幾個WordPress安全插件介紹

服務器端和.htaccess

保護WordPress網站安全的第一步自然是尋找安全的虛擬主機托管商。 服務器安全是所有安全措施的基礎。

& U% Z* a$ E- T4 i/ `鎖定.htaccess
3 o9 x0 N8 I7 j
.htaccess文件有很多用途，但它最主要的功能，是防止黑客入侵。你可以在.htaccess文件裡指定一些有權登錄你的WordPress 後台的IP地址。
% U; L( ?1 O/ S+ y5 d+ `
在.htaccess文件裡加入下面的代碼可以達到這個效果：

AuthUserFile /dev/null
9 G8 b# K- \, O4 f
AuthGroupFile /dev/null
' y7 t1 Q3 D4 |: |( W
) r) a, o- ~, _& M! G; cAuthName 「Access Control」
! A# J8 X' P+ V- g+ X8 Y1 e6 u
AuthType Basic

4 N+ Y1 a8 b" B$ sorder deny,allow

  d, e/ m* v0 S  g& gdeny from all

' I1 n2 c9 h+ C4 G#IP address to Whitelist
: C6 F6 J* l3 `' c- `: `* K
& w7 J$ E5 h, p$ Gallow from 123.456.789.012
3 k' N, x" O5 g
用你指定的IP地址代替其中的123.456.789.012。
' g; n* Y! c8 t+ G
禁用目錄瀏覽
一些服務器設置允許目錄瀏覽，即你可以通過http://yoursite.com/wp-plugins/這樣的鏈接看到自己的插件內容。 要禁用目錄瀏覽，只需要在.htaccess文件裡加上下面的代碼：

Options All -Indexes
* e/ n! O0 M% P
保護.htaccess

.htaccess文件的安全保護不容忽視。 首先你可以將文件的權限改為CHMOD 644。通過FTP登錄進入服務器，然後進入網站根目錄（通常是public_html文件夾，除非你為WordPress另設了一個獨立文件夾）。 找到.htaccess文件後右擊文件，將權限設為644。第二種方法是在.htaccess文件的最下部分加上以下代碼：

<Files wp-config.php>
Order Deny,Allow
9 u% }1 N: l( ^5 V4 k  wDeny from All
% N  h+ F) \/ a! w% c/ ~  o</Files>

. T7 [* V8 j4 z* G優化wp-config文件
' ]# h- F1 p6 T1 J/ O, k9 m3 t
.htaccess文件之後接下來是wp-config.php文件。
2 T2 u5 P4 X( s2 p; `
( S. S! T- v3 _- n移動wp-config文件
: p6 \8 O5 i) A" m; I: p; J
從WordPress 2.6開始，WordPress用戶可以將wp-config.php文件移到當前安裝文件的上級文件夾中。 如果在當前WordPress目錄下沒有發現wp-config文件，WordPress會自動檢查wp-config文件是否在其上層目錄中。

0 ~& T0 G3 j! d7 [* `更改WordPress表前綴
; n  C+ Y: j) G) V1 S0 v6 {5 x
安裝時WordPress的默認表前綴是wp_。 剛剛安裝完後要修改WordPress表前綴是件很容易的事，但當你的WordPress網站已經運行了一陣子時，修改表前綴就不是那麼容易的事了。 WP Security Scan插件就是為了解決這個問題而出現的。 你可以用這個插件修改默認的表前綴。 這樣攻擊者在試圖進入你的WordPress文件時就又多了一層障礙。

定義安全密鑰
) y4 E: @+ B6 |& q7 p5 d- B0 O# A- B
& ~& y$ Q" Q1 m  l- O你可以在wp-config文件中看到下面的內容：

/**#@+
*Authentication Unique Keys.
* Change these to different unique phrases!
* You can generate these using the

{@link https://api.wordpress.org/secret-key/1.1/ WordPress.org secret-key service}
* You can change these at any point in time to invalidate all existing cookies. This will force all users to have to log in again.
9 r  G0 T* g% _6 a$ Y2 B8 _9 t
* @since 2.6.0
- C  |' z* J/ o9 O# S4 p4 ]
*/

define(『AUTH_KEY』, 『put your unique phrase here』);

define(『SECURE_AUTH_KEY』, 『put your unique phrase here』);

define(『LOGGED_IN_KEY』, 『put your unique phrase here』);
* t4 \2 z5 L+ _" B8 b1 n
; ]! x1 I" B* A: k1 }- P9 @- bdefine(『NONCE_KEY』, 『put your unique phrase here』);

' b' ~9 i% N8 i* J* s( O7 ~/**#@-*/

代碼中的鏈接給出了一套密鑰規則，你可以用所給的規則來代替代碼中的四行define規則。

! t! |% |; m3 P0 T) oWordPress安全插件
8 h: I& c, t5 b5 N1 _! r+ R
+ f. ?0 ^- Z6 Q9 J) _8 v# V值得慶幸的是，WordPress擁有為數不少的安全插件。 下面只介紹一些最基礎最重要的安全插件。

WP Security Scan插件

WP Security Scan插件會查看你的WordPress安裝文件，看是否有安全漏洞並給出相應的意見。 該插件的查看範圍包括：
  J" ^) x* M" ]
1、密碼
, B/ G0 }+ Q6 _; Y( D3 }- j/ d3 M2、文件權限
3、數據庫安全
4、版本號的隱藏
. i, _! @3 _& K. y. i6 u; l5、WordPress後台安全
6、從核心代碼中移除WP Generator META標籤

3 d: X/ b8 i6 j" ~- C2 \Login LockDown WordPress Security 安全插件

Login LockDown記錄嘗試登陸WordPress失敗的所有IP地址和時間。 如果插件發現短時間內同一個IP段內多次登錄失敗，插件會對禁止該IP段內所有登錄請求。 Login LockDown有效阻止了暴力破解密碼。


Stealth Login插件
3 V5 c1 K% z# m9 P* \* w( c
( U# c4 |& H8 u8 s9 e+ `用戶可以通過這款插件自定義登錄、登出、註冊所用的URL。
- q& x7 K5 m1 _6 a& H
+ Q$ A! S# J& R  Z, [& V* t) }' LAntiVirus for WordPress插件
* M+ s2 {! N2 _
AntiVirus for WordPress是一款保護Blog不被採集和垃圾評論入侵的有效插件。 這款插件的用途包括： 檢測可能存在的平台漏洞、病毒感染、惡意鏈接等。AntiVirus for WordPress還可以給你發送郵件通知和白名單。安全預防措施

以下是一些簡單的安全預防措施：

1、時將WordPress和插件都更新到最新版本
  `1 t5 I3 d0 _# E; h2、除不用的WordPress主題和插件
, f" H( f0 _& |, ~" z2 t3、用安全程度較高的密碼
4、使用「admin」為登錄名
5、WordPress文件規定正確的文件許可權限
  C; Z7 H; c8 l2 t8 K0 j& g1 x  u) v* `6、期備份WordPress數據庫（可利用備份插件）

多謝 又學到了

是啊，還不瞭解這些插件
# z) a/ }" h8 x4 T; j學習了

感謝樓主,很受用.

謝謝分享，受教了

看了半天，不錯

嗯 不錯 very good!

剛在隔壁看了

路過。。。。。。。。。

感謝樓主分享