2024提高WordPress 网站安全方法大全

1.定期更新WordPress版本

2.使用安全的WP- Admin登陆凭证

1. 登录您的 WordPress 管理后台，进入“用户”→“添加新用户”。
2. 在创建新用户时，为其分配管理员权限。设置一个包含数字、符号以及大小写字母的密码，并确保密码长度超过 12 个字符，以增加密码的强度和安全性。
3. 完成设置后，点击“添加新用户”按钮。

3.为管理页面设置安全列表和黑名单

1. Cloudflare 提供了区域封锁规则的功能，允许您设定特定的 URL 并定义哪些 IP 地址范围可以访问这些 URL。不在您设定的 IP 范围内的用户将无法访问这些 URL。
2. Sucuri 则提供了一个名为 URL 路径黑名单的功能。您可以通过将登录页面的 URL 添加到阻止列表中，来阻止未授权用户访问。同时，您可以将授权的 IP 地址添加到安全列表中，确保只有这些 IP 可以访问登录页面。

# Block IPs for login Apache 2.2
<files /wp-login.php>
order deny,allow
allow from MYIP
allow from MYIP2
deny from all
</files>
# Block IPS for login Apache 2.4
<Files "wp-login.php">
Require all denied
</Files>

4.使用值得信赖的WordPress主题

5.安装SSL证书

6.删除未使用的WordPress插件和主题

7.为WP-Admin启用双因素身份验证

1. 登录到 WordPress 管理后台，并前往插件页面。如果您使用的是 Wordfence，找到并点击左侧菜单中的登录安全选项。
2. 进入双重身份验证设置。
3. 使用手机上的身份验证应用扫描提供的二维码或输入激活密钥。
4. 在恢复代码区域输入您手机上应用生成的验证码。
5. 点击“激活”按钮以启用 2FA。

8.定期备份WordPress

9.限制登陆尝试次数

1. Limit Login Attempts Reloaded - 这类插件允许您为特定 IP 地址设定失败尝试的上限，将用户标记为安全或直接阻止他们登录，并在锁定期间通知用户剩余的锁定时间。
2. Loginizer - 这个插件提供了包括双因素认证（2FA）、reCAPTCHA 以及登录挑战问题在内的多种登录安全功能。
3. BestWebSoft 限制尝试次数插件 - 它能够自动检测并阻止那些达到登录尝试次数上限的 IP 地址，并将这些 IP 地址添加到黑名单中。

10.更改WordPress登陆页面URL

11.自动注销空闲用户

12.监控用户活动

1. WP Activity Log - 这个插件能够监控您网站上多个关键区域的变动，包括文章、页面、主题和插件的更新。它还能详细记录文件的新增、删除以及任何修改操作。
2. Activity Log - 专门设计用于监控 WordPress 管理面板上的活动，并允许您设置自定义的电子邮件通知规则，以便在发生特定事件时及时获得通知。
3. Simple History - 不仅记录 WordPress 管理员的操作日志，还支持与多个第三方插件集成，如 Jetpack、WP Crontrol 和 Beaver Builder，全面记录与这些插件相关的所有活动。

13.检查恶意软件

1. Wordfence - 这是一款广受欢迎的 WordPress 安全插件，它提供实时恶意软件签名更新和警报通知。当您的网站因为可疑活动被其他网站列入黑名单时，Wordfence 会及时通知您。
2. BulletProof Security - 通过空闲会话注销、隐藏插件文件夹以及数据库备份和恢复工具等功能，帮助保护您的 WordPress 网站免受攻击。
3. Sucuri Security - 作为市场上顶尖的安全插件之一，Sucuri 提供包括 SSL 证书支持、远程恶意软件扫描以及在遭受黑客攻击后的安全恢复措施在内的多种功能。

14.禁用PHP错误报告

1. 使用 FTP 客户端（如 FileZilla 或您的托管服务提供商提供的文件管理器）打开您网站的 wp-config.php 文件。
2. 在文件中添加以下代码片段。确保将其放置在任何其他 PHP 指令之前：

error_reporting(0);
@ini_set('display_errors', 0);

15.迁移到更安全的Web主机

1. 托管类型 - 共享托管和 WordPress 托管由于资源共享，可能比其他类型的托管更容易受到攻击。考虑选择提供 VPS（虚拟专用服务器）或专用托管服务的托管商，这样可以隔离您的资源，提高安全性。
2. 安全性 - 优秀的托管服务提供商应持续监控其网络以侦测可疑活动，并定期更新服务器的软件和硬件。他们还应采取必要的措施来保护服务器，防范各种类型的网络攻击。
3. 功能 - 无论托管类型如何，都应该具备自动备份和防恶意软件的安全工具，这些是保护您的 WordPress 网站所必需的。在最糟糕的情况下，这些工具可以帮助您恢复受到感染的网站。
4. 支持 - 选择一个拥有全天候支持团队和丰富技术知识的托管公司至关重要。他们可以在您需要时提供帮助，保护您的数据，并解决可能出现的任何技术和安全问题。

16.关闭文件编辑

define('DISALLOW_FILE_EDIT', true);

17.使用.htaccess文件限制访问

<Files *.php>
Order Allow,Deny
Deny from all
</Files>

<Files wp-config.php>
Order Allow,Deny
Deny from all
</Files>

18.更改默认的WordPress数据库前缀

1. 更改默认数据库前缀：WordPress 默认使用 wp_ 作为数据库表的前缀。通过更改这个前缀，您可以降低 SQL 注入攻击的风险。您可以在 wp-config.php 文件中修改 $table_prefix 参数来实现这一点。
2. 使用安全插件：安装并使用专门设计来防止 SQL 注入的安全插件，如 Wordfence Security 或 Sucuri Security，这些插件能够提供额外的保护层，帮助您抵御 SQL 注入攻击。

19.禁用XML- RPC

# 阻止 WordPress xmlrpc.php 请求
<Files xmlrpc.php>
Order Deny,Allow
Deny from all
Allow from 000.00.000.000
</Files>

20.隐藏WordPress版本

1. 登录您的 WordPress 管理后台，然后导航至“外观”→“主题编辑器”。
2. 在主题编辑器中，选择您正在使用的主题，并找到 functions.php 文件。
3. 要移除标题和 RSS 源中的 WordPress 版本号，请将以下代码添加到 functions.php 文件中：

   function dartcreations_remove_version() {
       return '';
   }
   add_filter('the_generator', 'dartcreations_remove_version');

4. WordPress 的“生成器”元标记同样会显示版本号。要删除这个标记，请添加以下代码行：

   remove_action('wp_head', 'wp_generator');

5. 完成代码添加后，点击“更新文件”按钮以保存您的更改。

21.组织热链接

inurl:yourwebsite.com -site:yourwebsite.com

1. 使用 FTP 客户端：通过编辑 .htaccess 文件，您可以添加规则来阻止未授权的引用。
2. 使用 WordPress 安全插件：有些插件如 Wordfence Security 提供了防止热链接的功能。
3. 使用 CDN：内容分发网络（CDN）可以帮助分散流量，同时提供额外的安全层来防止热链接。
4. 编辑控制面板的设置：在某些托管服务的控制面板中，您可以直接设置规则来限制对资源的直接访问。

22.管理文件权限

1. 使用网络主机的文件管理器：大多数托管服务都提供了一个用户友好的界面，让您可以轻松地查看和管理文件权限。
2. 使用 FTP 客户端：通过 FTP 客户端，您可以连接到您的服务器并直接修改文件和文件夹的权限。
3. 通过命令行：如果您熟悉命令行操作，也可以使用 SSH 连接到您的服务器并使用命令来设置权限。

• wp-admin 文件夹：这个文件夹包含了 WordPress 管理后台的所有文件，应该只允许网站所有者（Owner）有写入权限。
• wp-config.php 文件：这是 WordPress 的核心配置文件，包含了数据库连接信息和其他敏感设置，同样应该只允许所有者写入。