Hostinger WordPress 建站安全加固清单

2026-10-24

① 建站前・hPanel 层（一次配好，全站生效）

账号 2FA：hPanel → 右上角头像 → Account → Security，开启两步验证。这一步保护你所有站点的总开关。
PHP 版本：网站管理 → Advanced → PHP Configuration，选 PHP 8.2 或 8.3（不要停在旧版），并关闭 display_errors。
SSL 强制：hPanel 自带免费 SSL（Let's Encrypt），确认已签发并开启 Force HTTPS；后台登录也强制 HTTPS。
接 Cloudflare 免费档：Hostinger 面板有集成入口。隐藏真实 IP、提供基础 WAF，还能挡一部分爆破流量。
确认自带防护：Hostinger Web/Cloud 套餐自带 Malware Scanner（文件级木马自动扫描） 和 自动备份（默认每周，可加购每日），这些是默认开启的，别关掉 docs.hostinger.com。

② 安装 WP 时（新建站的瞬间定生死）

安装源：只用 Hostinger 一键安装向导或 wordpress.org 官方原版。不要用网上下载的 "集成包 / 汉化包 / 模板打包件"，这是最高发挂马来源。
管理员账号：用户名不要用 admin，自定义一个不暴露身份的；密码 ≥16 位（大小写 + 数字 + 符号）。
表前缀：安装向导里把默认 wp_ 改成别的，如 wpv8x_。Hostinger 向导支持设置。
主题 / 插件：只用官方目录和作者官网正版。原则：插件越少越好。
生成 salt key：访问 https://api.wordpress.org/secret-key/1.1/salt/ 拿一组新密钥，替换 wp-config.php 里原有内容。

③ 装后立即加固（约 15 分钟，最重要）

A. 改 wp-config.php（在 hPanel → 文件管理器或 FTP 编辑，追加以下内容）：

define( 'DISALLOW_FILE_EDIT', true );   // 禁止后台在线改主题/插件文件，防写入木马
define( 'FORCE_SSL_ADMIN', true );      // 后台强制 HTTPS
define( 'WP_DEBUG', false );            // 线上关闭调试，防泄露路径/数据库信息

B. 根目录 .htaccess 追加（在已有的 WordPress 规则上面或文件顶部）：

# 禁止直接访问 wp-config.php
<Files wp-config.php>
    Require all denied
</Files>

# 关闭 xmlrpc.php（爆破和 DDoS 常用入口，不用远程发布就关）
<Files xmlrpc.php>
    Require all denied
</Files>

# 禁止目录列表
Options -Indexes

C. wp-content/uploads/.htaccess（新建，禁上传目录执行 PHP—— 这是挂马重灾区）：

<FilesMatch "\.(php|php5|php7|phtml|pl|py|cgi)$">
    Require all denied
</FilesMatch>

D. 文件权限（hPanel → 文件管理器右键设置；也可用 Advanced → Fix File Ownership 一键修复）：

所有文件 644，目录 755
wp-config.php 单独设为 600

E. 登录加固：装 WPS Hide Login（改登录地址）或 Solid Security（限登录次数 + 改地址 + 2FA 一体）。两者任选一个即可，别堆一打安全插件。

F. 清理默认项：删除默认 Hello World 文章、默认页面、未用的默认主题（twentytwenty 等，彻底删除不是停用）、默认生成的 admin 用户；后台 "设置→常规" 里关闭任何人注册。

④ 日常维护・应急（防止 "老是出问题" 的关键）

智能自动更新：hPanel → 该站 → Security 页面 → Smart auto-updates，级别至少选 Security updates only（建议 Minor updates only）。大版本更新先在 Staging 环境测试再上线 docs.hostinger.com。
漏洞防护：同一 Security 页面，开启 Patchstack（Hostinger 官方合作，漏洞扫描 + 虚拟补丁）。
定期看扫描：hPanel 侧边栏 → Malware Scanner，看最近扫描状态；发现可疑文件先核对是不是被改过的正规插件文件，不确定就恢复备份，别乱删。
大操作前备份：hPanel → Backups → Generate backup（每次更新主题 / 插件 / 核心前做一次；每天最多一次）。备份页面支持文件 / 数据库 / 全量分别恢复。
中招后的标准流程（按顺序）：
IP 白名单（可选）：hPanel → Advanced → IP Manager，固定办公 IP 可以只放行你的 IP 访问 wp-admin（注意别把自己锁在外面）docs.hostinger.com。

给你的优先级（如果现在只想先做三件事）：① 开账号 2FA + 改 PHP 8.3 → ② wp-config 禁文件编辑 + uploads 禁 PHP + 文件权限 → ③ 开 Smart auto-updates（安全更新）+ Patchstack。这三步做完，90% 的常见挂马路子就被堵死了。