WordPress 安全性：通過這些步驟提高您網站的安全性
已發表: 2018-05-23在網絡上，在 WordPress 平台上運行的網站數量最多。 這意味著 WordPress 正在統治網絡。 它引起了網絡上惡意元素的注意。 因此，谷歌每年禁止近 2 萬個惡意軟件網站和 5 萬個網絡釣魚網站。
在這種慘淡的情況下，網站安全變得至關重要。 由於使用 WordPress 代碼運行的網站數量較多，因此記錄的攻擊事件在 WordPress 平台上最高。 因此，今天我想強調一些可以幫助您保護 WordPress 網站的可行步驟。
保護您的 WordPress 網站用戶的進入
在現實生活中，當我們想要保護家庭、辦公室或工廠等場所時，我們首先會查看惡作劇或惡意元素可以嘗試進入的接入點。 相同的策略需要適用於保護您的 WordPress 網站。
現在，讓我們評估一下可能通過黑客或惡意用戶訪問您的後端或源代碼的入口點。 默認情況下，WordPress 後端訪問 URL 以：
/wp-login.php 或 /wp-admin/
因此，您需要採取適當的步驟來阻止不需要的用戶進入您的 WordPress 後端頁面。
更改登錄 URL
如果您是 WordPress 開發人員，您已經知道如何更改網站後端的默認 URL，但是對於高級用戶或 DIY 類型的用戶，高級安全插件或擴展可以讓您這樣做。 因此，您可以更改
- /wp-login.php 到 /Your-Domain-Name-login.php
- /wp-admin/或/你的域名-admin/
- /wp-login.php?action=register 或 /Your-Domain-Name-registration
因此，這種自定義的 URL 可以極大地幫助您抵禦暴力攻擊。
更改用戶名
默認情況下，大多數 WordPress 開發人員將“Admin/admin”關鍵字設置為用戶名。 它使黑客和不受歡迎的用戶的工作很容易訪問您的 WordPress 網站後端，他們必須使用他們的 Guess Work Database (GWDb) 來猜測密碼。
如果您將默認用戶名更改為無法預測的名稱，例如您的電子郵件地址，則可以減少攻擊者及其軟件的威脅。
更改密碼
就像用戶名一樣，密碼總是受到威脅。 有很多方法可以保護密碼猜測活動。 例如，使用由小寫、大寫、數字和符號組合而成的高度複雜的密碼。
但是，最近的雙因素身份驗證趨勢是保護所有級別用戶訪問後端的絕佳而可靠的方法。 手機/智能手機是訪問 OTP（一次性密碼）以驗證 2FA 系統的便捷設備。
設置鎖定和禁令
為了防止暴力嘗試並實施鎖定或禁止該 IP 地址，有許多插件和軟件可用於識別重複登錄或註冊嘗試。 插件可讓您設置多次失敗嘗試並提供其他功能以防止您的網站後端遭到未經授權的訪問。
保護您的 WordPress 網站的管理儀表板
對於 WordPress 後端用戶來說，儀表板是後端中最具吸引力和使用率最高的部分。 它提供了所有工具和選項來管理從默認使用到自定義的整個網站。 如果有人成功破解了儀表板，那將是黑客最大的勝利，對網站所有者的破壞最大。
因此，我們應該對WordPress 管理儀表板採取特殊措施。 以下是我們今後可以考慮的可能措施。
照顧“wp-admin”目錄
一切都放在 wp-admin 目錄中，允許您管理整個網站，包括資源和文件。 因此，防止對目錄的未經授權的訪問意味著預先消除大部分最壞的情況。
WordPress社區開發了一些插件來保護目錄密碼。 因此，WordPress 管理員用戶必須使用兩個不同的密碼才能訪問儀表板。 一個用於登錄頁面，另一個用於儀表板。 此類插件會自動生成 [.htpasswd] 文件，然後對密碼進行加密，並配置文件權限。
小心添加管理員用戶
除了擁有後端所有權限的超級管理員外，其他用戶也可以訪問後端，對後端特性和功能具有不同級別的訪問權限。 對後端的基於角色的訪問是可能的，您可以授予他們不同的用戶名以及您認為最安全的密碼。
監控管理目錄中的重要文件
您可以使用一些插件來監控所有管理員用戶的可疑活動，以便在檢測到安全威脅時採取實時措施。
加密數據
如果您實施了使用最新加密技術來保護您存儲和交換的數據的安全套接字證書(SSL)，您可以防止在兩者之間發生任何錯誤並保護整個 WP 管理區域以及網站。
保護您的 WordPress 網站的數據庫
WordPress 平台高度依賴數據庫，因為所有網站資產都以 SQL 類型數據庫中的大多數表格格式存儲在數據庫中，無論是文本、圖像、佈局代碼、多媒體內容，WordPress 網站中的任何內容都在數據庫中佔有一席之地。
為了保護數據庫免受SQL 注入和其他網絡攻擊，您可以通過以下措施保護您的數據庫。
設置數據庫密碼
您可以為您的數據庫設置一個強密碼，並將對數據庫的訪問限制為超級管理員角色，這樣可以最大限度地減少篡改數據庫或出錯的可能性。
更改 WP 前綴
如果你要安裝一個 WordPress 網站，你可能會遇到一個數據庫表的設置，它是 WP 表前綴。 默認情況下它是 wp- 並且您必須更改它以防止 SQL 注入（如數據庫攻擊）。 您可以將其從 wp- 更改為 Your-Domain-Name ，就像自定義前綴一樣。
定期備份數據庫
您可能會定期備份整個網站，也可能沒有，但安排數據庫備份可以避免由於各種已知和未知原因而發生的數據丟失。 今天我們有特殊權限的備份插件，可以進行不同頻率的數據庫備份。
保護您的 WordPress 網站的託管
如今，託管網站對其成功至關重要，因為搜索引擎需要理想的 SEO 友好型託管來滿足其排名要求。 同樣，網站用戶包括後端用戶和前端用戶，性能優化、轉化優化和用戶體驗很大程度上取決於託管環境和整體託管質量。
今天，除了默認的 WordPress 社區託管服務之外，我們還有多種託管選項，例如共享託管、VPS 託管、專用託管以及最重要的基於雲的託管服務，例如適用於不同規模和規模的網站的Kinsta 。
保護 wp-config.php 文件
WordPress wp-config.php文件訪問是黑客輕鬆實現其惡意意圖的一項關鍵成就，因為它包含有關您整個 WordPress 安裝的高度關鍵信息。
最好的方法是將文件移動到比根目錄更高的級別。 您可以輕鬆地做到這一點，因為即使它位於 WordPress 的根目錄之外，WordPress 也可以看到它。 因此，服務器可以輕鬆地在更高級別找到它。
禁止文件編輯
在託管服務器中，您的網站源有幾個文件，其中包含關鍵信息和權限，可以順利運行您的網站。 如果黑客或惡意分子破解服務器並訪問這些文件，他們可能會造成不同程度的危害。
如果您禁止超級管理員以外的任何人編輯文件，您可以輕鬆避免這些損失。 您可以通過在 wp-config 文件的末尾添加一個代碼行來做到這一點。
設置目錄權限時要小心
託管服務器上的目錄、子目錄和文件是重要的 WordPress 安全方面。 如果您為網站的這些組件設置了錯誤的權限。 一旦服務器妥協，您可能會增加攻擊的機會。
因此，您必須為目錄/子目錄設置 755 權限，為文件設置 644 權限。 通過使用主機/c-Panel 中可用的文件管理器工具，您可以輕鬆設置或更改權限。 有關文件權限的更多信息 –了解文件權限並使用它們來保護您的站點。
正確的服務器連接
傳統上，我們使用 FTP 協議進行服務器連接。 但是 SFTP 或 SSH 是當今建立服務器連接的更安全可靠的方式。
保護 WordPress 網站的主題和插件
大多數 WordPress 主題和插件都是由第三方開發人員開發的。 從安全的角度來看，這些並不完全可靠。 因此，您必須採取一些措施來安全地渲染它們。 例如：
定期更新
就像您的 WordPress 網站一樣，插件和主題開發人員/公司也會發布更新以跟上 WordPress 版本的步伐，並修復他們通過用戶反饋了解到的錯誤和問題。 因此，請嘗試使用適當的插件通過儀表板定期安裝更新。
隱藏 WordPress 版本信息
對於攻擊者來說，知道您的 WordPress 版本信息（如數字）有助於開發量身定制的攻擊，並且版本信息在 WordPress 源代碼中很容易獲得。 如果您可以 DIY 刪除這些版本信息，或者在您專門的 WordPress 開發人員的幫助下，您可以讓攻擊者的生活變得有點艱難。
結論
我寫了上面的帖子，牢記初學者和中級 WordPress 開發人員以及專門的 WordPress 插件開發人員。 因此，如果沒有適當的和最新的 WordPress 安全插件的幫助，實施上述提示來保護您的 WordPress 網站將被證明是困難的。 我建議為您的網站安裝以下插件，使其比以往更安全：
- 多合一 WP 安全和防火牆
- 蠻力登錄保護
- 防彈安全
- 谷歌身份驗證器
- iThemes Security，以前是 Better WP Security
- Sucuri 安全 WordPress 插件
- WordFence
- WP防病毒網站保護
如果您仍然有困惑並希望得到專家的幫助。 Perception System 提供 WordPress 開發服務以及僱用 WordPress 開發人員的設施，以幫助有需要的客戶使他們的網站完全安全。