很多人的WordPress网站，做着做着就被黑了。打开一看，首页被改成了赌博网站。或者被植入了恶意代码。为什么WordPress这么容易被黑？怎么加固？今天说清楚。
两个原因：
第一，用的人多。黑客喜欢攻击用的人多的系统，因为收益大。
第二，很多人装完就不管了。版本不更新、插件不更新、密码特别简单。黑客随便就进来了。
这是最重要的一步。
WordPress每出一个新版本，都是修之前的安全漏洞。你一直不更新，就一直有漏洞。
插件和主题也一样。有更新就赶紧更。
养成习惯：定期看后台有没有更新提示。有的话就更。
很多人密码特别简单，比如admin、123456。黑客用字典试一下就进来了。
密码要设复杂点：大小写字母+数字+符号，十几位。别用那种一猜就中的。
后台账号也别用admin。改个别的用户名。
装个Wordfence或者Sucuri安全插件。
它能帮你：防暴力破解、扫恶意代码、挡恶意访问。开了基本的防护功能，大部分攻击都能挡住。
黑客喜欢用暴力破解，试无数次密码想进去。
安全插件里开个限制：连续输错5次密码，就封IP一段时间。这样黑客就试不出来了。
就算做了所有防护，也要定期备份。万一真被黑了，能恢复回来。
用UpdraftPlus插件，设置自动备份。每周备份一次，存到云存储里。
这个特别重要。被黑了有备份，就能快速恢复。
WordPress后台有个功能，管理员可以直接编辑主题和插件的代码。
这个功能很危险。黑客如果进了后台，就能直接改你的代码，挂木马。
把这个功能关掉。后台不能直接编辑代码，黑客进来了也干不了坏事。
很多人装了一堆插件和主题，用不上也不删。
那些不用的插件和主题，也是漏洞来源。黑客会利用它们入侵。
只留你在用的。不用的都删掉。
WordPress安全不是什么高深的技术。就是把基础的防护做好：更新、强密码、安全插件、备份、关文件编辑、删不用的插件。
这些都做了，网站就很难被黑。
Q：我已经被黑了怎么办？
A：赶紧找专业的人清理恶意代码。然后把上面这几步都做了，防止再被黑。
Q：做了这些就绝对安全了吗？
A：没有绝对安全。但大部分黑客都是找没做基础防护的站下手。你把基础做好了，他就懒得搞你了。
总的来说，WordPress网站被黑、挂马，大部分是因为没做基础防护。把这几步做了：更新版本和插件、设复杂密码、装安全插件、限制登录尝试、定期备份、关掉文件编辑、删掉不用的插件。网站就安全多了。做外贸站，安全特别重要。被黑一次，损失很大。
我们做WordPress外贸站，上线前都会把这些安全加固都做了。保证网站安全稳定。
来自智根网络的行业分享
