使用 .htaccess 提高 WordPress
的安全性和可用性
保護 .htaccess
自身的安全性。阻止用戶(hù)通過(guò)讀取和寫(xiě)入 .htaceess 來(lái)更改安全性的設置。
<files .htaccess>
order allow,deny
deny from all
</files>
保護 wp-config.php 文件。我們可以通過(guò) .htaccess 文件阻止用戶(hù)讀取和寫(xiě)入 WordPress
的主配置文件。這個(gè)指令假設 WordPress 是安裝在站帶你的根目錄。
<files wp-config.php>
order allow,deny
deny from all
</files>
禁止瀏覽目錄。這將阻止服務(wù)器在沒(méi)有找到 index 文件（如 index.html，index.php
等等）的情況下顯示文件夾目錄內容。這能阻止用戶(hù)看到文件夾的內容使得更難對網(wǎng)站發(fā)動(dòng)攻擊。
# disable directory browsing
Options All -Indexes
防止圖片盜鏈。這個(gè)能夠阻止其他網(wǎng)站盜鏈本網(wǎng)站的圖片，迫使他們要么指向整個(gè)頁(yè)面，或者其他存儲圖像的地方。這個(gè)保存了寶貴的帶寬并且能夠增加流量（雖然只是一點(diǎn)點(diǎn)）。下面的代碼將會(huì )顯示
stealingisbad.gif 這張圖片，當有人試著(zhù)熱鏈到到你的網(wǎng)站來(lái)顯示圖片
#disable hotlinking of images
RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http://(www\.)?yourdomain.com/.*$
[NC]
#RewriteRule \.(gif|jpg|png)$
http://www.yourdomain.com/stealingisbad.gif [R,L]
在你的站點(diǎn)給每個(gè) URL
設置符合規定的或者“標準”的鏈接。這能夠幫助提高網(wǎng)站的可用性和提高網(wǎng)站在搜索引擎中的排名?？傊?，它會(huì )把來(lái)自
http://yourdomain.com 的請求重定向到 http://www.yourdomain.com/.
# set the canonical url
RewriteEngine On
RewriteCond %{HTTP_HOST} ^yourdomain\.com$ [NC]
RewriteRule ^(.*)$ http://www.yourdomain.com/$1
[R=301,L]
用一個(gè)robots文件
在你的根目錄下放一個(gè)robots.txt
文件，告訴搜索引擎哪些內容你不想被收錄。這樣可以保證一些敏感文件不被搜索引擎收錄進(jìn)而被人搜到。這里是我的robots.txt文件，文章作者的robots.txt如下：
User-agent: *
Disallow: /cgi-bin
Disallow: /wp-admin
Disallow: /wp-includes
Disallow: /wp-content/plugins
Disallow: /wp-content/cache
Disallow: /wp-content/themes
Disallow: /trackback
Disallow: /feed
Disallow: /comments
Disallow: */trackback
Disallow: */feed
Disallow: */comments
Allow: /wp-content/uploads
過(guò)濾垃圾評論
垃圾評論的害處我想就不用說(shuō)了，而且它們更有可能帶有一些危害你網(wǎng)站的代碼什么的，所以一定要把垃圾評論過(guò)濾掉。插件和相關(guān)資源：Akismet
用戶(hù)權限的安全
WordPress中的默認管理員為admin。在這里建議大家在blog建成后，新建一個(gè)新的用戶(hù)并設置為最高的管理權限，以代替原有的admin，同時(shí)把admin刪除。WordPress提供讓訪(fǎng)客自己注冊賬號的功能，建議把該功能取消或者限制其它用戶(hù)權限為只能發(fā)表文章。取消方法，進(jìn)入
WordPress后臺：選項-常規，把“允許用戶(hù)注冊去”留空！刪除默認的admin用戶(hù)
隱藏wordpress版本信息
wp默認主題首頁(yè)都有版本信息，黑客們會(huì )了解你使用的版本后找相應的漏洞。隱藏的方法是在后臺主題修改里刪掉下面的代碼：
<meta name=”generator” content=”WordPress <?php bloginfo(’version’); ?>”/>
使用SSH/Shell方式代替FTP登錄操作
這里有一些很好的建議，點(diǎn)擊這里查看。如果某人獲得了你的FTP的登錄信息（當然包括密碼咯），他們就可以在登錄后胡作非為的，這是很可怕的事情哦…而使用SSH/Shell你就大可放心，因為他們的任何傳輸都是通過(guò)加密的，保證安全性！其實(shí)像FlashFXP這類(lèi)的軟件其安全性很差的，很容易就能獲得你保存的個(gè)人登錄信息。
聯(lián)系客服
