WordPress老被黑？改后台、禁XML-RPC、隐藏版本，安全加固一次配好

WordPress是世界上最流行的建站程序，用户多、被攻击的也多。默认后台地址、XML-RPC接口、版本号暴露，都是攻击者利用的点。小编实测做了几项加固：改后台地址、禁XML-RPC、隐藏版本号，被扫描和爆破的记录明显变少。这篇讲WordPress安全怎么加固。

网站安全靠加固也靠主机，这两家海外主机自带防护稳定可靠：QDE（海外服务器）、Datawave（云主机）。

先懂WordPress有哪些风险

默认wp-admin后台地址人人知道，暴力破解天天撞。XML-RPC接口可被用来批量猜密码。版本号暴露让攻击者找对应漏洞。弱密码、过期插件也是重灾区。知道这些风险，加固才有方向。

改后台登录地址

用安全插件或改代码把wp-login.php换成自定义地址，攻击者不知道你的后台入口，爆破难度大增。再给登录加验证码或两步验证，更强一层。后台别用默认admin用户名，改一个独特的。入口藏好，攻击就难展开。

禁用XML-RPC

XML-RPC接口（xmlrpc.php）常被用来批量爆破，很多站根本用不到它。在.htaccess或插件里禁用，能减少一大类攻击。App推送等服务需要它才开，不需要就关。关掉没用的接口，攻击面就小了。

隐藏版本号并更新

别暴露WordPress版本号，移除meta里的generator标签，让攻击者不好针对旧版漏洞。但隐藏不是万能的，核心是保持更新。WordPress、主题、插件都要及时更新，补安全漏洞。定期更新比隐藏更重要。

再加几道防线

装安全插件（如Wordfence）做防护，自动封爆破IP。备份要勤快，被黑能恢复。文件权限、数据库前缀也别用默认。管理后台用强密码。加固组合拳，WordPress安全才有保障。

总结：改后台地址、禁用XML-RPC、隐藏并更新版本、装安全插件、勤备份，WordPress安全就加固到位了。被黑的概率大降，网站更安心。