越来越多的网站支持添加二步认证Two-Factor Authentication以提高安全性，在国内更多是以账号密码+短信码的方式，但海外网站可能更多采用二步认证的方式。
创新互联建站是一家从事企业网站建设、网站设计、做网站、行业门户网站建设、网页设计制作的专业网络公司，拥有经验丰富的网站建设工程师和网页设计人员，具备各种规模与类型网站建设的实力，在网站建设领域树立了自己独特的设计风格。自公司成立以来曾独立设计制作的站点近千家。
如果你觉得有必要为你的WordPress网站开启二步认证，则可以继续阅读本教程，了解如何使用Google Authenticator或者SMS短信验证码为WordPress添加Two-Factor Authentication。
为什么要为WordPress登录添加二步验证？
黑客使用的最常见的技巧之一称为暴力攻击。通过使用自动化脚本，黑客会尝试猜测正确的用户名和密码以攻入WordPress 网站。
如果他们窃取了密码或准确猜到了密码，则他们可能会用恶意软件感染您的网站，比如挂马、加密数据要挟。
保护WordPress网站免遭密码被盗的最简单方法之一是添加二步认证。这样，即使有人窃取了密码，他们无法跳过使用手机输入安全代码才能访问的步骤。
有多种方法设置WordPress二步认证登录。但是，最安全、最简单的方法是使用身份验证器应用程序。
方法 1. 使用WP 2FA插件添加二步认证（更简单的方法）
方法 2. 使用Two Factor插件添加二步认证
方法 1. 使用WP 2FA插件添加二步认证
这种方法最为简单，推荐大家首选此方法。这个方法很灵活，允许您对所有用户强制执行二步身份验证。
首先，您需要安装并启用WP 2FA – Two-factor Authentication插件。
启用后，您需要访问用户»您的个人资料页面并向下滚动到“WP 2FA Settings”部分。
点击“Configure Two-factor authentication (2FA)”按钮以启动设置向导。
插件将要求您选择一种身份验证方法：
使用您选择的应用程序生成的One-time code（推荐）
通过电子邮件发送给您的One-time code
建议您选择app方式认证，更安全可靠。然后单击下一步按钮继续。
该插件将向您展示一个二维码，您需要使用身份验证器应用（authenticator app）扫描该二维码。
什么是身份验证器应用（Authenticator App）？
身份验证器应用是一种智能手机应用程序，可为您保存在其中的帐户生成一个临时的一次性密码。
基本上，应用和您的服务器使用密钥来加密信息并生成一次性代码，您可以将其用作第二层保护。
有很多这样的应用可以免费使用。
最受欢迎的是Google Authenticator，但它并不是最好的。虽然它工作得很好，但它不提供可以在手机丢失时使用的备份。
我们建议使用Authy，因为它是一个易于使用且免费的应用程序，该应用还允许您以加密格式将您的帐户保存在云中。这样，如果您丢失了手机，则只需输入主密码即可恢复所有帐户。
其他密码管理器（如LastPass、1password等）都带有自己的身份验证器版本，它们都比Google身份验证器要好用得多，因为它们支持恢复密钥。
在本教程中，我们将使用Authy作为示例。
首先，单击身份验证器应用程序中的添加帐户按钮：
然后，该应用程序将请求访问您手机上的相机的权限。您需要允许此权限，以便您可以扫描插件设置页面上显示的二维码。
身份验证器应用现在将保存您的网站帐户，并开始显示可用于登录的一次性密码。
在插件的设置向导中，单击“I’m Ready”按钮继续。
该插件现在会要求您验证一次性密码。只需在身份验证器应用中单击您的帐户，它就会显示一个六位数的一次性密码，输入该密码。
之后，该插件将为您提供生成和保存备份代码的选项。如果您无法使用手机，则可以使用这些代码。您可以打印这些备份代码并将它们保存在安全的地方。
之后，您可以退出设置向导。
为所有WordPress用户设置WP 2-FA两步认证登录
如果您运行多用户WordPress网站，例如会员网站，则该插件还允许您为网站上的所有用户启用或强制执行二步认证登录验证。
只需转到设置»Two-factor Authentication页面即可配置插件设置。
该插件支持为所有用户启用二步认证登录，强制所有用户登录，并给用户足够的时间进行设置。
如果您的WordPress网站使用自定义登录表单页面，那么您还可以创建一个自定义页面，用户无需访问WordPress管理后台即可在其中管理其二步认证身份验证器设置。
不要忘记单击“保存更改”按钮来存储您的新设置。
以下是用户输入常规WordPress密码后，WordPress默认登录界面要求输入二步认证身份验证代码。
方法 2. 使用Two Factor插件添加二步认证
这种方法不太灵活，因为该插件不支持为所有用户强制执行两步认证登录。每个用户都必须自己设置，并且可以从他们的个人资料中禁用它。
首先，您需要安装并启用Two Factor插件。
启用插件后，访问用户»个人资料页面并向下滚动到Two-Factor Options部分。
从这里，您需要选择一个二步认证登录选项。该插件支持使用电子邮件、身份验证器应用和FIDO U2F安全密钥方法。
我们建议使用身份验证器应用方法。只需下载Google Authenticator、Authy 或 LastPass Authenticator等身份验证器应用，然后扫描屏幕上显示的二维码。
扫描二维码后，应用程序将向您显示验证码，您需要在插件选项中输入该验证码，然后单击提交按钮。
该插件现在将设置密钥。您可以随时从设置页面重置此密钥以重新扫描二维码。
不要忘记单击“Update Profile”按钮以保存您的设置。
现在，每次您登录WordPress网站时，系统都会要求您输入手机上应用生成的验证码。
关于WordPress中二步认证 (2FA) 的常见问题
以下是有关在WordPress中使用两步认证登录的一些常见问题的解答。
1. 如果无法访问手机，如何登录？
如果您使用的是带有Authy等云备份选项的身份验证器应用，那么您也可以在笔记本电脑上安装该应用程序。
即使没有随身携带手机，您可以访问身份验证代码。它还支持在购买新手机时恢复您的密钥。
上面提到的两种方法还支持您生成备份代码。当您无法使用手机时，这些代码也可用作一次性密码。
2. 如何不用密码登录？
如果您无权访问手机、笔记本电脑或备用代码，则只能通过禁用该插件来登录。
停用所有插件后，它还将禁用二步身份验证插件，您将能够登录到您的WordPress网站。登录后，您可以重新启用插件并重置二步身份验证设置。
3. 我还需要密码保护WordPress管理文件夹吗？
从使用HTTPS和安全WordPress托管等基础知识开始，当您拥有多层安全保护来保护您的网站时，网站安全效果最佳。二步认证的主要目的是加强WordPress登录安全，但您可以通过密码保护WordPress管理后台使其更加安全。
如果的WordPress网站是一个会员网站、在线商店或在线课程网站，就更应该做二步认证登录。
关于WordPress安全，建议大家可以阅读“如何有效地保护您的WordPress站点免受攻击入侵”和“WordPress网站免费SSL证书申请及配置教程”，来进一步完善WordPress安全防护措施。
原创文章，作者：微想小云，如若转载，请注明出处：
Wordpress下载Wordpress主机推荐Wordpress使用心得Wordpress怎么建站Wordpress插件Wordpress虚拟主机Wordpress问题解决
赞 (0)
生成海报
如何有效地保护您的WordPress站点免受攻击入侵
上一篇2022年 9月 24日 am8:13
如何正确地删除WordPress
一、关闭wordpress自带站内搜索
php+mysql已经广泛应用于各大网站，但sql注入问题是都会存在的一大事实，黑客就是利用sql注入做了许多坏事。wordpress网站使用人数也逐渐增高，在安全性上也是公认的，回过头来说站内搜索吧，别扯远了，高深的问题当下也消化不了。
一般来说sql查询越多，对网站效率越差负载也很高，为了优化wordpress怎么减少sql查询呢？因为wordpress自带的站内搜索不单每次都进行sql查询，而且查询都是不是十分准确的，所以可以换成百度或谷歌等这些开放站内搜索，来进行wordpress优化，还提高了用户体验。
但如果有访客通过"wordpress/?s=$key"这种方式，仍然可以使用wordpress自带的站内搜索，因此，下面就可以用这种方法完全关闭wordpress自带的站内搜索。方法很简单，只需在function.php中加入以下代码即可。
function fb_filter_query( $query, $error = true ) {
if ( is_search() ) {
$query-is_search = false;
$query-query_vars[s] = false;
$query-query[s] = false;
if ( $error == true )
$query-is_404 = true;
}
}
add_action( 'parse_query', 'fb_filter_query' );
add_filter( 'get_search_form', create_function( '$a', "return null;" ) );
二、关闭wordpress对外请求
相信大家都发现了，浏览器状态栏会有wordpress网站向其他网站的链接，这大大影响了wordpress站点的速度，为了优化wordpress，可以在wp-config.php中插入以下代码来屏蔽对外请求。
define('WP_HTTP_BLOCK_EXTERNAL', true);
到这里，相信大家就开始怀疑影不影响收录，其实完全可以设置wordpress对外请求白名单，将百度、google等ping地址添加上即可。代码如下（以百度为例）：
define('WP_ACCESSIBLE_HOSTS', 'ping.baidu.com');
转发 评论 0 浏览 5090
昵称(必填)
邮箱 (必填)
网址
WordPress优化一直以来是各位wordpress站长所关心的问题，wordpress本身已经有强大的安全防护措施，但是无聊人士之多，今天就跟大家谈谈如何保护你的wordpress网站。什么是暴力破解?不是每一个WordPress站长或者Web开发人员都不错。总有一些邪恶的人。 暴力破解是当一个人或一些机器上尝试通过反复发送的登录尝试破解您的用户名密码组合。 他们会使用一些常见的和随机的用户名和密码组合进行连续登录尝试到你的WordPress。如何保护你的wordpress防止被暴力破解?当然这是我们今天讨论的主题，暴力破解是邪恶的，但是你可以很容易地通过采取下面这些简单的预防措施保护您的WordPress的强力攻击：强大的用户名：您还是使用的是admin为你的WordPress的用户名? 这是默认的用户名也很容易被黑客猜出此用户名。 请务必使用您的姓名或不同的东西作为你的WordPress的管理员用户名。强密码：就像强大的用户名，你需要一个强大的密码! 暴力破解者试图猜测一些随机密码组合，字典中的单词，并使用所有常用的密码破解您的密码。 使用password作为您的密码是不是一个明智的举动，因为暴力破解将马上破解这个密码。 强大的wordpress密码应该使用随机字母，数字和特殊字符。 不要使用类似123456或QWERTY字符串。您也可以通过访问howsecureismypassword.net 来检查您的密码强度。限制登录尝试：您也应该在你的WordPress网站限制登录尝试。 限制登录尝试的插件(Limit Login Attempts)会阻止管理员指定的限制登陆次数后的操作。 它不会让暴力破解尝试破解你的密码。通过IP限制进入wp-admin和wp-login：如果你是一个人在管理你的WordPress，那么只需要你自己能进入wordpress后台即可，你可以设定一个固定的IP地址段，通过.htaccess文件来限制进入wp-login和wp-admin。 你可以这样写：Order deny,allowDeny from allAllow from xx.xx.xx.0/24#Another IPAllow from xx.xx.xx.xx替换xx.xx.xx.xx 成你的IP地址. 要知道你的IP地址，你可以在百度中输入IP即可查询，也可以访问ip138。WordPress插件：其实这方面的插件很多，今天主要是介绍这款插件Wordfence Security，后台搜索即可安装，此款插件可以保护你的wordpress的安全，防止被暴力破解等攻击。所有这些步骤一定会保护你的WordPress网站从所有这些无用和邪恶的暴力破解攻击，你认为这些方法怎么样?转账请注明：/save-wordpress-brute-force-attacks/ 谢谢合作
1. 无法登录
这是显而易见的。如果无法登录到WordPress控制面板，这意味着已经被黑客攻击（除非是同事进行的恶作剧）。原因可能有很多，但最主要原因是使用以下之一的用户名：如果是这种情况，请立即更换用户名，因为使用这些用户名的WordPress账户经常成为黑客的目标。
2. 流量突然减少
如果网站本来表现得非常好，现在流量突然下降，那么WordPress网站有可能被黑客攻击了。这是因为恶意黑客创建了WordPress文件系统的后门，并将代码替换为自己的脚本和文件。这样，他们就会将访问网站的流量重定向到其他垃圾站点，窃取访问者的私人信息，并以其他方式造成破坏。此外，一旦谷歌发现网站已经被感染并且行为不端，它就会将网站列入黑名单，直到确保网站安全，所有这些问题都会导致流量突然下降。
3. 主页已被破坏
大多数黑客都是秘密行动，但有些黑客在成功劫持网站时，喜欢把自己的名字公布出来。如果主页被破坏，而且可以清楚地看到黑客的名字或某种形式的公告，说明网站被黑客攻击了，需要立即行动。之所以会出现这种情况，主要是黑客想挟持网站，以换取金钱或其他需求。
4. 看到没有投放的弹出窗口和其他广告
如果看到WordPress网站变得缓慢且无响应，而且现在有弹出窗口、侧边栏等广告，这可能是网站被黑客攻击的肯定信号。通常情况下，这种攻击不是由黑客完成的。相反，这是一种自动攻击，它通过保护薄弱的主题或不安全的插件进入了WordPress核心系统。让这种成为事实的是，广告不会显示为登录用户或用户能够直接访问网站。相反，广告只会显示给那些通过谷歌或其他推荐网站来到网站的访问者，这可能使自己实际上不可能知道网站已经被黑客攻击了很久。另外，广告会将访问者引向垃圾网站，这不仅会损害网站及其流量，还会损害声誉。
5. 网站服务器日志中存在异常活动
如果存在非常有效的方法来知道网站是否被黑客攻击，那就是查看网站服务器日志。它们位于cPanel控制面板中，可以通过登录到托管账户来访问，在cPanel中的统计数据下，会发现两种日志：
访问日志：这些日志显示谁通过哪个IP访问了WordPress。
错误日志：这些日志会显示在修改WordPress系统文件时发生了什么错误。
