WordPress 网站安全：7 个行之有效的安全策略

您是否担心您的 WordPress 网站安全并且不确定要采取的必要步骤？ 不要再观望，这个博客是来帮忙的！

您是否听说过超过 4.55 亿个网站使用 WordPress，互联网上有超过一百万个 WordPress 主题？ 这表明网络托管巨头控制着全球网站市场份额的惊人 35%。 每个月，全世界至少有 4 亿人使用 WordPress。 因此，应该清楚为什么人们越来越需要让您的 WordPress 网站尽可能地抵御网络攻击。

尽管如此，尽管它不是排名前 50 的 SaaS 公司之一，但 WordPress 是世界上使用最广泛的内容管理系统之一。 但是，如果内容容易受到网络攻击，那么使用被认为优秀的 CMS 有什么好处呢？

事实上，2018 年所有被盗的内容管理系统网站中有 90% 是由 WordPress 提供支持的。 另一方面，只有 2% 的数据泄露是由 WordPress 的基本安全漏洞引起的。 换句话说，用户是让他们的网站面临各种风险的人，最常见的是使用不安全的插件。

如果您的网站由 WordPress 提供支持，您可能最不想要的就是在网络攻击的混乱中找到您的网站，这绝对是最坏的情况。 由于当今互联网上可能发现的危险不断增加，确保您网站的安全应该是您开发网站时的首要任务之一。

为了帮助您维护 WordPress 网站的安全，我们制定了七种最有效的策略和最佳实践的列表。 继续阅读以了解如何保护您的网站及其数据的安全。

帮助您维护 WordPress 网站安全的 7 个技巧

首先，我将为您提供一些快捷方式（请原谅双关语），您可以在 WordPress 网站上实施这些快捷方式以使其更安全。

1. 选择一个提供安全性的 WordPress 主机

当涉及到项目的风险管理时，要考虑的最重要的事情之一就是选择一个值得信赖的 WordPress 主机。 因为您选择的 WordPress 主机在您网站的整体保护中起着如此重要的作用，所以您根本无法选择任何旧的托管服务。 您需要选择在服务器级别提供多层安全性的选项。

您不应该急于为您的 WordPress 网站选择主机。 相反，花点时间研究各种可能性。 不用说，您应该避开价格低得令人怀疑的托管服务。

最后，他们以比平均水平相对便宜的价格出售服务这一事实几乎总是表明存在隐藏的问题。 如果您对技术不是很了解，您应该避免在个人虚拟专用服务器 (VPS) 上托管您的 WordPress 网站的诱惑。 找到能够成功解决安全事件的主机是更好的选择。 这将是您可以信赖的网络托管服务。

如果您使用信誉良好的托管服务提供商的服务并注册他们的计划，您可以确信您的网站将受到各种可能的保护。 您还可以调查所有这些托管服务提供商为其客户提供的多次定期远程支持。

一般来说，理想的WordPress主机是每天进行病毒扫描并全天候提供帮助的主机。 检查您正在考虑的潜在 WordPress 主机是否使用自动分配器来保持对客户电话的关注； 这是 24 小时支持提供商处理客户电话的最常见方式之一。

2. 确保您的 PHP 版本始终是最新的。

如果没有超文本预处理器（也称为 PHP），您的 WordPress 网站将无法正常运行。 在您网站的服务器上，您应该始终使用最新版本。

作为一般规则，每个新版本的 PHP 都会获得大约两年的全面支持，直到被更新的版本取代。 在两年的时间跨度内，开发人员可能会意识到软件中的各种漏洞，可能需要定期修复和打补丁。

PHP 7.4 是当前最新版本的 PHP 编程语言。 尽管如此，PHP.net 继续提供对版本 7.2 和 7.3 的支持。 换句话说，仍在运行 PHP 7.1 或更低版本的 WordPress 用户更有可能成为网络犯罪分子的目标（另请阅读：PHP 101）。

根据 WordPress 提供的统计数据，惊人的 32% 的客户正在使用过时版本的 PHP 运行他们的网站。 考虑到他们不断将网站暴露在网络安全中的各种漏洞，这是可怕的。 虽然企业所有者和网站所有者确实需要一些时间来测试他们的代码与新版本 PHP 的兼容性，但如果没有适当的安全支持，这不是运行网站的可接受理由。

在开发响应式网站时，需要考虑的不仅仅是布局模板。 使用旧版本的 PHP 会对网站的性能和效率产生负面影响，此外还会带来安全风险。 在您的 WordPress 网站上使用最新版本的 PHP 始终是最明智的做法。 社交平台具有积极的即服务 (CPaaS) 解决方案，当您不确定在特定情况下应采取什么步骤时，可以更轻松地向服务提供商寻求帮助。

3.确保您的密码安全

您可能会惊讶地发现有多少人懒得设置安全密码，尽管这条建议可能给人一种居高临下的印象，有点像破纪录。

根据 SplashData 的说法，数字“123456”是整个 2018 年最常用的密码。如果这些信息没有让您感到惊讶，那么列表中的以下项目就是“密码”一词。

使用这样的密码会使 WordPress 网站很容易成为黑客的目标，这是您在没有网络专家帮助的情况下可能已经知道的事情。 因此，移动设备管理（通常称为 MDM）是大多数项目的重要组成部分。 它表明您将拥有一个专门帮助您保护您的设备的设备和团队。

如果您自己选择安全密码时遇到问题，可以联系数字客户支持寻求帮助。 如果您对什么是数字客户服务感到好奇，它是一个系统，而不是使用 VoIP 电话系统，而是使用各种数字平台为您的问题提供答案。 这些平台的一些示例是文本消息、聊天消息和社交网络。

任何试图保护数字系统的人都应该遵循使用唯一且平均而言难以猜测的密码的最佳做法。 尽管强密码是保护您的 WordPress 网站免受入侵的好策略，但许多用户抱怨说，他们在将密码设置得太复杂后最终忘记了它。

您可以将 WordPress 帐户的密码存储在个人计算机上加密的数据库中，或者您可以使用可在线访问的密码管理器。 有多种选择可供您选择。 这可确保您在云存储中的密码受到保护。

无论您选择哪种方式，您都需要确保您用于 WordPress 网站的密码既安全又独特。

4. 确保您的 WordPress 网站具有双因素身份验证。

双因素身份验证，也称为 2FA，是额外的互联网安全层，要求人们通过使用两种不同的身份验证方法而不是一种来验证其身份。 大多数情况下，这将包括通过短信发送到此人的设备或通过电子邮件发送到他们的地址的代码或机密的个人查询。

通过实施称为双因素身份验证的程序来提高 WordPress 网站的保护级别是一种有效的方法。 它还有助于完成诸如相互共享加密文件之类的任务。 最大的特点是您可以选择您使用的两个身份验证模块。

许多人决定使用 Google Authenticator 应用程序，它会以短信的形式向他们的手机发送一个独一无二的验证码。 毫无疑问，该应用程序将确保您是唯一可以向他们发送此类短信的人。

5.只安装安全的插件

安装插件可为用户提供帮助，以增强他们的在线活动并使他们与众不同，这是 WordPress 网站的主要设计趋势之一。 尽管如此，这种自由有时可能本身就是一种安全风险。

根据 Wordfence 的说法，2016 年 WordPress 用户发生的大约 60% 的数据泄露事件是由不安全的插件造成的。因此，正如您所见，使用安全级别未经认证的插件来运行您的网站可能会使您的网站处于危险。 因此，在您的网站上安装既安全又可靠的插件符合您的最大利益。

如果您想确保是这种情况，您可以首先检查 WordPress 网站上的“热门”或“特色”类别，或者直接从开发人员那里获取。 这两个选项都是值得一看的地方。 请务必仔细阅读小字，以确认他们有具体的安全政策。

一些插件甚至允许用户访问内置的恶意软件扫描程序、防火墙和自动数据库备份。 毫无疑问，这是一个值得密切关注的好兆头。 即使安装了已知安全的插件后，您也必须始终保持更新。 如果您不下载最新的错误修复、安全更新和版本升级，您可能会使您的插件处于危险之中，并为网络犯罪分子打开通道。

6.设置允许用户尝试登录的最大次数。

默认情况下，允许您尝试登录 WordPress 帐户的次数没有限制。 如果您忘记了密码，您将不会被网站锁定，可以继续尝试访问它。 即使您可能认为如果您有忘记密码的历史，这是一个好处，但它实际上会使您的 WordPress 网站处于危险之中。

您需要了解网络犯罪分子也知道此漏洞，并且他们会利用它。 在大多数情况下，他们首先编制一份常用用户名和密码列表，然后添加他们窃取或购买的任何用户数据。 之后，他们访问由 WordPress 提供支持的网站，并使用机器人在不到一个小时的时间内尝试数百种不同的登录名和密码组合。 有成功的情况，也有不成功的情况。 强力攻击是这种计算机黑客攻击方法的名称。

但是，如果您限制用户尝试登录您网站的次数，则可以显着降低您的网站成为恶意网络攻击目标的可能性。 例如，如果您将最大尝试限制设置为三个，一旦达到该数字，该网站将在一段时间内阻止对该人（或机器人）的访问。

7. 使用 SSL 加密您网站上的数据

最后但同样重要的是，安装安全套接字层是您可以采取的保护 WordPress 网站 (SSL) 的最有效措施之一。 当您在您的网站上安装 SSL 证书时，您的服务器和网站访问者之间发生的所有数据传输都将被加密。 此外，它会将您网站的协议从 HTTP 更改为 HTTPS。 如果您的组织打算增强其电子商务方法，则 SSL 是绝对必要的。

您会看到，黑客能够对 HTTP 网站使用一种称为中间人攻击的方法，这使他们能够检查您网站的用户传输到服务器的数据。 这可能导致数据泄露和网络攻击的其他后果。 使用 HTTPS 的网站会对其所有站点流量和数据进行加密，使其他任何人都无法查看它。

令人高兴的是，获取 SSL 证书的过程可能被描述为相当基本。 它只需要您从证书颁发机构购买，然后将其安装在您的 WordPress 网站上即可完成该过程。

然后您需要调整您的网站地址，使其显示前缀 HTTPS。 证书颁发机构能够通过使用适当的基于云的呼叫中心软件来帮助您购买和最终安装该程序。 如果您的网站还没有 SSL 证书，那么您必须尽快获得证书。

作者简介

Travis Dillard 是德克萨斯州阿灵顿的商业顾问和组织心理学家。 对市场营销、社交网络和一般业务充满热情。 在业余时间，他为 DigitalStrategyOne 撰写了大量有关新业务战略和数字营销的文章。