WordPress外贸站突然被黑，挂上了黄色广告？安全防护不配等于裸奔
“哥，我网站突然被客户投诉，说点进去跳转到黄色网站，我一查首页代码，全是我没见过的 script 和 iframe…”
一个做五金螺丝外贸的老客户吓得不轻。
我一看就是被挂马了，而且很隐蔽。首页代码中间偷偷塞了远程JS脚本，还定时替换内容，只有国外IP才触发跳转 🫥
最要命的是，他装站时没做任何安全防护，也没备份，WordPress默认权限全开，就像一扇敞开的门。
我说：“WordPress本身不危险，不设防才是最大漏洞。”
我帮他做了整站查杀 + 重构后，也顺便做了这套安全进阶配置 👇
🛠️ 1. 安装安全插件（推荐 Wordfence / Solid Security）
✅ 实时防火墙
✅ 后门扫描（包含上传目录）
✅ 登录异常警报
✅ 核心文件比对
他用的是 Wordfence，我设置了每晚自动扫描 + 邮件通知，一旦出现不明修改立刻提醒📩
🔐 2. 禁止文件编辑 / 限制PHP执行权限
在 wp-config.php 添加👇：
再加一条 .htaccess 规则，阻止 uploads 等目录执行PHP文件：
这两步可以防止被上传木马脚本后直接执行⚠️
🧱 3. 登录防暴力破解 + 限制后台访问
-
限制后台登录次数（5次错误即锁定）
-
开启 2FA双重认证
-
使用插件限制
wp-login.php访问，只开放白名单IP段（国外客户可跳过）
📦 4. 自动备份（至少每周一次）
推荐 UpdraftPlus / All-in-One WP Migration
✅ 自动同步备份到 Google Drive / Dropbox / 本地FTP
✅ 每次插件更新 / WordPress核心更新前强制执行快照 ✅
🧪 5. 定期扫描网站状态（可接入监测工具）
-
UptimeRobot / Better Uptime
-
检测网站是否被黑、是否打开跳转、SSL是否失效
-
一旦异常 1分钟内自动发邮件+短信通知 ☎️
他做完这些后又补了一句：“我建站的时候想省几百块插件钱，结果现在花了几天恢复，外加损失两个客户…”
我说：“做站不是一锤子买卖，尤其你这个站是赚钱机器，连机器门都不上锁，你指望它啥都不丢？”
WordPress 不怕黑，但怕你“啥都默认”；
外贸站要跑得久，就得守得住。
配置对、备份全、检测自动、权限收紧，
⚙️ 你才能安安心心接客户、收询盘，而不是每天担心被入侵 🧠