Wordfence 安全插件
防火墙、木马扫描与登录防护怎么配才不误伤
Wordfence 是 WordPress 生态里装机量较大的安全插件，免费版就带端点防火墙、恶意代码扫描、登录限流与国家封禁。它适合没有专职运维的中小站点，但配置不当会带来两类典型事故：把 CDN 节点或搜索引擎爬虫当攻击者封掉，以及卸载时残留的 prepend 文件让整站 500。
它守哪几条线
哪几条线它守不住
理解它的位置很重要：Wordfence 是跑在 PHP 层的应用级防护，和服务器层的 WAF、云清洗不是一回事。
端点防火墙
在请求进入 WordPress 之前加载规则集，按 IP、UA、URL 参数、请求体特征拦截。扩展防护模式下会在 PHP 启动阶段挂载，比普通模式早一步。
文件与恶意代码扫描
比对官方仓库的核心、主题、插件文件哈希，加上特征库匹配后门、SEO 垃圾链接、混淆代码、可疑的 base64 与 eval 调用。只负责发现，不负责修复。
登录与访问控制
登录失败限流、强制两步验证、登录页验证码、按国家或地区封禁、封禁可疑 IP。对暴力破解和撞库最有效，对已经拿到管理员密码的攻击者无效。
守不住的部分同样要说：它不是云清洗，扛不住百 G 级别的流量攻击；不替代主机层的文件权限与隔离；不做行为沙箱，加壳或分段加载的后门可能扫不出来；也不能把已经被黑的站变干净——扫描出问题文件之后，仍然要人工比对、替换、清后门。清理流程可参考WordPress 被黑后的清理与加固。
四步配置
顺序比选项重要
新手最常见的错误是一次把所有开关打开，然后前台报 503，找不到是哪条规则拦的。按下面顺序，一步一测。
先配真实 IP
站点接了 CDN 或反向代理时，必须先让插件识别 X-Forwarded-For，否则它看到的全是节点 IP，一封就是全站不可访问。这一步不做，后面所有规则都是雷。
防火墙用基础模式起步
先开学习模式跑三到七天，观察误拦记录，再切到启用模式。扩展防护要改 .user.ini 或 php.ini，Nginx 环境需手动加 auto_prepend_file，改完立刻测前台与后台。
登录防护加白名单
开启失败限流与两步验证，但把公司固定 IP 与运维账号加进白名单，避免自己出差时被锁在门外。两步验证要给所有管理员角色强制开启。
扫描放低峰并设排除
计划扫描放在凌晨，排除缓存目录、备份目录、日志目录。不排除的话，一次扫描会把几万个缓存文件当成可疑文件报出来，日志直接刷爆。
性能代价与常见冲突
数据库和缓存层是重灾区
看得见的开销
- 扫描期间 CPU 与磁盘 IO 明显抬升，共享主机容易触发 CPU 限额被暂停
- 实时流量日志默认写库，日访问五千的站一个月能积几百 MB
- 防火墙每个请求都要过一遍规则，PHP 层开销约增加 20 到 60 毫秒
- 新增十余张 wf 前缀的表，备份体积与迁移时间同步变大
四类典型冲突
- 与缓存插件抢 advanced-cache.php 与 prepend 挂载点，表现为前台白屏
- CDN 回源 IP 未还原，封一个 IP 等于全站 503
- REST 接口被拦，小程序、支付回调、表单异步提交全部 403
- 国家封禁误伤海外爬虫与真实客户，谷歌抓取直接掉
处理原则很朴素：出现「前台打不开、后台能进」或者「某几个接口 403」，第一时间去防火墙的拦截日志里搜路径，而不是去改主题代码。拦截日志会明确写出命中的规则号，照着加白名单即可。同类工具的选择可以对照WordPress 安全插件，服务器层的规则见防火墙与 WAF 配置。
免费版与付费档的实际差距
差距在规则时效，不在功能数量
很多人以为付费版多了很多功能，实际最关键的差别是威胁情报的延迟：免费版的 IP 黑名单与防火墙规则通常滞后约 30 天。
| 项目 | 免费版 | 付费版 | 对站长的实际意义 |
|---|---|---|---|
| 防火墙规则更新 | 延迟约 30 天 | 实时 | 新爆发的插件漏洞，免费版有窗口期 |
| IP 黑名单 | 延迟更新 | 实时共享 | 被大规模扫描时拦截更及时 |
| 恶意扫描频率 | 可自定，按需 | 可加定时与增量 | 内容更新频繁的站差别明显 |
| 国家与地区封禁 | 不提供 | 提供 | 只做内贸的站可以挡掉大部分扫描 |
| 价格 | 免费 | 约 99 到 490 美元/年 | 以官方报价为准，按站点数与响应级别分档 |
判断标准：日均访问低于两千、没有交易环节的企业展示站，免费版加上强密码与两步验证基本够用；有在线下单、有客户资料、被攻击过的站，规则时效值这个钱。
什么规模该用
卸载时最容易踩的坑
十个页面的展示站，装了它主要图个心安：挡住自动化扫描、给登录加一道门。带会员与订单的站，它是必需品，但必须配两步验证，否则管理员密码泄露就全盘失守。已经有云 WAF 与主机防护的站，再叠一层要评估重复拦截，别让两层规则互相打架。多站点网络要注意：安全插件在网络层启用时，子站的扫描与规则是共享的。
卸载前必须处理的三件事
- 关闭扩展防护，让它自动回滚 .user.ini 或 php.ini 里的 prepend 配置
- 在插件设置里勾选删除全部数据，否则 wf 开头的表会一直留在库里
- 备份当前数据库，wfHits 这类日志表可能占掉库里一半体积
直接删目录会怎样
- .user.ini 仍指向已删除的 wordfence-waf.php，整站直接 500
- wp-content/wflogs 与 wfConfig 选项残留，重装后规则错乱
- 数据库里十几张表持续膨胀，备份与迁移越来越慢
- 修复方式：手工删 .user.ini 中那一行，再重启 PHP
这也是为什么安全类插件不建议频繁换。换一次要清表、清配置、清 prepend，任何一步漏了都会留下一颗定时炸弹。长期维护的站，把这类操作纳入WordPress 托管维护的例行清单更稳妥。
常见问题
五个高频疑问
看站点性质。纯展示站、日访问两千以内、没有会员与订单，免费版加两步验证够用。有交易、有客户资料、或者已经被扫描过的站，规则延迟 30 天是实打实的风险窗口，建议上付费档。
九成是真实 IP 没还原：插件把 CDN 节点当成攻击源封了。处理办法是先从主机面板或 FTP 把插件目录改名，进后台恢复，再补 X-Forwarded-For 配置。也可能是扩展防护的 prepend 路径写错，检查 .user.ini。
常见于破解主题、汉化包、以及带混淆的旧插件。哈希对不上官方仓库就会报。先看文件修改时间是否与安装时间一致，再看内容有没有 eval、base64_decode 拼接。确认无风险后加进忽略列表，不要直接删——删了可能前台崩。
防火墙本身每个请求多几十毫秒，感知不强。真正拖慢的是扫描任务和实时流量日志：扫描占 CPU，日志写库让数据库变大。把扫描放凌晨、关闭长期开启的实时日志，速度基本能回到原来水平。
三件事：确认新环境的 PHP 版本支持扩展防护；重写 .user.ini 中的绝对路径（旧路径在新机器上不存在，会直接 500）；重新校验真实 IP 配置，因为新主机的代理层可能不同。搬家清单可对照WordPress 安全加固。
先做一次免费的安全体检
信科网络在山东淄博做 WordPress 建站与出海服务 11 年，服务过 3000 多家出口企业。可以帮你查一遍文件完整性、登录防护配置、数据库日志表体积，再判断要不要装安全插件、装哪一档。