WordPress 網站安全 其實只有兩件事：不讓壞人闖進你的網站，還有不讓人盜走你的登入帳號。你不必裝一堆吃資源的安全外掛，免費的 Cloudflare 加上兩步驟驗證 ，就能擋掉大部分攻擊。這篇懶人包把 SSL 憑證、後台保護、主機備份、密碼管理、兩步驟驗證，到社群帳號被盜救援，從網站一路顧到帳號，照著做就能把該關的都關好。
為什麼部落客最容易忽略 WordPress 網站安全？
「我的網站又沒多少人看，誰會來駭我？」這是部落客最常問我的問題。實際情況是，來找我求救的自架站站長裡，大概有三分之一都是因為網站疑似被入侵，或是自己不會設定，只裝了一個防火牆外掛，結果外掛把主機資源吃光，網站不是當機就是慢到不行。被入侵通常不是因為你紅、被高手盯上，而是平常沒設定好，門沒鎖，攻擊自己找上門。
WordPress 網站安全聽起來很技術，但對部落客來說就兩件事：第一，不讓壞人闖進你的網站；第二，不讓人盜走你的登入帳號。尤其在 AI 普及之後，自動化攻擊變多也變兇，就算你裝了防火牆外掛，攻擊量一大照樣會把主機拖垮。所以重點不是「裝更多外掛」，而是用對工具。這也是你從痞客邦搬到自架 WordPress 後，安全從平台的事變成你自己的事，一定要補上的一課，建議在部落格搬家 前就先想清楚。
WordPress 網站安全第一件事：先保護網站本身
保護網站本身，先顧三塊：連線加密、後台登入、主機備份 。
連線加密就是 SSL 。Google 早在 2014 年就把 HTTPS 列為排名訊號，而且現在的瀏覽器只要看到網站沒裝 SSL，一律會在網址列標上「不安全」。好在多數主機都附免費的 Let’s Encrypt 憑證，免費 SSL 對部落客來說完全夠用 ，不用多花一毛錢。
後台登入是最常被攻擊的地方，攻擊程式整天在試你的帳號密碼。與其裝吃資源的安全外掛，我更建議用免費 Cloudflare 保護 WordPress 後台 ，不裝外掛、不拖慢主機就能擋掉大半。前面提到很多站長吃過外掛把主機拖垮的虧，就是因為防火牆外掛是用你自己的主機在硬扛攻擊，攻擊量一大主機就倒；Cloudflare 是在攻擊還沒進到你主機前就先擋下來，這也是最近很多人遇到 AI 爬蟲把主機爬到當機 時的正解。另外網域本身也要顧，網址註冊時選對註冊商、避開地雷 ，才不會哪天網域被鎖或被盜轉。
很多人會問我：免費 SSL 和付費 SSL 是不是差很多？答案是對部落客來說幾乎沒差，加密強度一樣，免費的 Let’s Encrypt 完全夠用，差別只在企業要的保固和身分驗證等級。
以下這些保護網站的細項文章，我幫你整理在一起：
HTTP 安全標頭是網站每次回應瀏覽器時夾帶的一組安全指令，少了它，網站等於門沒上鎖。這篇用最白話的方式，帶你認識 7 道最該補上的安全標頭各自擋什麼攻擊，再手把手教你用 Cloudflare 不碰主機、不裝外掛、完全免費設定完成，最後用 securityheaders.com 驗收。特別提醒：其中一道標頭會跟 Google 廣告審核打架，有掛 AdSense 的部落客一定要看清楚怎麼設。
閱讀更多
WordPress 兩步驟驗證該裝哪個外掛？只想單純開起來放著，官方免費的 Two-Factor 就很夠；想多站管理、強制成員，甚至設成只有國外登入才要驗證，WP 2FA 免費版加一點程式就能做到，不用買 Pro。本文比較這兩款的差別、各自適合誰、WP 2FA 的進階玩法，還有免費版到哪為止其實就夠用，手把手帶你把後台鎖好。
閱讀更多
AI 爬蟲越來越多，把很多部落客的主機 CPU 爬到超載當機。這篇告訴你真兇不是流量暴增，而是來抓訓練資料的 AI 爬蟲，以及為什麼升級主機硬體是無底洞。正確做法是用 Cloudflare 擋在最前線、搭配 robots.txt 處理守規矩的爬蟲，並說明 llms.txt 為什麼擋不住、紐約時報和 CNN 怎麼設定，還有 Cloudflare 付費版白名單為什麼值得花。
閱讀更多
2026 年想找完全免費又安全的遠端軟體，我推薦 RustDesk。它開源、跨平台、免費可商用、不限速、內建加密，支援 Windows、Mac、Linux、Android、iOS。在 TeamViewer 廢除永久授權、AnyDesk 個人版收費的現在，RustDesk 是最值得推薦的替代方案。
閱讀更多
想要用 Cloudflare 保護 WordPress 後台，多數教學都會建議部落客裝一堆安全外掛，其實只要善用 Cloudflare 內建的功能就能做到，完全不需要任何費用、也不會影響主機效能，這比裝任何安全外掛都還來得實用！這次分享我在 700 多個網站實戰過的設定，從 WAF 規則、一鍵開關到 SSL 強化都會帶你手把手做一次，順便提醒幾個容易踩到的坑，包含開了反而會擋掉 AI 爬你網站的設定。
閱讀更多
WordPress 自架站問題不是「裝完就能寫」這四個字能蓋過去。主機選錯、速度慢、被駭、備份失效、外掛打架、費用比預期高，這 6 種坑部落客大多踩過一輪。金城事務所從 2008 年起輔導 2,000 多位部落客搬家進 WordPress，這篇把自架前的全盤評估一次打包：BlueHost 為什麼不推、Cloudflare 怎麼取代 Wordfence、90 天備份要備在哪、自架跟代管的實際費用差距，跟適合誰、不適合誰的判斷標準。
閱讀更多
免費 SSL 跟付費 SSL 怎麼選，多數部落客其實只要用 Let's Encrypt 提供的免費版就夠。免費跟付費在加密強度上完全相同，差別只在憑證效期、額外保險跟身分驗證等級，這些對一般部落格幾乎用不到。這篇講免費 SSL 跟付費 SSL 的 4 個關鍵差別、Cloudflare SSL/TLS 模式怎麼設定才不會無限重定向、Let's Encrypt 怎麼自動續約、什麼狀況才真的需要付費 SSL，跟怎麼查自己網站的 SSL 是哪一張。
閱讀更多
網址註冊最安全的挑法，重點不是「最便宜」也不是「品牌最大」，而是看穩定度、移轉方便、隱私免費、續約規則、能不能設 NS 這 5 個指標。這篇手把手幫你整理台灣與國外的網址註冊商怎麼選、.com 與 .com.tw 與 .tw 差在哪裡、以及挑網址前該避開的 3 個地雷，包含被主機商綁架、代買冒名與註冊商收掉的真實案例，連我自己推哪幾家、不推哪幾家、理由都直接寫明白。
閱讀更多
主機備份：最後一道、也最重要的保險
備份是萬一真的中招時，能不能把網站救回來的關鍵。再怎麼防，總有失手的一天，差別只在於你能在十分鐘內還原，還是整個網站砍掉重練。我看過不少站長被駭之後才發現，主機商的備份要另外付費還原，或是根本沒開過。備份請把握三個原則：第一是自動排程，別靠手動，你一定會忘；第二是異地存放，別只存在同一台主機，主機掛了備份會一起陪葬；第三是定期測試還原，備份打不開等於沒備份。WordPress 可以用 UpdraftPlus 這類外掛自動備份到雲端硬碟 ，工作室的重要檔案也建議一起納進備份計畫。
WordPress 主機搬家最讓人擔心的，就是換主機後排名會不會掉。其實搬家的重點從來不只是逃離慢主機，而是讓 SEO 和流量真正起來。這篇用白話帶你看懂什麼情況該換主機、要不要順便換版型、版型和外掛設定怎麼影響流量，還有最常被忽略的一件事：搬完之後有沒有人教你正確寫文章。最後也提醒你，流量至少要觀察一個月才準，別在第二天就急著看成效。
閱讀更多
WordPress 備份外掛市場最好用的兩套是 UpdraftPlus 跟 WPvivid：使用量第一第二、免費版都好上手。我把備份外掛裝在 800 個部落格後台比較過穩定性、資源消耗、介面體驗。這篇講為什麼備份外掛是保命符、兩套各自優缺點、怎麼挑、實戰心得。
閱讀更多
部落格文章不見了！每隔一段時間就會有一位部落客提出這樣的求救訊息，最早期服務部落客的時候可能只能從文章列表的垃圾桶協助找回被移除的文章，又或是從備份檔中去尋找被移除的檔案，除了這些事後的亡羊補牢，又有哪些可以提前預防的方法。
閱讀更多
每隔一段時間就會在臉書上看到某某朋友尋求硬碟救援的訊息，然後下面就開始有許多人開始討論起備份的重要，又或是開始推薦一些備份的方法，但始終都沒有很完整的方法或是有些方法似乎很麻煩，這篇文章就列出幾種完全不用找任何電腦高手幫忙，一般人「一鍵」即可完成的備份方法。
閱讀更多
UpdraftPlus 是 WordPress 最熱門的備份外掛，活躍安裝超過 300 萬個網站，免費版就能自動備份檔案＋資料庫到 Google Drive、Dropbox、OneDrive 等雲端。設定一次後就能定期自動跑。這篇講功能、跟其他備份外掛怎麼選、適合誰用、備份排程的最佳設定。
閱讀更多
WordPress 網站安全第二件事：別讓人盜走你的登入帳號
網站本身顧好了，還有一半在帳號。再強的網站防護，密碼一外洩照樣破功。
第一件事是別再到處用同一組密碼。用 Bitwarden 這類免費密碼管理器 ，每個網站都產一組高強度的亂碼密碼，就算某個網站被外洩，也不會一個破、全部倒。
第二件事是兩步驟驗證。就算密碼被猜中，沒有你手機上的驗證碼一樣登不進來。WordPress 後台可以裝 WP 2FA 外掛開啟兩步驟驗證 ，手機端推薦用 Google Authenticator 把驗證碼帶著走 。
常被問到一個問題：兩步驟驗證會不會很麻煩？其實設定一次之後，平常登入只多花十秒輸入一組驗證碼，但安全等級直接跳一階，這筆帳很划算。
別忘了社群帳號也是你的資產。Facebook 雙重驗證 和 IG、FB 被盜時的 Meta 救援 都要先設好，等被盜才處理就太慢了。保護帳號的細項文章一次看：
要找一款免費又夠用的密碼管理器，Bitwarden 是部落客最好的起點。它跨平台、免費版就給無限筆數與無限裝置同步，把所有網站帳密加密集中保管，你只要記一組主密碼。本文整理 Bitwarden 是什麼、為什麼適合部落客、跟 LastPass 等競品的差別、有哪些功能，以及 2026 漲價影響和使用前要注意的事。
閱讀更多
Google Authenticator 是 Google 推出的免費兩步驟驗證 App，每 30 秒產生一組 6 位數驗證碼，比簡訊更穩，不會有收不到驗證碼的問題。這篇教你為什麼該用驗證 App 取代簡訊、Google Authenticator 跟 Microsoft、Authy、2FAS 的實測比較，還有最多人卡關的雲端備份與匯出帶到新手機怎麼做。換手機不再怕驗證碼通通不見，一個 Google 帳號就能帶著走。
閱讀更多
WordPress 兩步驟驗證該裝哪個外掛？只想單純開起來放著，官方免費的 Two-Factor 就很夠；想多站管理、強制成員，甚至設成只有國外登入才要驗證，WP 2FA 免費版加一點程式就能做到，不用買 Pro。本文比較這兩款的差別、各自適合誰、WP 2FA 的進階玩法，還有免費版到哪為止其實就夠用，手把手帶你把後台鎖好。
閱讀更多
2026 年想找完全免費又安全的遠端軟體，我推薦 RustDesk。它開源、跨平台、免費可商用、不限速、內建加密，支援 Windows、Mac、Linux、Android、iOS。在 TeamViewer 廢除永久授權、AnyDesk 個人版收費的現在，RustDesk 是最值得推薦的替代方案。
閱讀更多
藍勾勾是 Facebook 與 Instagram 母公司 Meta 推出的付費訂閱服務，個人版約 NT$365 到 NT$455 月費、商家粉絲頁版另有四個方案。買藍勾勾最大的價值不是顯示那個勾，而是真人客服管道與被盜帳號救回機率。這篇懶人包帶你看個人版／商家版該怎麼選、申請步驟、容易踩的坑，還有買了還是被停權該怎麼救援，含一個沒人寫過的進階保險方案。
閱讀更多
Google 電話 App 是 Google 官方開發的免費撥號程式（Android 限定），整合來電顯示跟 AI 騷擾電話阻擋。我從 2022 年用到 2026 年共 4 年，從付費版 Whoscall 換過來後沒換回去過。這篇講功能、跟 Whoscall 怎麼選、適合誰用、要注意什麼。
閱讀更多
前陣子朋友的臉書突然被登出帳號，要重新登入卻一直失敗，因為他有開啟 Facebook 雙重驗證的簡訊驗證，但不管怎樣申請驗證卻收不到簡訊，只得臨時得申請一個全新的臉書帳號，這篇文章就是要講述 Facebook 雙重驗證的注意事項！
閱讀更多
部落客的 WordPress 網站安全最小清單，哪些該做、哪些不用？
如果你時間有限，先做這幾件投報率最高的就好：裝免費 SSL、用 Cloudflare 擋攻擊、開兩步驟驗證搭配密碼管理器、設定自動備份。這幾件幾乎免費，卻能擋掉大部分的自動化攻擊 ，就算出事也救得回來。
誰該認真看這篇，我幫你分好：
已經自架 WordPress 的部落客
剛從痞客邦搬家、第一次自己當站長
帳號或網站曾經被盜、心有餘悸
如果你還在用痞客邦這類代管平台，安全大致由平台扛，這篇可以先收藏，不過也別忘了你少了對網站的掌控權，這點可以參考痞客邦該不該搬 。
部落客常糾結要不要花錢買安全外掛，我把三種做法攤開比給你看：
做法 花費 主機負擔 防護效果 適合誰 Cloudflare 免費路線（我推薦） 免費 幾乎不增加 攻擊進主機前就擋下、順便加速 大多數部落客 只裝安全外掛擋 免費版或付費 吃主機資源，量大會當機 用自己主機硬扛 流量小、主機夠力才勉強 什麼都不做 0 0 等於門戶大開 不建議任何人
金城老師觀點
我看過太多部落客辛苦經營好幾年，輸的不是內容，是一次帳號被盜或主機被打趴，流量歸零還被 Google 標成危險網站。這幾年 AI 一普及，自動化攻擊明顯變多，來找我求救的站長有三分之一都卡在安全，而且很多是好心裝了防火牆外掛，結果外掛比駭客還先把主機吃垮。我的建議很實在：別追求一次到位的鐵壁，先用免費的 Cloudflare 把攻擊擋在門外，帳號開兩步驟驗證，再設好自動備份。這三件免費的事做完，你就從「高風險」變成「不值得駭客花時間」，這才是部落客最划算的安全投資。
延伸閱讀
參考資料
常見問題 WordPress 網站安全一定要裝安全外掛嗎？ 不一定。對多數部落客來說，免費的 Cloudflare 加上兩步驟驗證、密碼管理器就夠了。安全外掛是用你自己的主機硬扛攻擊，量一大反而會把主機拖垮。
沒裝 SSL 會怎樣？免費的夠用嗎？ 現在的瀏覽器只要看到沒 SSL 就會標不安全，訪客會卻步。免費的 Let's Encrypt 加密強度和付費版一樣，部落客用完全夠。
兩步驟驗證會很麻煩嗎？ 設定一次之後，平常登入只多花約十秒輸入驗證碼，但就算密碼外洩也擋得住，CP 值很高。
我的部落格沒什麼流量，駭客真的會理我嗎？ 會。多數攻擊是自動化程式不挑大小到處掃，門沒關好就會被入侵，跟你紅不紅沒關係。
網站被駭或主機掛了，沒備份怎麼辦？ 很可能只能砍掉重練。所以平常就要設自動備份、存到異地，並偶爾測試還原，真的出事才救得回來。
