🚀 引言：WordPress 安全性的重要性與風險
WordPress 憑藉其極高的靈活性和開源特性，成為全球最受歡迎的內容管理系統（CMS），驅動著全球超過 40% 的網站。然而，巨大的市場佔有率也使其成為駭客和網路罪犯最青睞的攻擊目標。
許多網站管理者誤以為自己的網站規模小、沒有重要資料，不會成為攻擊目標。事實上，大多數攻擊並非針對特定個人，而是透過自動化腳本掃描數百萬網站，尋找已知漏洞。一旦您的網站被攻陷，後果將不堪設想：
- 資料丟失與破壞： 網站內容被刪除、資料庫被加密。
- SEO 排名暴跌： 網站被植入惡意重定向或垃圾連結，導致 Google 懲罰。
- 品牌信譽受損： 客戶資料外洩，訪客收到安全警告。
- 成為僵屍網路的一部分： 網站被用於發送垃圾郵件或發起 DDoS 攻擊。
為了避免這些災難，我們必須將網站安全視為一項持續且重要的任務。這份網站安全終極指南，將詳細介紹 15 個關鍵步驟，幫助您從基礎到進階，全面強化您的網站防禦。
第一部分：基礎與核心防護（新手必備）
基礎防護是網站安全的地基。如果這一層做得不穩固，再強大的進階防護也可能功虧一簣。
1. 強化登入憑證：把好第一道關
網站被駭客入侵最常見的原因，就是透過猜測或暴力破解獲取管理員帳號密碼。
✅ 禁用萬年不變的 ID
WordPress 預設的安裝過程往往會提示您使用 admin 或 administrator 作為首個用戶名。這如同為駭客公開了一半的鑰匙。請務必創建一個獨特、不常見且不包含網站或個人資訊的管理員用戶名。如果您的網站已經使用 admin，請立即創建一個新的高權限帳號，並刪除舊的 admin 帳號。
✅ 設置複雜且高強度密碼
密碼強度至關重要。理想的密碼應滿足以下要求：
- 長度至少 12 個字符（推薦 15 字符以上）。
- 包含大小寫字母、數字和特殊符號（
!@#$%^&等）。 - 絕對不要使用字典詞彙、人名、生日或連續數字。
建議使用密碼管理器（如 1Password、LastPass）來生成和儲存這些複雜密碼。
✅ 限制登入嘗試次數
「暴力破解」攻擊會不斷嘗試數百萬組密碼組合。您可以安裝像是 Limit Login Attempts Reloaded 這類的外掛，一旦某個 IP 地址在短時間內登入失敗超過設定次數（例如 3 到 5 次），該 IP 將被暫時或永久封鎖，有效阻止自動化攻擊。
2. 永遠保持更新：核心、主題與外掛
數據顯示，超過 80% 的 WordPress 網站攻擊都利用了過時軟體中已知的安全漏洞。保持更新是您能做的最重要單一防禦行為。
✅ 核心更新
WordPress 官方會不斷發布新版本來修復安全漏洞和錯誤。當您看到更新提示時，請務必在完成備份後立即執行更新。
✅ 主題與外掛更新
- 優先處理： 主題和外掛中的漏洞和後門是駭客最常利用的途徑。
- 即時性： 一旦更新發布，通常代表著一個安全漏洞被修復。駭客會立即分析補丁並攻擊尚未更新的網站。
- 定期審核： 刪除所有未在使用的外掛和主題，因為即使停用，它們的檔案仍然存在於伺服器上，可能構成威脅。
3. 啟用兩步驟驗證 (2FA/MFA)
兩步驟驗證（Two-Factor Authentication, 2FA）是防止帳號被盜的黃金標準。它要求用戶除了輸入密碼外，還需提供第二個驗證碼（通常來自手機應用程式或電子郵件）。
✅ 實施方式
即使駭客竊取了您的密碼，他們也無法通過您的 2FA 挑戰。您可以透過以下外掛輕鬆實現：
- Wordfence Security： 內建 2FA 功能。
- Google Authenticator： 專門用於實現 2FA。
第二部分：外掛與主機選擇的策略防護
您的網站生態系統——外掛、主題和主機——是決定安全水準的關鍵要素。
4. 明智選擇外掛與主題
外掛和主題是 WordPress 靈活性的來源，同時也是主要的弱點入口。
✅ 僅從官方或信譽良好的來源下載
- 官方渠道： 只從 WordPress 官方外掛目錄、官方主題目錄或知名的商業開發商（如 Elementor Pro、Themeforest 頂級開發者）處獲取軟體。
- 拒絕盜版（Nulled）軟體： 免費的盜版主題或外掛幾乎 100% 內含惡意程式碼、後門或隱藏的惡意連結。使用它們等於主動將網站交給駭客。
✅ 審查評價與更新頻率
在安裝任何外掛前，請仔細檢查：
- 活躍安裝數： 數十萬安裝量的外掛通常更安全，因為有更多人監控和使用。
- 星級評價： 避免評價極低或負面評價多的外掛。
- 更新頻率： 確保外掛在過去六個月內有更新紀錄。長期未更新的外掛可能已被開發者放棄，潛藏著巨大的安全風險。
5. 選擇安全可靠的網站主機
網站主機是您的 WordPress 網站的家。優秀的主機商能在伺服器層面提供多重防護，大大減輕您的負擔。
✅ 主機層級的防火牆與惡意軟體掃描
選擇提供以下服務的主機商：
- WAF (Web Application Firewall)： 在您的網站代碼被執行之前就阻止惡意請求。
- 定時惡意軟體掃描： 協助檢查伺服器環境中的潛在威脅。
- 隔離環境： 確保您的網站不會因為同伺服器上其他客戶的網站被駭而受到牽連。
✅ 使用最新的 PHP 版本
PHP 是 WordPress 運行的核心程式語言。每個新的 PHP 版本不僅帶來性能提升，更重要的是，它修復了舊版本中的安全漏洞。請確保您的主機使用官方支持的最新 PHP 版本（例如 PHP 8.1 或更高版本）。
6. 安裝專業的安全外掛
雖然無法取代手動配置，但專業的安全外掛能提供即時的監控與防禦。
✅ 推薦專業工具
推薦安裝並配置 Wordfence Security 或 Sucuri Security 等業界頂尖的外掛。
✅ 核心功能
這些外掛通常提供：
- Web 應用程式防火牆 (WAF)： 過濾惡意流量。
- 惡意軟體掃描： 深度檢查核心檔案、主題和外掛中的惡意程式碼。
- 安全強化檢查： 提醒您進行關鍵的安全設定更改。
- 活動審計日誌： 記錄所有重要操作，有助於追蹤可疑活動。
第三部分：數據與備份：災難恢復計畫
即使採取了所有預防措施，網站仍有可能遭受攻擊。完善的備份計畫是您在緊急情況下恢復業務的唯一保證。
7. 建立自動化異地備份
備份是安全策略中最不容忽視的一環。
✅ 3-2-1 備份策略
這是一個業界公認的備份黃金法則：
- 3 份備份副本： 包含原始資料。
- 2 種不同儲存介質： 例如儲存在主機上的副本和儲存在雲端（如 Dropbox, Google Drive）的副本。
- 1 份異地存放： 確保即使主機房發生災難，您的資料也安全無虞。
✅ 推薦工具
設定自動排程備份：使用 UpdraftPlus、Duplicator 或 Jetpack Backup 等外掛，確保每日或至少每週自動將備份檔案上傳到異地雲端儲存空間。
8. 使用 SSL/HTTPS 加密連線
SSL（Secure Sockets Layer）證書不僅關乎安全，也影響 SEO 排名。
✅ SSL 的必要性
SSL 證書會將您網站與用戶瀏覽器之間的所有數據加密，防止敏感資訊（如登入憑證、付款資訊）在傳輸過程中被竊聽或篡改。
✅ 實施與檢查
- 取得 SSL： 目前大多數主機商都提供免費的 Let’s Encrypt SSL 證書。
- 強制 HTTPS： 確保所有 HTTP 流量都 301 重定向到 HTTPS。
- 綠色鎖頭： 確保您的瀏覽器網址列顯示綠色或灰色的鎖頭圖標，表示連線安全。
第四部分：進階配置與伺服器防護
對於希望將網站安全性提升到專家級水準的用戶，這些伺服器級的配置至關重要。
9. 隱藏 WordPress 版本號
WordPress 預設會在頁面原始碼中顯示您正在使用的核心版本號（例如 ?ver=6.4.2）。
✅ 目的
當一個新版本發布時，其修復的漏洞細節也會被公開。如果攻擊者知道您的網站仍在運行一個包含已知漏洞的舊版本，他們就能精確地發動攻擊。
✅ 實施方法
您可以透過安全外掛或在主題的 functions.php 文件中添加程式碼來移除版本號。
10. 停用檔案編輯功能
WordPress 後台允許管理員透過「外觀」>「主題檔案編輯器」和「外掛檔案編輯器」直接修改程式碼。
✅ 風險
一旦駭客成功獲取您的管理員權限，他們可以立即使用這個功能植入惡意程式碼、後門或將您的網站重定向到惡意網站。
✅ 實施方法
在您的網站根目錄下的 wp-config.php 檔案中，添加以下程式碼行：
PHP
define( 'DISALLOW_FILE_EDIT', true );
這將完全禁用後台的檔案編輯器，大幅提高安全性。
11. 配置 Web 應用程式防火牆 (WAF)
WAF 是一種保護機制，它在流量到達您的 WordPress 伺服器之前，就對其進行檢查和過濾。
✅ 外部 WAF 的優勢
使用 Cloudflare 或 Sucuri 等服務作為您的網站代理：
- 流量過濾： 抵禦常見的網路威脅，如 SQL 注入、跨站腳本 (XSS)。
- DDoS 防禦： 吸收和緩衝大規模的分佈式阻斷服務 (DDoS) 攻擊。
- 性能提升： 通常這些服務也提供 CDN (內容分發網路)，加速您的網站。
12. 修改 WordPress 數據庫前綴
WordPress 預設使用 wp_ 作為數據庫中所有資料表的開頭。這是一個公開的秘密。
✅ 風險
惡意攻擊者可以輕鬆猜到您的數據庫表名，從而更容易發動 SQL 注入等針對數據庫的攻擊。
✅ 實施方法
建議在安裝 WordPress 時就選擇一個獨特、隨機的數據庫前綴（例如 xyz123_）。如果您的網站已經上線，可以使用專業的數據庫管理外掛（如 iThemes Security Pro）來安全地更改前綴。
13. 保護 wp-config.php 檔案
wp-config.php 檔案包含您網站最重要的敏感資訊，包括數據庫名稱、用戶名、密碼、安全金鑰（Salt Keys）和網站的根路徑。
✅ 強化存取限制
透過編輯您伺服器根目錄下的 .htaccess 檔案，您可以限制所有外部請求對此檔案的存取：
Apache
# 保護 wp-config.php
<Files wp-config.php>
Order allow,deny
Deny from all
</Files>
14. 禁用 XML-RPC 協議（如果不需要）
XML-RPC（位於 xmlrpc.php）是 WordPress 早期用於遠程發布和行動應用程式連接的協議。
✅ 風險與替代方案
儘管現在大多由 REST API 取代，但如果仍啟用，xmlrpc.php 可能被駭客用於：
- 暴力破解攻擊： 可以在單一請求中嘗試數百個密碼組合。
- DDoS 攻擊： 作為 Pingback 攻擊的中繼站。
如果您不使用遠程發布工具或舊的行動應用程式，建議在 .htaccess 中或透過安全外掛將其禁用。
15. 定期掃描與監控
安全性是一個持續的過程，您需要主動監控任何異常活動。
✅ 惡意軟體掃描與核心檔案完整性檢查
設定您的安全外掛（如 Wordfence）每日自動執行深度掃描，比對您的 WordPress 核心檔案、主題和外掛是否與官方的清潔版本存在差異，即時發現被篡改或植入的惡意程式碼。
✅ 活動日誌監控
- 追蹤誰在何時登入。
- 監控任何管理員權限的變動、主題/外掛的安裝與刪除。
- 任何非預期的檔案變動都應立即發出警報，讓您及早介入處理。
總結：安全是一場持續的戰役
恭喜您！通過學習並實施這 15 個關鍵步驟，您的 WordPress 網站安全性將從業餘級提升到專業級，能夠有效抵禦絕大多數的自動化網路攻擊。
網站安全絕非一次性的設定，而是一個需要持續投入與維護的過程。
請將您的安全策略建立在以下五大支柱上：
- 保持更新： 核心、主題、外掛永保最新。
- 強化登入： 複雜密碼 + 2FA + 限制登入。
- 完善備份： 自動化異地備份，確保災難恢復能力。
- 智慧選擇： 僅使用信譽良好的軟體和主機。
- 主動監控： 定期掃描和審查活動日誌。
現在就開始行動吧！ 請立即從審查您的管理員用戶名和密碼開始，讓您的 WordPress 網站更加堅不可摧。
