【2019】宝塔网站安全加固及优化技巧

安全加固是网站永恒的话题。我使用第三方容器宝塔的原因之一也是怕隔三差五的处理这些破问题。会写几行代码不代表有时间和精力针对这些问题。所以选择一劳永逸，将大部分问题交给专业的人。

虽然使用宝塔已经解决很多问题，但自己能做安全优化的地方还有很多，这里将我做的工作分享出来。

WPS Hide Login 修改后台登陆地址

如果不修改，使用 wordpress 安装的网站默认后台登陆地址大家都应该知道 www.guozh.net/wp-login.php 或者 www.guozh.net/wp-admin.php ，所以入口这就有很大安全隐患。

为了安全我们需要将后台登陆地址修改，并且这步操作很有必要。效果很明显，与其使用非常强大的密码验证，还不如釜底抽薪，叫别人找不到入口。

以前看过手动修改代码的方式，总是没成功。后面了解到可以用插件特别方便、快速、轻量级、动态方式修改后台地址。插件可以在后台搜索WPS Hide Login安装启动后如下图。

界面有两个输入框，

• Login url 自定义后台登陆地址。可以修改成自定义的，比如写成 mylogin，不需要加后缀。
• Redirection url 用于别人「误」使用老的后台登陆地址，将地址重定向到显示的页面。这里默认重定向404。其实，我觉得这里的作用是用来恶搞别人。

当插件关闭后，后台地址会回到初始默认的

修改数据库表默认前缀

安装网站时如果细心，可以在教程中看到，我修改了表前缀。并不是默认的 wp_ 。这一步如果你已经在安装时没修改，现在可以用插件WP-DBManager 修改。

修改远程访问SSH端口22

默认用 ssh 远程服务器时端口是 22 。以前网站被恶意轮询过，所以这里建议大家将默认的端口修改下。只是非常小的一步，意义重大。挑个高位端口，比如 9000 以后的，将它放开并设置成 ssh 端口。

如果使用阿里云，记得将新设置的端口安全组打开

修改宝塔面板默认访问端口8888

这一步是宝塔提示要求做的，所以非常有必要。首先修改下默认面板端口 8888 ，同样和上面步骤一样。选择个高位端口，将它放开并设置，这里直接修改即可。然后将别名修改下。本人到现在还不知道这一步的意义所在，但是宝塔面板中明文说明了，最好实施此步骤。所以还是修改吧。

开启网站流量限制

流量限制是个较难选择，限制太死又担心搜索引擎爬虫被限制，放开又担心被cc 。但是一些简单防护还是可以设置的，并且宝塔也为我们配置流量控制方案，我们只需要做出选择即可。一般网站选择论坛/博客方案足够。

宝塔定期释放内存任务

这一步比较简单，在宝塔内部添加个定时任务即可。

宝塔备份（重要）

博客到现在一直没备份，心大。今天一起设置好备份任务。因为现在网站内容较少，这里直接选择备份网站。如果内容过多，可以一个月备份一次网站，一周备份一次数据库，设置好两者频率就好。如果备份到服务器磁盘，默认地址 /www/backup/site