只需幾個步驟，你就能輕鬆處理 WordPress 網站的日常安全防護，並抵禦大多數安全風險。 結合我在近百個外貿網站的經驗，我將說明如何保護 WordPress 網站的安全。
1.選擇可靠的WordPress主機
我使用 Cloudways，一個已經提供主機層級安全保護的 WordPress 主機。如果你沒有專業操作技能，盡量不要買需要自己安裝系統的裸電腦（就像帶一個箱子回家，自己安裝電腦系統一樣）。
如果你用的是其他主機，想要搬運到Cloudways主機中，點擊上方按鈕，你也將能找到搬家教學哦。
2.安裝WordPress安全外掛程式
你可以在 WordPress 外掛庫搜尋安全性相關資訊，並找到許多安全外掛。考慮到安裝數量、評論數量和評論分數，Wordfence 外掛無疑是首選。 請注意，這類全面的安全外掛一次只需安裝即可。
為什麼推薦 Wordfence？ Wordfence 免費版提供 WordPress 安全中最重要的三個面向：進階防火牆（反防禦）、惡意軟體掃描器（檢查）、惡意軟體清除器（清潔）：
- Wordfence提供對了web應用程式防火牆，能夠識別並阻止惡意流量。
- 它與WordPress深度集成，直接在你的網站里保護你，它不在雲端工作，所以它不會影響網站的加密系統，也不會洩露數據（不過，這件事兒是雙面的，這麼做有利也有弊，它會消耗網站的主機資源）
- Wordfence提供了惡意軟體掃描程式，可以自動檢查網站核心檔、主題、外掛程式是否存在惡意軟體或不良url、後門、SEO垃圾、惡意重定向、代碼注入，同時，阻止包含惡意代碼或內容的請求，對於已知的安全漏洞，會向你發出警報等等。
- wordfence通過限制登錄嘗試來預防暴力攻擊。
- wordfence提供了登錄安全配置，包括雙因素身份認證（2FA），登錄頁面的驗證碼，阻止管理員使用被洩露的密碼登錄等等。
- wordfence提供即時流量監控，監控並分析使用者訪問和惡意嘗試，告知你使用者來源、IP位址以及訪問時間等資訊。
請在您的 WordPres 後端安裝 WordFence 安全外掛。免費版本已足夠日常使用。如果您的營運品質良好，您可能不介意預算切換到付費版本，這將進一步提升安全性。 （參見 Wordfence 安裝教學）
此外，如果你使用 Cloudways 主機，網站預設會安裝機器人防護外掛。請保留該外掛，且不必卸載。 它能阻擋針對 WordPress 網站的惡意流量和機器人攻擊。 這最初是 MalCare 提供的付費功能，但在 Cloudways 上，你可以免費使用。
3.管理員使用者名個人化、使用強密碼
我接觸過太多顧客直接用很簡單的賬號與密碼，譬如admin，密碼a123456又或是其他簡單的數字，這樣真的太不安全了。
請修改你的帳戶密碼為系統提供的強密碼
預設情況下，使用者名稱無法直接在 WordPress 後端更改。如果您想更改使用者名稱，您需要先存取資料庫。請參閱：如何透過資料庫更改您的 WordPress 網站使用者名稱與密碼
4.修改網站後台登錄位址
默認登錄WordPress網站後台的位址，是在你的網站功能變數名稱後方添加/wp-login.php或/wp-admin/，如果你不希望有人能訪問到你的後台位址並嘗試登錄，你可以修改預設的位址，改為自定義的登錄位址。
然而，這種方法並非萬無一失的安全保障，因為大多數 WordPress 網站的登入嘗試都是使用 XML-RPC 或 REST API 執行的。 因此，更改 WordPress 登入網址或管理網址並不能阻止這些攻擊。
甚至在Wordfence看來，這不是一個必要措施，但是，實際上，它確實能減少部分攻擊，這也是我選擇使用它的原因。
那麼，要怎麼更改網站後端的登入地址呢？ 最簡單的方法是使用 WPS 隱藏登入外掛。如果你忘記了修改過的地址，也可以學習如何恢復你的 WordPress 登入地址。
5.安裝SSL證書
SSL證書是網站用來加密通信的安全協定，當使用者訪問你的網站時，數據會從使用者的瀏覽器發送到你的網站主機中，然後再返回給使用者，安裝SSL證書能夠確保數據是加密了的，從而防止未經授權的人竊取數據。
一般來說，WordPress 主機提供一鍵 SSL 憑證安裝功能，且是免費的。 安裝 SSL 憑證後，你會在瀏覽器的網址列看到鎖定。
相關閱讀：在 Cloudways 主機上為你的網站安裝 SSL 憑證
6.使用正版的主題外掛程式以及原版的WordPress
不要使用來路不明的、破解的主題或外掛程式，如果覺得官網的太貴，也需要從正版分銷渠道購買主題和外掛程式（譬如我）。
你怎麼判斷一個主題和插件是不是真的？ 通常，破解的主題和外掛不需要授權碼，且當新版本可用時無法提供直接的線上更新。 有些破解的主題和外掛甚至不會提示你更新，讓人以為沒有新版本。
那主題和外掛程式以及wordpress系統都是人開發的，不出錯是不可能的，所以我們才需要用正版來保持可更新的能力。
而WordPress作為一個開源建站軟體，根據我過往的經驗，國內有一些公司是會將其進行二次修改並包裝為自己的建站系統的，那麼如果你用上了這種系統做的網站，你也無法享受原版WordPress的更新，那麼系統的安全風險就要尋求這些二次開發的公司的支援了。
7.保持WordPress、主題、外掛程式更新
WordPress、主題和外掛都是由人用程式碼創建的。當人們創造它們時，就會出現漏洞——也就是錯誤——這些漏洞可以被利用。舉例來說，Elementor 最近有一個漏洞，讓使用者成為系統管理員。天啊，這表示如果你的網站開放註冊，所有註冊用戶都會成為管理員。 這顯示持續更新插件非常重要。
你可以在下圖中找到需要更新的內容匯總，也可以在此處點擊按鈕進行更新，但更新前，記得先備份網站，以免不測。
你每次都必須即時更新主題和外掛嗎？ 原則上建議保持更新，但實際上主題外掛更新頻率相當高，尤其是某些外掛可能有相容性關係，例如 Elementor 及其擴充功能。頻繁更新可能導致網站頁面錯誤。
因此，我的建議是要注意主題和外掛的更新日誌，了解它們的更新內容，同時也要注意 WordFence 或其他安全外掛所提供的風險警告，以識別那些非常重要的安全更新——這些都必須立即執行。 對於小變動或新功能，我們可以慢慢來，每 2-3 個月更新一次。
那下圖就是外掛列表，我們可以看到需要更新的外掛數量，在待更新的外掛下方也會有相應的提示以及版本詳情，而更新完成後，你也能看到更新成功提示。
7.刪除不用的主題和外掛程式
新手建站時，遇到那麼多主題外掛程式，難免裝來體驗使用，不用了可能就放在那兒不管，這是不合適的。
確定自己以後都用不上的主題和外掛程式，一律刪掉，它們不僅佔地兒，還會增加安全漏洞風險。
如果你有資源，關閉這些主題和外掛後，先備份網站，然後使用資料庫資料表清理外掛（我使用付費版的 Advanced Database Cleaner）掃描整個網站，清理這些外掛帶來的資料庫資料表。有些外掛甚至提供刪除資料表時的清理設定，但大多數都沒有此功能。
如果有些外掛程式是偶爾用到，那可以在不用時先禁用，需要用時再啟用，也需要定期對他們進行更新。
有些外掛程式是不能刪除或禁用的，譬如，如果用了Elementor 製作了頁面，那麼就無法禁用或刪除它，這會導致你做的頁面全部失效，同樣的道理，如果你使用woocommerce外掛程式管理產品，那麼也就不能禁用它。
如果你裝了很多fluent forms，但是並沒有用它製作表單，而是使用elementor pro製作的表單，那麼fluent forms就是可以刪除的外掛程式，以此類推。
