新版 WordPress 企业建站指南上线，含 42 项上线检查清单 免费获取 →
WP学院
网站上线之后，安全维护才刚开始

安全维护
不让你的网站被黑

WordPress 全球有 8 亿+ 网站在用，也是黑客最爱的目标。 每天有成千上万的机器人扫描 WordPress 网站，试图用弱密码、 过时插件、已知漏洞入侵。这一页讲清「为什么会被黑」、 「怎么防」、「被黑了怎么办」。

从 WP 优缺点开始 直接看安全方案

8亿+

WordPress 网站数

每分钟

上万次暴力破解

90%

被黑可通过基础防护避免

3步

被黑后的正确流程

Section 01

WordPress 的优点与缺点

安全不是 WordPre​​ss 的问题，是「用 WordPress 的方式」的问题。 先把优缺点摆出来，才能看清它的安全边界。

+ WordPress 的六大优点

开源免费

核心程序完全免费，全世界几千万开发者一起维护， 有源源不断的更新和优化。相比 Shopify 等订阅制平台，长期成本极低。

生态丰富

官方插件库有 6 万+ 插件、1 万+ 主题。你能想到的功能， 几乎都有现成的插件。电商、会员、论坛、课程、预约—— 想做什么就装什么。

上手简单

后台界面直观，装主题、装插件都是点按钮。 小白不用写代码也能建出一个完整的网站。

SEO 天然友好

干净的 HTML 结构、可自定义的 URL、 完善的分类和标签体系，加上 Rank Math、Yoast 这些 SEO 插件， 天生就是为搜索优化的。

数据 100% 自己掌控

网站的文件、数据库、客户信息都在你自己的服务器上。 不受任何平台规则限制，随时可以备份、迁移、导出。

全球社区支持

遇到问题，Google 一搜就能找到答案。 中文、英文都有大量教程、论坛、视频。 WordPress 是文档最全的建站系统之一。

− WordPress 的五大缺点

1

安全风险高（用户多 = 目标多）

WordPress 因为用户量大，是黑客最爱的攻击目标。 每天有成千上万的机器人扫描 WordPress 网站。 如果密码弱、插件旧、不更新，被黑是迟早的事。

本质：不是 WordPress 本身不安全， 而是「用户多 → 值得攻击」，加上很多站长安全意识不够。

2

性能依赖主机配置

WordPress 本身性能不差，但遇到「便宜共享主机 + 一堆插件」 就会变慢。速度直接影响 SEO 和用户体验。

本质：WordPress 适合「配置合理」的主机。 便宜主机 + 重插件 = 灾难。

3

插件质量参差不齐

6 万个插件里，有的维护得很好，有的三年没更新。 装错插件，轻则拖慢网站，重则直接留后门。

本质：插件选得好不好，直接决定网站安全性。 免费插件够用、活跃维护、评价好的才装。

4

需要持续维护

装完之后不是「一劳永逸」。 核心、主题、插件要定期更新，备份要检查， 安全日志要关注。不管它，出问题是迟早的事。

本质：WordPress 是「工具」，不是「服务」。 需要有人管——要么自己管，要么托管给专业团队。

5

对非技术用户有学习曲线

「装 WordPress、装主题、装插件、调 SEO、防黑」—— 每一步都有点门槛。不懂技术的人容易蒙。

本质：可以花时间学，也可以花钱找人做。 两条路都行，关键是「知道有这条路」。

一句话总结： WordPress 本身是安全的。 90% 的 WordPress 被黑，都是因为「站长没做该做的事」—— 弱密码、不更新、装破解插件、不备份。 只要做好下面这些基础动作，你能躲过 99% 的攻击。

Section 02

做安全之前，先建立正确的思维

安全不是「装一个插件就完事」，是一套思维方式。 思维不对，装再多插件也没用；思维对了，简单几步就能防住大部分攻击。

01

不是「会不会被黑」，是「什么时候被黑」

只要你的网站上线，就在被扫描。 每天有上万次尝试登录你后台的请求。这不是恐吓，是事实。 所以安全的目标不是「绝对安全」，而是「不被轻易攻破」。

类比： 就像你家有防盗门——不能保证 100% 不被撬开， 但能让小偷觉得「这家不值得费劲」，转身去偷隔壁没装门那家。 WordPress 安全也是这样：把门槛拉高，让机器人自动放弃。

02

纵深防御：不要依赖单一措施

有些人说「我装了一个安全插件就够了」—— 这是很危险的想法。任何单一措施都可能被绕过。 正确做法是「多层防御」：即使一层被攻破，还有下一层挡着。

六层防御： 强密码 → 二次验证 → 限制登录次数 → 防火墙 → 定期更新 → 每日备份。 六层齐全，被黑概率接近零。

03

最小权限原则

每个账号、每个程序，都只给「完成任务所需的最小权限」。 一个「作者」账号不需要管理员权限，一个插件不需要数据库 root 权限。

实用做法： 给同事开账号时给「编辑」或「作者」，不给「管理员」。 数据库用户不用 root，只给该数据库的权限。SSH 用密钥不用密码。

04

假设一定会被黑，重点是能恢复

这是最重要的一条思维。 与其纠结「怎么不被黑」，不如同时想清楚「被黑了怎么办」。 有干净备份的网站，被黑也就是 1 小时的损失；没备份，可能是灭顶之灾。

核心动作： 每日自动备份到云端 + 每季度测一次恢复。 测试过的备份才是备份，没测过的只能叫「文件」。

05

安全成本 vs 风险成本

很多人觉得安全插件要花钱、2FA 麻烦、备份占空间—— 这些「成本」跟被黑的代价相比，几乎可以忽略。

被黑的代价： · 网站瘫痪几天（客户流失、订单损失）
· 客户数据泄露（法律风险、口碑损失）
· 被植入垃圾链接（SEO 排名暴跌）
· 被搜索引擎除名（几周甚至几个月才恢复）
· 修复成本（几百到几千元，如果找专业团队）

一句话记住这五条：
① 一定会被扫描 → 拉高门槛
② 多层防御 → 不依赖单一措施
③ 最小权限 → 能少给就少给
④ 假设会被黑 → 备份是底线
⑤ 成本对比 → 花小钱省大钱

Section 03

安全知识：你面对的是什么

知道敌人在哪，才知道防线怎么筑。 这一节把最常见的 7 种攻击讲清楚——不是让你成为安全专家， 而是让你在配置网站时知道「每个设置是防什么的」。

01

暴力破解（Brute Force）

最常见

机器人用「用户名 + 密码组合」不停尝试登录你的后台。 常见的组合有 admin/admin、admin/123456、 admin/password 等等。

攻击对象： /wp-login.php、 /wp-admin/、 /xmlrpc.php

防法：① 不用 admin 用户名 ② 强密码（16 位以上） ③ 限制登录次数 ④ 开启二次验证 ⑤ 用 Cloudflare 挡掉可疑 IP

02

插件/主题漏洞利用

老版本插件/主题里有已知漏洞，黑客利用这些漏洞 直接绕过登录、注入代码、上传木马。 这是 WordPress 被黑的头号原因。

典型案例： 2019 年 WooCommerce 一个支付插件漏洞， 影响全球 5 万+ 网站；2021 年 Elementor 一个漏洞影响百万网站。 这些漏洞都是「插件作者发布更新后才被发现」的。

防法：① 及时更新 ② 只装活跃维护的插件 ③ 不用破解版 ④ 定期清理不用的插件

03

SQL 注入（SQL Injection）

黑客通过在表单、URL 参数里插入恶意的 SQL 代码， 试图直接读取或篡改你的数据库。 一旦成功，能拿到全部用户信息、订单信息，甚至直接删库。

防法：WordPress 核心已经做了防注入处理。 风险主要来自「有漏洞的插件」。所以：① 插件及时更新 ② 不用来路不明的插件

04

跨站脚本（XSS）

黑客在你的页面里植入恶意 JavaScript 代码。 访客一打开页面，浏览器就悄悄执行这些代码—— 可能被跳转到钓鱼网站、Cookie 被窃取、登录凭证被盗。

防法：① WordPress 核心自带转义处理 ② 评论设置「必须手动批准」 ③ 装 Wordfence 开启 XSS 防护

05

文件上传漏洞

黑客利用有漏洞的插件，往你服务器里上传 PHP 木马文件。 一旦上传成功，就能远程控制你的网站， 甚至控制整台服务器。

防法：① 禁用「后台编辑主题/插件文件」（wp-config.php 里加一行） ② 服务器文件权限设置正确 ③ 用 Wordfence 扫描可疑文件

06

DDoS 攻击（分布式拒绝服务）

黑客用成千上万台「肉鸡」同时访问你的网站， 把服务器资源耗尽，导致网站瘫痪。 主要影响「可用性」，不涉及数据泄露。

防法：① 用 Cloudflare 的免费 DDoS 防护 ② 主机商提供 DDoS 防护的优先考虑 ③ 遇到大流量攻击及时联系主机商

07

SEO 垃圾链接注入

黑客在你网站里悄悄插入大量垃圾外链 （赌博、色情、药品），或者直接在你的网站上 挂一堆「隐藏页面」。 表面看你网站正常，其实已经被 Google 拉黑。

防法：① 定期检查 Google Search Console ② 用 Wordfence 扫描文件改动 ③ 关注关键词排名是否突然暴跌

关键洞察： 上面 7 种攻击里，5 种都跟「插件/主题过时」有关。 这也是为什么「及时更新」是 WordPress 安全的第一要务。 剩下的 2 种（暴力破解、DDoS）可以靠强密码 + Cloudflare 挡掉。 记住这条，你已经领先 80% 的站长。

Section 04

安全方案：六层防御

从里到外，层层设防。 六层做全，被黑的概率接近零。 每一层都比上一层更难突破，攻击者攻破一层也进不去。

1

账号安全 · 第一道门

不用 admin 做用户名

全世界黑客都知道 WordPress 默认管理员叫 admin。 建站时用复杂用户名，比如 my_site_2024。

强密码：16 位以上

大小写字母 + 数字 + 符号。不要用生日、名字、常见词。 推荐用密码管理器生成和存储。

开启二次验证（2FA）

除了密码，还要输手机上的动态码。 装 Google Authenticator 或 Authy。 用 Wordfence 或 Solid Security 开启。

权限最小化

同事、客户开账号只给「编辑」或「作者」，不给管理员。 管理员账号不超过 2 个。

2

登录防护 · 挡住暴力破解

限制登录次数

同一 IP 连续输错密码 3–5 次，锁定 1 小时。 Wordfence、Solid Security 都有这个功能。

修改后台登录地址

默认登录地址 /wp-login.php 是公开秘密。 装 WPS Hide Login 改成自定义地址， 机器人扫不到登录页面。

禁用 XML-RPC

XML-RPC 老功能，现在基本用不上，但经常被用来暴力破解。 装插件禁用，或加代码禁用。

IP 白名单（可选）

如果后台只给固定 IP 访问（比如公司网络）， 可以设置白名单，其他 IP 一律拒绝。

3

WordPress 加固 · 从内部设防

禁用后台文件编辑

在 wp-config.php 加一行：define('DISALLOW_FILE_EDIT', true);
阻止后台直接改主题/插件代码。

关闭文件上传未授权类型

默认不能上传 PHP 文件。别为了「方便」放开这个限制—— 那是给黑客开门。

修改数据库前缀

默认是 wp_， 改成别的（如 mysec_）。 老手建站时设置，建好后改比较麻烦。

关闭目录索引

防止别人直接浏览你的插件/上传目录。 在 .htaccess 或 Nginx 配置里加一行。

4

插件与主题 · 减少攻击面

只装活跃维护的插件

官方库看「活跃安装量 10 万+、最近 3 个月更新过」。 一年以上没更新的直接不装。

及时更新

每月检查一次更新，更新前先备份。 有安全更新时立刻跟。

不用破解版

网上流传的「免费下载 Elementor Pro」99% 带后门。 你想省 300 块，可能丢掉整站数据。

定期清理不用的

停用超过 2 个月的插件直接删除。 每个插件都是一份「可能被利用的攻击面」。

5

服务器与网络层 · 外部设防

Cloudflare WAF

Cloudflare 免费版就自带基础 WAF（Web 应用防火墙）， 能挡掉常见的 SQL 注入、XSS 攻击。 国际站必备。

服务器防火墙

Cloudways 自带防火墙，宝塔面板也有。 开启后只开放必要端口（80/443/SSH）。

HTTPS 全站加密

Let's Encrypt 免费 SSL，全站 HTTPS。 不但防窃听，也是 SEO 加分项。

SSH 用密钥登录

服务器 SSH 不用密码，用密钥。 禁用 root 登录，创建普通用户 + sudo。

6

备份与监控 · 最后的保险

每日自动备份

UpdraftPlus 每天备份到 Google Drive 或 Dropbox。 数据库每天，文件每天，保留 14 份。

每季度测恢复

在测试站上恢复一次备份，确认备份能用。 没测过的备份不算备份。

安全日志监控

Wordfence 会记录所有登录尝试。 定期看有没有异常 IP 大量尝试登录。

文件完整性监控

Wordfence 会对比 WordPress 官方文件， 发现被篡改的文件立即报警。

六层的优先级： 时间紧的话，按这个顺序做： ① 强密码 + 2FA → ④ 及时更新 → ⑥ 每日备份 → ② 限制登录 → ⑤ Cloudflare → ③ 细节加固。 前 3 项做完，已经能躲过 90% 的攻击。

Section 05

安全维护清单

安全不是「配好就不管」，是「持续维护」。 按这个清单走，形成习惯。

日

每天 · 约 5 分钟

快速扫一眼，及时发现异常

打开网站首页，看是否正常

有没有被跳转、有没有奇怪的弹窗、加载是否正常。

检查邮件是否有异常登录通知

Wordfence 会在「有可疑登录」时发邮件。收到后立刻看详情。

周

每周 · 约 15 分钟

扫一遍日志和备份状态

看 Wordfence 登录日志

看有没有可疑 IP 大量尝试登录。如有，把它加入黑名单。

检查备份是否正常

UpdraftPlus 里看最近一次备份时间。如果超过 2 天没备份， 去检查备份设置。

看 Google Search Console 有无安全提示

GSC 的「安全问题和手动操作」页面。有告警立刻处理。

月

每月 · 约 1 小时

更新 + 扫描 + 巡检

检查并执行 WordPress / 主题 / 插件更新

先备份 → 更新 → 测网站。不要一次性全选更新，一个个来。

跑一次 Wordfence 全站扫描

检查是否有异常文件、被篡改的代码、可疑的后门。

手动备份一次，下载到本地

云端备份之外，每季度本地留一份更保险。 硬盘坏了云端还有，云端挂了本地还有。

检查 SSL 证书有效期

Let's Encrypt 90 天自动续期。但偶尔会失败， 手动确认一下证书是否正常。

季

每季度 · 约 2 小时

深度巡检 + 演练

测一次备份恢复（关键）

在一个测试站上，用最近的备份恢复一次。 确认备份真的能用。没测过的备份不算备份。

修改所有管理员密码

密码用久了有被盗风险。每季度换一次， 特别是多人管站的情况。

清理不用的插件和主题

停用超过 2 个月的插件直接删除。 每个不用的插件都是一份「潜在攻击面」。

审查用户列表

有没有不认识的账号、离职员工账号、 权限过高的账号。该删的删，该降权的降权。

年

每年 · 约半天

全面审计 + 大版本升级

PHP 版本升级检查

WordPress 会持续跟进 PHP 新版本。 老 PHP 版本不再更新，有安全风险。 用 Site Health 检查 PHP 版本。

做一次完整的全站备份到本地

数据库 + 文件 + 上传的图片全部打包下载， 存到外部硬盘或其他云盘。

更新主机账户密码

主机后台、FTP/SSH、Cloudflare、域名注册商—— 所有跟网站相关的账户都换一次密码。

复查所有插件是否仍活跃维护

检查所有插件的「最后更新」时间。 一年以上没更新的，找替代品。

Emergency

万一被黑了，怎么应急处理

前面所有防线都被突破，或者你没按前面做—— 这时最重要的不是「搞清楚为什么被黑」，是「赶紧处理」。 按下面 6 步走。

先判断：你的网站是不是被黑了

· 网站被跳转到赌博/色情网站

· 页面加载异常慢，或经常打不开

· Google 搜索结果显示「此网站可能被入侵」

· 后台出现不认识的插件或用户

· 文章被篡改、多了垃圾链接

· Search Console 提示安全问题

· 服务器收到主机商的滥用警告

· 收到访客举报「你的站有病毒」

1

立即隔离：改密码 + 断网

第一时间修改所有相关密码：WordPress 管理员、 主机后台、FTP/SSH、数据库、Cloudflare、域名注册商。 假设黑客已经拿到了所有密码。

如果情况严重（比如被用来发送垃圾邮件）， 可以临时把网站设为「维护模式」或者干脆暂停主机， 避免继续造成损害。

2

评估范围：搞清楚被黑到什么程度

装 Wordfence 跑一次全站扫描，看：

· 有哪些文件被篡改

· 有没有后门 PHP 文件

· 有没有新增的管理员账号

· 数据库里有没有恶意内容

如果被黑得比较严重（大量文件被篡改）， 别试图一个个修——直接从备份恢复更快。

3

判断：从备份恢复，还是手工清理

从备份恢复（推荐）

适合：有干净备份、被黑时间不长的网站。
从被黑之前的备份完整恢复。 速度快、干净、省心。

手工清理

适合：没有干净备份，或数据很重要不能回滚。
按 Wordfence 扫描结果逐个清理。 耗时长、可能清不干净。

4

清理：删除后门和恶意代码

如果选择手工清理，按这个顺序：

① 删除不认识的管理员账号

② 从 WordPress 官方重新下载核心文件（覆盖）

③ 从主题/插件官方重新下载最新版（覆盖）

④ 用 Wordfence 扫描可疑文件，手动删除

⑤ 检查数据库，用插件清理恶意内容（如 Adminer 或 phpMyAdmin）

⑥ 再次全站扫描，确认没有后门残留

5

修复后：加固并通知相关方

加固： 按前面的「六层防御」重新走一遍—— 强密码、2FA、更新、Cloudflare、备份。 解决被黑原因，才能防止再被黑。

通知：

· 主机商：告知被黑情况，避免他们停你的服务

· Google：Search Console 提交「重新审核」

· 客户：如果涉及数据泄露，必须通知

6

复盘：搞清楚为什么被黑

被黑之后一定要复盘，找到根本原因：

· 是密码太弱吗？→ 强密码 + 2FA

· 是插件漏洞吗？→ 建立更新习惯

· 是服务器漏洞吗？→ 联系主机商升级

· 是共用密码吗？→ 一处一密

· 是破解插件带后门吗？→ 只用正版

关键：不要只清理、不找原因。 找到原因，才能确保不再被同一种方式攻击第二次。

如果没有技术能力处理被黑： 别自己瞎折腾——弄不好越修越乱。 可以找专业的安全公司（如 Sucuri、Wordfence 官方清理服务） 或者找人帮忙。费用几百到几千元不等， 比数据丢失的损失小得多。

Section 07

安全检查清单

20 项基础安全检查。点击勾选， 全部打勾，你的网站已经躲过 99% 的攻击。

完成进度

已完成 0 / 20 项

0%

账号安全 6 项
登录防护 4 项
网站加固 4 项
插件与更新 3 项
备份与监控 3 项

FAQ

WordPress 安全常见问题

WordPress 本身是安全的。

官方安全团队持续修复漏洞，核心程序极少出问题。 被黑的案例 90% 以上是这几种情况：
· 用了弱密码（admin/admin）
· 插件没及时更新
· 装了破解版主题/插件
· 主机商安全措施不到位

打个比方：WordPress 是一扇质量不错的门， 但很多人要么忘了锁，要么钥匙放在门口垫子下面。 被偷了，不是门的错。
不够。安全插件只是「一层」。

安全插件（如 Wordfence）能做的：
· 挡掉常见攻击
· 记录登录日志
· 扫描恶意文件

但它做不到的：
· 修复弱密码问题（这是你自己的事）
· 自动更新你的插件（需要你手动更新）
· 帮你恢复被删的数据（需要备份）

正确的心态：安全插件是「辅助工具」， 强密码 + 更新 + 备份才是「核心动作」。
对个人站和小企业站，免费版完全够用。

Wordfence 免费版就提供：
· 基础防火墙
· 登录限制
· 恶意文件扫描
· 实时威胁情报

什么时候值得付费（$99–149/年）：
· 商城的网站在处理客户支付信息
· 网站有大量用户数据（会员系统）
· 需要官方优先技术支持
· 攻击频繁，需要高级 IP 封锁

结论：先免费版，等真的遇到问题再升级。
看你被黑的程度。

能自己处理的：
· 只是被暴力破解没成功（改密码就行）
· 少量文件被篡改（从备份恢复或重新下载官方文件）
· 有干净备份可以完整回滚

建议找人处理的：
· 服务器层面被入侵（不只是 WordPress）
· 大量文件被篡改，到处是后门
· 客户数据泄露，涉及法律风险
· 自己修了但问题反复出现

找谁：Sucuri、Wordfence 官方清理服务、 或者找懂 WordPress 安全的技术朋友。 费用几百到几千元，比数据丢失的损失小得多。
不是「你的网站」被针对，是「所有 WordPress 网站」都被扫。

黑客写一个脚本，会自动扫描所有 IP 地址， 看哪些是 WordPress 网站，然后尝试登录。 这个过程是全自动、无差别的， 你的网站只是因为「是 WordPress」而被扫到。

被扫 = 正常，说明你的网站被互联网看见了。 关键是：
· 别用 admin 当用户名
· 密码要强
· 限制登录次数
· 开启二次验证
· 用 Cloudflare 挡掉可疑 IP

做好这几条，机器人扫到也会放弃—— 因为试 3 次就被锁定，不划算。
Google 标记「不安全」通常两种情况：

1. 没有 HTTPS（最常见）
去主机后台申请 Let's Encrypt 免费 SSL， 装上后到 GSC 提交一次「重新审核」，通常 3–7 天恢复。

2. 网站被黑（涉及恶意软件）
· 先清理被黑的问题（按前面 6 步走）
· 提交 GSC「安全问题 → 请求审核」
· 附上一段说明：什么问题、怎么修的
· 通常 1–3 周 Google 会重新评估

关键：先修好再提交。 如果没修好就提交，Google 会拒绝， 下次再提交审核更慢。
自己维护：每月约 2–3 小时。
· 每天 5 分钟：看一眼网站是否正常
· 每周 15 分钟：看登录日志、检查备份
· 每月 1 小时：更新、扫描、清理

可以外包，而且很值得。
专业维护服务一般包含：
· 每日备份 + 监控
· 每周安全扫描
· 每月更新 + 巡检
· 被黑应急处理
· 速度优化

价格：¥299–999/月（个人站）到 ¥1,000–3,000/月（商城）。

什么情况值得外包：
· 网站产生收入，停机有损失
· 自己完全不懂技术
· 不想每天操心

Next Step

安全做完了，继续学什么

SEO 优化

让网站被更多人搜到，安全 + SEO = 网站健康。

继续学

插件使用

10 大类必备插件，包括安全、备份、加速插件。

继续学

安装配置

上线前必改的 15 项设置，安全是其中重要一环。

继续学