WordPress 安全加固清单：从防护墙到代码审计的 10 项必做配置

WordPress 占全球网站 CMS 市场份额超 43%，也因此成为安全风险的主要对象。外贸站一旦出现安全隐患，轻则被植入无关链接影响 SEO，重则客户数据泄露、支付页面被劫持。本文给出 10 项必做安全加固清单，从外到内逐层防护。

一、WAF 防护墙部署

Web 应用防护墙（WAF）在 HTTP 请求到达 WordPress 前进行过滤，拦截常见的注入式请求、跨站脚本和登录尝试等威胁。方案：① Cloudflare WAF（推荐）——DNS 层拦截，零服务器配置，免费版含基础规则集，Pro 版 $20/月含自定义规则与速率限制；② Wordfence WAF——WordPress 插件层 WAF，免费版可用，Premium 版 $119/年含实时威胁情报；③ Sucuri WAF——云端 WAF + 代码扫描一体方案，$199.99/年。外贸站建议 Cloudflare（免费版即可）+ Wordfence（免费版）双层防护。

二、登录保护与防暴力登录

WordPress 默认登录页 /wp-login.php 暴露在公网，是登录尝试的主要目标。加固措施：① 更改登录 URL（WPS Hide Login 插件，将 /wp-login.php 改为 /my-admin-entry）；② 限制登录尝试（Limit Login Attempts Reloaded，5 次失败后封禁 IP 20 分钟）；③ 双因素认证（Wordfence Login Security 或 Google Authenticator 插件，管理员必须输入 TOTP 验证码）；④ 密码策略（强制强密码，禁用 admin 用户名）。建议所有管理员和编辑账号开启 2FA，密码使用密码管理器生成（至少 16 位含大小写+数字+符号）。

三、文件权限与数据库安全

WordPress 文件权限规范：目录 755、文件 644、wp-config.php 600。wp-config.php 包含数据库凭据，是最高敏感文件——应将其从 web 根目录上移一级（WordPress 支持自动查找上级目录的 wp-config.php）。数据库安全：① 更改默认表前缀（wp_ → 自定义如 wp_qc_），减少注入危害面；② 数据库用户只授予 WordPress 数据库的最小权限（SELECT/INSERT/UPDATE/DELETE/CREATE/DROP），不要用 root；③ 定期优化数据库表（WP-CLI 或插件），清理冗余数据。

四、可疑代码扫描与自动备份

即使有 WAF 和登录保护，仍需定期扫描可疑代码。Wordfence 免费版支持手动扫描，Premium 版支持每日自动扫描。Sucuri Scanner 免费版也可做基础扫描。扫描关注的问题包括：异常后门文件、可疑的 .htaccess 重写规则、主题/插件中的混淆代码片段。自动备份是最后的保险绳：① UpdraftPlus（免费版支持手动备份到云存储，Premium 版支持定时增量备份）；② 备份频率：每日数据库 + 每周全站文件；③ 备份存储：至少两个位置（如 Dropbox + Google Drive），防止单点故障；④ 定期测试恢复——备份不测试等于没备份。

写在最后

安全加固不是一次性工作，而是持续运维。苏州裕商为外贸客户提供 WordPress 安全审计与加固服务，从 WAF 部署到备份策略一次性配置到位，并提供月度安全报告。10 项清单全部落地后，外贸站的安全风险可降低 90% 以上。