我的博客“把工作留在后面”于四月份被黑。这是您经常阅读的内容，但从未真正想到会发生 您 直到为时已晚。老实说，我并不认为自己是主要候选人-我写过很多有关WordPress安全性的文章，足以采取许多预防措施。但是，这些措施显然不够全面.
我不想再次遭到黑客攻击。网站停机对您的博客/企业不利的原因有很多：虽然流量损失和潜在收入是最明显的两个原因，但我不能低估恢复网站所浪费的时间和压力造成我.
在这篇文章中，我想揭示我的网站发生了什么，并让您知道自那以来我为提高网站安全性所做的工作.
被黑：我的故事
我在4月18日（星期四）醒来，发现我的网站已经停工了几个小时。我立即联系我的托管服务提供商Westhost，后者通知我他们的ModSecurity防火墙检测到我的站点上有异常活动，并已将其关闭以作为预防措施。在站点上运行初始还原后，我可以立即看到它已被黑客入侵。尽管这些变化相对微妙，但很明显，一些不道德的行为已经引起了人们的注意。.
事实证明，大量WordPress网站也遭到了黑客入侵，Westhost的工作也因此而中断。幸运的是，他们每天都对该站点进行备份，第二天下午，我回到了在线，并获得了一个与当前版本尽可能接近的版本。.
这是骇客入侵对我的流量的影响：
从上图来看，与前一周相比，该周的访问量下降了约30％。从理论上讲，这意味着收入下降了30％.
可以公平地说，我渴望确保（尽我所能）不会再次发生这种黑客攻击。我立即采取了行动.
我的直接步骤
我要做的第一件事是验证我是否已按照我最近的帖子中概述的有关保护WordPress网站的步骤进行操作.
这些是绝对的基础：更新主题和插件，确保我最近备份，确保默认配置文件未命名为“ admin”，更改密码，并在网站上检查安全性插件。有了这些物品之后，就该继续前进了.
我丝毫不幻想我的网站现在是100％安全的-毕竟，没有100％安全的网站。话虽如此，我知道它比以前更加安全，并且我将在现在和将来继续研究站点安全措施。到目前为止，这是我所做的.
1.我安装了VaultPress
对于那些不知道的人, VaultPress 是针对WordPress的全自动备份和安全解决方案。由它拥有 自动的, WordPress的事实上的“所有者”.
我已经使用VaultPress几天了，我不敢相信自己如此便宜以至于没有预先购买该服务。他们的基本套餐起价为每月15美元-我将在一周中的任何一天支付此费用，.
实际上，我选择了他们的高级套餐（每月40美元），其中包括：
- 实时备份
- 自动一键还原站点
- 存档，统计和活动日志
- 优先灾难恢复
- 优先“礼宾”支持
- 每日安全扫描
- 安全通知
- 一键修复安全威胁
- 网站迁移协助
基本上，他们已经为您覆盖.
尽管VaultPress不能保证您的网站受到黑客的安全保护，但实际上 能够 确保可以相对轻松地还原您的站点。看到存储在VaultPress服务器上的网站的每小时快照只是一件非常令人平静的事情：
尽管有很多免费的备份解决方案，但我认为没有什么比VaultPress相对省心的了。他们现在可以还原我的网站的90个快照，其中最近的快照只有20分钟。我知道我的网站在他们手中是安全的.
2.我管理了我的个人资料
黑客有可能从WordPress后端内的任何管理员配置文件访问您的网站-而不仅仅是一个 您 采用。当我加载个人资料时，我可以看到我还有其他三个个人资料-访客海报个人资料，以及另外两个我（可以信任）访问我的个人资料.
首先，我关闭了这两个配置文件，并将来宾海报配置文件的角色更改为“作者”。我建议您这样做-仅创建绝对必要的尽可能多的管理员配置文件。此外，您当然应该确保每个帐户都是适当的随机且唯一的密码，并且必须定期更改所述密码.
有时您需要允许人们（例如您的网页设计师）访问您的网站。在这种情况下，我建议您使用新密码为他们创建一个配置文件，然后在必要时立即删除该配置文件.
始终在思考您网站的切入点，以及是否绝对必要.
3.我更改了密码
您可能会认为这是一个明显的举措，但实际上我并不是在谈论我的WordPress密码。虽然我 做了 更改它们，我还确保将所有密码更改为特别敏感的帐户，即：
- 邮箱
- 脸书
- 推特
- 我的托管帐户
- 亚马逊协会
- 等等
如果您想知道我为什么要这样做，那就考虑一下Mat Honan的故事吧.Mat Honan的整个数字生活都被最初入侵其Amazon帐户的黑客摧毁了。如果您以某种方式对在线安全感到不满，那么以上文章是必读的.
考虑一下这个简单的链：黑客获得了您的电子邮件帐户的访问权限，您最近通过该帐户向WordPress网站设计者发送了一封电子邮件，其中包含您的登录信息。这就是他们访问您的网站并随心所欲所需的一切。骇客可以是基本.
4.我升级到SFTP
您可能不知道这些：通过FTP传输的任何数据（包括用户名和密码）都完全未加密。因此，成功拦截FTP传输的任何人都将能够获取您的登录详细信息并获得对您帐户的访问权限.
这不仅使他们可以按照自己的意愿添加和删除文件，而且还可以通过phpMyAdmin访问WordPress数据库并最终登录到您的网站.
简而言之，如果黑客可以通过FTP进入WordPress网站，那么直接访问您的WordPress站点的安全性并不重要。因此，我强烈建议您禁用对站点的FTP访问，并使用备用SFTP协议传输文件， 确实 加密数据。任何好的托管服务提供商都应该可以帮助您.
谈到托管服务提供商…
5.考虑您的托管解决方案的适用性
我很高兴与Westhost在一起。首先是他们的ModSecurity防火墙发现了该黑客，并在可能造成严重破坏之前关闭了我的网站。他们还执行每日自动备份（用于还原站点），并提供强大的客户支持来启动.
您能对托管服务提供商说同样的话吗？那里有很多很棒的选择，以至于您会与不满意的服务提供商呆在一起。您可能会考虑切换到托管托管解决方案之一（例如WPEngine），就像WPExplorer最近所做的那样.
无论您选择哪种方式，请务必询问其采取的安全措施。考虑我上面已经采取的措施，并确保它们与您的托管解决方案兼容.
这个故事的寓意是这样的：不要在安全性上妥协。最终，保持网站安全比 任何东西 其他。如果没有人看到它，那么拥有丰富的内容或新颖的设计是没有意义的，因为您的网站已被无情的黑客撕碎了.
与骇客网站无关，与自己的生活息息相关的恶毒分子不会很快消失。您越早接受并采取合理措施来保护您的网站免受攻击，在线资产的长期安全性就越好。.
我很想知道您对我采取的措施有何看法。您还有其他建议吗？请在评价部分留下您的意见!
