上周朋友老张的 WordPress 博客被黑了，首页突然变成赌博广告页，后台密码也被改掉。他急得直拍大腿：‘就挂了个免费主题，咋就中招了？’其实不是主题的问题，是整个网站安全防护方案缺了关键几块。
别等被黑才想起装锁
很多个人站、企业展示站，默认就开着‘欢迎光临’的大门——没开 HTTPS、管理员账号还是 admin、插件常年不更新、数据库名还叫 root。这些不是小问题，是黑客批量扫站时的‘快捷入口’。
HTTPS 不是可选项，是基础配置
现在 Chrome 浏览器直接标‘不安全’，用户看到就可能关掉页面。更实际的是：没 HTTPS，很多现代功能（比如地理位置、PWA、甚至部分微信内嵌）根本跑不起来。用 Let's Encrypt 免费证书，配合宝塔或 cPanel 一键部署，10 分钟搞定。
账号和权限，越简单越安全
把管理员账号改成‘xiaoming2024’比‘admin’强十倍；给数据库用户分配最小权限，比如只给 blog_db 的 SELECT/INSERT 权限，别给 DROP 或 FILE；WordPress 后台登录地址别留默认的 /wp-login.php，用插件（如 WPS Hide Login）换个路径，能挡住 80% 的暴力扫描。
插件和主题，不是装得越多越好
一个用了三年没更新的‘美化侧边栏’插件，可能藏着未修复的远程代码执行漏洞。建议：只保留必需的 5 个以内插件；每次更新前先在测试站点验证；删除不用的主题和插件（哪怕停用也不行，文件还在服务器上就可能被利用）。
加一道‘防火墙’挡常见攻击
Cloudflare 免费版就能防 DDoS、过滤恶意爬虫、拦截 SQL 注入和 XSS 请求。开启后，在 DNS 设置里把域名解析指向它，再在后台打开 Web Application Firewall（WAF）规则，连代码都不用写：
启用规则：SQLi Protection, XSS Filter, Bad Bot Blockerlocation ~ \.(php|jsp|cgi|pl|sh)$ {\n deny all;\n}定期备份，不是为了恢复，是为了不求人
被黑后最有效的自救方式，就是删掉全部文件，从干净备份里重装。建议设置自动备份：数据库每天一次，网站文件每周一次，备份存到异地（比如腾讯云 COS 或阿里云 OSS），别只存在同一台服务器上。有次老张试过用本地电脑备份，结果硬盘坏了，备份全丢——备份不在手，等于没备。
安全不是买个高级插件就一劳永逸的事。它是一套动作：换密码、关端口、设规则、勤备份、看日志。做一遍不难，坚持三个月，你的网站就比 70% 的小站更扛打。
","seo_title":"网站安全防护方案｜小站长实用指南","seo_description":"针对个人站、企业展示站的网站安全防护方案，涵盖HTTPS配置、账号加固、插件管理、WAF设置与自动备份等可立即落地的操作细节。","keywords":"网站安全防护方案,网站安全,WordPress安全,HTTPS配置,网站防火墙,WAF"}