WordPress 网站可以不使用全能型安全插件，但移除插件并不会免除安全工作。必须通过 WordPress、托管平台、WAF 或营运流程有计划地提供防护。无插件方案不一定更快，也不一定更安全。
本文介绍实用的防护层及手动加固的限制。服务器设置因环境而异。修改前先备份，在正式环境以外测试，并请托管商或合格管理员检查你不了解的规则。
要点
- 更新 WordPress、主题、插件、服务器软件和相关组件。
- 为每位用户设置独立账号、强身份验证和必要的最小权限。
- 除了 WordPress 后台，也要保护托管账号、备份和恢复流程。
- 不要在不了解影响和回退方法的情况下复制服务器规则或数据库命令。
- 如果团队无法可靠地通过其他方式管理防护，应考虑安全插件。
先明确“不使用插件”的范围
无插件方案通常指不在 WordPress 内安装全能型安全产品，不代表完全不能使用 WordPress 插件，也不代表可以省略监控、请求频率控制、恶意软件调查或事故响应。部分控制可能由托管服务、WAF、身份管理工具或独立监控服务提供，每种方式都有成本和责任。
列明每项控制由哪个层级负责。如果没人负责某项控制，那么移除插件后，这项控制并不会自动得到覆盖。
从账号与更新着手
使用仍受支持的 WordPress、PHP、主题和插件版本。移除未使用的组件，只从可信来源取得软件。检查更新、准备经过测试的备份，并按照网站风险制定更新流程。WordPress 支持主题和插件自动更新，但团队仍需检查兼容性，并在更新后测试网站。
每位使用者都应有独立账号、强且独特的密码，并在可用时启用多重身份验证。特别注意保护托管、域名、电邮和管理员账号。根据岗位授予最低必要权限；人员离职或职责变更时，及时撤销访问权。保护恢复电邮账号，因为它可以用来重设其他账号。
保护托管、文件与数据库访问
保护托管控制面板，并只向授权人员开放命令列、数据库和文件访问。管理操作应使用加密连接。不要把正式环境凭证存放在代码库或公开信息中。确认托管商如何隔离网站、更新服务器软件和处理事故。
文件所有权和权限需要让 WordPress 正常运作，同时限制不必要的写入权限。具体数值取决于托管环境。不要照搬旧教程中的通用权限命令。请托管商根据账号和部署方式确认安全设置。
限制数据库访问，使用独立凭证，不要把管理服务公开到互联网。执行指南中的 SQL 清理命令前，应先确认资料表名称、用途和备份恢复方法。错误的数据库修改可能删除内容或令网站无法运作。
使用分层的网络和应用控制
WAF、请求频率限制和主机监控可以在流量到达 WordPress 前协助处理部分异常请求，但无法阻止所有攻击，也需要谨慎设置。应保留真实访客、整合服务和搜索爬虫的正常访问。先安全地测试规则，并查看日志以发现误拦截。
只有在网站不依赖 XML-RPC，且相关做法经过测试时，才停用该功能。隐藏登录网址不能取代身份验证、访问控制或监控。不要在未确认服务器类型、现有设置和回退计划前添加 Apache .htaccess 或 Nginx 指令。
正确设置的安全标头可以降低某些浏览器风险，但无法修补有漏洞的应用程序，也不能取代 HTTPS。应按照网站需求添加标头，并在发布后测试表单、嵌入内容、API 和必要资源。
备份、监控与事故响应
条件允许时，把备份与正式环境账号分开存放。确定业务要求的恢复点和恢复时限、备份保留周期、访问人员及还原测试频率。无法还原的备份不能构成恢复计划。
监控网站可用性、意外文件变更、可疑账号活动，以及已安装软件的安全公告。指定警报接收人和调查负责人。怀疑网站遭入侵时，应保存证据、限制受影响账号、联系托管商和合格应急人员，从确认安全的来源恢复，轮换凭证，并在恢复正常营运前调查入侵途径。
何时应该使用安全插件
专用安全插件可能提供控制面板、警报、恶意软件扫描、登录保护，或其他不容易自行协调的功能。应评估其功能、资源占用、更新记录、所需权限，以及与托管服务或 WAF 的重叠。避免安装多个会互相冲突或重复执行控制、却无人负责的工具。
目标是建立可持续维护的防护设计。如果团队无法维护手动控制，维护良好的插件或托管服务可能有助于减少营运缺口。请记录责任分工，并测试网站恢复流程。
安全实施检查清单
- 列出网站、托管、域名、账号、扩充功能和整合服务。
- 确认备份可以还原，并记录变更回退方法。
- 更新受支持的组件，移除不再需要的软件。
- 按照岗位限制用户、托管、数据库和文件访问权限。
- 与相关服务商检查托管、WAF 和监控控制。
- 在测试环境验证安全变更，并检查网站正常流程。
- 记录警报负责人、事故联系人和恢复步骤。
- 网站或风险环境改变时，重新评估防护设计。
如需持续管理 WordPress 更新和恢复计划，请参阅网站维护服务。WordPress 官方的加固指南可供参考，但服务器设置应根据实际环境评估。
常见问题
不安装安全插件会让 WordPress 更安全吗？
不一定。安全性取决于现有控制以及是否有人持续维护。插件可以成为合理防护的一部分；若无人监控或更新，手动配置也可能失效。
可以直接复制安全文章里的 .htaccess 规则吗？
不可以。先确认服务器使用 Apache，了解每条规则，并测试回退方法。有些规则会拦截正常请求或令网站功能失效。
修改登录网址能阻止攻击吗？
这可能减少部分自动请求，但不能取代强身份验证、最小权限、监控和更新。
来源与审阅说明
审阅日期：2026 年 10 月 20 日。WordPress 资料已对照官方加固手册和插件及主题更新说明。安全需求因网站和托管环境而异。应把防护视为持续的营运责任，而不是一次性检查清单。