上一篇
WordPress后台安全设置是通过账户认证、登录保护、权限控制、文件与服务器加固、插件防火墙和日志监控等手段，降低后台被暴力免费、越权访问和恶意改动风险的综合防护措施。
登录入口与账户认证加固
默认情况下，WordPress后台登录地址为 /wp-login.php，攻破者容易直接对登录页面发起暴力免费,针对登录入口需要采取多层防护。
删除默认的 admin 账户，如果网站仍然使用 admin 作为管理员用户名，应立即创建新的管理员账户并删除旧账户，强制所有后台用户使用强密码，要求至少包含12位字符，并混合大小写字母、数字和特殊符号,弱密码是后台被攻破的最常见原因之一。
启用双重验证可以显著提高账户安全性，管理员登录时除了输入密码，还需要输入手机验证器生成的动态验证码，即使密码泄露,攻破者也无法仅凭密码进入后台。
使用插件限制登录尝试次数也是一种有效手段，设置连续失败5次后锁定该IP地址15分钟，连续失败20次后封锁24小时,这样可以有效抑制自动化暴力免费脚本。
隐藏登录地址并不能替代密码安全，但可以过滤掉大量自动扫描攻破，使用插件将默认的 wp-login.php 改为一个不易猜测的路径，/manage-site-entry，同时可在登录页增加验证码,防止机器自动提交登录请求。
账户权限与角色最小化
WordPress内置了管理员、编辑、作者、投稿者和订阅者等角色，后台安全的重要原则是最小权限，即只给用户完成工作所需的最低权限,不给予额外管理权限。
管理员账户数量应严格限制，通常一个网站只保留一到两个管理员账户，并且每个管理员使用不同的强密码，日常内容发布、文章审核、评论管理等操作应使用编辑或作者账户完成,避免使用管理员账号执行非管理任务。
定期审计用户列表，删除离职人员、外包人员或不再需要后台访问权限的账户，对于临时需要进入后台的维护人员，可以创建临时账户，并设定明确的删除时间，使用插件或代码限制非管理员用户访问后台设置页面、插件页面和主题编辑页面,也能防止低权限用户误操作或恶意修改网站配置。
权限隔离可以防止单个账户被攻破后影响整个网站，攻破者即使获取了编辑账户,也无法直接安装恶意插件或修改核心设置。
关闭后台文件编辑功能
WordPress后台默认提供主题编辑器和插件编辑器，允许拥有编辑权限的用户直接修改主题和插件源文件，这个功能一旦被滥用,攻破者可以写入恶意PHP代码并获取服务器控制权。
在 wp-config.php 文件中加入以下代码可以禁用后台文件编辑器：
define('DISALLOW_FILE_EDIT',true);添加后，后台的主题编辑器和插件编辑器会被完全隐藏，同时不影响正常的插件、主题安装和更新功能，对于大多数网站来说，后台文件编辑并非必要功能,关闭它可以消除一大类代码载入风险。
保护 wp-admin 和 wp-login.php
除了WordPress自身的登录保护，还可以在服务器层面对后台目录增加一道认证，使用HTTP Basic Auth可以为 wp-admin 目录设置独立的用户名和密码。
在Apache环境中，可以通过 .htaccess 文件为 wp-admin 目录启用HTTP认证，在Nginx环境中，可以使用 auth_basic 指令实现相同效果，设置IP白名单也是一种常见做法，仅允许办公网络或固定IP地址访问后台，对于使用动态IP的用户，可以借助梯子或跳板机访问后台，避免直接暴露 wp-admin 目录。
这种服务器层防护独立于WordPress账户体系，即使WordPress管理员密码泄露,攻破者仍然需要服务器认证才能进入后台登录页面。
强制 HTTPS 与后台 SSL
后台登录如果使用明文HTTP，密码和登录Cookie可能在网络传输过程中被中间人截获，必须为网站配置SSL证书,并强制后台使用HTTPS。
在 wp-config.php 中添加以下代码可以强制后台管理页面使用SSL：
define('FORCE_SSL_ADMIN',true);同时确保WordPress设置中的站点地址和WordPress地址均为 https 开头，还可以在服务器或CDN中配置HSTS响应头，强制浏览器仅通过HTTPS访问网站，HTTPS能够保护登录凭据、会话Cookie和后台操作数据在传输过程中不被窃取或改动。
部署安全插件与防火墙
使用专业安全插件可以快速提升后台防护能力，常见的安全插件包括Wordfence、Sucuri Security、iThemes Security和Solid Security等。
Wordfence提供防火墙、恶意软件扫描、登录安全保护和实时流量监控，Sucuri Security提供安全审计、文件完整性监控、黑名单监控和网站防火墙功能，iThemes Security提供登录限制、文件更改检测、数据库备份和后台隐藏等功能。
Web应用防火墙可以拦截SQL载入、跨站脚本、跨站请求杜撰等常见攻破，可以在服务器层使用ModSecurity，也可以使用Cloudflare等云WAF服务，防火墙规则能够在不修改WordPress核心代码的情况下过滤恶意请求,减少后台被攻破的可能性。
数据库安全设置
数据库是WordPress的核心存储，后台攻破常以窃取数据库内容或改动数据为目标，安装WordPress时不要使用默认的表前缀 wp_，应改为随机前缀，x7k2_,这样可以增加SQL载入攻破的难度。
使用独立的数据库用户，只授予该库的 SELECT、INSERT、UPDATE、DELETE 权限，不授予 DROP、ALTER 等管理权限,数据库密码应使用强随机字符。
关闭数据库错误显示，在 wp-config.php 中设置 WP_DEBUG 为 false，并设置 WP_DEBUG_DISPLAY 为 false，避免错误信息泄露数据库结构和路径，定期备份数据库，使用UpdraftPlus或服务器定时备份，并将备份文件存储在异地,数据库备份是入侵后快速恢复网站的重要保障。
文件权限与目录保护
服务器上WordPress文件和目录的权限设置直接影响后台写入和代码执行风险，推荐目录权限为 755，文件权限为 644，wp-config.php 权限为 600 或 640。
尤其需要阻止上传目录执行PHP文件，攻破者常通过上传目录写入Webshell，进而控制服务器，在 wp-content/uploads 目录放置 .htaccess 文件,加入以下规则：
<FilesMatch"\.(php|php\.)$"> Denyfromall </FilesMatch>
在Nginx中，可以禁止 uploads 目录执行PHP：
location~*/wp-content/uploads/.*\.(php|php5|php7|php8)${
denyall;
}同时关闭目录浏览，在 .htaccess 中添加：
Options-Indexes
这些设置能够阻断攻破者通过上传目录执行恶意代码。
隐藏版本信息与减少指纹暴露
WordPress默认会在页面头部输出版本号，攻破者可据此寻找对应版本的已知漏洞，可以移除版本信息，在主题 functions.php 中添加：
remove_action('wp_head','wp_generator');同时删除根目录下的 readme.html、license.txt 等文件，避免暴露WordPress版本，也可以使用安全插件统一隐藏版本和错误信息，隐藏版本信息只是增加攻破者的探测难度，并不能替代其他安全措施,但作为整体防护的一部分仍然有价值。
保持核心、插件和主题更新
过期的插件和主题是WordPress后台被入侵的最常见原因，应建立稳定的更新策略：启用核心自动次要更新，每周检查插件和主题更新，删除不再维护或长期未更新的插件，更新前进行完整备份,在测试环境验证更新后再上线。
只从WordPress官方目录或可信来源安装插件和主题，避免使用免费版或来路不明的扩展，更新是阻断已知漏洞利用的最直接手段，与账户安全、防火墙等设置同样重要。
十一、后台活动监控与登录审计
持续的监控可以及时发现异常操作和入侵迹象，使用WP Activity Log或Simple History插件记录后台登录、内容修改、插件安装、设置更改等事件，监控管理员账户的新增和权限变更，设置文件完整性监控,检测核心文件是否被修改。
定期查看服务器访问日志，关注 wp-login.php 的异常POST请求，配置邮件告警，当多次登录失败或发现恶意扫描时通知管理员，通过日志和告警,可以在攻破早期发现并采取阻断措施。
十二、HTTP安全头与后台会话保护
强化后台会话和浏览器端安全同样不可忽视，在服务器配置中添加 X-Frame-Options: SAMEORIGIN，防止后台被嵌入iframe进行点击截持，设置 X-Content-Type-Options: nosniff，防止浏览器猜测响应内容类型，设置 Referrer-Policy 和 Content-Security-Policy,减少跨站请求风险。
限制XML-RPC功能，因为XML-RPC常被用于暴力免费和分布攻破，在 functions.php 中调整Cookie参数，使用HttpOnly和Secure标志，防止Cookie被脚本读取或通过HTTP传输，使用安全插件或服务器配置设置后台会话超时时间，缩短Cookie被盗后的有效时间,这些措施能够进一步加固后台会话和浏览器端安全。
下一篇
