【Wordfence Security 推薦】最受歡迎的 WordPress 安全性外掛

WordPress 是一個非常受歡迎的架站平台，因此它吸引了大量駭客的注意力，WordPress 被駭的情形也略有耳聞，儘管 WordPress 官方不斷努力的使 WordPress 成為一個安全的內容管理系統，但是新的惡意軟體和駭客還是不斷湧現。

如果你發現你的網站有下面的情況，很有可能代表你的網站已經被駭了

• 網址被導向其他網站
• 無端被註冊陌生的新帳戶
• 被添加莫名的文章或是廣告
• 網站變得超級慢
• 密碼被更改無法登入控制台
• Google 搜尋上顯示「這個網站可能已遭到入侵」的警告

駭客通常會利用某些外掛或是佈景主題的漏洞來入侵你的網站，或是某些不肖的開發商在自己的產品嵌入有害的程式碼，所以這就是為什麼我們需要定期掃描 WordPress 檔案，檢查惡意軟體或是惡意程式碼是否被安插到我們的網站上。

Wordfence Security 簡介

Wordfence Security 是 WordPress 上最受歡迎的安全防護外掛之一，它有超過 3 百萬以上的有效安裝以及 3,000 多個五星評價。

它包含了網頁應用程式防火牆（Web Application Firewall）、惡意軟體掃描功能（Malware Scanner）和雙重要素驗證（Two-factor Authentication），能夠確保你的網站安全。

以下是 Wordfence Security 的功能特色

「終端」（Endpoint）防火牆

Wordfence 的「終端」防火牆可以識別並阻止惡意攻擊，保護 WordPress 以及其子目錄中的其他內容。根據 Wordfence 的說法，他們的終端防火牆有別於 Sucuri（現在由 GoDaddy 擁有）和 Cloudflare 等其他公司所提供的「雲端」防火牆有被駭客繞過並直接攻擊伺服器的危險，可以有效地保護你的 WordPress 網站。

它透過在.htaccess或是php.ini檔案中添加一個名為auto_prepend_file的指令，告訴你的伺服器在執行任何其他PHP指令之前先運行 Wordfence 防火牆，以確保 Wordfence 可以在惡意程式執行之前保護你的網站。

惡意軟體掃描功能

Wordfence 的惡意軟體掃描功能可以檢查你的網站上是否包含惡意軟體、不良連結、安全漏洞、惡意重新導向的程式碼、不安全的佈景主題和外掛，可以確保你的檔案、文章和評論不包含危險網址或是可疑內容。

它會將你的檔案與 WordPress.org 資料庫中的檔案進行比較，檢查其完整性並向你報告如果有發現任何的變更，並且透過使用原始的檔案版本來修復已遭到駭客更改的檔案，然後刪除任何不應該出現的檔案。

登入安全防護

Wordfence 整合了雙重認證（2FA）在它的功能當中，你可以輕鬆的啟用它來為你的帳戶添加第二層的安全保護。它會要求網站控制台的使用者不僅要輸入密碼，還要輸入由 Google Authenticator、Authy 或是 1Password 等基於時間的一次性密碼演算法（TOTP） 生成的第二道密碼。雙重認證是目前最安全的登入防護方式之一，即使攻擊者以某種方式獲取你的帳號和密碼，他們仍然無法登入受到雙重認證防護的 WordPress 控制台。

你還可以開啟 Google reCAPTCHA 來阻止駭客使用機器人暴力破解你的 WordPress 網站。

Wordfence Security 安裝和設定教學

首先到 WordPress 控制台的「安裝外掛」頁面搜尋「Wordfence Security」來安裝外掛。

在啟動外掛後會看到安全性通知的設定，輸入電子郵件信箱後點擊「繼續」按鈕。

輸入你的付費版的金鑰，如果你沒有就選擇「No Thanks」跳過。

進入到 Wordfence 的 Dashboard 會發現上方有一個要求我們設定防火牆的提示，請按下「CLICK HERE TO CONFIGURE」。

Wordfence 防火牆會將auto_prepend_file指令添加到你的伺服器當中，一般來說，它會自動偵測你的伺服器類型，所以你可以維持預設值並且點擊「DOWNLOAD .HTACCESS」來下載.htaccess檔案的備份以進行下一個步驟。

完成防火牆的設定後，之前的提示應該會消失代表防火牆已經開始運作。剛開始啟動的前 7 天防火牆會處於「學習模式」（Learning Mode）。

學習模式處於活動狀態時，Wordfence 會將類似於駭客攻擊的行為列入白名單，你應該像往常一樣，嘗試使用網站的所有功能，像是發佈文章、變更主題、安裝外掛等等。在此期間使用的功能越多，將來收到要求加入白名單的機會就越小。

學習模式是讓 Wordfence 防火牆在安全的情況下習慣你的日常行為，如果你的網站最近才剛遭到駭客入侵，或者你目前正受到攻擊，則不應該使用學習模式，你可以在任何時候將防火牆設定為「防護模式」（Enabled and Protecting）。

接下來你可以到「Scan」頁面啟動掃描，看看你的網站是否有被植入惡意代碼或是有其他需要提升網站安全性的地方。

接下來我們到「Login Security」頁面啟動雙重認證（2FA）。

你必須先使用手機下載 Google Authenticator 的 Application，然後用掃描的方式新增你的網站，新增完之後你應該會看到 Google Authenticator 會不斷的產生新的密碼，由於密碼在短時間之內不斷的被更新，所以駭客很難破解這種保護方式。

接著下載還原密碼，把它儲存在一個安全的地方，如果你丟失了手機或是不小心刪除了 Google Authenticator 你將會需要使用它們來登入你的網站，總共有 5 組還原密碼，每組只能被使用一次。

輸入手機上 Google Authenticator 上的密碼來啟動雙重認證功能。

你可以在設定頁面調整雙重認證（2FA）以符合你的需求。

在設定頁面的下方可以輸入 Google reCAPTCHA 的金鑰，防止 WordPress 登入頁面被機器人嘗試破解密碼。

點擊「reCAPTCHA Service」去 Google 的 reCAPTCHA 頁面申請金鑰。

點擊右上方的「Admin Console」按鈕。

填寫資料後提交。

複製 2 組金鑰並分別輸入至 Wordfence 的設定頁面，然後記得按下儲存按鈕。

回到登入畫面會發現 Google reCAPTCHA 已經開始運作了。

開始必須輸入雙重認證（2FA）密碼才能登入。

結論

Wordfence Security 有著相當友善的操作介面、強大的防火牆、可修復受損檔案的掃描功能、雙重登入驗證防護，它不會減緩你的網站速度而且它還是免費的開源程式，在這邊推薦給想要加強 WordPress 安全性的讀者們。

如果你喜歡 Wordfence Security 並且想要獲得更進一步的安全防護，你可以參考 Wordfence Premium 付費版，和免費版相比它增加了以下功能：

• 即時封鎖 IP 黑名單
• 即時防火牆規則更新
• 即時病毒庫更新
• 網站信譽檢查
• 封鎖特定國家流量攻擊

最好的防護網站方式還是需要從源頭做起，你應該要選擇優良的虛擬主機供應商，避免安裝來路不明的主題和外掛，使用高強度的登入密碼，保持 WordPress 和外掛在最新的版本，才可以最大限度的減少惡意程式碼的入侵。