WordPress是世界上最流行的建站程序，用户多、被攻击的也多。默认后台地址、XML-RPC接口、版本号暴露，都是攻击者利用的点。小编实测做了几项加固：改后台地址、禁XML-RPC、隐藏版本号，被扫描和爆破的记录明显变少。这篇讲WordPress安全怎么加固。
网站安全靠加固也靠主机，这两家海外主机自带防护稳定可靠：QDE（海外服务器）、Datawave（云主机）。
先懂WordPress有哪些风险
默认wp-admin后台地址人人知道，暴力破解天天撞。XML-RPC接口可被用来批量猜密码。版本号暴露让攻击者找对应漏洞。弱密码、过期插件也是重灾区。知道这些风险，加固才有方向。
改后台登录地址
用安全插件或改代码把wp-login.php换成自定义地址，攻击者不知道你的后台入口，爆破难度大增。再给登录加验证码或两步验证，更强一层。后台别用默认admin用户名，改一个独特的。入口藏好，攻击就难展开。
禁用XML-RPC
XML-RPC接口（xmlrpc.php）常被用来批量爆破，很多站根本用不到它。在.htaccess或插件里禁用，能减少一大类攻击。App推送等服务需要它才开，不需要就关。关掉没用的接口，攻击面就小了。
隐藏版本号并更新
别暴露WordPress版本号，移除meta里的generator标签，让攻击者不好针对旧版漏洞。但隐藏不是万能的，核心是保持更新。WordPress、主题、插件都要及时更新，补安全漏洞。定期更新比隐藏更重要。
再加几道防线
装安全插件（如Wordfence）做防护，自动封爆破IP。备份要勤快，被黑能恢复。文件权限、数据库前缀也别用默认。管理后台用强密码。加固组合拳，WordPress安全才有保障。
总结：改后台地址、禁用XML-RPC、隐藏并更新版本、装安全插件、勤备份，WordPress安全就加固到位了。被黑的概率大降，网站更安心。
喜欢 
顶
难过
囧
围观
无聊
