WordPress 网站安全怎么做？企业站必备的安全防护清单

直接结论

WordPress 安全问题 90% 来自三个原因：弱密码、过期插件/主题、没有基础防护。把这三个堵住，企业站基本不会出安全事故。

适合谁阅读

用 WordPress 搭建企业官网或外贸站的企业主和运维人员。尤其是建完站之后没人管、也没做过安全加固的。

WordPress 为什么会被攻击

WordPress 占全球网站 43%，这个市场份额意味着它是自动化攻击脚本的首选目标。攻击者不是专门盯你，而是批量扫描漏洞。

最常见的攻击方式：

• 暴力破解后台密码
• 利用过期插件的已知漏洞
• 通过盗版主题/插件中的后门
• SQL 注入和 XSS（代码层面漏洞）

安全防护清单

1. 强密码 + 双因素认证

• 后台密码至少 16 位，混合大小写、数字、特殊字符
• 不要用 admin 作为用户名
• 安装双因素认证插件（Google Authenticator）
• 限制登录尝试次数（Wordfence 自带此功能）

2. 保持更新

• WordPress 核心版本及时更新
• 所有插件定期更新
• 主题保持最新版
• 删除不用的插件和主题（不是停用，是删除）

3. 安装安全插件

推荐 Wordfence（免费版即可）：

• Web Application Firewall (WAF)
• 登录保护和暴力破解防护
• 恶意文件扫描
• 实时流量监控

4. 修改默认设置

• 修改后台登录地址（/wp-admin → 自定义路径）
• 关闭 XML-RPC（如果不用）
• 隐藏 WordPress 版本号
• 禁止目录浏览
• 设置正确的文件权限（目录 755，文件 644）

5. 自动备份

• 安装 UpdraftPlus 或类似备份插件
• 设置每日自动备份到云端（Google Drive、Dropbox）
• 定期测试备份能否正常恢复
• 至少保留 7 天的备份历史

6. HTTPS

• 全站启用 HTTPS
• 用 Let’s Encrypt 免费证书
• 设置 HTTP 到 HTTPS 301 重定向
• 检查混合内容（页面里不要有 http 资源引用）

7. 服务器层面

• 关闭不必要的端口
• SSH 用密钥认证，禁止密码登录
• 定期检查服务器日志
• PHP 版本保持最新稳定版

被黑的常见表现

• 网站首页被替换或出现陌生内容
• 百度/Google 搜索结果显示赌博、色情信息
• 后台登录不了
• 网站被安全软件标记为”危险”
• 服务器资源占用异常（被挖矿）
• 网站速度突然变慢

被黑后怎么处理

1. 立即修改所有密码（后台、FTP、数据库、主机面板）
2. 如果有备份，恢复到最近的干净版本
3. 检查 WordPress 核心文件是否被篡改
4. 扫描所有插件和主题目录
5. 检查数据库是否有异常内容
6. 更新所有插件和 WordPress 核心
7. 加强安全配置（装 Wordfence、改登录地址）
8. 向 Google Search Console 提交重新审核（如果被标记）

常见误区

”我的站小没人攻击”

自动化攻击不分大小，只要能扫到漏洞就会利用。小站反而因为没有安全防护更容易中招。

“装了安全插件就万事大吉”

安全插件能防御大部分攻击，但不能替代强密码和及时更新。

“备份放在同一台服务器上”

如果服务器被黑或硬盘坏了，备份也没了。一定要备份到异地（云存储）。

维护建议

频率	事项
每天	自动备份
每周	检查插件更新、查看安全日志
每月	WordPress 核心更新、全站安全扫描
每季度	审查用户权限、清理无用插件

总结

WordPress 安全不需要花很多钱，但需要养成习惯：强密码、及时更新、安全插件、自动备份。这四项做到位，企业站就不会有大问题。

相关文章

• 潍坊企业做网站需要多少钱？方案和预算拆解
• WordPress 网站打开慢会影响收录吗？