很多朋友以为网站上线后就万事大吉了，其实黑客们每天都在扫描各种网站，寻找漏洞。WordPress 虽然好用，但由于用户多、插件多，也成了黑客的重点关注对象。别慌，我们不需要成为安全专家，只要用好安全插件，并做好关键配置，就能挡住绝大多数攻击。

今天我就用大白话，教你如何配置一款 WordPress 安全插件（以最常见的 Wordfence 为例，其他插件思路类似），让你的网站穿上一件“防弹衣”。

为什么要装安全插件？

你可以把网站想象成一个小房子。WordPress 是房子的骨架，主题是装修，插件是家具。但房子总得有门窗吧？安全插件就是给门窗上锁、装监控、甚至加电网的那套系统。

没有它，黑客可以尝试猜你的密码、利用旧版插件的漏洞、往网站里塞垃圾代码……等发现时，往往网站已经被篡改，甚至变成传播病毒的“毒源”。

所以，装一个安全插件，并把它配置好，是非常必要的第一步。

第一步：安装并启用插件

在 WordPress 后台，点击“插件” → “安装插件”，搜索“Wordfence”，找到后安装并启用。也可以选择 iThemes Security、All In One WP Security 等，但今天以 Wordfence 为例，因为它的防护比较全面，免费版也够用。

启用后，插件会引导你进行一些初始设置，直接进入下面的核心配置项就行。

第二步：开启防火墙，挡住恶意流量

Wordfence 的核心功能之一是 Web 应用防火墙（WAF）。通俗讲，就是在你的网站门口设一道安检门，可疑的请求直接拦下。

• 进入 Wordfence 的“防火墙”页面，点击“优化 WordPress 防火墙”。
• 选择“启用防火墙”，并设置为“扩展保护”模式。
• 对于“防火墙规则”，建议保持默认或“启用所有规则”。如果你是新手，直接点“推荐”即可。

这样，常见恶意扫描、SQL 注入、XSS 攻击就会被挡在门外。

第三步：设置登录防护，让密码不那么好猜

黑客最常用的一招叫“暴力破解”，就是拿一串常用密码不停尝试登录你的后台。我们要做的就是限制尝试次数，并增加额外验证。

• 在 Wordfence 的“登录安全”页面，开启“强制执行强密码”。这样用户设置密码时，必须用足够复杂的组合。
• 开启“限制登录尝试次数”，比如每 20 分钟最多尝试 5 次。超过次数就锁定 IP，让黑客猜不了几次就没机会了。
• 如果条件允许，开启“谷歌两步验证”。登录后台时，除了密码，还要输入手机验证码。这一步能直接劝退 99% 的密码窃取攻击。

小提示：两步验证需要手机上安装 Google Authenticator 之类的应用，设置时按插件提示扫码绑定即可，很简单。

第四步：定期扫描，坏了能及时发现

安全插件就像给网站装了个体检仪，要定期检查文件有没有被改动、有没有可疑代码。

• 在 Wordfence 的“扫描”页面，点击“开始新扫描”。
• 建议设置一个扫描计划，比如每周一次。在扫描选项中，勾选“扫描核心文件是否被修改”、“扫描恶意代码”等。
• 如果你发现扫描结果中有可疑文件，可以先备份，然后删除或隔离。新手做法是：如果不确定，就交给插件处理，或者请教专业人士。

第五步：隐藏版本号，减少被针对的概率

黑客知道你的 WordPress 版本后，就能去网上搜这个版本的漏洞，然后有针对性地攻击。所以，隐藏版本号是个简单有效的办法。

• 在 Wordfence 的“选项”里，找到“隐藏 WordPress 版本”并开启。
• 同时，把“阻止直接访问 PHP 文件”也打开（但注意不要影响正常功能，一般安全插件默认没问题）。

还可以通过修改 htaccess 文件来隐藏，但用插件就省事多了，勾选即可。

第六步：禁用文件编辑，防篡改

WordPress 后台有个“主题文件编辑器”和“插件文件编辑器”，如果黑客进入了后台，他们可以在这里直接修改代码，植入后门。所以我们要把它关掉。

• 在 Wordfence 的“选项”中，找到“禁用代码编辑器”（Disable file editor），开启即可。

如果使用其他插件，也请务必找到这个设置，它叫“文件编辑”或“代码编辑器”。

第七步：更新！更新！更新！

这不算插件配置，但比任何配置都重要。很多网站被攻击，就是因为插件或主题没更新，漏洞被利用了。

• 在 Wordfence 的“更新”页面，你会看到所有需要更新的插件/主题/内核。
• 建议开启“自动更新”功能，至少也要做到每天检查一次。

记住：安全插件不是万能的，更新才是堵住漏洞的根本。

最后：其他小技巧

• 备份网站：安全插件防不住所有事，万一被黑了，备份还是最后的救命稻草。用 UpdraftPlus 或者云备份，定期把网站备份到网盘。
• 修改后台登录地址：WordPress 默认登录地址是 /wp-admin，很多人用扫描工具找这个地址。你可以用插件或代码改成其他路径，比如 /my-login，能减少很多无谓的尝试。
• 不要随便装来路不明的插件和主题：要去官方渠道下载，避免后门代码。

总结

配置 WordPress 安全插件，其实就几步：

1. 开启防火墙，挡住恶意流量；
2. 限制登录尝试，强制强密码，加两步验证；
3. 定期扫描文件；
4. 隐藏版本号；
5. 禁用文件编辑器；
6. 保持所有软件更新。

把这些做完，你的网站就相当于穿上了防弹衣，普通黑客基本不会碰你了。安全不是一劳永逸，但只要养成习惯，定期检查和更新，网站就能稳稳地跑下去。

希望这篇文章对你有用，赶紧去后台动动手，给自己的网站加个安全锁吧！

[返回上一级]