WordPress安全运维教程

你是不是自己搭了个WordPress网站？花了好几天弄好内容，刚有点流量，某天突然打开网站，就蹦出乱七八糟的色情弹窗？后台还登不上？别慌，这不是你运气差，是没做好基础安全防护。这篇教程全是能直接照做的干货，帮你搞定90%常见的WP安全问题，不用懂代码，小白也能操作。

基础防护：先把大门焊死

1.1 改掉默认的弱用户名和密码

很多人用WordPress，图省事，直接用默认的admin当用户名，密码设成123456，这等于把家门钥匙直接塞给黑客。

具体操作分两步：

• 第一步：改用户名 装免费插件「Username Changer」，搜自己的账户，把admin改成「你的网站名_owner」，比如「blog_xiaoming_owner」。
• 第二步：改密码 进个人资料页，密码要12位以上，混合大小写、数字、符号，比如「Xm@2024Blog001」，别用生日、手机号。
• 避坑提醒 改完用户名后，把旧admin账户删掉，别留空账户。

1.2 把后台入口藏起来

默认WP后台地址是/wp-admin，黑客用扫描工具，几秒就能找到后台，直接暴力破解。

操作：装免费插件「WPS Hide Login」，激活后改自定义登录路径，比如改成「/go_in」。以后登后台，输域名+/go_in就行，别人找不到，相当于把家门换了没人知道的门牌号。

重点提醒 装完插件一定要测试新路径，别记不住，自己也登不上后台！

清理隐患：不给黑客留空子

2.1 删掉没用的插件和主题

很多人爱装插件，看到有意思的就装，不用也不删，留在后台。旧插件旧主题有漏洞，是黑客最喜欢的入侵入口，上个月就有个知名WP相册插件，因为漏洞被上万网站挂了垃圾广告。

具体操作：进WP后台「插件」页，看标着「已停用」的，直接点「删除」；「主题」页，只留你现在用的，其他都删掉，别舍不得，占空间还惹麻烦。

避坑提醒 插件主题只从WordPress官方商店下，别从乱七八糟的网站找，容易带木马。

2.2 每周更新核心、插件、主题

WordPress、插件、主题的官方，会定期补安全漏洞，比如发现漏洞当天就出更新，你不更，等于给黑客留了后门。

操作：进WP后台，顶部有「立即更新」提示，看到就点，每周至少更一次，别嫌麻烦，1分钟的事，能避免90%的入侵。

加层防盗锁：防暴力破解和恶意注入

3.1 装防暴力破解的登录插件

黑客会用工具，试上万个密码，直到猜对后台，这叫暴力破解。

操作：装免费插件「Wordfence Security」，激活后在「登录防护」里设置，比如登录失败5次，就锁15分钟，这样黑客试几次就进不来，相当于给家门装了输错就锁的指纹锁。

3.2 改数据库前缀

WP默认的数据库前缀是wp_，黑客扫一下就能猜到表名，直接插恶意代码，改前缀能防这个问题。

如果懂代码，用FTP找到根目录的「wp-config.php」，找到这行： ``` $table_prefix = 'wp_'; ``` 改成： ``` $table_prefix = 'your_site_abc_'; ``` 保存上传就行。小白的话，装插件「WP Security」，找「修改数据库前缀」跟着走，改之前一定要备份数据库！

避坑提醒 改完前缀后，一定要测试网站，别出问题，不行赶紧换回原来的。

别嫌麻烦，今天就先做三件事：改用户名、删停用的插件、装WPS Hide Login。这三件事加起来10分钟就能搞定，能挡住80%常见入侵。现在就点开你的WP后台，动手吧，别等网站被黑了再后悔。