WordPress 安全扫描

检查你的 WordPress 有没有敞开的门。

大多数 WordPress 入侵都始于一个过时的插件或主题。几秒钟找出你的问题，并告诉你应该更新到哪个安全版本、该粘贴哪几行配置。无需安装插件。

被动扫描。未经你的许可，不会进行任何攻击性检测。

我们在 WordPress 上检查什么

核心：你的 WordPress 版本是否公开可见，是否已过时。
已知漏洞：我们从外部能看到的核心、插件和主题，与 Wordfence Intelligence 漏洞数据库比对。
过时的插件和主题，并给出修复问题的版本。
暴露的用户名：通过作者归档页或 REST API 可以看到，这会让猜密码更容易。
XML-RPC 处于开启状态，这是猜密码攻击的常见目标。
以及每个网站都有的检查：HTTPS、安全响应头、Cookie、PHP 版本、过时的 JavaScript 库和邮件伪造。

为你的后台量身写的修复方法

每个问题都附有可以在 wp-admin 中照做的步骤，或用于 wp-config.php、.htaccess、nginx 或一个小型 must-use 插件的配置。例如，在 Apache 上屏蔽 XML-RPC：

.htaccess

<Files "xmlrpc.php">
  Require all denied
</Files>

每次修改后重新扫描，看评级的变化。

验证之后：WordPress 深度测试

已验证的所有者可以运行更深入的测试：暴露的 wp-config 备份和调试日志、通过 REST API 枚举用户、WP-Cron 暴露、针对特定插件的检查，以及针对网店的 WooCommerce REST 和结账测试。

我们事先说明的局限

从外部，我们只能看到在你的公开页面中留下痕迹的插件和主题。一个在前台不加载任何内容的插件，对任何远程扫描器都可能是不可见的。请保持自动更新开启，也在 wp-admin 中检查你的插件列表。

常见问题

这个 WordPress 扫描免费吗？

免费。评级、完整的问题列表以及前 3 个问题的分步修复都是免费的。付费套餐增加全部修复说明、每周深度扫描和提醒。

扫描会让我的 WordPress 网站变慢或出问题吗？

不会。免费扫描像访客一样读取公开页面。它不会登录、不会提交表单，也不会发送攻击流量。

漏洞数据从哪里来？

我们把检测到的版本与 Wordfence Intelligence 漏洞数据库比对，并在你的结果中注明出处。

我需要安装插件吗？

不需要。不会安装任何东西。如果你想要深度测试，可以通过 DNS 记录、上传文件或 meta 标签验证所有权。

附可复制粘贴修复方法的指南

指南

WordPress 加固

一份实用的 WordPress 加固清单，附可复制粘贴的代码片段：屏蔽 XML-RPC、隐藏用户名、禁用文件编辑器、保护 wp-config.php、禁止在 uploads 中运行 PHP。

指南

WordPress 被黑了吗？

WordPress 网站被黑的迹象、如何用 WP-CLI 校验和确认，以及一份清理清单：用户、文件、密钥、更新和 Google 复查。

指南

安全响应头

可直接复制粘贴到 nginx、Apache（.htaccess）、Cloudflare 和 WordPress 的 HTTP 安全响应头：HSTS、X-Content-Type-Options、防框架嵌入、Referrer-Policy 和 Permissions-Policy。

指南

暴露的 .git、.env 与备份

泄露的 .env 文件、.git 目录和数据库备份会把你的密码交给攻击者。检查你的文件是否公开，在 nginx 或 Apache 上屏蔽它们，并更换密钥。

指南

过时的 WordPress 插件

找出过时且存在漏洞的 WordPress 插件和主题：更新页面、WP-CLI 命令、公开漏洞数据库、已关闭的插件以及安全的自动更新。

抢在别人之前了解你的评级。