做好WordPress后台安全防护，保住你日积月累的建站成果

为啥说WordPress后台安全防护是你网站的保命锁？

说真的，我作为踩过坑掉过坑的过来人，今天掏心窝子跟你唠：WordPress后台安全防护真的不是大网站才要搞的花活，你一个个人博客、小电商站，更得上心。我把你做的WordPress网站比作你摆摊开的小饭馆，前台就是你摆桌子炒菜给客人看的地方，WordPress后台就是你放收银箱、存食材、管账本的后院，要是后院门随便进，谁都能来踹一脚，你说你能安稳做生意吗？

我前几年刚入门建站的时候，跟很多新手一样，觉得我就一个小破站，写点自己的爱好内容，谁会闲得没事黑我？结果呢？辛辛苦苦更了8个月，攒了小一万访客，某天起床登后台一看，首页被改得全是博彩广告，百度当天就给我K了，域名直接废了。那叫一个欲哭无泪，从那之后我就死磕WordPress后台安全防护，试了好多方法，踩了好多坑，整理出来这几个新手也能直接用的技巧，今天全给你。

普通人就能上手的WordPress后台安全防护实操技巧

改默认后台地址：给你的后院换个没人知道的门

WordPress默认的后台地址就是xxx.com/wp-admin，全宇宙都知道，这不就等于你把后院大门开在大马路边，牌子写得清清楚楚“后门在这”，扫描机器人一抓一个准。改默认地址就是WordPress后台安全防护里，成本最低效果最好的操作，没有之一，花5分钟就能搞定。

不用你改代码改配置，直接装个轻量插件WPS Hide Login就行，激活之后去设置里填一个只有你自己知道的后缀，比如我自己用的就是mysecret123，谁能猜得到？对了，过来人提醒你一句：改完一定要把新地址存备忘录！我第一次改完，半个月后忘了地址，折腾了大半天找数据库才改回来，活生生把自己锁门外，这个坑我替你踩了，你别再跳。

就这一步，能挡住至少80%的无差别机器人扫描，你说值不值？WordPress后台安全防护，第一步走对了，后面省好多心。

删掉默认admin用户名：别主动给小偷递钥匙

90%的新手建站，默认用户名都是admin，这不就等于你把钥匙串贴了标签写“我是家门钥匙”，小偷试都不用试，直接拿了就开门。哪怕你密码设得再复杂，人家用户名已经对了，只需要猜密码就行了，暴力破解的概率直接翻十倍。

改这个也超级简单：新建站的朋友，注册管理员的时候直接别用admin就行；已经建好站的朋友，去后台「用户」那里新建一个有管理员权限的账号，用户名整个只有你知道的，登新账号把原来的admin删掉，10分钟搞定。

这也是WordPress后台安全防护里最核心的基础操作，别觉得“我密码够复杂就没事”，安全就是能少给敌人一个机会就少给，WordPress后台安全防护，就是把能堵的洞都先堵上。

开二次验证：给后院门再加个指纹锁

哪怕你改了地址改了用户名，不怕一万就怕万一密码泄露，开个二次验证，就等于给门再加了一道指纹锁，对方就算有密码，没有你手机上的动态验证码，也照样进不来。

操作还是插件搞定，用Google验证器或者国内的实名验证类插件都可以，我自己用的是Google Authenticator，装完绑定你手机上的验证APP，每次登录除了密码输6位动态码，稳得一批。

你别说，这一步真的救过我一次，之前我在一个公共电脑登过后台，密码不小心留存了，就是因为开了二次验证，对方登不上，才没出事，所以WordPress后台安全防护，多一道锁就多一份安心，这句话真不是瞎扯。

限制登录尝试次数：让小偷敲不开门直接走

暴力破解密码就是小偷不停试不同的密码，一次错了换一个，我们限制登录尝试次数，就等于装了个门禁，错个三五次直接锁IP24小时，他总不可能蹲你网站一天天天试吧？

用插件Limit Login Attempts Reloaded，设置完错5次锁24小时就行，我之前有个站没开这个，一天被试了三千多次登录，开了之后直接清净，后台登录日志半个月都没一条异常记录，太香了。

WordPress后台安全防护里，这一招就是防暴力破解的大杀器，一定要安排上。

关后台文件编辑：就算进了后院也拿不到核心东西

这是WordPress后台安全防护的兜底操作，WordPress默认允许你在后台直接编辑主题插件的PHP代码，要是小偷真的混进来了，直接就能改代码挂黑链放木马，我们把这个权限关掉，哪怕对方真的进来了，也改不了核心文件，危害直接降到最低，相当于你把钱放保险柜，小偷进了门也拿不到。

操作也超简单，只需要在你网站根目录的wp-config.php文件加这么一行代码就行：

``` define( 'DISALLOW_FILE_EDIT', true ); ```

加完保存就完事，不需要别的操作，就给WordPress后台安全防护加了最后一道兜底锁。

最后再唠两句掏心窝子的

很多人跟我说，我就一小站，犯得着这么麻烦搞WordPress后台安全防护吗？我告诉你，现在黑站的全是机器人，全网无差别扫描，不管你站大站小，只要有漏洞就一定会被扫到，不是针对你，是机器人本来就是这么干活的。你不做WordPress后台安全防护，就等于出门不锁门，没被偷是运气，被偷了就是倾家荡产，你辛辛苦苦大半年甚至好几年的成果，说没就没，犯得上赌这个运气吗？

我给你说的这些方法，全都是我踩过坑试出来的，没有花里胡哨的复杂操作，全部加起来也花不了你一小时，大部分都是点点插件就搞定，不需要你懂多少代码，我把坑都踩完了，你直接照着做就行。

咱们做网站就像种果树，你天天浇水施肥，好不容易等到开花结果，别因为没做好WordPress后台安全防护，被人连根刨了，太亏了。花一小时做好WordPress后台安全防护，之后安安心心更内容涨粉丝，踏踏实实过日子，这不比啥都强？