外贸站为什么容易被盯上
独立站常年在线、承载支付与客户数据，是扫描器与自动化攻击的常客。攻击者很少针对某个站手工攻击，更多是批量扫描漏洞插件、尝试弱口令后台、注入垃圾链接。防御的关键不是装一个「万能安全插件」，而是把基础面收窄。
第一层：登录保护
- 修改默认管理员用户名，禁止使用 admin
- 强制高强度密码，并启用两步验证（2FA）
- 更换后台登录地址，或限制仅特定 IP 可访问
- 限制登录尝试次数，连续失败即封禁
- 关闭XML-RPC，减少被用于暴力破解与内容扫描的入口
第二层：权限与用户
遵循最小权限原则：内容编辑只给 Editor，运营人员只给能完成工作的角色，不要因为「方便」给所有人管理员。定期清理不活跃账号，离职人员第一时间移除。所有用户都应使用独立账号，禁止共用一个后台账号——否则一旦泄露，无法追溯责任。
第三层：插件与文件
停用并删除不再使用的插件，未使用的插件同样是攻击面。保留的插件保持更新，优先选择更新维护活跃、评价数量多的产品。主题与核心同理，删除多余的示例主题。关闭文件编辑器，避免后台被入侵后直接改写 PHP 文件；正确设置 wp-config.php 与目录权限，可写目录仅限必要位置。
第四层：防火墙与监控
接入 WAF（如 Cloudflare 或专业 WordPress 防火墙），在攻击到达站点前拦截常见漏洞利用与恶意 IP。开启访问与错误日志的定期巡检，异常的 404 暴增、大量登录尝试、不明后台访问都值得追查。有条件的开启文件完整性监控，核心文件被改动时能第一时间知晓。
第五层：备份——最后的保险
再完善的防护也可能失手，备份是唯一能保证「可回退」的措施。采用 3-2-1 思路：站点文件与数据库每日自动备份，备份文件保存在异地（对象存储而非同一台服务器）。每月至少做一次恢复演练——没有验证过能恢复的备份，等于没有备份。恢复演练要覆盖完整流程：还原文件、导入数据库、修正域名与配置、验证前台与后台可用。
执行顺序建议
- 当天：改密码、开 2FA、清理无用插件与用户
- 本周：配置自动异地备份并演练一次恢复
- 本月：接入 WAF、更换登录地址、关闭 XML-RPC
安全是持续过程。把上述清单做成季度检查项，站点的被攻击面会随着时间不断缩小。