编者注：本文最初由 Web Marketing Today 发表。Practical Ecommerce 于 2012 年收购了 Web Marketing Today。2016 年，我们将两个网站合并，以 Practical Ecommerce 作为继承者。
开源软件已成为互联网上使用最广泛的内容管理系统，但也因此成为黑客的主要攻击目标。WordPress 作为支撑全球超 7400 万个站点（占比逾 18.9%）的开源平台，近期因安全漏洞备受负面关注。事实上，只要采取适当措施，WordPress 完全可以与其他内容管理系统一样安全。
您的网站是否已被入侵？
保护 WordPress 站点的首要前提是确认其未被攻破。许多企业主疏于检查网站，即便遭遇隐蔽攻击也浑然不觉。
建议使用 Sucuri 提供的站点检查工具扫描站点，排查公开可见的恶意活动迹象。同时，应将站点接入 Google Search Console（原 Webmaster Tools），以便在网站被黑时及时收到通知；也可查阅“被黑站点信息”页面，了解 Google 标记恶意站点的流程。
在掌握网站现状后，即可通过以下步骤提升安全性。
更新，更新，再更新
经验表明，大多数 WordPress 站点被入侵的主因是未定期更新。作为开源软件，WordPress 由全球社区共同维护，漏洞与安全缺陷难免频繁出现。已修复的漏洞通常会公开披露并建议更新，但黑客同样能获取这些信息，进而利用未更新的版本发起攻击。
WordPress 更新主要包含核心、插件和主题三类：
核心更新。WordPress 深知定期更新的重要性，自 3.7 版本起引入了针对次要安全版本的自动后台更新功能。虽然该功能无法替代从 3.7 到 3.8 等重大升级，但能确保大多数站点常规获得安全修复。
WordPress 核心更新至关重要。
当前仍有大量用户在使用 3.7 之前的旧版本。要检查当前版本，可访问 [您的网站 URL]/readme.html，或在管理仪表板的“Right Now”/“At a Glance”小部件中查看。若当前版本低于 4.2.3（如仍在使用 3.9），应尽快升级。
检查管理仪表板以查看 WordPress 版本。
插件和主题更新。插件是 WordPress 的另一大安全风险源。务必确保所有插件均已更新至最新版本，且与当前 WordPress 版本兼容。许多插件依赖的外部库或脚本若过时，极易成为黑客突破口。
主题同理，部分制作者会将模板文件与各类插件或框架捆绑，一些流行的图库和图片插件曾曝出严重漏洞。更新核心版本后，请前往“更新”或“主题”页面检查主题是否需要升级。此外，删除闲置的主题和插件有助于提升网站速度与安全性。
加固主机服务器以保护 WordPress 文件
无论使用何种 CMS，确保服务器安全都是防止黑客访问系统文件的必要前提。若通过托管公司一键安装 WordPress，文件权限通常较为安全；若为手动安装，建议参照 WordPress 官方关于文件权限的建议进行配置，避免站点暴露于风险之中。
共享与私有托管。若业务高度依赖 WordPress，强烈建议避免使用低成本共享服务器。此类服务器同时承载成千上万个站点，尽管服务商尽力隔离账户，但技术高超的黑客仍可能通过其他漏洞账户渗透进来。即使您自身防护严密，他人的安全短板也可能导致您的网站失守。
尽管成本较高，但对安全的投资终将节省后续的时间与金钱损失。WP Engine、Pantheon 等专为 WordPress 设计的托管服务商，不仅注重安全防护，还常承诺定期更新核心与插件。
用户名和密码。设置强用户名和密码是基础却常被忽视的安全措施。请勿使用默认的“admin”账户，应创建新的管理员账户并迁移所有内容后删除旧账户。同时，务必使用与其他网站无关的唯一密码，防止因通用密码泄露而导致网站被攻陷。
避免被黑客攻击的其他步骤
除定期更新和规范服务器、密码管理外，部署持续主动的安全措施同样重要。
安全插件。Wordfence 和 Bulletproof Security 提供免费及高级版选项，可主动扫描 WordPress 安装及插件中的恶意活动，防御常见攻击。它们还能限制登录尝试、拦截可疑 IP 或境外访问，并强制要求使用高强度唯一密码。
Wordfence 可保护您的网站免受攻击。
定期备份。即便防护措施周全，意外仍可能发生。定期备份站点文件和数据库，可确保在遭受攻击后快速恢复至正常状态。BackupBuddy 等插件不仅能执行定期备份，还支持连接 Dropbox、Google Drive 等云存储服务。
监控与修复服务。对于关键业务网站，可聘请 Sucuri 或 VaultPress 等第三方服务进行持续监控。这些服务按月或按年收费，一旦检测到黑客攻击，将自动介入处理，协助修复或清理受损文件。
VaultPress 可监控您的网站是否遭受黑客攻击。
结论
网站恶意活动不仅耗费大量时间处理，更可能导致直接经济损失。通过落实上述安全措施，并投资于高质量的主机托管与安全监控服务，您将收获安心感，拥有一个更安全的网站。
希望在此基础上进一步进阶的高级用户，可参阅“Hardening WordPress”页面获取更多专业建议。