如何透過 17 個步驟進行 WordPress 安全審核

WordPress 是世界上最受歡迎的內容管理系統 (CMS) 之一，為網路上超過 40% 的網站提供支援。但是，與任何類型的軟體一樣，它也不能免受攻擊。因此，您需要採取必要的步驟和預防措施來保護您的網站。

進行 WordPress 安全審核可以幫助您識別漏洞、防止潛在攻擊並確保您的網站保持安全。您不需要聘請安全專家來完成所有這些事情 - 有很多外掛程式可以為您自動執行一些工作。

在本指南中，我們將仔細研究為什麼您應該定期進行 WordPress 安全性審核。然後，我們將引導您完成 17 個步驟的流程，以有效審核您網站的安全性。那麼，就讓我們開始吧！

為什麼要進行 WordPress 安全審核？

您可能想知道是否真的有必要進行 WordPress 安全審核，特別是如果您的企業或線上商店非常小。

好吧，無論您運行的網站類型如何，此過程都很重要，原因如下。

識別漏洞和惡意軟體

您網站上的任何軟體都可能存在漏洞。這適用於外掛和主題以及 WordPress 核心軟體。

當開發人員發現外掛程式或主題中存在安全性問題時，他們會發布更新來修復它。但有時，漏洞可能需要一段時間才能為人所知，到那時，駭客就有時間利用它。

WordPress 安全審核的主要目標是在漏洞被攻擊者利用之前識別並解決漏洞。例如，您可能會在網站上發現過時的插件，或者最近的主題更新存在一些安全缺陷。

但漏洞還可能包括弱密碼、配置不當的設置，甚至已經滲透到您網站的惡意軟體。透過進行徹底的審核，您可以發現這些問題並採取糾正措施來加強網站的防禦。

防範未來的威脅

網路安全威脅不斷演變，去年有效的安全措施今天可能還不夠。例如，人工智慧技術的進步使駭客能夠使用更複雜的軟體進行暴力攻擊。

定期安全審核將幫助您領先於新出現的威脅。這種主動方法可以防止代價高昂的違規和停機，從而保持您的網站平穩、安全地運作。

保護用戶資料和品牌聲譽

安全漏洞可能會為您的企業帶來毀滅性後果。駭客可能會竊取您的所有數據，甚至刪除它。

如果您的網站包含敏感的使用者資訊（例如信用卡號和密碼），這將是一個大問題。資料外洩可能會讓您陷入法律困境，除了財務負擔之外，還會損害您的品牌聲譽並破壞客戶信任。

WordPress 安全審核有助於確保您的網站符合資料保護法規以及使用者資訊的安全。

進行 WordPress 安全審核的逐步指南

現在您已經了解了 WordPress 安全審核的重要性，接下來讓我們深入了解對您的網站進行徹底審核時可以採取的 17 個步驟。

正如您將看到的，其中大部分措施都很容易實施。另外，您也可以使用一些外掛程式來保護您的網站。

1.確保WordPress是最新的

任何 WordPress 安全性審核的第一步都是確保您的 WordPress 安裝是最新的。 WordPress 定期發布更新，包括安全性修補程式、錯誤修復和新功能。

執行過時版本的 WordPress 可能會使您的網站容易受到已知安全漏洞的攻擊。

若要檢查您的 WordPress 安裝是否是最新的，請導覽至管理面板中的儀表板 → 更新。

如果有可用更新，您將看到一條通知。在更新 WordPress 之前，您需要確保您的網站已備份。這樣，如果更新導致外掛程式或主題出現相容性問題，您可以立即將網站還原到先前的狀態。

我們將在本文稍後向您展示如何執行備份。

2.更新過時的主題和插件

過時的主題和外掛是 WordPress 網站中最常見的漏洞來源之一。開發人員經常發布更新來修補安全漏洞並改進功能。因此，一旦這些更新可用，請立即運行它們。

如果您轉到儀表板→更新，您可以看到所有需要更新的主題和外掛程式的清單：

如果您的網站上有很多插件，請每天檢查更新。或者，您可以啟用自動更新。

只需前往外掛程式或主題頁面，然後點擊外掛程式或主題旁邊的啟用自動更新即可。

由於可能存在相容性問題，您可能更喜歡手動執行更新。首先在臨時網站上嘗試它們也是一個好主意。然後，如果一切順利，您可以在即時網站上執行更新。

3.刪除未使用的主題和插件

未使用的主題和外掛即使處於非活動狀態也可能會帶來安全風險。駭客可以利用非活動主題和外掛程式中的漏洞來未經授權存取您的網站。

如果您的主題或外掛很長時間沒有更新，或者開發人員不再維護，那麼風險會更大。

刪除不再需要的任何主題或外掛程式是一個好習慣。只需導航至“外觀”→“主題” ，然後選擇要刪除的主題的“刪除”選項。對於插件，請前往插件 → 安裝的插件。找到您要尋找的內容，然後選擇「停用」→「刪除」 。

4.檢查是否安裝了安全插件

可靠的安全插件是您抵禦網路威脅的第一道防線。理想情況下，選擇一個包含一系列功能的插件，包括惡意軟體掃描、防火牆保護和登入安全性。

如果您尚未安裝安全插件，現在是時候安裝了。而且，如果您確實安裝了安全插件，那麼最好檢查其功能並在需要時切換到更強大的解決方案。

Jetpack Security 是保護您網站的綜合解決方案。功能包括 Web 應用程式防火牆、垃圾郵件防護、自動惡意軟體掃描、即時備份、暴力攻擊防護、停機監控等。

我們將在接下來的步驟中仔細研究這些功能。

5. 掃描惡意軟體和漏洞

WordPress 安全性審核的另一個重要步驟是掃描您的網站是否有惡意軟體和漏洞。為此，您需要一個可以自動執行該過程的插件。

購買 Jetpack Security 方案後，您將可以存取 Jetpack Scan（也可以透過專用的 Jetpack Protect 外掛程式存取）。

Jetpack 會掃描外掛程式、主題和其他網站檔案中的已知 WordPress 漏洞。如果它偵測到您網站上的惡意軟體或漏洞，您將收到即時電子郵件通知，以及幫助您解決大多數問題的一鍵修復。

Jetpack 每天都會掃描您的網站，並且該流程是自動化的。您也可以手動啟動掃描。

6.審核使用者角色和權限

使用者角色和權限定義特定人員可以和不可以在您的 WordPress 網站上執行哪些操作。例如，具有管理員角色的使用者將完全控制該網站。理想情況下，每個站點應該只有一名管理員。

角色配置不當可能會導致安全風險，尤其是當使用者擁有過多權限時。而且，如果有人侵入該用戶的帳戶，他們將能夠對網站造成嚴重破壞。

如果您經營一家線上商店或多作者博客，您的網站上可能有許多用戶，包括客戶、商店經理、作者和訂閱者。但是，由於各種原因，某些人可能被分配了錯誤的角色，因此擁有比應有的權限更多的權限。

若要查看這些角色，請導覽至「使用者」→「所有使用者」 。在這裡，您可以檢查每個使用者是否具有適當的存取等級。您可能還需要考慮刪除或降級不再需要存取某些功能的任何使用者。

7. 刪除不活動的使用者帳戶

不活動的使用者帳戶可能會帶來重大的安全風險，尤其是在其密碼長時間未更新的情況下。駭客通常會針對不活躍的帳戶，因為他們不太可能擁有強密碼。

您需要定期檢查並刪除網站上所有不活動的使用者帳戶。這可以在 WordPress 儀表板的「使用者」部分中完成。

您可能需要向不活躍的用戶發送電子郵件，讓他們知道如果他們在特定時間內不採取行動，他們的帳戶將被刪除。您也可以要求他們更改密碼。

8. 檢查密碼強度和策略

弱密碼是安全漏洞的主要原因。如果您的網站上有多個用戶，那麼風險就更大。

您需要確保每個人都使用強密碼。理想情況下，它們應包含字母、數字和特殊字元的組合。長度至少為八個字元的密碼更難破解。

您可以透過安裝 WP 密碼原則管理員等外掛程式來強制執行強密碼。該工具還允許您設定自動密碼重設和到期日期，以便使用者定期更新其密碼。

此外，請考慮實施雙重認證 (2FA)。這為用戶登入增加了額外的安全層，並進一步保護您的網站免受暴力攻擊。

暴力攻擊涉及嘗試大量的使用者名稱和密碼組合來訪問網站。駭客使用複雜的軟體來產生這些登入憑證。

但如果他們確實獲得了正確的憑證，2FA 將阻止他們登入該網站。這是因為他們需要提供發送到用戶手機或收件匣的代碼，而駭客無法存取該代碼。

使用 Jetpack 時，您可以設定 WordPress.com 雙重認證。

用戶將被要求提供電話號碼以驗證身份。他們可以透過簡訊或身份驗證器應用程式（例如 Duo、Authy 或 Google Authenticator）來執行此操作。

9. 評估資料庫安全措施

您的 WordPress 資料庫包含您網站的所有內容、設定和用戶數據，使其成為攻擊者的理想目標。因此，您需要確保它受到充分保護。

您可以先檢查資料庫密碼是否強大且唯一。然後，考慮將預設資料庫前綴 (wp_) 變更為自訂的前綴。這將使攻擊者更難發動SQL注入攻擊。

要更改前綴，您需要存取wp-config.php檔案。您可以透過託管帳戶中的檔案管理器或使用安全文件傳輸協定 (SFTP) 用戶端來執行此操作。

進入網站目錄後，開啟wp-config.php檔案並尋找 $table_prefix = “wp_”; 的行。

您可以將wp_更改為您想要的任何值（或者您可以只添加數字或字母）。準備好後請記住儲存變更。

現在，您需要透過託管帳戶中的 cPanel 存取 phpMyAdmin。在這裡，您需要更改所有預設 WordPress 表的前綴。

手動執行此操作（每次一張表）將非常耗時。因此，請點擊頂部的 SQL 標籤並輸入以下 SQL 查詢：

 RENAME table `wp_commentmeta` TO `wp_a123z_commentmeta`; RENAME table `wp_comments` TO `wp_a123z_comments`; RENAME table `wp_links` TO `wp_a123z_links`; RENAME table `wp_options` TO `wp_a123z_options`; RENAME table `wp_postmeta` TO `wp_a123z_postmeta`; RENAME table `wp_posts` TO `wp_a123z_posts`; RENAME table `wp_terms` TO `wp_a123z_terms`; RENAME table `wp_termmeta` TO `wp_a123z_termmeta`; RENAME table `wp_term_relationships` TO `wp_a123z_term_relationships`; RENAME table `wp_term_taxonomy` TO `wp_a123z_term_taxonomy`; RENAME table `wp_usermeta` TO `wp_a123z_usermeta`; RENAME table `wp_users` TO `wp_a123z_users`;

請記住將前綴更改為您在wp-config.php檔案中設定的前綴。在上面的範例中，我們將前綴更改為 wp_a123z。

10.審查登入頁面安全措施

WordPress 登入頁面是暴力攻擊的常見目標，因此絕對值得花一些時間來保護您的 WordPress 登入。如前所述，駭客使用專門的軟體產生數千個登入憑證來嘗試存取網站。

您也可以變更預設的 WordPress 登入 URL，通常是/wp-admin和/wp-login.php 。這樣，駭客將無法找到您的登入頁面。您可以在我們的文章 — WordPress 登入 URL：如何尋找、變更和隱藏它中找到有關如何執行此操作的詳細說明。

只需記住為您的新登入 URL 新增書籤以便於存取 - 一旦更改舊 URL，您將無法透過舊 URL 登入您的網站。

11.確保使用HTTPS協議

HTTPS 協定會對訪客瀏覽器和 Web 伺服器之間傳輸的資料進行加密。這樣，攻擊者就很難攔截敏感資訊。

如果您的網站尚未使用 HTTPS，您需要取得安全通訊端層 (SSL) 憑證並將其安裝在您的網站上。

您可以透過在瀏覽器中查看 URL 旁邊的網站資訊來檢查您的網站是否使用 HTTPS。

在這裡，您應該會看到一條通知，表明該網站是安全的。如果網站不使用 HTTPS 或具有無效的 SSL 證書，瀏覽器將向訪客顯示警告。

大多數信譽良好的託管提供者在其計劃中都包含免費的 SSL 憑證。如果您的網站寄存服務提供者未提供此服務，您可以透過 Let's Encrypt 取得免費的 SSL 憑證。

請注意，某些證書的有效期僅為一年或兩年。因此，您需要記住在它們過期之前更新它們。

12.確保已安裝WAF

Web 應用程式防火牆 (WAF) 是重要的安全工具，可在惡意流量到達您的網站之前將其過濾掉。如果配置正確，防火牆可以阻止多種攻擊，包括 SQL 注入、跨站點腳本 (XSS) 和暴力攻擊。

Jetpack Security 將 WAF 作為其功能集的一部分，您只需從 WordPress 儀表板即可啟用它。

此防火牆監視對您網站的每個請求並封鎖可疑請求。此外，Jetpack 團隊不斷更新防火牆規則，以領先新威脅。

您也可以選擇封鎖來自您網站的特定 IP 位址。

13.檢查是否安裝CDN

內容分發網路 (CDN) 是分佈在多個位置的伺服器的集合。通常，CDN 用於提高網站速度。這是因為它從距離訪客最近的伺服器提供網站內容，從而減少延遲。

但 CDN 還可以保護您的網站免受分散式阻斷服務 (DDoS) 攻擊。當惡意行為者向網站發出大量請求時，就會發生這些攻擊。如果網站無法應對流量激增，它可能會崩潰並變得不可用。

CDN 可以應付流量高峰。由於它們在多個伺服器之間重新分配流量，因此如果您的網站同時收到大量請求，則它不會崩潰。

一些託管提供者在其計劃中提供 CDN。 Jetpack 還包括一個圖像 CDN，可根據訪客的設備自動調整圖像大小，並減輕伺服器的顯著負載。

14. 評估目前的備份和復原解決方案

備份並不能防止攻擊。但如果您的網站遇到安全威脅，它們可以讓您高枕無憂。如果發生資料遺失，您可以將網站還原到最新版本。

因此，WordPress 安全審核的下一步是檢查您的備份解決方案，並在必要時實施新的解決方案。

理想情況下，您應該有即時備份，以便不斷保存所有內容。如果您的網站很少發生變化，那麼每日備份解決方案可能就可以了。

同樣重要的是，您的備份儲存在異地，即儲存在伺服器或託管帳戶以外的地方。否則，如果您的伺服器發生故障或成為駭客的目標，您可能會遺失您的網站及其備份。

您還需要確保在需要時可以輕鬆恢復內容。這將有助於最大限度地減少停機時間。

由於備份非常重要，因此需要自動化，以便您始終可以使用最新的副本。如果事情變得繁忙，您可能很容易忘記備份內容。

Jetpack VaultPress 備份即時工作。這意味著每次您對網站進行更改時，都會自動儲存。

Jetpack 也將您的備份儲存在異地、基於雲端的安全位置。它還提供一鍵恢復功能，也可以透過應用程式訪問，因此，如果您的網站確實出現故障，您可以立即將其恢復並運行 - 即使您不在電腦旁或無法訪問您的網站根本不。

15.評估您的託管提供者的安全功能

您的託管提供者在 WordPress 網站的安全中發揮著至關重要的作用。如果他們的伺服器環境不安全，可能會對託管在其上的任何網站產生負面影響。

在審核期間，評估託管提供者提供的安全工具。其中可能包括伺服器端防火牆、DDoS 防護和惡意軟體掃描等功能。

如果您登入您的託管帳戶，您應該能夠看到有哪些工具可用。您可以隨時聯繫您的託管提供商，詢問他們是否採取了任何預防措施。

如果您發現您的主機方案缺乏多項安全要素，您可以考慮切換到更安全的主機。 Jetpack 擁有一系列值得信賴的託管供應商，它們非常重視網站安全。您可能還需要考慮託管 WordPress 託管提供者，它們通常會代表您採取許多安全措施。

16. 審核中發現的文件問題

在進行安全審核時，記錄您發現的任何問題或漏洞。此資訊將作為解決問題的參考點，並可以幫助您追蹤一段時間內的進度。

包括每個問題的嚴重性、解決問題所需的步驟以及該過程中使用的任何工具或外掛程式等詳細資訊。這將幫助您確保沒有遺漏任何內容，並且所有漏洞都已正確解決。

另外，如果您決定聘請 WordPress 專家來保護您的網站，他們會根據您的發現清楚地知道需要做什麼。這樣，您就可以避免在實施必要措施時出現任何延誤。

17. 建立解決安全問題的路線圖

識別並記錄站點上的安全性問題後，下一步也是最後一步是建立解決這些問題的路線圖。

根據問題的嚴重性和對站點的潛在影響來確定問題的優先順序（如上一步所述）。過時的軟體或惡意軟體感染等問題應立即解決，較不嚴重的問題可以稍後解決。

擁有清晰的路線圖將幫助您從最關鍵的問題開始有系統地提高站點的安全性。

常見問題

在這篇文章中，我們介紹了 WordPress 網站的所有安全要點。但您可能仍然對審核中的某些措施或 WordPress 網站面臨的威脅有一些疑問。

讓我們來回答一些最常見的問題。

什麼是 WordPress 安全審核？

WordPress 安全審核是對您網站的安全措施的全面審查。它旨在幫助您識別網站上的漏洞和問題，並採取必要的步驟來減輕潛在威脅。

審核應涵蓋 WordPress 網站的所有方面，包括軟體更新、使用者權限、資料庫安全性、登入密碼等。目標是確保您的網站盡可能安全並保護其免受網路攻擊。

我應該多久進行一次 WordPress 安全審核？

安全審核的頻率取決於站點的規模和複雜性。您需要考慮更改內容的頻率。

通常建議至少每季進行一次安全審核。當然，如果您有一個基本上靜態的網站，並且您是唯一有權訪問後端的用戶，那麼每年或每兩年一次的審核就足夠了。

應該更頻繁地執行此 WordPress 安全性審核中列出的一些步驟。例如，每次安裝新主題或插件，或發布新貼文時，都應該備份網站。

同樣，您需要每天或每週檢查網站是否有更新，而不是等到下一次安全審核。

WordPress 網站中最常見的漏洞有哪些？

WordPress 網站中一些最常見的漏洞包括：

• 過時的軟體。執行過時版本的 WordPress、主題或外掛程式可能會使您的網站容易受到已知漏洞的攻擊。
• 弱密碼。弱密碼或容易猜到的密碼是攻擊者的常見入口點。
• 不安全的登入頁面。預設的 WordPress 登入頁面是暴力攻擊的常見目標。
• 用戶角色配置不當。向使用者分配過多的權限可能會增加意外或惡意變更的風險。
• 未受保護的資料庫。具有弱密碼或預設前綴的資料庫容易受到 SQL 注入攻擊。

您可以閱讀我們有關 WordPress 安全性問題和漏洞的完整指南，以了解有關這些問題以及如何修復這些問題的更多資訊。

建議使用哪些工具進行 WordPress 安全性審核？

有多種工具和外掛程式可用於 WordPress 安全審核。但理想情況下，您會選擇像 Jetpack Security 這樣的一體化解決方案。這樣，您就不需要安裝和設定多個外掛程式來保護您的網站。

Jetpack 包含多種安全功能，包括惡意軟體和安全掃描程式。它還透過一鍵恢復對您的網站執行即時雲端備份。其他功能包括 Web 應用程式防火牆、垃圾郵件防護等。

是否有可以增強 WordPress 網站安全性的自動化工具？

是的！ Jetpack Security 提供了檢測和解決各種最常見問題的工具。它包括自動惡意軟體掃描、防火牆保護和暴力攻擊保護。它持續監控您的網站是否有潛在威脅，並可以採取自​​動措施來緩解這些威脅。您還將獲得即時執行的自動備份。

如何監控我的 WordPress 網站上的使用者活動？

監控使用者活動是維護網站安全的重要組成部分。透過追蹤使用者在您網站上的行為，您可以識別任何可疑行為並在必要時採取行動。

當然，您不可能一直觀看您的網站。您需要一個為您記錄使用者活動的工具。

Jetpack 提供活動日誌，記錄使用者在您的網站上執行的每個操作。它提供每個事件的詳細資訊以及時間戳。

這樣，如果您的網站遇到錯誤或安全性問題，您可以參考活動日誌並尋找可能觸發它的使用者操作。

如何確定我的 WordPress 網站是否已被駭客攻擊？

有多種跡象表明您的 WordPress 網站可能已被駭客攻擊。這些包括：

• 您的網站上有不熟悉或未經授權的內容
• 流量無法解釋的增加，尤其是來自異常來源的流量
• 在伺服器或內容沒有任何變更的情況下，網站效能明顯下降
• 新的、未經授權的使用者帳號出現在您的管理面板中
• 來自搜尋引擎的警告表明您的網站可能受到威脅

當然，這些問題背後可能還有其他罪魁禍首。例如，其他管理員可能在您不知情的情況下新增了使用者。或者，他們可能安裝了一個編碼繁重的插件，導致您的網站速度減慢。

如果您是唯一的管理員，而其他人都無法存取您網站的後端，那麼上面列出的問題可能更值得關注。

如果您懷疑您的網站已被駭客入侵，您需要立即採取行動。您可以按照我們的指南了解您的 WordPress 網站遭到駭客攻擊時該怎麼做。

如何修復被駭的 WordPress 網站？

如果您的 WordPress 網站遭到駭客攻擊，請務必迅速採取行動以最大程度地減少損失。

第一步是確定違規來源。 Jetpack 的活動日誌可以幫助您解決此問題。

一旦確定了罪魁禍首，您應該刪除所有惡意程式碼，更新所有密碼，並確保您的軟體是最新的。如果用戶是違規行為的幕後黑手，您將需要刪除他們的帳戶，並可能將其 IP 位址列入黑名單。

查看如何清理被駭 WordPress 網站的詳細指南。

安全審核後我可以採取哪些步驟來維持持續的安全？

完成安全審核後，實施持續的安全實務以確保網站安全非常重要。這些實踐包括本指南中介紹的一些步驟：

• 讓 WordPress、主題和外掛保持最新
• 使用活動日誌監控可疑行為
• 實施需要強而獨特的密碼的策略
• 確保定期備份您的站點，並且備份儲存在異地
• 使用雙重認證為使用者登入新增額外的安全層
• 安排定期安全審核以識別和解決新漏洞

透過執行以下步驟，您可以保持 WordPress 網站的高安全等級並保護其免受潛在威脅。

Jetpack Security：即時 WordPress 安全掃描和備份

Jetpack Security 提供了一套全面的工具來幫助您保護 WordPress 網站。其中包括即時惡意軟體掃描、即時備份和暴力攻擊防護。大多數這些過程都是自動化的，可以更輕鬆地保護您的網站安全。

您還將獲得網路應用程式防火牆以及評論和表單垃圾郵件防護。此外，Jetpack 的活動日誌將幫助您識別網站上觸發錯誤或導致安全漏洞的任何操作或事件。

您準備好提高網站的安全性了嗎？立即開始使用 Jetpack Security！