保护WordPress站点的标准方法
近5年来，我一直在WordPress工作。但到目前为止，我还没有找到保护WordPress站点的标准解决方案。
我有一个客户托管帐户，它有11个WordPress网站，几乎每年都会被黑客攻击。即使是最后，我也不得不离开旅馆，否则他们就会因为这个而暂停帐户。现在我买了一个新的主机，我不希望它发生了一次又一次。
到目前为止，我所做的是保护我的网站，我已经使用了"Wordfence“插件，并正确设置它。试图隐藏我的wordpress安装使用“隐藏我的Wp”插件。已在Wordfence设置中将登录尝试设置为5，可以帮助它防止Ddos攻击。总是使用更新版本的插件和主题和WordPress核心。通过遵循这些步骤，我在Hosgator主机上已经被黑了6次。
现在，我的问题是，由于我已经转移到新的主机，当然，我正在使用所有新的新安装在我的新主机为这些现有的网站；我如何使所有这些网站的安全，或什么是最好的标准方法来保护一个WordPress网站？
多亏了你们大家。
回答 2
WordPress Development用户
发布于 2017-10-30 13:56:14
如果您正在寻找某种“设置它并忘记它”的安全解决方案，那么您将感到失望。有些东西可以帮助降低风险，例如防火墙和模糊您的安装，但最终一个站点只会与运行它的软件以及用于管理它的进程和工具一样安全。
使用WordPress站点，您可以在WordPress内核旁边安装各种插件和主题，其中任何一个都可能包含安全漏洞。保持插件的最新更新是一个很好的实践，但它不能完全保护您，因为在最近的版本中，有一些插件存在0天的漏洞。因此，不幸的是，虽然保持最新是一个好的开端，但重要的是也要监测您使用的插件是否包含尚未修复的漏洞。( 插件漏洞插件可以通知您0天的漏洞；我在我的站点上使用它。)
除了软件方面的事情，你还必须考虑你是否遵循最佳实践，在你如何管理网站。你在使用安全连接吗？您的计算机是否安装了防病毒软件？是否禁用浏览器中除受信任的站点之外的所有脚本？以此类推。
最后，如果你的网站被黑客入侵，最重要的是找出攻击者是如何进入的。如果你不这样做，你的网站很可能仍然是脆弱的。但当你知道黑客是怎么进来的，你就可以解决这个问题。
总之，不幸的是，没有一个简单的解决方案。但是你可以做一些更多的事情来减少被黑客攻击的可能性，并在攻击发生后从攻击中学习。
WordPress Development用户
发布于 2017-10-30 07:34:03
对我来说最重要的一点是:重命名wp-login.php！机器人只检查默认值，甚至将其移动到/login/将大大降低野蛮强制的风险。显然，你仍然应该确保你的客户使用好的密码。编辑:在查阅了“隐藏我的WP”之后，它显然已经做到了。从我的名字，我认为他们是试图掩盖事实，你正在使用WP。
此外，一定要做一个验尸分析，以了解网站是如何被黑客入侵的，这样你就可以关闭这个漏洞。并确保您还原的备份不包含后门(但如果备份间隔很长，这通常意味着情况并非如此)。
对每个站点使用不同的(子)帐户，因此如果一个站点被感染，它只关注该站点。
如果您有很多插件，您可以尝试拒绝/wp/ plugins /a中对php文件的请求。插件应该通过/wp/admin-ajax.php进行AJAX，并且没有什么理由接收直接请求。“试一试”，因为即使他们应该这样做，也不意味着他们会这样做，所以如果你这样做，你将不得不测试任何东西是否坏了。
https://wordpress.stackexchange.com/questions/284364
复制相似问题
腾讯云开发者
