WordPress 安全
WordPress 暴力破解与登录保护
机器人用撞库字典全天候攻击 wp-login.php 与 xmlrpc.php。登录锁定、尝试限制、双因素、XML-RPC 管控与服务器层限速结合，把洪水变成失败噪声，真正的管理员照常登录。
要点
- 限制登录尝试，逐级锁定并通知管理员。
- 所有管理员与编辑无例外强制双因素认证。
- 禁用 XML-RPC，或限制到特定 IP 与必需端点。
- 不改名（靠混淆没用），用真限流来防。
- 在服务器/WAF 层限流登录 URL，而不只靠 PHP 层。
- 管理员用户名唯一，禁用 admin，密码 16 位以上。
- 新国家或新设备成功登录即告警。
- 每周复查认证日志，作为监控的一部分。
一线手记
XML-RPC 是大多数站长忘记的登录入口：wp-login 锁得再死，xmlrpc.php 不禁用或不管控，机器人就走侧门进来了。
常见问题
双因素会烦到编辑吗？
现代验证器 App 只多花几秒。账户被盗后的清理要花几天，这笔账很划算。
要隐藏登录页吗？
能降噪但不算防护。保留标准 URL，用真限流加双因素。
无密码登录呢？
用户群体支持的话，magic link 与 WebAuthn 都是很好的升级。
编辑很多怎么管？
基于角色的最小权限、独立账户、定期访问复查。
Kinetikatech 如何在wordpress 安全方面为您提供帮助
您不必自己成为wordpress 安全专家：WordPress 的加固、恶意软件清理与持续防护 — 插件、主题、登录与文件完整性。WordPress 安全和网站维护正是为此而设：配置、加固、监控，并有工程师日夜值守。