WordPress全球40%网站都在用，也是黑客最关注的目标
WordPress生态庞大意味着两件事：插件和主题多、黑客也盯得紧。WordPress本身安全性不错，但插件、主题、弱密码、过期版本是主要的安全漏洞来源。本文梳理从服务器到应用层的15个安全加固措施。
网站防护推荐酷盾SCDN，DDoS+WAF一体化：https://www.jiyueip.com/link/5714
服务器层
1. 修改SSH默认22端口，使用密钥登录禁止密码登录。2. 配置防火墙只开放80、443和SSH端口。3. 定期更新系统软件包。4. 安装Fail2ban自动封禁暴力破解IP。
WordPress核心
5. 始终保持WordPress核心、主题、插件为最新版本。6. 删除默认admin用户名，使用强密码。7. 禁用XML-RPC（如果不需要远程发布）。8. 修改数据库表前缀wp_为自定义值。
插件安全
9. 安装Wordfence或Sucuri安全插件。10. 删除不用的插件和主题。11. 只从官方源或可信渠道获取插件。
前端与网络
12. 配置HTTPS并强制跳转。13. 设置安全HTTP头（X-Frame-Options、X-Content-Type-Options等）。14. 隐藏WordPress版本号。15. 使用CDN隐藏源站真实IP，防止DDoS直接攻击源站。
备份策略
最重要的：定期备份。网站数据库+文件每周全量备份，保留至少3个版本的备份。用宝塔面板的计划任务可以自动执行。
总结
WordPress安全不是一次性的事。核心三条：保持更新、强密码+双因素认证、定期备份。这三条做到了，能避免90%的安全问题。
