WordPress安全综合指南

大多数人不会在维护WordPress安装上耗费过多时间 尽管如此WordPress安全问题仍然应该放在最重要位置上

服务器端和htaccess

保护WordPress网站WebSite安全第步自然是寻找安全虚拟主机托管商 服务器安全是所有安全措施基础

锁定htaccess

.htaccess文件有很多用途但它最主要功能是防止黑客入侵你可以在htaccess文件里指定些有权登录你WordPress后台IP地址

在htaccess文件里加入下面代码可以达到这个效果:

AuthUserFile /dev/null

AuthGroupFile /dev/null

AuthName “Access Control”

AuthType Basic

order deny,allow

deny from all

#IP address to Whitelist

allow from 123.456.789.012

用你指定IP地址代替其中123.456.789.012

禁用目录浏览

些服务器设置允许目录浏览即你可以通过http://yoursite.com/wp-plugins/这样链接看到自己插件内容 要禁用目录浏览只需要在htaccess文件里加上下面代码:

Options All -Indexes

保护htaccess

.htaccess文件安全保护不容忽视 首先你可以将文件权限改为CHMOD 644通过FTP登录进入服务器然后进入网站WebSite根目录(通常是public_html文件夹除非你为WordPress另设了个独立文件夹) 找到htaccess文件后右击文件将权限设为644第 2种思路方法是在htaccess文件最下部分加上以下代码:

<Files wp-config.php>

Order Deny,Allow

Deny from All

</Files>

优化wp-config文件

.htaccess文件的后接下来是wp-config.php文件

移动wp-config文件

从WordPress 2.6开始WordPress用户可以将wp-config.php文件移到当前安装文件上级文件夹中 如果在当前WordPress目录下没有发现wp-config文件WordPress会自动检查wp-config文件是否在其上层目录中

更改WordPress表前缀

安装时WordPress默认表前缀是wp_ 刚刚安装完后要修改WordPress表前缀是件很容易事但当你WordPress网站WebSite已经运行了阵子时修改表前缀就不是那么容易事了 WP Security Scan插件就是为了解决这个问题而出现 你可以用这个插件修改默认表前缀 这样攻击者在试图进入你WordPress文件时就又多了层障碍

定义安全密钥

你可以在wp-config文件中看到下面内容:

/**#@+

* Authentication Unique Keys.

* Change these to dferent unique phrases!

* You can generate these using the

{@link http://api.wordpress.org/secret-key/1.1/ WordPress.org secret-key service}

* You can change these at any po in time to invalidate all existing cookies. This will force all users to have to log in again.

* @since 2.6.0

*/

(‘AUTH_KEY', 'put your unique phrase here’)；

(‘SECURE_AUTH_KEY', 'put your unique phrase here’)；

(‘LOGGED_IN_KEY', 'put your unique phrase here’)；

(‘NONCE_KEY', 'put your unique phrase here’)；

/**#@-*/

代码中链接给出了套密钥规则你可以用所给规则来代替代码中 4

延伸阅读