WordPress安全設定怎麼做？企業網站必備防護清單與維護重點

WordPress 安全嗎？風險其實來自哪裡

WordPress 可以做得很安全，前提是核心、外掛、佈景主題、主機環境與帳號權限都有持續維護。多數問題不是 WordPress 天生危險，而是網站長期沒更新、外掛太多、密碼太弱或備份不可用。

以企業網站來看，WordPress 安全設定的重點不是追求零風險，而是把最常見、最容易造成營運中斷的破口先補起來。我的判斷是，很多網站被駭不是因為技術太複雜，而是基本維護沒有人負責。

風險來源	常見問題	合格標準
WordPress 核心	版本過舊，沒有安全修補	維持支援中版本，重大更新前有備份
外掛與佈景主題	停用但未刪除、多年未更新、來源不明	每月盤點，只保留必要且仍維護的項目
後台帳號	共用管理員、弱密碼、未開 2FA	每人獨立帳號，管理員啟用雙重驗證
主機環境	PHP 過舊、檔案權限過大、備份只存在同一台主機	PHP 維持支援中，備份可異地還原

WordPress 核心本身不是最大問題

WordPress 核心有固定維護流程與安全團隊，官方也公開說明其安全通報與修補機制，可參考 WordPress.org Security。企業真正要控管的是「是否有人持續更新與驗證」，不是只看系統名稱。

真正常見的破口：外掛、主題、密碼、主機設定

外掛漏洞、過期佈景主題、暴力登入、檔案權限錯誤，是台灣中小企業站最常見的風險組合。合格做法很清楚：外掛減量、版本追蹤、管理員 2FA、限制登入嘗試、主機定期備份。

開源是優勢還是風險？

開源的好處是問題容易被研究、回報與修補；風險是熱門外掛一旦出現弱點，攻擊者也能快速鎖定大量網站。實務上不要把「開源」視為安全保證，也不必把它當成原罪，重點是維護流程是否跟得上。

WordPress 安全設定優先級：今天先做哪幾件事？

時間有限時，先做更新、備份、強密碼、2FA、限制登入與外掛盤點。這些 WordPress 安全設定能最快降低被駭、無法還原、後台遭接管的風險。

時間	優先事項	合格標準
今天	更新核心與外掛、建立全站備份、強密碼、2FA、限制登入	備份可下載，管理員都已啟用 2FA
本週	設定 WAF、刪除不用外掛、整理權限、檢查 SSL	只留下必要外掛，前台全站 HTTPS 正常
每月	更新紀錄、弱點追蹤、備份還原測試	有紀錄、有負責人、有測試結果
事件後	隔離、掃描、還原、改密碼、Search Console 檢查	確認破口已修補，再申請重新審查

今天先做：更新、備份、強密碼、2FA、限制登入

今天要處理的是最高機率、最高損害的風險。先備份資料庫與檔案，再更新可安全更新的外掛與佈景主題，接著要求所有管理員改用密碼管理器產生的強密碼，並開啟雙重驗證。

本週完成：WAF、外掛盤點、權限整理、SSL 檢查

本週要把網站調整成可維護狀態。WAF 用來過濾惡意流量，外掛盤點用來減少攻擊面，權限整理用來避免每個人都是管理員，SSL 檢查則確保登入、表單與後台傳輸不裸露。

每月維護：更新紀錄、弱點追蹤、備份還原測試

每月維護不要只看後台有沒有紅點。合格流程要記錄更新日期、更新項目、更新後測試結果、備份是否能還原，以及是否有外掛或佈景主題被弱點公告點名。

外掛與佈景主題安全：不是下載量高就安全

外掛與佈景主題是 WordPress 資安最需要管理的攻擊面。下載量高代表使用者多，不代表永遠安全；真正要看的是更新頻率、弱點紀錄、權限範圍與開發者修補速度。

稽核項目	要看什麼	建議決策
更新狀態	是否長期沒有更新，是否相容目前 WordPress 與 PHP	長期未維護就找替代方案
弱點紀錄	是否常被公告高風險漏洞，修補是否快速	若反覆出問題，列入淘汰清單
權限範圍	是否要求不合理權限或可新增管理員	功能不必要就停用並刪除
來源	是否來自官方目錄、可信開發商或正版授權	避免來路不明與破解版本

外掛過多會增加攻擊面

每多一個外掛，就多一組程式碼、設定頁、更新週期與可能的相容性問題。我的實務標準是：停用超過一個月仍沒用到的外掛，除非有明確理由，應該刪除而不是留在後台。

外掛淘汰標準：沒更新、評價異常、權限過大

外掛淘汰不必靠感覺。超過一段時間未維護、支援討論區大量未解問題、近期有高風險弱點但修補慢、要求的權限超過功能需要，這些都應列入替換或移除。

熱門外掛爆出重大弱點時怎麼判斷是否受影響

先確認網站是否有安裝，再確認是否啟用，接著比對目前版本是否落在受影響版本範圍，最後查看是否已有修補版本。不要只看新聞標題，也不要看到 CVE 就恐慌。

登入與後台防護：先擋掉最常見的暴力攻擊

WordPress 登入安全的基本做法是強密碼、雙重驗證、限制登入嘗試、控管管理員權限。這些設定能大幅降低後台被猜密碼或帳號外流後遭接管的風險。

強密碼與雙重驗證是基本盤

強密碼要使用密碼管理器產生，避免公司名稱、電話、生日、品牌名稱加年份這類可猜組合。2FA 建議至少套用在管理員與編輯帳號，合格狀態是沒有任何管理員只靠密碼登入。

限制登入嘗試與可疑 IP

暴力登入通常靠大量嘗試帳號密碼組合。可透過安全外掛、主機防護或 WAF 限制短時間內的登入次數，並封鎖異常來源。做到合格時，後台不應允許同一來源無限制嘗試。

管理員帳號不要共用

公司網站常見問題是全公司共用一組 admin。這會讓離職交接、錯誤操作與權限追蹤都變得困難。每個人應有自己的帳號，只給工作需要的角色，離職或結案時立即停用。

安全外掛、WAF、CDN、主機防護怎麼分工？

安全外掛、WAF、CDN、主機防護各自處理不同層級的風險。WordPress 防火牆與掃描工具有幫助，但不能取代備份、主機隔離、版本更新與帳號管理。

防護層	主要用途	不能取代什麼
Wordfence 類安全外掛	站內掃描、登入防護、檔案變更監控	主機備份與雲端流量防護
Sucuri 類安全服務	掃描、清理、網站安全服務	日常外掛盤點與權限治理
Cloudflare 類 CDN/WAF	DDoS 防護、惡意請求過濾、機器人控管	WordPress 內部帳號安全
主機商防護	伺服器隔離、PHP 環境、備份、惡意程式偵測	網站管理者的更新流程

安全外掛負責站內掃描與登入防護

安全外掛適合處理 WordPress 內部的登入限制、惡意程式掃描、檔案異動提醒與基本防火牆規則。可搭配 Wordfence Intelligence 這類弱點資料來源做版本比對。

雲端 WAF 負責流量入口防護

雲端 WAF 在請求進到主機前先過濾可疑流量，對 DDoS、惡意機器人、常見 SQL injection 與 XSS 探測有幫助。我的建議是，企業站至少要有一層入口防護，不要把所有壓力丟給 WordPress 本身。

主機商防護負責隔離、備份與伺服器安全

主機商的責任在伺服器層級，包括 PHP 版本、帳號隔離、檔案掃描、備份保存與還原協助。合格主機不是只看速度，也要能說清楚備份頻率、保留時間與被駭時的處理方式。

更新前後 SOP：不要只按更新按鈕

WordPress 更新前要先備份，必要時在測試站驗證；更新後要檢查首頁、表單、結帳、SEO 外掛與快取。這樣才能降低安全更新造成營運故障的風險。

階段	動作	合格標準
更新前	備份資料庫、uploads、外掛、佈景主題與設定檔	能下載或還原，不只顯示備份成功
更新中	先外掛與佈景主題，再核心，必要時檢查 PHP 相容性	逐項更新，不一次大量操作後才檢查
更新後	檢查首頁、表單、結帳、登入、SEO 外掛、快取	關鍵功能實際操作通過
紀錄	記下日期、版本、異常、處理人	下次出問題能追溯

更新前：備份資料庫與檔案

WordPress 備份要包含資料庫與檔案。資料庫保存文章、設定、訂單與會員資料；檔案包含媒體、外掛、佈景主題與上傳內容。只備份其中一邊，出事時通常無法完整還原。

更新順序：先外掛與佈景主題，再核心，最後測試

外掛與佈景主題常依賴 WordPress 核心與 PHP 版本。較穩妥的順序是先處理外掛與佈景主題，再更新核心，最後清快取並測試前台功能。高營收網站應先在測試站跑一次。

更新後檢查：首頁、表單、結帳、SEO 外掛、快取

更新完成不代表工作結束。至少要檢查首頁載入、選單、聯絡表單、會員登入、電商結帳、付款通知、SEO 標題描述、sitemap、robots 設定與快取是否正常。

主機與伺服器層級的 WordPress 安全設定

WordPress 安全不能只靠後台外掛。PHP 版本、SSL、wp-config.php、檔案權限、資料庫權限與主機隔離，都會影響網站被入侵後的擴散程度與復原難度。

設定	為什麼重要	合格標準
PHP 版本	舊版本缺少安全修補	使用主機商仍支援的版本
SSL	保護登入與表單傳輸	全站 HTTPS，無混合內容警告
wp-config.php	保存資料庫連線與安全金鑰	限制存取，避免公開下載
檔案權限	避免被寫入惡意檔案	依主機建議設定，不開過大權限
資料庫權限	降低入侵後擴散	使用專用帳號與最小必要權限

PHP 版本與主機環境要維持支援中

PHP 是 WordPress 的執行環境。版本過舊時，即使 WordPress 後台看起來正常，也可能缺少安全修補。合格做法是確認主機商提供支援中版本，並在更新 PHP 前測試外掛相容性。

停用後台檔案編輯器、保護 wp-config.php

後台檔案編輯器被濫用時，攻擊者可能直接修改外掛或佈景主題檔案。可在設定中停用檔案編輯功能，並依主機環境保護 wp-config.php，降低入侵後擴大傷害。

檔案與資料庫權限不要開太大

有些站長為了讓外掛能寫入檔案，把權限開得過大，短期看似方便，長期會增加風險。檔案與資料庫帳號都應採最小權限，需要寫入的目錄才給必要權限。

如何追蹤最新 WordPress 外掛與主題弱點？

追蹤 WordPress 外掛漏洞時，要比對受影響版本、修補版本、嚴重度與自己是否安裝。台灣站長可搭配 NICS、CVE、Wordfence、Patchstack 與官方更新紀錄。

1. 列出網站目前安裝的外掛與佈景主題版本。
2. 查詢 NICS 漏洞警訊 RSS、Wordfence Intelligence、Patchstack Database 與 CVE 資料。
3. 確認公告中的受影響版本是否包含自己的版本。
4. 確認是否已安裝、是否啟用、是否有公開利用風險。
5. 先修補高風險且已啟用的項目，再安排其餘更新。

看懂弱點公告：受影響版本、修補版本、嚴重度

弱點公告不要只看標題。真正要看的是受影響版本、修補版本、CVSS 嚴重度、攻擊者是否需要登入、是否可遠端利用，以及你的網站是否有開啟相關功能。

台灣站長可追蹤的資安來源

NICS 會發布漏洞警訊公告，適合作為台灣在地資安來源；Wordfence 與 Patchstack 則更貼近 WordPress 生態。若公告有 CVE 編號，可再到 NVD 或 CVE 相關資料庫交叉確認。

不是每個弱點都要恐慌，但每個受影響版本都要處理

判斷順序應該是：有沒有安裝、是否啟用、版本是否受影響、是否已有修補、是否能被未登入攻擊者利用。只要版本受影響，就要排入處理，不要因為目前沒看到異常就忽略。

備份與還原：WordPress 安全的最後一道防線

WordPress 備份要能完整還原網站，而不只是產生一個備份檔。合格備份必須包含資料庫與檔案，保存在主機以外的位置，並定期測試還原。

網站類型	建議備份頻率	還原測試
企業形象站	至少每週，改版前另做一次	每季測試一次
內容站或部落格	依發布頻率，常更新可每日	每季或重大改版前測試
電商與會員網站	每日或更高頻率，依交易量調整	每月測試，並確認訂單資料完整
活動頁或短期專案	上線前、活動中、下線前各一次	上線前至少測一次

備份要包含資料庫與檔案

資料庫保存文章、頁面、留言、訂單、會員與外掛設定；檔案保存圖片、附件、佈景主題與外掛。兩者缺一，都可能讓還原後的網站缺內容或無法正常運作。

備份頻率依網站類型調整

企業形象站變動少，可用每週備份加改版前備份；內容站要看發布頻率；電商、課程、會員站有訂單與帳號資料，備份頻率應更高。成本要看資料變動速度，不要一體適用。

沒測過還原的備份不算真正安全

備份成功通知只能代表檔案產生，不代表能還原。合格做法是在測試站定期還原，確認首頁、後台、媒體、表單、訂單或會員資料能正常使用。

WordPress 被駭後怎麼辦？處理順序比亂刪檔案更重要

WordPress 被駭後，先隔離與保留證據，再檢查異常帳號、惡意檔案、跳轉與垃圾頁。清理後要改密碼、更新漏洞、還原乾淨版本，並到 Search Console 確認安全性問題。

1. 暫停可疑表單、帳號、外掛或付款功能。
2. 截圖與保存主機紀錄，避免先亂刪檔案。
3. 檢查管理員帳號、近期檔案、排程工作與異常跳轉。
4. 掃描惡意程式，必要時用乾淨備份還原。
5. 更新核心、外掛、佈景主題與 PHP 環境。
6. 重設所有管理員密碼、資料庫密碼與 API 金鑰。
7. 到 Google Search Console 安全性問題報告 檢查並申請重新審查。

先保留證據與暫停可疑功能

被駭後第一件事不是清空網站，而是降低損害並保留線索。先暫停可疑帳號、表單、付款或檔案上傳功能，保存主機紀錄與異常頁面截圖，方便判斷入侵路徑。

檢查異常管理員、跳轉、惡意檔案、垃圾頁

常見症狀包括多出陌生管理員、前台被導到奇怪網站、uploads 目錄出現可執行檔、搜尋結果冒出垃圾頁。我的經驗是，搜尋結果異常常比站內肉眼檢查更早暴露問題。

清理後要改密碼、更新、重新送審 Google

清理完成後，要重設管理員密碼、資料庫密碼、FTP 或 SSH 帳號、外部 API 金鑰，並補上造成入侵的外掛或主機弱點。若 Google 顯示安全警示，修復後再申請重新審查。

WordPress 安全與 SEO：被駭不只影響網站，也會影響搜尋信任

WordPress 被駭會影響 SEO，常見後果包括惡意跳轉、垃圾頁被索引、釣魚內容、安全警示與點擊率下降。資安問題不一定立刻掉排名，但會直接傷害搜尋信任。

惡意頁面會污染索引

被駭網站可能被塞入大量賭博、藥品、成人或釣魚頁，這些頁面可能進入 Google 索引。站長要用 Search Console、site 搜尋、sitemap 與伺服器檔案交叉檢查，清掉後再要求重新處理。

Google 標示危險網站會降低點擊與信任

Google 說明安全性問題可能導致搜尋結果警示或瀏覽器警告。對企業站來說，這不只是技術問題，客戶看到警示後通常不會再填表、下單或聯絡公司。

不建議在本文深入的內容

WordPress 安全設定應先聚焦在可執行的防護、更新、備份、弱點追蹤與事件處理。主機採購評比、完整法規顧問、滲透測試與漏洞利用教學，應分開處理。

不建議把所有問題都塞進同一篇安全指南，因為站長最需要的是先完成最低合格標準：更新、備份、2FA、限制登入、外掛盤點、WAF、弱點追蹤與還原測試。

WordPress 還有人用嗎？

有。WordPress 仍是常見的網站系統，官方也說明 WordPress 支撐全球大量網站。安全關鍵不在於有沒有人用，而在於是否持續更新、控管外掛、做好備份與登入防護。

WordPress 真的不安全嗎？

不是。WordPress 核心本身有持續維護，常見風險多半來自過期外掛、佈景主題、弱密碼、主機設定與缺乏維護。把責任分清楚，才知道該補哪裡。

WordPress 安全設定最先要做哪幾項？

先做核心與外掛更新、強密碼、雙重驗證、限制登入、全站備份、SSL、刪除不用的外掛。這些項目能最快降低後台被接管與無法還原的風險。

安全外掛裝一個就夠了嗎？

不夠。安全外掛只能處理部分站內防護，仍需要備份、WAF、主機安全、弱點追蹤與更新流程。只裝外掛卻不更新、不備份，安全性仍然不合格。

Wordfence、Sucuri、Cloudflare 差在哪裡？

Wordfence 偏站內防護與掃描，Sucuri 偏網站安全服務與清理，Cloudflare 偏流量入口、CDN、DDoS 防護與雲端 WAF。三者可互補，但不能互相完全取代。

自動更新該不該開？

小型網站可開啟部分自動更新，但要搭配備份與更新後檢查。電商、會員站或高營收網站建議先在測試站驗證，再更新正式站，避免安全修補變成功能故障。

下載量高的外掛就一定安全嗎？

不一定。熱門外掛一旦出現弱點，影響規模也可能更大。判斷外掛安全要看更新頻率、修補速度、弱點紀錄、權限範圍與是否仍有開發者維護。

WordPress 被駭會影響 SEO 嗎？

會。惡意跳轉、垃圾頁、釣魚內容與 Google 安全警示都可能影響索引、點擊率與品牌信任。修復時要同時處理網站檔案、弱點來源與 Search Console 安全性問題。

怎麼知道我的外掛有沒有漏洞？

先列出外掛名稱與版本，再查官方更新紀錄、NICS、CVE、Wordfence Intelligence、Patchstack 等來源。若版本落在受影響範圍，應立即更新、停用或替換。

WordPress 備份多久做一次？

一般企業形象站至少每週，內容站依發布頻率調整，電商或會員網站建議每日甚至更高頻率。備份還要定期測試還原，否則出事時不一定救得回來。