核心安全原則同基礎加固
WordPress 作為全球最流行嘅內容管理系統，佢嘅安全性好依賴管理員對幾個核心原則嘅堅持。跟住呢啲原則係建立安全網站嘅第一道防線。
首要原則係保持所有組件嘅絕對更新。呢個唔單止指 WordPress 核心本身，仲包括所有已安裝嘅插件同主題。官方安全團隊會定期發佈包含關鍵修補程式嘅更新，以修復已知漏洞。自動化更新係一個明智嘅選擇，可以透過喺 wp-config.php 文件中定義常量嚟啟用。
define( 'WP_AUTO_UPDATE_CORE', true );
add_filter( 'auto_update_plugin', '__return_true' );
add_filter( 'auto_update_theme', '__return_true' );其次，加強用戶認證。呢個包括杜絕使用預設嘅「admin」用戶名、為所有用戶強制設定高強度密碼（建議使用密碼管理器生成）以及嚴格實施最小權限原則。對於管理員帳戶，強烈建議啟用雙重認證（2FA），咁可以有效阻止憑證盜竊攻擊。
推薦閱讀 VPS主機全面攻略：由揀機配置到高效維運管理全解析。
最後，修改預設嘅登入路徑。將眾所周知嘅 /wp-admin 同埋 /wp-login.php 路徑改為自訂地址，可以顯著減少針對登入頁面嘅自動化暴力破解攻擊。呢個可以透過專門嘅插件或者編寫代碼嚟實現。
插件同主題嘅管理策略
插件同主題極大噉擴展咗WordPress嘅功能，但亦係最主要嘅安全風險來源。超過一半嘅WordPress安全漏洞都係嚟自有缺陷嘅插件或者主題。
喺安裝任何新插件或者主題之前，一定要做足盡職審查。檢查佢哋喺官方目錄入面嘅活躍安裝數目、最後更新時間、開發者支援回應嘅頻率同用戶評價。避免使用嗰啲超過一年冇更新或者開發者支援記錄唔好嘅擴展。千祈唔好從非官方或者嚟路不明嘅網站下載付費插件嘅「破解版」，呢樣嘢幾乎等同於主動引入後門。
對於已經安裝嘅組件，要建立定期嘅審計清單。刪除所有唔再使用或者已經棄用嘅插件同主題，就算只係停用咗，佢哢嘅檔案仍然可能包含可以被利用嘅漏洞。定期使用安全掃描工具檢查，例如用 WP-CLI 指令 wp plugin list --status=inactive 嚟列出所有唔活躍嘅插件。
如果個網站依賴少量關鍵插件，可以考慮用代碼片段庫（例如 GitHub Gist）或者自訂功能插件嚟取代一啲功能簡單嘅小插件，咁樣就可以減少對第三方代碼嘅依賴。
推薦閱讀 點樣揀同配置獨立伺服器：由入門到精通指南。
伺服器同檔案系統強化
一個安全嘅 WordPress 網站離唔開穩固嘅伺服器環境。伺服器層面嘅設定錯誤可能會令成個防禦系統失效。
關鍵嘅第一步係設定正確嘅檔案權限。通常，所有 WordPress 檔案嘅權限應該設為 644，所有資料夾嘅權限應該設為 755。呢個係至關重要嘅 wp-config.php 檔案應該設定為 440 或 400，確保只有伺服器進程可以讀取，從而保護數據庫憑證等敏感資訊。呢個可以透過 SFTP 客戶端或者 SSH 指令嚟修改。
find /path/to/your/wordpress/ -type f -exec chmod 644 {} ;
find /path/to/your/wordpress/ -type d -exec chmod 755 {} ;
chmod 400 /path/to/your/wordpress/wp-config.php其次，透過配置網頁伺服器（例如 Apache 嘅 .htaccess 或者 Nginx 嘅設定檔）嚟增加安全標頭同保護敏感目錄。例如，停用目錄瀏覽、限制對 wp-includes 同埋 wp-content/uploads 目錄中 PHP 檔案嘅直接執行。
喺 Apache 嘅 .htaccess 檔案入面，可以加以下呢啲規則：
# 保护 wp-config.php
<files wp-config.php>
order allow,deny
deny from all
</files>
# 禁用目录浏览
Options -Indexes另外，確保停咗 PHP 錯誤報告嘅公開顯示，防止洩漏路徑資訊。喺你嘅 php.ini 檔案入面設定 display_errors = Off，或者喺 wp-config.php 入面加 define( ‘WP_DEBUG_DISPLAY’, false );。
監控、備份同應急響應
主動監控同可靠嘅備份係應對安全事件嘅終極保障。就算預防措施完美，都應該做好最壞打算。
實施主動監控。使用安全插件（例如 Wordfence Security、Sucuri Security 或者 iThemes Security）嚟監控檔案完整性。呢啲工具會記錄核心檔案、主題同插件檔案嘅任何改動，並且喺偵測到可疑活動（例如未知嘅 PHP 檔案上傳、修改 .htaccess 檔案）嗰陣發出警報。同時，監控失敗嘅登入嘗試，並自動將多次嘗試失敗嘅 IP 地址加入黑名單。
推薦閱讀 深入了解 WordPress 安全最佳實踐：全面防護你嘅網站。
建立同測試自動化備份策略。一個完整嘅備份應該包括數據庫同所有檔案（WordPress 核心、上傳內容、插件、主題）。備份必須自動化，並遵循「3-2-1」原則：至少保留3個備份副本，使用2種唔同嘅儲存媒介（例如伺服器硬碟+雲端儲存），其中1份備份存放喺異地。務必定期進行復原演練，確保備份檔案係完整而且可用嘅。
制定應急響應計劃。明確網站被入侵後嘅處理步驟：隔離網站（例如設定為維護模式）、從乾淨嘅備份恢復、審查日誌定位入侵點、更新所有憑證（包括數據庫密碼、FTP/SSH 密鑰、管理員密碼）、全面掃描殘留惡意代碼，最後向用戶透明地通報情況。
摘要
提升 WordPress 安全性係一個涉及多層次、需要持續維護嘅系統性工程。佢始於對核心、插件同主題嘅嚴格更新管理，貫穿於對用戶認證、伺服器配置嘅細緻加固，並最終依賴於主動嘅監控同可靠嘅備份恢復策略。冇一勞永逸嘅「銀彈」，但係通過遵循呢份指南中嘅結構化步驟，任何 WordPress 站點管理員都能夠顯著降低其網站遭受攻擊嘅風險，並為用戶數據同自身品牌聲譽建立起堅實嘅保護屏障。
常見問題
啟用自動更新係咪安全
對於次要版本同安全更新，通常係安全嘅，WordPress 核心團隊對此有嚴格嘅測試。建議啟用核心嘅自動安全更新。對於插件同主題，需要謹慎評估。對於信譽良好、更新頻繁嘅開發者，可以啟用；但係對於小眾或者更新可能帶來兼容性問題嘅插件，建議喺測試環境確認後再手動更新。
點樣知道我有冇俾黑客入侵網站
常見嘅跡象包括：網站加載得慢或者出現異常重定向、Google搜尋結果中顯示警告標籤、伺服器上出現陌生檔案（尤其係用奇怪名命名嘅PHP檔案）、管理員帳戶無端端被新增、網站流量出現解釋唔到嘅高峰或者嚟自可疑地區嘅訪客激增。使用安全掃描外掛係檢測入侵嘅有效方法。
用安全外掛係咪就夠晒
安全外掛係強大嘅工具，但唔應該被視為唯一嘅解決方案。佢係一種「深度防禦」策略中嘅其中一層。安全外掛應該同良好嘅伺服器配置、嚴格嘅用戶權限管理、定期嘅代碼審計同可靠嘅備份策略結合使用，先至可以提供全面嘅保護。
修改數據庫表前綴真係有用咩
喺初始安裝嗰陣改咗預設嘅 wp_ 前綴係有好處嘅，因為可以防範好多用預設表名嚟做 SQL 注入嘅自動化攻擊腳本。不過，對於已經建立咗、用緊預設前綴嘅網站，事後改佢係一項複雜同高風險嘅操作，可能會搞壞個網站功能。喺呢種情況下，應該優先考慮其他更加有效同風險更低嘅安全措施，例如用 Web 應用防火牆（WAF）同參數化查詢嘅插件。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。