幾個WordPress安全插件介紹

服務器端和.htaccess

5 T4 T9 L8 s: V; h& C保護WordPress網站安全的第一步自然是尋找安全的虛擬主機托管商。 服務器安全是所有安全措施的基礎。

鎖定.htaccess
3 r+ |/ A' q( W9 U3 P1 m
: @- j" D* b% P.htaccess文件有很多用途，但它最主要的功能，是防止黑客入侵。你可以在.htaccess文件裡指定一些有權登錄你的WordPress 後台的IP地址。
: D7 D& b: h# N* x2 o+ H# J0 \7 q
在.htaccess文件裡加入下面的代碼可以達到這個效果：
0 b  \1 G/ G! b! f
9 ?2 n2 z. E, Y3 _+ L9 vAuthUserFile /dev/null

AuthGroupFile /dev/null
. ~$ f. L4 I1 z3 w( ?' @- ^+ r
AuthName 「Access Control」
% I  ]. e6 _8 G, [
/ o3 R4 X/ Z2 w* p/ x" tAuthType Basic

" m9 L3 x  E) u8 Z% G4 Lorder deny,allow

deny from all

#IP address to Whitelist
/ b) w. L. u$ ~% Z! a7 z
allow from 123.456.789.012

用你指定的IP地址代替其中的123.456.789.012。

禁用目錄瀏覽
一些服務器設置允許目錄瀏覽，即你可以通過http://yoursite.com/wp-plugins/這樣的鏈接看到自己的插件內容。 要禁用目錄瀏覽，只需要在.htaccess文件裡加上下面的代碼：

2 z1 |6 q7 C$ W% sOptions All -Indexes

" k/ a% }& O$ |4 T( l2 `保護.htaccess

2 y# i( m: c+ W& f.htaccess文件的安全保護不容忽視。 首先你可以將文件的權限改為CHMOD 644。通過FTP登錄進入服務器，然後進入網站根目錄（通常是public_html文件夾，除非你為WordPress另設了一個獨立文件夾）。 找到.htaccess文件後右擊文件，將權限設為644。第二種方法是在.htaccess文件的最下部分加上以下代碼：

<Files wp-config.php>
: b  ]/ u8 W* q) b. _0 aOrder Deny,Allow
3 g2 v& P6 V+ I0 N8 WDeny from All
7 j5 v6 u6 V) |  |8 c6 H% W</Files>
. ?, {: S& z$ C1 t$ Q: H& o$ R! q0 x
優化wp-config文件
1 T% D' I3 A- u. j
# i( q" a% {5 O) l8 m  W+ L.htaccess文件之後接下來是wp-config.php文件。

移動wp-config文件

從WordPress 2.6開始，WordPress用戶可以將wp-config.php文件移到當前安裝文件的上級文件夾中。 如果在當前WordPress目錄下沒有發現wp-config文件，WordPress會自動檢查wp-config文件是否在其上層目錄中。

更改WordPress表前綴

" b7 h- f* `* _7 k( j3 G/ [) _8 N安裝時WordPress的默認表前綴是wp_。 剛剛安裝完後要修改WordPress表前綴是件很容易的事，但當你的WordPress網站已經運行了一陣子時，修改表前綴就不是那麼容易的事了。 WP Security Scan插件就是為了解決這個問題而出現的。 你可以用這個插件修改默認的表前綴。 這樣攻擊者在試圖進入你的WordPress文件時就又多了一層障礙。

. T- A/ O0 c# |$ W; B# e定義安全密鑰
& }& q5 O0 S. E7 G$ k- h: d
! d- G8 T! t8 z. a: \) g你可以在wp-config文件中看到下面的內容：

  `. ]0 M7 c4 u* O  g/**#@+
*Authentication Unique Keys.
* Change these to different unique phrases!
* You can generate these using the

: e$ m  ^  o4 P7 ~, K1 Y, z1 z{@link https://api.wordpress.org/secret-key/1.1/ WordPress.org secret-key service}
* You can change these at any point in time to invalidate all existing cookies. This will force all users to have to log in again.

* @since 2.6.0

; b) z* f: _; W. [*/

define(『AUTH_KEY』, 『put your unique phrase here』);
$ @' ]# p9 F; A
6 e; P: m) p, v6 I  N/ Fdefine(『SECURE_AUTH_KEY』, 『put your unique phrase here』);
& X6 j( r7 b2 Y/ c" a
% C; n2 n% a1 Sdefine(『LOGGED_IN_KEY』, 『put your unique phrase here』);
8 B/ u6 s3 G0 Y
define(『NONCE_KEY』, 『put your unique phrase here』);

8 b- {9 X) Z. N/**#@-*/

+ s. Y& o# N  s4 @" N: L代碼中的鏈接給出了一套密鑰規則，你可以用所給的規則來代替代碼中的四行define規則。
5 N0 X; B) O7 B, _
WordPress安全插件
/ U. {" \, q3 ]& V* q
值得慶幸的是，WordPress擁有為數不少的安全插件。 下面只介紹一些最基礎最重要的安全插件。

" q% g) I9 X, e. fWP Security Scan插件

WP Security Scan插件會查看你的WordPress安裝文件，看是否有安全漏洞並給出相應的意見。 該插件的查看範圍包括：
8 U) @) y, s" f4 S* @  g9 V9 g
1、密碼
7 o# e4 _/ K; a% l2、文件權限
3、數據庫安全
4、版本號的隱藏
5、WordPress後台安全
6、從核心代碼中移除WP Generator META標籤

. }& a! E; v, M( l% MLogin LockDown WordPress Security 安全插件

Login LockDown記錄嘗試登陸WordPress失敗的所有IP地址和時間。 如果插件發現短時間內同一個IP段內多次登錄失敗，插件會對禁止該IP段內所有登錄請求。 Login LockDown有效阻止了暴力破解密碼。
% W; V7 I% O0 C0 Z% d
: e# i3 M3 N' o. O
9 F1 j9 o9 Z: N" ~: |0 S" |9 [) M/ ]Stealth Login插件

用戶可以通過這款插件自定義登錄、登出、註冊所用的URL。
* f& y) r1 S  B/ N
0 t0 z, \2 e3 G0 r/ {# N: rAntiVirus for WordPress插件

" n0 l" ]9 C5 dAntiVirus for WordPress是一款保護Blog不被採集和垃圾評論入侵的有效插件。 這款插件的用途包括： 檢測可能存在的平台漏洞、病毒感染、惡意鏈接等。AntiVirus for WordPress還可以給你發送郵件通知和白名單。安全預防措施

以下是一些簡單的安全預防措施：
) d  h) K9 d; Z. ?0 _
1、時將WordPress和插件都更新到最新版本
2、除不用的WordPress主題和插件
/ L& b! G% Q5 L* m, r9 U6 S3、用安全程度較高的密碼
; Y7 {8 }1 k# A" K) I1 S+ n4、使用「admin」為登錄名
3 m' c' G% `6 \$ W  C5、WordPress文件規定正確的文件許可權限
6、期備份WordPress數據庫（可利用備份插件）

多謝 又學到了

是啊，還不瞭解這些插件
# R8 Z, e0 u7 `4 T學習了

感謝樓主,很受用.

謝謝分享，受教了

看了半天，不錯

嗯 不錯 very good!

剛在隔壁看了

路過。。。。。。。。。

感謝樓主分享