们的设计和代码是否质量良好，是否存在隐藏恶意代码的情况。为了避免这些问题，应该从可靠的来源获取，比如WordPress主题库，Themeforest主题平台，可信赖的开发者，并阅读用户评论，以及了解开发者的背景。过时的或存在设计缺陷的主题和插件，都可能存在安全漏洞，给攻击者提供可乘之机。

此外，有很多网站提供的所谓开心版或者破解版主题和插件，被插入了恶意代码或者后门，可能会破坏你的网站。要避免使用这些破解版主题，不要被免费或打折所吸引，指安装从可靠渠道获得的主题。

定期更新主题和插件

保持网站程序、主题和插件的更新，是使用WordPress网站的重要原则。然而，令人惊讶的是，只有43%的网站运行的是最新版本的WordPress，这是一个非常大的问题。当你的网站不更新时，它会变得不安全、不稳定和容易遭受攻击。过期的网站很容易成为攻击者的目标，因为它们的漏洞更容易被发现和识别，并针对性的进行攻击。这可能导致网站数据丢失、系统瘫痪和其他不良后果。

因此，始终运行最新版本的WordPress，以保证网站的安全和稳定。更新包括核心WordPress软件、主题和插件。如果您使用托管服务，则可能会自动进行更新检查和管理。如果您不使用托管服务，则可以安装插件管理器来管理更新。例如，Easy Updates Manager插件可以帮助你自动更新WordPress、主题和插件。

加强登录安全防护

除了认真选择主题和安装安全插件外，保护 WordPress 网站的另一个关键步骤，是防止未经授权的登录访问。以下是一些可以增强 WordPress 网站登录安全的措施：

1. 更改密码：如果你的密码是简单密码，最好将其更改为复杂密码。例如，使用一组不相关但容易记住的单词组合成的长密码。此外，不要重复使用密码，不要包括明显的单词，并避免与任何人分享账户信息。
2. 使用密码管理器：使用密码管理器可以帮助你创建和管理密码，使你不必担心会忘记密码。
3. 变更登录地址：避免使用默认的登录地址，因为它存在被暴力破解的风险，建议将登录地址更改为自定义的URL。可以使用开源插件 WPS Hide Login 对登录地址进行自定义。
4. 应用双因素认证：添加双因素认证可以为 WordPress 网站提供额外的保护，阻止未授权的登录和暴力破解。即使黑客得到了你的登录信息，他们也需要接收到你的手机验证码，才能获得 WordPress 网站的管理权限。
5. 限制登录尝试：安装插件以限制登录尝试，并设置允许猜测的次数，可以防止黑客多次登录尝试。

禁用主题和插件编辑

禁用主题和插件文件编辑功能，是保护WordPress网站的另一个重要措施，它可以防止未经授权的访问编辑主题和插件代码。

为了达到这个目的，你可以在.htaccess文件中添加以下代码来拒绝未授权的访问：

Order deny,allow
Deny from all

这段代码的作用是禁止所有人访问当前目录及其子目录下的文件，包括网页、图片、CSS、JavaScript等所有类型的文件。

或者添加下面的代码到wp-config.php文件中：

define( 'DISALLOW_FILE_EDIT', true );

这样，在WordPress管理后台中，将隐藏主题和插件编辑器，以防止任何人编辑主题或者插件代码。当你想要通后台编辑主题和插件代码时，只需删除刚才在wp-config.php文件中添加的代码即可。

总结

WordPress是一款非常受欢迎的内容管理系统，也是网络攻击者最感兴趣的目标之一。为了确保WordPress网站的安全，可以采取多种措施，包括使用强密码、定期更新WordPress、安装可靠的插件和主题、备份网站数据等等。另外，禁用文件编辑功能也是保护WordPress网站安全的重要措施之一，它可以防止未授权的用户修改主题和插件代码，从而避免潜在的安全威胁。