如何保护您的 WordPress 网站免受黑客攻击

您的组织正确行事的最重要方面之一是网络安全。 如果您的网站是您的城堡，那么黑客就是当今的入侵军队，他们试图打破您网站的防御以获取隐藏在其中的宝藏。 阻止它们取决于您，因为如果您不这样做，它们会造成很大的伤害。

WordPress 是一个受欢迎的 CMS 平台，拥有超过 60% 的市场份额。 据专家介绍，每天使用 WordPress 网站构建器构建 500 多个网站。 如果您使用 WordPress 作为您的 Web 开发平台，请务必考虑安全性。

但是黑客如何进入您的网站，又如何阻止他们呢？ 要了解有关 WordPress 网站安全性的更多信息，请参阅以下部分：

为什么黑客会针对您网站的安全性？

保护您的网站免受黑客攻击是任何企业的首要任务，对于那些经营在线商店的企业来说更是如此。 在查看“如何”之前，我们应该先查看网站安全的“原因”。 是什么驱使黑客瞄准您的网站？ 知道答案可能会帮助您确定网站的哪些部分需要最多的保护。

以下是网站安全威胁的最常见原因列表：

1.获取敏感信息

为了访问机密信息，黑客出于多种原因试图侵入您的网站。 第一个——当然也是最常见的——是获取敏感信息。 这些信息通常与您的业务相关——公司文书工作、销售记录以及黑客将来可能利用这些知识产权损害您的公司的其他知识产权。

黑客也可能获取用户信息。 如果您在您的网站上存储您的客户或客户的数据，尤其是财务信息，黑客可以使用它从向您购买的人那里窃取资金。

2. 托管恶意软件

黑客可能将您的站点作为目标的另一个原因是将其用作病毒分发点。 当黑客获得对您网站的访问权时，他们可以安装病毒并将其用作在 Internet 上传播这些病毒的启动板。

此操作将损害您在 Google 中的声誉，这将在您的网站上看到恶意软件并将您从搜索排名中排除，此外还会使根除病毒变得更加困难。 您在搜索引擎优化 (SEO) 方面的所有努力都将付诸东流。

3.为了好玩

最后，许多黑客为了纯粹的刺激而侵入网站。 他们喜欢突破防火墙并破坏您的所有保护措施，以获得控制您的网站所带来的满足感。

其他人则更进一步，希望通过他们的骗局为自己出名。 当黑客被捕时，他们经常在社交媒体上吹嘘自己的功绩。 不幸的是，即使他们被逮捕，对您网站的伤害也已经造成。

有哪些常见的网站安全威胁？

既然我们已经讨论了为什么黑客攻击您的网站以及为什么它可能如此危险，那么让我们来看看黑客试图绕过您的安全的一些常见方法。 三种主要的网站安全隐患需要关注！

1. 病毒和恶意软件

我们已经讨论过黑客如何通过您的网站传播恶意软件。 但是，恶意软件是黑客访问您网站的另一种方式。

它通常以单击链接等基本内容开始。 黑客会找到一种在您面前获取链接的方法，最常见的是通过电子邮件。 当您单击链接时，将释放一种病毒，该病毒会迅速从您自己的计算机进入您的站点。

到那时，您的整个网站都会崩溃，让您陷入困境并容易受到黑客尝试的任何攻击 - 更不用说您的销售将因此受到影响！

2.垃圾邮件链接

除了试图说服您这样做之外，黑客还可能经常试图说服您的网站访问者点击恶意链接。 在您的网站上发表评论是他们这样做的最流行的方法之一。

如果您有一个可以发表评论的博客，请留意您的读者所说的话。 黑客经常使用该渠道分发链接，将恶意软件错误地下载到消费者的 PC 上。

当谷歌注意到那些来自你网站的链接时，它会很快在搜索结果中惩罚你，因此你应该尽量避免在你的网站上出现这些评论。

3. DDOS 攻击

分布式拒绝服务 (DDoS) 攻击是第三种最常见的网站安全问题，近年来它们越来越受欢迎。 当黑客通过用虚假流量淹没您的整个网站时，这被称为 DDoS 攻击。

黑客建立了大量虚假 IP 地址，并命令他们同时访问您的网站。 您的网站将崩溃，因为它无法管理那么多访问者。 这将禁止其他人访问该网站，这将影响您的排名和转化。

为什么网站安全很重要？

被黑的 WordPress 网站可能会严重损害您公司的收入和声誉。 黑客可以窃取用户信息、密码、安装有害软件，甚至用恶意软件感染您的用户。 在最坏的情况下，您可能被迫向黑客支付勒索软件以恢复对您网站的访问权限。

据谷歌称，超过 5000 万网站用户已被警告他们正在访问的网站可能包含恶意软件或窃取信息。 此外，Google 每周都会将大约 20,000 个恶意软件网站和大约 50,000 个网络钓鱼网站列入黑名单。

如果您正在运营一个商业网站，您需要特别注意 WordPress 的安全性。 由于真正的商店所有者有义务保护他们的建筑物，因此在线企业所有者也有责任保护他们的网站。

如何保护您的 WordPress 网站免受黑客攻击

以下是有关如何保护您的 WordPress 网站免受黑客攻击的一些提示。 您可以从更改密码开始，确保您不会在帖子或评论中留下任何个人信息，安装高质量的防火墙和防病毒软件，并利用多年来内置于 WordPress 中的许多安全措施. 让我们按照以下步骤保护您的 WordPress 网站：

1.保持WordPress更新

WordPress 是一个定期更新和维护的开源程序。 这就是为什么让您的 WordPress 网站保持更新对于保证它们的安全很重要。 默认情况下，WordPress 会自动安装次要更新。 您必须手动启动主要版本的更新。 WordPress 还在“更新”部分提醒我们这些更新。

WordPress 还附带了一个包含数千个插件和主题的库，您可以使用它们来自定义您的网站。 第三方开发人员维护这些插件和主题，并定期发布更新。

这些 WordPress 升级对于您的 WordPress 网站的安全性和稳定性至关重要。 检查您的 WordPress 核心、插件和主题是否都是最新的。

2. 强密码和用户权限

大多数 WordPress 黑客攻击都使用被盗密码。 使用您网站独有的更严格的密码来增加难度。 不仅适用于 WordPress 管理区域，还适用于使用您网站域名的 FTP 帐户、数据库、WordPress 托管帐户和自定义电子邮件地址。

因为强密码很难记住，所以许多初学者都避免使用它们。 好消息是您不再需要记住密码。 您可以使用密码管理器来跟踪您的密码。

另一种降低危险的策略是只将您的 WordPress 管理员帐户提供给您绝对需要的人。 如果您有一个大型团队或来宾作者，请确保您了解 WordPress 中的用户角色和功能，然后再将新用户帐户和作者添加到您的 WordPress 网站。

3. WordPress 主机的作用

您的 WordPress 托管服务是 WordPress 网站安全性的最关键方面。 一家称职的共享托管公司会不遗余力地保护其服务器免受频繁威胁。

以下是一个称职的网络托管业务如何在后台保护您的网站和数据。

• 他们密切关注他们的网络以发现任何可疑行为。
• 为了防止大规模 DDOS 攻击，所有优秀的托管公司都有适当的工具。
• 防止黑客利用旧版本中的已知安全漏洞
• 他们将服务器软件、PHP 版本和硬件保持在最新状态。

4. 安装 WordPress 备份解决方案

备份是您在遭受 WordPress 攻击时的第一道防线。 请记住，没有什么是安全的。 如果政府网站可以被黑客入侵，您可以确定您的网站也可以。

如果出现问题，备份使您能够迅速恢复您的 WordPress 网站。 您可以使用各种免费和付费的 WordPress 备份插件。 关于备份要记住的最重要的事情是，必须定期将全站点备份保存到远处（而不是您的主机帐户）

我们建议将其存储在 Amazon、Dropbox 或 Google Drive 等云提供商上。 根据您更新网站的频率，每天一次的备份或实时备份可能是最佳选择。

您的 WordPress 网站备份包括以下内容：

• WordPress核心安装
• WordPress插件
• WordPress 主题
• 图像和文件
• JavaScript、PHP 和其他代码文件
• 附加文件和静态网页

5. 最佳 WordPress 安全插件

备份之后，下一步是建立一个审计和监控系统，记录您网站上发生的所有事情。

文件完整性监控、登录尝试失败、病毒检测等都是安全插件的元素。 它们不是附加组件或附加组件，而是每个 WordPress 网站的重要组成部分。

安全插件的唯一目的是确保您的网站安全。 它通过抵御黑客、防止攻击、检测漏洞并在它们成为问题之前减轻它们来做到这一点。 您可以选择许多安全插件来保护您的网站。

看看 WordPress 安全插件可以提供什么：

• 主动安全监控
• 黑名单监控
• 蛮力攻击保护
• 文件扫描
• 防火墙
• 恶意软件扫描
• 检测到安全威胁时的通知
• 黑客攻击后的行动
• 安全加固

以及更多…

6. 启用 Web 应用程序防火墙 (WAF)

WordPress 的防火墙插件（也称为 Web 应用程序防火墙或 WAF）充当您的网站和所有传入流量之间的屏障。 这些 Web 应用程序防火墙密切关注您网站的流量，并阻止许多典型的安全危险进入您的 WordPress 网站。

除了显着提高 WordPress 安全性之外，这些 Web 应用程序防火墙通常会加快和提高您网站的性能。

WordPress 防火墙插件分为两类。

DNS 级别的网站防火墙——这些防火墙通过云代理服务器过滤您的网站流量。 因此，它们只能将合法流量传送到您的 Web 服务器。

应用程序级防火墙——这些防火墙插件在流量到达您的服务器后检查流量，但在大多数 WordPress 脚本加载之前。 在最小化服务器负载方面，该解决方案不如 DNS 级防火墙有效。

我们建议使用 DNS 级别的防火墙，因为它们非常擅长区分合法网站流量和恶意查询。

他们通过监控数千个网站、比较趋势、搜索僵尸网络和已知的恶意 IP 地址以及限制访问者永远不会寻找的 URL 的连接来实现这一目标。

此外，DNS 级别的网站防火墙减轻了您的 WordPress 托管服务器的负担，确保您的网站不会出现故障。

以下是一些 WordPress 防火墙插件的顶级名称：

• 苏库里
• MaxCDN (堆栈路径)
• Cloudflare
• Wordfence 安全
• 喷气背包
• 防弹安全
• 多合一 WP 安全性
• 烧烤防火墙
• 忍者防火墙
• 阿斯特拉
• 医疗保健
• 防御者安全
• WP Cerber

7. 将您的 WordPress 网站移至 SSL/HTTPS

SSL（安全套接层）是一种数据加密技术，可对您的网站和用户浏览器之间的数据传输进行加密。 使用这种加密技术更难有人四处探查和窃取信息。 当您启用 SSL 时，您的网站将使用 HTTPS 而不是 HTTP，并且在浏览器中您的网站地址旁边会出现一个挂锁图标。

证书颁发机构传统上提供 SSL 证书，价格从每年 5 美元到高达 1,000 美元不等，具体取决于您网站的安全需求级别。 由于额外费用，大多数网站所有者选择继续使用不安全协议。 为了解决这个问题，非营利组织 Let's Encrypt 决定向网站所有者提供免费的 SSL 证书。 Google Chrome、Facebook、Mozilla 和许多其他公司都支持他们的努力。

开始为所有 WordPress 网站使用 SSL 现在比以往任何时候都容易。 多家托管公司现在可以为您的 WordPress 网站提供免费的 SSL 证书。

8.更改默认的“admin”用户名

安装 WordPress 时，默认管理员用户名将是“admin”。 如果您继续使用“admin”作为您的管理员用户名，黑客很容易获得对您网站的访问权限。 黑客对默认用户名为“admin”的帐户执行暴力攻击，以尝试检索密码。 当黑客使用默认的 WordPress 管理员用户名登录帐户时，他将对您的网站拥有完全权限。

过去，默认的 WordPress 管理员登录名曾经是“admin”。 由于用户名占所有登录凭据的 50%，因此暴力攻击变得更加容易。

值得庆幸的是，WordPress 随后纠正了这个问题，现在要求您在安装软件时提供唯一的用户名。

但是，一些一键式 WordPress 安装程序继续使用“admin”作为默认管理员用户名。 如果您发现这一点，最好更改您的网络托管服务提供商。

因为默认情况下 WordPress 不允许您更改用户名，所以您必须使用三种技术之一。

• 删除旧的管理员用户名并创建一个新用户名。
• 从 phpMyAdmin 更新用户名
• 使用用户名更改插件

9.禁用文件编辑

WordPress 包含一个代码编辑器，允许您直接从 WordPress 管理区域编辑主题和插件文件。 此功能在坏人手中可能会带来安全问题，这就是我们建议将其关闭的原因。

如果管理员用户启用了“文件编辑”，他们就可以访问核心文件。 这是一个安全风险，因为任何人都可以进入并且他们将完全控制您的数据。

为了降低安全漏洞的风险，请禁用对您网站代码的访问，并且仅在您需要编辑文件时才将其打开。 要在 WordPress 管理员中禁用文件编辑，请按照以下简单步骤操作：

1. 登录 One.com 控制面板。

2. 打开文件和安全下的文件管理器。

3. 找到文件 wp-config.php 并选中复选框以选中它。

4. 单击屏幕顶部菜单栏中的编辑。

5. 在 wp-config 中搜索 define('DISALLOW_FILE_EDIT'，它通常位于底部。

6. 如果您找到了，请检查它是否设置为“true”（见下文）。 如果不存在，则需要将其添加到文件底部，如下所示：

定义（'DISALLOW_FILE_EDIT'，真）；

7. 单击屏幕顶部的保存。

提示：如果您想暂时允许文件编辑，您只需将“true”替换为“false”即可。 完成编辑后将其更改回来。

10. 限制登录尝试

默认情况下，WordPress 允许用户尝试多次登录。 您的 WordPress 网站现在面临暴力攻击。 黑客试图通过使用各种组合登录来破解密码。

这可以通过限制用户登录尝试失败的次数来轻松解决。 如果您正在使用前面提到的 Web 应用程序防火墙，则会自动处理此问题。

但是，如果您没有防火墙，则需要设置一个。

您可以通过两种方式限制 WordPress 中的登录尝试：

1）。 使用插件限制登录尝试

2）。 限制没有插件的登录尝试

11. 两因素授权

使用双因素身份验证方法时，用户必须使用两步身份验证程序登录。 第一步是输入您的登录名和密码，第二步是使用不同的设备或应用程序进行身份验证。

您可以在最流行的网站上为您的帐户启用它，例如 Google、Facebook 和 Twitter。 可以将相同的功能添加到您的 WordPress 网站。

随着最近的网络攻击，对双因素身份验证 (2FA) 的要求有所增加。 通过在 WordPress 中启用双重身份验证，您可以保护您的网站或博客免受黑客和未经授权的访问。 您可以通过以下两种不同的方法在 WordPress 中启用双重身份验证 (2FA)：

方法 1. 在 WordPress 中添加两因素身份验证

这是一种推荐的方法，对所有用户来说都非常容易。 它可以让您通过设置两因素身份验证来使您的帐户更加安全。

首先，您必须安装并激活 WP 2FA – 双因素身份验证插件。

激活后，您需要访问用户»您的个人资料页面并向下滚动到“WP 2FA 设置”部分以完成该过程。

方法 2. 使用两个因素添加两个因素身份验证

要通过这种方法在 WordPress 中启用 2FA，您需要安装并激活 Two Factor 插件。

激活插件后，您需要访问用户»个人资料页面并向下滚动到两因素选项部分并按照说明进行操作。

12. 更改 WordPress 数据库前缀

因为您的 WordPress 网站上的每条信息都保存在数据库中，所以它是黑客的首选目标。 垃圾邮件发送者和黑客使用自动 SQL 注入代码。 不幸的是，在安装 WordPress 时，许多人忽略了更新数据库前缀。 通过以默认前缀 wp_ 为目标，黑客可以更轻松地策划大规模攻击。 保护数据库最明智的策略是更改数据库前缀，这在新站点上执行起来非常简单。 但是，为您现有的站点有效地更改 WordPress 数据库前缀而不完全弄乱它需要几个步骤。

13.密码保护WordPress管理员和登录页面

您可以通过密码锁定您的 WordPress 管理目录来加强您网站最重要的访问点的安全性。

您的 WordPress 管理仪表板是您网站的核心。 您可以使用它来创建帖子和页面、更改主题、安装 WordPress 插件等等。

当黑客试图访问您的网站时，他们经常使用 wp-admin 面板。 通过使用安全密码和限制登录尝试，您可以帮助保护您的网站免受潜在威胁。 使用密码保护您的管理目录是为您的网站添加另一层密码安全性的巧妙方法。

按照这些简单的步骤来密码保护您的 WordPress 管理员

第 1 步：登录到 cPanel 并检查“文件”选项卡。

第 2 步：找到“目录隐私”并单击它。

第 3 步：编辑 wp-admin 文件夹。

第 4 步：密码保护 wp-admin。

第五步：设置用户名和密码。

14.禁用目录索引和浏览

黑客可以利用目录浏览来查看您是否有任何具有已知漏洞的文件，因此他们可以利用这些文件来获取访问权限。

其他人可以使用目录浏览来查看您的文件、复制照片、找出您的目录结构以及获取其他信息。 因此，强烈建议您禁用目录索引和浏览。

您必须通过 FTP 或 cPanel 中的文件管理器连接到您的网站。 在您网站的根目录中找到 .htaccess 文件。 之后，在 .htaccess 文件的最后，添加以下行：

选项所有索引

修改后的代码将如下所示：

请记住保存 .htaccess 文件并将其重新上传到您的站点。

15. 在 WordPress 中禁用 XML-RPC

因为它有助于将您的 WordPress 站点与 Web 和移动应用程序集成，所以 XML-RPC 在 WordPress 3.5 中默认启用。XML-RPC 由于其强大的性质，可以显着增强暴力攻击。

例如，如果黑客过去想在您的网站上尝试 500 个不同的密码，他们将不得不进行 500 次不同的登录尝试，登录锁定插件会捕获并阻止这些尝试。

另一方面，黑客可以使用带有 XML-RPC 的系统。 使用多呼功能，您可以尝试数以万计的不同密码，只需 20 或 50 次请求。 因此，如果您不使用 XML-RPC，我们建议您将其关闭。 您可以使用插件或手动禁用 XML-RPC。

16.自动注销WordPress中的空闲用户

登录的用户有时可能会偏离他们的屏幕，从而构成安全风险。 有人可以控制他们的会话、更改他们的密码和修改他们的帐户。

这就是为什么许多银行和金融网站会自动锁定闲置用户的原因。 类似的功能也可以在您的 WordPress 网站上实现。

必须安装并激活 Inactive Logout 插件。 要配置插件设置，请单击设置»激活后不活动注销。

设置计时器和注销消息，您就完成了。 不要忘记通过单击“保存更改”按钮来保存更改。

17. 向 WordPress 登录屏幕添加安全问题

可以通过多种方式防止未经授权访问 WordPress 管理区域。 如果您运行多用户或 WordPress 会员网站，则更难在安全性和用户体验之间取得平衡。

在您的登录屏幕上包含安全问题可能会有所帮助。 您的用户将被要求回答一个或多个其他用户不应该知道答案的问题，然后才能登录您的 WordPress 网站。 双重身份验证或 2FA 是一种替代方法。 这种替代方案更安全，但设置时间更长。

18. 扫描 WordPress 中的恶意软件和漏洞

如果您安装了 WordPress 安全插件，它将定期扫描恶意软件和安全漏洞的证据。

如果您发现网站流量或搜索排名显着下降，则应手动运行扫描。 您可以使用其中一种恶意软件和安全扫描程序或您的 WordPress 安全插件。

使用这些在线扫描很简单； 只需输入您的网站 URL，它们的爬虫就会在您的网站上搜索已知的恶意软件和有害代码。

请记住，大多数 WordPress 安全扫描程序只能扫描您的网站。 他们将无法摆脱感染或清理被黑的 WordPress 网站。

以下是用于检测恶意软件和黑客的 WordPress 安全扫描程序的主要名称：

1. Sucuri SiteCheck

2. IsItWP 安全扫描器

3. 谷歌安全浏览

4. WPSec

5.扫描WP

6. WordPress 安全扫描

7.WPrecon

8. 奎特拉

9. 网页检查员

10. WordPress 漏洞扫描器

11. UpGuard 云扫描仪

12. URLquery URL 扫描器

13. 病毒总数

14. 诺顿安全网络

19. 修复被黑的 WordPress 网站

许多 WordPress 用户直到为时已晚才意识到备份和网站安全的必要性。

清理 WordPress 网站可能既耗时又具有挑战性。 我们的第一条建议是将任务委托给专家。

后门是由黑客在被劫持的网站上安装的，如果这些后门没有被正确删除，您的网站很可能会再次被黑客入侵。

允许熟练的安全公司修复您的网站可确保再次安全使用。 它还将保护您免受未来的威胁。

20. 更新你的主题和插件

插件和主题在同一条船上。 您现有的主题以及您在网站上安装的任何插件都需要更新。 这可以保护您免受安全漏洞、错误和潜在的安全漏洞的影响。

时不时地，就像大多数软件产品一样，特定插件可能会被黑客入侵或暴露出安全漏洞。 过去，像 Ninja Forms 和 WooCommerce 这样的插件一直受到严重问题的困扰。

那么，您如何使您的主题和插件保持最新？

首先，让我们看一下插件。 导航到插件/已安装插件以查看所有插件的列表。 如果插件未更新到最新版本，WordPress 会通知您：

要更新您的主题，请转到外观/主题，您将在其中看到已安装的所有主题的列表。 不再使用的将按照与插件相同的方式进行识别。 只需从下拉菜单中选择“立即更新”。

21. 限制用户访问您的网站

如果您不是唯一可以访问您网站的人，请在添加新用户时小心谨慎。 您应该控制一切，并努力禁止对不需要的用户进行任何形式的访问。

如果您拥有大量用户，您可以限制用户的功能和权限。 他们应该只能访问他们履行职责所需的功能。

强制强密码也可以帮助您解决这个问题。 默认情况下，WordPress 建议使用安全密码，但如果您选择了一个糟糕的密码，它不会强迫您更改它。 除非您的密码足够强大，否则此插件将不允许您继续。

对于进入您的管理员的每个人来说，这可能是一个不错的解决方案。 这本质上是确保他们以与您相同的方式使用强密码的唯一方法。

22. 保护你的 wp-config.php

wp-config.php 文件是您的站点最重要的文件之一，因此也很容易受到影响。 它存储有关整个 WordPress 安装的重要信息和数据。 它是您的 WordPress 网站的基础。 如果发生可怕的事情，您将无法正常使用您的博客。

您可以做的一件简单的事情是将 wp-config.php 文件移动到 WordPress 根目录上方的一个目录。 此更改不会对您的 WordPress 网站产生影响，但黑客将无法再找到它。

23. 定期更改密码

在您的登录表单上允许无限的用户名和密码尝试正是帮助黑客成功的方法。 允许他们尝试无数次最终会导致发现您的登录信息。 为避免这种情况，您应该首先限制可用尝试的次数。 在您的登录表单上允许无限的用户名和密码尝试正是帮助黑客成功的方法。 允许他们尝试无数次最终会导致发现您的登录信息。 为避免这种情况，您应该首先限制可用尝试的次数。

某些专门的插件可用于限制可能的登录尝试次数。

此外，经常更改密码可以降低黑客侵入您网站的可能性。 当我们说“经常”时，我的意思不是“每天”……每 2-3 个月一次就足够了。 对于那些试图闯入的人来说，多样性破坏了乐趣。

VOCSO 如何提供帮助？

随着新技术的不断涌现，很难跟上最新的变化和改进。 我们是一家领先的 WordPress 网站开发公司，致力于为我们的客户提供最好的产品和服务。 除了开发具有高质量编程的安全网站外，我们还为客户提供其他服务，例如网站管理、网站重新设计、自定义 Web 应用程序开发、移动应用程序开发、搜索引擎优化和完整的数字营销解决方案。

结论

如您所见，有多种技术可以提高 WordPress 安装的安全性。 使用智能密码、更新核心和插件以及选择安全的托管 WordPress 服务器只是保证 WordPress 网站安全的几种方法。 对于你们中的许多人来说，您的 WordPress 网站既是公司又是资金来源，因此您必须花时间尽快采用上面列出的一些安全最佳实践。

保护 WordPress 网站是一个持续的过程。 由于网络攻击在不断发展，您必须定期重新评估它们。 风险永远存在，但您可以通过使用 WordPress 安全功能来减轻风险。

我们希望这篇文章能让您更好地了解 WordPress 安全措施的重要性以及如何实施这些措施。

如果您想要更清晰，VOCSO 可以帮助您将本网站安全指南付诸实施！