WordPress Protection – 如何建立基本安全防護
WordPress Protection
有時候覺得自己的 WordPress 網站有些可疑的連線，如果還沒有為自己的 WordPress 網站加裝安全防護的外掛程式，那麼建議您先開始一些基本的防護措施，來保護自己 WordPress 網站的資料與檔案，這樣子可以避免自己的網站淪為一些可疑連線覬覦的目標。方法容易設定簡單，讓初接觸的朋友可以無痛學習，這也是這一篇文章最重要的目的之一。
什麼是可疑連線
網站24小時全天候的掛在網路上，有些可疑連線初期影響主機的頻寬或是效能非常非常的低，說實在的這時候很難去察覺是不是可疑的連線。而通常在我們發現的時候，也都是主機商通知，因為影響主機頻寬或是效能非常嚴重以後。所以還是建議管理者需要對自己架設的網站保持高度的警覺性，透過主機控制介面的一些功能（圖一），提早察覺一些蛛絲馬跡作為參考。如果有發現這些可疑的連線，嘗試與網站的特定檔案連線，這時候就可以透過下列分享的幾個設定來做管制，在不影響正常訪客的情況下，提升網站的安全性。
（圖一）可疑連線錯誤
如何建立基本防護
在這裡我們使用主機上的.htaccess 檔案來建立基本防護，這個檔案在控制台裡，如果有對 WordPress 網站設定固定網址時就會產生，可以在安裝 WordPress 的根目錄找到它，檔案裡面會建立一些基本的WordPress 固定網址設定，它的內容大致如下所示。
|
1 2 3 4 5 6 7 8 9 10 |
# BEGIN WordPress <IfModule mod_rewrite.c> RewriteEngine On RewriteBase / RewriteRule ^index\.php$ - [L] RewriteCond %{REQUEST_FILENAME} !-f RewriteCond %{REQUEST_FILENAME} !-d RewriteRule . /index.php [L] </IfModule> # END WordPress |
在開始對這個檔案新增設定以前，提醒大家一定要先備份網站的檔案與做好資料庫備份。這樣萬一有因為變動檔案造成任何錯誤時，可以立即的恢復網站的狀態。
1.保護 .htaccess 檔案
以下的安全防護設定都是透過這個檔案來達成的，因此這個檔案的重要性不言可喻。首先就是保護這個檔案，請填入以下設定。
|
1 2 3 4 5 |
<files ~ "^.*\.([Hh][Tt][Aa])"> order allow,deny deny from all satisfy all </files> |
2. 保護 WP-Config.php 檔案
wp-config.php 這個檔案，安裝 WordPress 的朋友都應該知道它的重要性，裡面記載著網站的資料庫帳號密碼等等資料，當然要做好保護，也請填入以下設定。
|
1 2 3 4 |
<files wp-config.php> order allow,deny deny from all </files> |
3. 禁止主機目錄瀏覽
這個設定是拒絕任何訪客透過可以瀏覽目錄下的檔案顯示，來檢視我們網站的檔案資料。
|
1 2 |
# 禁止目錄瀏覽 Options All -Indexes |
4. 拒絕可疑IP 的訪客
如果可以知道可疑訪客的IP，可以透過下列方式將可疑訪客拒絕於網站之外。下列數字字串為拒絕的可疑IP。
|
1 2 3 4 5 6 |
<Limit GET POST> order allow,deny deny from 123.456.78.9 deny from 987.654.32.1 allow from all </Limit> |
5. 限制訪問 wp-admin 資料夾
wp-admin 資料夾裡面有許多關鍵的檔案，保護這個資料夾需要另外建置一個.htaccess 檔案，放在wp-admin 資料夾下，才能對這個資料夾另外的做管制使用。因為只有自己才會登入WordPress控制台，那麼下列IP請填入自己使用的IP位置。
|
1 2 3 4 5 6 |
# 使用IP管制，限制登入控制台 <Limit GET POST PUT> order deny,allow deny from all allow from 12.34.56.78 </Limit> |
以上幾個簡單的設定跟大家分享，幫自己的 WordPress網站建立一些基本的防護，當然這些修改設定請特別記得操作前，備份你的檔案與資料庫。
Review
93%
Summary 做好 WordPress 網站管理，是每一位網站管理者應該要注意的重要課題。透過簡單的設定，就可以讓WordPress 網站達到基本的安全防護。
