如何提高 WordPress 网站的安全性？
已发表: 2022-06-16您是否担心WordPress 的安全性？ 你不是一个人。 鉴于 WordPress 网站上的网络攻击数量不断增加，大多数网站所有者都在寻找保护其 WordPress 网站免受黑客攻击的方法。 WordPress 的流行，使其成为各种网站的首选 CMS ，是此类攻击数量众多的原因之一。 但是，还有其他一些原因。
在本WordPress 安全指南中，我们回答了您所有的 WordPress 安全问题，并分享了可确保帮助您保护网站的值得信赖和推荐的措施。 让我们开始吧。
WordPress安全吗？
鉴于所有关于保护 WordPress的讨论，WordPress 平台因容易受到安全威胁和风险的影响而享有盛誉。 所以，问题是：WordPress 天生就不安全吗？ 答案是否定的，但这并不意味着 WordPress 网站不受黑客攻击。
让我们解释一下。 虽然 WordPress 本身是安全的，但它的网站并不是孤立运行的。 例如，WordPress 很受欢迎，因为它可以与第三方插件和主题一起使用——这些可能不一定是为在线安全而设计的。 更糟糕的是，大多数网站所有者和用户不遵循WordPress 安全最佳实践，例如及时更新、备份和其他措施，从而使他们容易受到攻击。
如何保护 WordPress 网站？
以下是可以让您高枕无忧的11 种最佳WordPress 安全措施：
1.防止暴力攻击
蛮力攻击主要针对 WordPress 登录帐户，利用弱密码和身份验证措施不足。 黑客部署自动机器人来强制访问用户帐户——尤其是管理员用户的帐户。
如何防止暴力攻击？ 在您的登录页面上使用验证码限制登录尝试失败的次数。
接下来，为每个用户配置可靠的密码。 必须为每个用户强制设置强密码，包括管理员用户。 例如，强密码必须至少有 12 个字符长，并且必须包括以下内容：
- 大写和小写字母
- 特殊字符，如 $、@ 或 _
- 混合数字
谁可以使用 LastPass 或 1Password 等密码管理器为您的用户生成和存储强密码？
2. 明智地分配用户角色
WordPress 允许每个站点有六个默认用户角色：超级管理员、管理员、编辑、作者、贡献者和订阅者。 这些角色遵循权力和特权的层次结构。 将过多的能力或更高的利益分配给错误的人可能会带来安全风险。
确保您的站点处于安全状态的一个重要部分是正确分配角色。
3. 让您的网站始终保持更新
保护您的 WordPress 网站免受黑客攻击的最佳方法是什么？ 始终保持更新。 这意味着安装最新版本的 Core WordPress、插件和主题。 为什么这很重要？ 最新的软件更新通常包含安全修复和增强功能。 不幸的是，数以百万计的 WordPress 用户选择不更新他们的网站，因为他们害怕破坏他们的实时网站。
4.定期备份您的网站。
无论您采取多少措施，都无法确保您的网站免受黑客攻击。 当最坏的事情发生时，您可以使用现有的备份来恢复损坏的网站。
谁能通过安装像 BlogVault 或 UpdraftPlus 这样的付费 WordPress 备份插件来快速做到这一点？
5. 安装 SSL 证书
您可以通过 HTTPS 等加密连接运行WordPress 网站，进一步提高其安全性。 HTTPS 是 Secure HTTP 的缩写，它允许浏览器或 Web 应用程序安全地与网站连接。 如何从 HTTP 网站迁移到 HTTPS 网站？ 安装SSL 证书，这是行业公认的加密网站标准。
对于 WordPress 网站，您可以从您的网络托管公司或通过第三方 SSL 插件（如 Let's Encrypt）安装 SSL 证书。
6.将您的默认用户名更改为“admin”
关于常识，WordPress 用户不得继续使用默认用户名，例如 WordPress 创建的“admin”。 用难以猜测的唯一用户名替换所有默认用户名。 这可能是阻止暴力攻击的最简单方法。
您可以从您的网络托管仪表板的“用户”面板创建一个新的管理员用户 - 或使用 phpMyAdmin 工具。
7. 强化你的 WordPress 网站
有多种方法可以保护您的 WordPress 网站免受黑客攻击，包括保护 WordPress 安装中重要的wp-config.php文件。 WordPress 推荐了大约 12 种不同的强化措施来保护其用户。 这包括阻止 PHP 执行和插件安装、更改安全密钥等等。
实施 WordPress 强化在技术上很复杂。 我们建议使用像 MalCare 这样的 WordPress 安全插件来执行此操作，或者聘请 WordPress 开发人员或专家。
8. 限制用户访问您的仪表板您只限制具有“管理员”权限的用户访问您的 WordPress 仪表板？ 是的，这是可能的。 这可以防止权限较低的用户（如编辑者和订阅者）访问用户仪表板等重要页面。
要限制用户访问，请安装 WordPress 插件，例如“删除仪表板访问”或“限制用户访问”。
9. 启用双重身份验证 (2FA)
双重身份验证也是使 WordPress免受任何暴力攻击的有效措施。 使用 2FA 后，登录其帐户的用户必须遵循以下两步流程：
- 输入正确的用户名和密码
- 输入一个唯一的一次性验证码，该验证码仅生成并发送到他们的设备
您可以通过安装 Google Authenticator 插件来实现 2FA。
10.使用安全插件
如果您没有时间为 WordPress 网站实施安全性，最好的解决方案是投资 WordPress 安全插件。 这些安全工具旨在检测和删除最复杂的在线威胁类型，如恶意软件、后门和其他安全漏洞，并结合了我们在本指南中已经讨论的大部分步骤。
例如，像MalCare这样的安全插件将恶意软件扫描和自动清理与登录保护、网站更新管理、2FA 和 WordPress 强化相结合。
最好的部分是即使具有基本 WordPress 知识的用户也可以使用它们。
11. 使用安全托管。
您必须投资一个安全的托管平台，以最大限度地提高 WordPress 网站的安全性。 像 Bluehost 或 Kinsta 这样的特定主机为托管的 WordPress 站点添加了多层安全措施，以保护它们免受复杂而复杂的威胁。
选择一个您可以信任的 WordPress 网络主机，以确保您的网站 24/7 安全和运行。
如果没有这 11 项安全措施，您的 WordPress 网站可能会首当其冲地受到攻击者的攻击，他们会寻找微小的安全漏洞或漏洞来破坏您的网站。
WordPress 网站的漏洞
WordPress 网站不仅受到暴力攻击的威胁。 黑客可以部署不同类型的安全攻击来侵入 WordPress 网站。 以下是6个常见的：
1.SQL注入
在这次攻击中，黑客利用在线表单插件中的安全漏洞将可疑代码或链接插入 WordPress 数据库。 一旦到了那里，它就可以使用 SQL 命令来破坏您的数据库表和记录。
2. 跨站脚本（XSS）
恶意代码或脚本直接插入网站（或 Web 应用程序）。 XSS 攻击用于“窃取”cookie 或会话数据或重写 HTML 页面内容。
3. 网络钓鱼
顾名思义，黑客利用网络钓鱼攻击向毫无戒心的用户发送看似真实的商业电子邮件，从而“钓出”他们。 网络钓鱼受害者被引诱点击这些电子邮件中的链接或附件，并被诱骗购买假冒产品或泄露敏感信息。
4. 权限提升
黑客还可以利用 WordPress 帐户中的安全漏洞来发动提权攻击。 这种攻击可以获得对“管理员”权限的提升访问权限，而这些权限通常对具有“较少”权限的用户不可用。
5. 制药黑客
被称为“谷歌伟哥”的制药黑客设法利用安全漏洞将“垃圾邮件”关键字（如“在线购买伟哥”）插入热门网站的 SEO 代码中。 结果，当搜索引擎用户搜索这些关键字时，这些网站就会被列出，并被重定向到销售“假”医药产品或服务的网站。
6. 日文关键词破解
这类似于 pharma hacks 的工作方式——除了目标网站充斥着日语关键字。 因此，搜索结果中会列出真正的网站——以响应用户输入准确的日语关键字。
为什么 WordPress 安全性很重要
了解如何保护他们的 WordPress 网站免受网络犯罪分子的侵害是企业保持网站正常运行和客户满意的唯一方法。 受损的网站意味着公司的停机时间延长 - 导致流量损失、客户转换或最终损失业务收入。
尽管有最好的安全措施，但不能 100% 保证黑客不会攻击您的网站。 防止您的 WordPress 网站被黑客入侵的最佳方法是在发现恶意软件后立即扫描并删除它，并使用防火墙安装可以阻止可怕流量的防火墙。 在持续的基础上手动执行此操作是一项艰巨的工作。 安全插件可以通过检测和清除最新类型的恶意软件并帮助您快速有效地为您的网站实施最佳安全措施来减轻您的负担。