WordPress 网站如何做好基础安全防护

更新前先有可恢复的备份

WordPress 核心、主题和插件需要持续维护。更新前备份数据库与文件，在测试或低风险时间验证兼容性；开启自动更新后，也要观察更新结果和站点错误。

1. 清点正在使用的主题和插件，移除不再需要的扩展。
2. 查看更新说明和兼容要求。
3. 执行可恢复的文件与数据库备份。
4. 更新后检查登录、前台页面、表单和日志。

保护账户与管理入口

• 每位维护者使用独立账户，不共享管理员密码。
• 按职责分配编辑、作者或管理员权限。
• 为管理账户启用强唯一密码和多因素认证（若托管环境支持）。
• 删除离职账户前确认内容归属和操作记录。

不要依赖隐藏登录地址

改变登录路径不能代替强认证、更新和访问控制。先解决弱密码、过多管理员和废弃插件等基础风险。

控制插件、文件和密钥风险

只从可信渠道获取仍在维护的插件和主题。检查文件权限，不要让 Web 进程对整个站点目录拥有不必要的写权限；下载目录和备份文件不应直接公开访问。

• 移除停用且不再使用的插件，而不是只停用。
• 不要将数据库密码写入公开仓库或工单截图。
• 确认备份目录位于 Web 根目录之外或具备访问保护。
• 定期检查管理员账户、登录记录和站点文件变更。

监控并准备事件响应

保留 Web、PHP 和数据库错误日志，设置可用性检查，并关注异常管理员账户、未知文件或页面跳转。怀疑站点被入侵时，先保留证据并限制风险入口，再从可信备份恢复；不要只删除可见的异常文件后就认定问题解决。

1. 记录发现时间、异常页面和相关日志。
2. 限制受影响账户或临时隔离站点。
3. 从可信设备更换密钥和密码，检查其他共享凭据。
4. 修复入口后从干净备份恢复并验证核心页面。