WordPress 安全維護教學：7 個步驟打造不被駭的網站（2026）

結論先講：95% 的 WordPress 被駭，都是因為這 3 件事

① 外掛或主題沒更新。② 密碼太弱。③ 用了來路不明的外掛。

WordPress 本身的安全性沒問題。出事的幾乎都是「管理者習慣」。做好以下 7 個步驟，你的網站安全性就能超過 90% 的 WordPress 站。

WordPress 的安全現狀

WordPress 佔全球 43% 的網站，這讓它成為駭客最常攻擊的 CMS。攻擊量大，但防禦資源也多——官方和社群會持續修補漏洞，安全外掛的選擇也很豐富。

常見的攻擊方式：

7 個步驟強化 WordPress 安全

Step 1：保持核心、外掛和主題的更新

這是最重要的一步。WordPress 的安全更新通常是在修補已知漏洞，不更新等於把門打開讓人進來。

執行方式：

建議開啟「自動更新」，至少讓小版本（安全修補）自動裝。

Step 2：使用強密碼 + 雙重驗證（2FA）

弱密碼是暴力破解的主要目標。密碼至少 12 位，混合大小寫、數字、符號。

2FA 推薦外掛：

• WP 2FA
• Google Authenticator

啟用 2FA 後，就算密碼被猜到，沒有手機驗證碼也進不了後台。

Step 3：隱藏登入頁面

WordPress 預設登入網址是 /wp-admin 或 /wp-login.php，全世界都知道。改掉它可以擋掉大量自動化攻擊。

推薦外掛：WPS Hide Login。安裝後把登入路徑改成只有你知道的網址。

Step 4：限制登入嘗試次數

預設的 WordPress 不限制密碼錯誤次數，暴力破解可以一直試。設定限制後，錯誤超過次數就鎖定 IP。

推薦外掛：Limit Login Attempts Reloaded。建議設定：錯誤 3 次鎖定 30 分鐘。

Step 5：安裝防火牆和安全外掛

安全外掛可以主動掃描惡意程式、阻擋可疑流量、監控檔案變動。

新手選 Wordfence 免費版就足夠。

Step 6：啟用 HTTPS（SSL 憑證）

HTTPS 加密使用者和伺服器之間的傳輸資料。沒有 HTTPS，帳密和表單資料可能被攔截。

2026 年多數主機商都免費提供 SSL 憑證（Let's Encrypt）。確認你的網站網址開頭是 https:// 就對了。Google 也明確表示 HTTPS 是排名因素之一。

Step 7：定期備份網站

做了再多防護，都要有最後一道保險。定期備份確保出事時能快速復原。

重點：備份要存在「網站以外的地方」（雲端硬碟、本地電腦）。如果只存在主機上，主機被駭，備份也沒了。

進階安全措施

做完 7 個基本步驟後，可以再強化：

安全維護檢查清單

每月花 15 分鐘跑一遍：

• WordPress 核心、外掛、主題都是最新版
• 沒有用到的外掛和主題已經刪除
• 備份正常運作（測試還原過）
• 安全外掛掃描沒有異常
• 所有管理員帳號都有強密碼 + 2FA

延伸閱讀

常見問題 FAQ

Q1：WordPress 安全嗎？為什麼一直聽到被駭？

WordPress 本身安全性沒問題。被駭的原因幾乎都是管理者疏忽：外掛沒更新、密碼太弱、用了來路不明的主題。做好基本防護就能擋掉絕大多數攻擊。

Q2：安全外掛裝越多越安全嗎？

不是。裝太多安全外掛反而會互相衝突、拖慢速度。選一個主要的（例如 Wordfence）就夠了。

Q3：網站被駭了怎麼辦？

① 立刻改所有管理員密碼。② 用安全外掛掃描並清除惡意程式。③ 從乾淨的備份還原。④ 更新所有外掛和主題。如果情況嚴重，找專業的 WordPress 安全服務協助。

Q4：免費的安全外掛夠用嗎？

對個人站和小型企業站來說，Wordfence 免費版已經足夠。付費版多了即時 IP 黑名單和進階掃描，流量大的網站可以考慮升級。

想一次把網站安全和 SEO 做好？可以看 WordPress SEO 診斷與修復顧問服務，或訂閱《用減法瘦生活》電子報，每週收到 WordPress 維護和經營的實用心法。