WordPress：关于安全性的10个最佳实践
WordPress (WP) 被誉为最流行的 CMS，部分原因是其设计注重可访问性、性能和易用性，其持续开发（当前版本 5.2），其庞大的用户社区涵盖多种语言，并且通过使用其自身或第三方主题和插件，实现了广泛的自定义功能。
它非常安全，但与任何应用程序或系统一样，需要遵循最佳实践才能确保长期安全。在本文中，我们想提供一些基本建议。
简介
WordPress作为最流行的网站建设内容管理系统（CMS），也经常成为网络攻击的目标。因此，除了持续更新之外，它还需要频繁的维护、升级和安全措施，以避免插件漏洞、弱密码、软件过时等诸多安全隐患；换句话说，要尽可能降低其遭受任何有计划或无计划攻击的风险。
此外，与其他内容管理系统 (CMS) 一样，WordPress 可以让您快速高效地构建网站并将其上线。它强大的功能和可扩展性，通过模块、主题和插件，使这项工作比以往任何时候都更加轻松，无需像通常那样花费数年时间学习。
然而，这样做的一个不良副作用是，一些工具用户可能会忽略确保其创建或维护的网站安全的必要措施。因此，牢记一些适用于 WordPress 或任何其他内容管理系统 (CMS) 和网站的通用和特定最佳实践，以维护其安全性至关重要。
最佳实践
1.-全面增强安全性
WordPress (WP) 目前可能为互联网上超过 30% 的活跃网站提供支持，这使其成为攻击者（黑客/破解者）的主要目标，无论其动机是善意还是恶意。因此，一旦某个已知漏洞在某个 WordPress 网站上被成功利用，其他类似的 WordPress 网站也很可能尝试利用该漏洞。
因此，如果您管理和/或使用一个或多个 WordPress 网站，请务必更加谨慎、细致地关注其网络安全。请记住，大多数针对 WordPress 网站分析和报告的安全漏洞与应用程序本身的核心功能关系不大，而是与开发人员或管理员在实施、配置和日常维护方面的不当操作有关。
2.-了解您的漏洞
根据WPScans（现已更名为WPSec ，截至2019年01月05日）的最新报告，WordPress已知存在近4.000个安全漏洞，分布情况如下：WordPress核心（37%）、插件（52%）和主题（11%）。请调查您的网站面临的安全漏洞，并找到相应的解决方案。避免运行不安全的WordPress核心、插件和主题版本。
请重点关注以下 WordPress 网站安全主题，即不同类型的攻击：
- 蛮力： 加强登录页面上的安全性。
- 文件包含： 加强wp-config.php配置文件的安全性。
- SQL注入 加强与WP相关的MySQL数据库的安全性。
- 跨站脚本： 加强二手WP插件的安全性。
- 恶意软件感染： 加强网站的总体安全性，以防止未经授权的访问，恶意软件的插入以及这些恶意代码的后续机密数据收集。 最常见的恶意软件或攻击通常是以下类型：后门，垃圾邮件SEO，HackTool，邮件程序，污损和网络钓鱼。 希望保护您的站点免受这些类型的恶意软件或攻击。
请记住，一旦任何网站遭到入侵，其搜索引擎排名都会受到影响。搜索引擎会迅速识别出被入侵的网站，因此，浏览器会向访问者显示警告，或者完全阻止他们浏览这些网站。
3.-了解托管服务提供商的基础架构
如果您的网站使用外部托管，也就是说它托管在您自己的基础设施之外，那么为了确保托管服务提供商的服务质量，千万不要在成本上省钱。如果他们采用的是“共享托管”模式，这一点尤其重要。
如果您的共享主机服务质量较差，一旦托管在同一服务器上的多个网站中有一个遭到入侵，您的网站就会更容易受到攻击。换句话说，如果共享主机服务器上的一个网站被黑客入侵，攻击者也可能访问其他网站及其数据。
4.-知道e网站技术规范 来自您的托管服务提供商
评估主机提供商时，基础设施固然重要，但主机提供商用于提升网站安全性的网络技术规范同样不容忽视。请确保他们遵循以下推荐的网站安全准则：
- 轻松安装SSL证书
- 主动管理Web服务器软件版本。
- 防火墙防护
- 网站访问记录
- 例行安全审核
- 恶意活动检测
- 最低支持SFTP（不仅限于FTP），TLS 1.2和1.3，以及PHP 5.6，尽管建议从7.0开始。
所有这一切至少对于提高使用或不使用WP作为二手CMS的网站的安全性都是必要的。
5.-提防使用的主题和补语
您安装的插件和主题对安全至关重要。请尽量只使用官方 WordPress 主题和插件，或经社区认证的主题和插件，或来自知名商业软件库的主题和插件，或直接从信誉良好的开发者处获取的主题和插件。许多未经认证的主题和插件可能包含恶意代码。
如果你自己安装了恶意软件，那么你对 WordPress 网站的保护措施再完善也无济于事。下载和安装任何主题或插件之前，务必先进行研究，或者查看推广该主题或插件的开发者或网站，并对免费或打折的插件保持警惕。
6.-尝试经常更新CMS
更新您的网站平台对安全至关重要。无论您的内容管理系统是否是 WordPress，过时的核心程序、主题或插件都可能使您的网站面临已知漏洞的风险。对于开源的 WordPress 而言，其核心程序中有一个专门的团队负责处理此类问题。
WordPress中发现的每一个安全漏洞都会立即得到修复和修复，以应对每一个新的安全问题。因此，将WordPress及其所有主题和插件更新到最新版本是成功实施安全策略的关键组成部分。
7.-我找到了合适的密码
网站密码的质量或强度至关重要。网站登录是漏洞利用的主要目标，因为它们提供了访问网站管理页面的最便捷途径。
暴力破解攻击是利用登录凭证进行攻击的最常用方法，它通过破解用户名和密码组合来获取网站访问权限。特别是对于 WordPress 而言，默认情况下它不会限制用户的登录失败次数；因此，强烈建议您为 WordPress 管理员账户设置一个强密码。
选择密码时，请根据 CLU（复杂、长、唯一）格式考虑以下 3 个基本要求：
- 复杂： 密码应尽可能随机，并且与Web管理员或网站的密码应尽可能少。
- 长： 密码的长度必须为12个或更多字符。 并增加了对失败连接尝试次数的限制。
- 只要： 不要重复使用密码。 每个密码在时间上必须唯一。 这个简单的规则极大地限制了任何泄露密码的影响。
建议：使用“LastPass”（在线）和“KeePass 2”（离线）等密码管理器，以加密格式生成和存储所有密码。
8.-始终准备好抗灾计划
如果您使用 WordPress，请记住它没有内置备份系统。务必优先创建一个备份，以便始终拥有网站的最新备份。备份至关重要，也是您整体安全策略的重要组成部分。
别忘了，您不仅应该备份您的网站和数据库，还应该使用自动化脚本任务或克隆映像系统备份所有服务器配置，以便在最短的时间内进行必要的恢复和重新安装。
9.-使用2FA增强安全性
使用双因素身份验证 (2FA) 增强 WordPress 管理员登录或网站安全性，这是目前保护网站安全的最佳方法之一。双因素身份验证为您的网站登录增加了一层额外的保护，除了密码之外，您还需要从其他设备（例如您的智能手机）接收一个有时效性的验证码才能成功登录。
对于默认情况下不提供此功能的 WordPress，可以使用插件（例如 iThemes Security）来实现此功能。
10.-使用任何必要的安全配件
大多数内容管理系统（CMS）平台，例如 WordPress，都使用插件来增强其安全功能。特别是对于 WordPress，我们推荐使用 iThemes Security 插件来进一步保护您的网站。该插件可以保护 WordPress 的安全，修复已知漏洞，阻止自动化攻击，并加强用户凭据的安全性。
它有免费版（iThemes Security）和付费版（iThemes Security Pro），后者显然提供了更多安全功能，例如双因素身份验证、定时恶意软件扫描、用户注册等。
结论
无论您使用的是 WordPress 还是其他内容管理系统 (CMS)，只要遵循以下最佳安全实践，即可避免大多数网站安全问题。在如今黑客和网络犯罪分子猖獗的动荡时期，您的网站理应也应该采取必要的安全措施，以确保或最大程度地降低其安全风险。
最后，作为额外的好处，我们建议您阅读我们博客上关于加强网站安全性的另一篇文章，标题为：面向系统管理员和开发人员的 Linux 权限。