想要知道如何防止 WordPress 被黑，首先得从基础安全规范做起。很多站长等到网站被篡改或植入恶意代码后才后悔，其实大部分攻击都是可以利用简单步骤预防的。如果你刚接触安全领域，建议先阅读《WordPress 外贸网站安全与维护指南》作为入门，那篇文章系统梳理了整体防护思路。本文则是从实战角度，给你可以直接上手的操作清单。
为什么你的 WordPress 容易成为目标？
WordPress 占据全球超过40%的网站份额，攻击者自然会针对这个生态批量扫描漏洞。弱密码、过时插件、默认管理员用户名是最常见的突破口。你不需要成为网络安全专家，只要把这些常见短板补上，就能挡住90%的低级攻击。记住：防止 WordPress 被黑不是一次性任务，而是一个持续的习惯。
第一道防线：更新与密码管理
保持核心、插件、主题最新
每次WordPress发布新版本，往往修复了已知安全漏洞。在后台“仪表盘”→“更新”里，看到红色数字就立刻操作。同样，插件和主题的更新提示也别忽略。你可以开启自动更新（在 wp-config.php 中添加 define('WP_AUTO_UPDATE_CORE', true);），或者使用插件如 Easy Updates Manager 来管理。
强密码与密码管理器
别再使用“admin123”或者“password”了。用随机生成的16位以上密码，并借助1Password或LastPass记录。如果你管理多个网站，最好每个站点用不同密码。这是如何防止 WordPress 被黑中最简单却最有效的一步。
强化登录安全
修改默认管理员用户名
安装WordPress时默认的“admin”用户是黑客第一个尝试的。如果已经用了，新建一个具有管理员权限的新用户，然后删除旧用户。或者通过phpMyAdmin在数据库里修改 wp_users 表中的 user_login 字段。
限制登录尝试次数
暴力破解是最常见的攻击方式。安装插件如 Limit Login Attempts Reloaded 或 Wordfence，设置连续失败5次后锁定IP 15分钟。这能极大降低被撞库的风险。
启用双因素认证（2FA）
给管理员账号再上一把锁。推荐使用 Wordfence 的免费2FA功能，或者安装 Google Authenticator 插件。每次登录除了密码，还需要手机上的临时验证码。这几乎是防止 WordPress 被黑的终极手段。
文件与服务器权限加固
正确设置文件权限
WordPress 文件权限不能太宽松。一般建议：文件夹设为755，文件设为644，wp-config.php 设为600或440。如果你用cPanel，可以在文件管理器里批量修改。某些主机控制面板也提供一键设置。
禁用文件编辑
在 wp-config.php 中添加以下代码，可以禁止后台直接编辑插件和主题文件：
define('DISALLOW_FILE_EDIT', true);这样即使攻击者拿到了管理员权限，也无法通过后台注入恶意代码。
隐藏 WordPress 版本号
攻击者会根据版本号寻找对应漏洞。在 functions.php 中添加：
remove_action('wp_head', 'wp_generator');或者通过 security 插件统一隐藏。
数据库与插件安全
更改数据库表前缀
安装WordPress时默认表前缀是 wp_，很多扫描工具会直接尝试 wp_options 等表。安装前修改 wp-config.php 中的 $table_prefix 为一个随机值，例如 x7k9_。如果已经安装，可以用插件如 Change DB Table Prefix 来迁移。
定期扫描恶意软件
安装一个安全插件（推荐 Wordfence 或 Sucuri Security），启用实时扫描。Wordfence 可以检查核心文件完整性，发现可疑代码。我也建议每周手动查看一次 wp-content/uploads 目录，看有没有不认识的PHP文件。
删除不用的插件与主题
每个未使用的插件和主题都可能成为漏洞入口。删掉它们，而不是仅仅停用。特别是那些很久没更新、作者已经放弃维护的插件，务必移除。
日常监控与备份策略
启用审计日志
通过插件如 WP Activity Log 记录所有管理员操作，包括登录、插件安装、用户创建等。万一被入侵，你可以快速找到异常行为的源头。
自动备份到远程存储
即使做了所有防护，备份仍是最后防线。使用 UpdraftPlus 或 BackupBuddy，每天自动备份网站文件与数据库到 Dropbox、Google Drive 或 S3。保留最近30天的备份，确保遇到问题能快速恢复。
使用 SSL/HTTPS
为网站安装SSL证书（很多主机免费提供），强制全站HTTPS。不仅能保护用户数据，还能防止中间人攻击篡改登录信息。在WordPress后台“设置”→“常规”里把站点地址改为 https，同时安装插件 Really Simple SSL 自动处理混合内容。
FAQ
网站已经被黑了怎么办？
立即修改所有密码，包括主机控制面板、数据库、WordPress管理员。然后从干净的备份恢复。如果没有备份，可以联系专业的WordPress安全服务（如Sucuri清理）。之后按照本文步骤加固，避免再次被黑。
免费安全插件够用吗？
Wordfence 免费版已经覆盖了大部分防御需求，包括防火墙、扫描、登录限制。对于小型企业或个人博客足够。如果你需要更高级的实时黑名单或DDoS防护，可以考虑付费版。
如何防止 WordPress 被黑 中最重要的步骤是什么？n如果只选一个，我会推荐保持所有组件更新＋双因素认证。这两项能挡住绝大多数自动化攻击。
行动建议
以上8个步骤并不是终点，而是起点。建议每季度重新检查一次权限设置，并留意WordPress官方安全公告。如果你希望获取更完整的体系化知识，请务必参考《WordPress 外贸网站安全与维护指南》，里面有关于服务器加固、CDN配置等进阶内容。记住，防止 WordPress 被黑需要持续投入，但每一次加固都会让你的站点更安心。