WordPress 本身并不等于不安全，风险通常来自弱密码、长期不更新的插件、过宽权限和缺乏监控。安全加固应优先解决高概率、高影响问题。
1. 收紧管理员账号
删除不用的管理员，使用唯一强密码和多因素认证。日常发布可使用编辑账号，避免所有操作都用最高权限。
2. 建立可控更新流程
及时更新核心、主题和插件，更新前做备份并在测试环境检查关键页面。停止使用长期无人维护的扩展。
3. 限制文件写入权限
Web 服务只应写入必要目录。配置文件和私钥保持最小权限，禁止后台在线编辑主题与插件代码。
4. 保护登录与监控异常
限制暴力尝试，启用登录告警，检查新增管理员、插件变化和异常外连。日志应保留足够时间。
常见误区
- 多人共用管理员账号
- 插件从不更新
- 整个站点目录可写
- 只安装安全插件不看告警
执行检查清单
- 管理员数量最小
- 关键账号启用 MFA
- 备份和更新流程可用
- 异常登录有告警
总结
安全不是一次设置，而是账号、更新、权限、备份和监控共同组成的持续流程。