WordPress 安全取决于应用程序和主机基础设施。应检查帐号隔离、受支持软件、访问控制、TLS、备份、日志和恢复方式。托管主机可能负责部分控制措施，但网站负责人仍需了解其余责任。
隔离网站并限制访问
询问网站是否与其他客户隔离，以及服务器和数据库如何实现隔离。限制管理员帐号，并在条件允许时启用多重身份验证。按职责授予访问权限，删除不再使用的帐号，并将机密信息存放在公开文件之外。
更新软件和 PHP
使用仍受支持的 PHP、数据库、WordPress、主题和插件版本。确定由谁测试和安装安全更新，如何处理紧急情况，以及支持期限是什么。不要让过时组件长期运行而没有替换计划。
TLS、防火墙和配置
确保 TLS 证书及时续期，并统一配置 HTTPS。根据威胁模型和主机架构，在合适时使用 Web 应用防火墙或网络控制。检查文件权限、wp-config.php 配置、SSH/SFTP 和数据库帐号。防火墙不能取代软件更新或访问控制。
备份和恢复
了解备份频率、保留期和存储位置。备份应有独立于正式系统的副本，并严格限制访问。测试整个网站和数据库的恢复流程。未经测试的备份不能证明系统能够成功恢复。
日志、监控和响应
了解记录哪些日志、谁能访问，以及数据保存多久。对服务故障、异常使用和可监测的安全问题设置警报。明确由谁调查、通知客户和修复问题。事件响应流程应符合合同及隐私责任。
如何评估主机供应商
要求提供责任矩阵，区分主机供应商、网站负责人和开发人员的工作。检查支持、资源限制、数据处理地点、访问权限、费用、恢复能力和退出流程。仅凭产品名称或“安全主机”的宣传，无法证明已落实哪些控制措施。
常见问题
哪些主机安全措施最重要？
应根据网站风险选择。检查隔离、软件支持、访问控制、TLS、经过测试的备份、监控和事件响应责任。
如何评估备份？
确认备份范围、频率、保留期、隔离方式和恢复测试，并询问恢复流程及所需时间。
什么时候应该更换主机？
如果供应商不再支持所需软件、控制或恢复能力不足，或运营需求发生变化，可以考虑迁移。迁移前先规划流程和责任。