共计 2612 个字符，预计需要花费 7 分钟才能阅读完成。
一个胜利的 WordPress 安全策略应该包含增强 WordPress 登录的步骤。平安登录是 WordPress 建站开发中应该也特地留神的环节，须要在这篇文章中，北京六翼信息技术有限公司的开发工程师为大家介绍了进步 WordPress 登录安全性的五个简略规定。
WordPress 的平凡之处在于它如何让创立一个简直任何人都能够拜访的网站。但随着可拜访性而来的是可预测性。任何有应用 WordPress 教训的人都晓得在哪里对网站进行了更改：通过 wp-admin 区域。他们甚至晓得须要去哪里拜访 wp-admin，即 wp-login.php 页面，也能够拜访 joowp.com。
默认状况下，每个 WordPress 站点的 WordPress 登录 URL 都是雷同的，并且不须要任何非凡权限即可拜访。这就是为什么 WordPress 登录页面是所有 WordPress 站点中最容易受到攻打并且可能容易受到攻打的局部。
可怜的是，创立一个在互联网上漫游并施行暴力攻打的机器人并不需要太多技巧，任何初学者级别的黑客都能够创立一个。因为对 WordPress 登录页面的攻打具备较低的进入门槛，因而 WordPress 登录平安对于爱护任何 WordPress 站点至关重要。
通过遵循这些规定并应用 WordPress 平安最佳实际，您能够避免出现常见的用户登录谬误。
1. 应用强明码
互联网上有很多对于明码平安最佳实际的令人困惑和矛盾的信息。为了打消这种困惑，让咱们合成一下应用强明码如何进步 WordPress 安全性的基础知识。
每当创立明码时，您首先要思考的是明码的长度。上面的列表显示了应用四核 i5 处理器破解明码所需的预计工夫。
- 破解 7 个字符须要 0.29 毫秒。
- 8 个字符须要 5 个小时能力破解。
- 9 个字符须要 5 天能力破解。
- 10 个字符须要 4 个月能力破解
- 11 个字符须要 1 年工夫破解
- 12 个字符须要 2 个世纪能力破解。
如您所见，在明码中增加单个字符能够显着进步登录的安全性。
至多 12 个字符长、随机且蕴含大量字符（如“ISt8XXa!28X3”）的明码将使破解变得十分艰难。
可怜的是，一些黑客正在利用 GPU 和更弱小的 CPU 来缩小破解明码所需的工夫。因而，为了增强您的登录，还要留神您的明码熵。明码熵越大，破解明码的难度就越大。
例如，仅依据长度要求，像“abcdefghijkl”这样的明码是 12 个字符，这很好，须要 200 年能力破解。然而，因为明码应用间断的字母串，与“rfybolaawtpm”这样具备随机字符的明码相比，它使明码更容易预测。
随机化字符会升高明码的可预测性并减少明码的强度。然而这两个明码都有一个共同点，那就是最终会升高明码熵。两者都只应用小写字母，将可能的字符池限度为 26 个。这就是为什么蕴含字母数字、大写字母和常见 ASCII 字符以将破解明码所需的字符池减少到 92 个至关重要的起因。
2. 为每个帐户应用惟一的明码
在线平安的另一个最佳做法是为您领有的每个帐户和网站登录应用惟一的明码。这十分重要，咱们会再说一遍：您应该为每个站点应用不同的明码。
为什么重用明码如此重要？如果您对每个站点都应用雷同的明码，并且其中一个站点受到毁坏，那么您当初在每个站点上的每个帐户都应用了一个被毁坏的明码。黑客能够应用与您的电子邮件地址或用户名配对的泄露明码的数据转储来拜访您的帐户。最好不要冒险。
重复使用明码的用户越多，您的 WordPress 登录安全性就越弱。
3. 限度登录尝试
默认状况下，WordPress 中没有内置任何内容来限度某人能够进行的失败登录尝试次数。攻击者能够尝试登录失败的次数不受限制，他们能够持续尝试无数次用户名和明码，直到胜利为止。
通过装置像 iThemes Security Pro 这样的 WordPress 平安插件来限度登录尝试失败的次数，从而进步您的 WordPress 登录安全性。蛮力爱护性能使您可能在用户名或 IP 被锁定之前设置容许的失败登录尝试次数。锁定将临时禁用攻击者进行登录尝试的能力。一旦攻击者被锁定三次，他们将被禁止拜访该站点。留神：在决定对失败登录尝试的规定的严格水平时，请牢记站点的理论用户。如果您将锁定规定设置得过于严苛，就会冒无心中将实在用户锁定在外的危险。
4. 限度每个申请的内部认证尝试
除了应用登录表单之外，还有其余办法能够登录 WordPress。应用 XML-RPC，攻击者能够在单个 HTTP 申请中进行数百次用户名和明码尝试。暴力放大办法容许攻击者在几个 HTTP 申请中应用 XML-RPC 进行数千次用户名和明码尝试。当您晓得攻击者能够应用数据库转储作为终点并对每个申请进行数千次猜想时，它就会更加分明 WordPress 登录平安的重要性。应用 WordPress Tweaks 设置，您能够阻止每个 XML-RPC 申请的屡次身份验证尝试。将每个申请的用户名和明码尝试次数限度为一次，将大大有助于爱护您的 WordPress 登录。
此外，当您制订 WordPress 登录平安打算时，请务必留神 WordPress Rest API 增加了额定的办法来验证 WordPress 用户。Cookie 身份验证是一种身份验证办法，当您登录时，WordPress 会主动存储一个 cookie，以便插件和主题能够代表您执行性能。Cookie 身份验证将受害于您增加到 wp-login.php 的爱护。
5. 应用双因素身份验证
我将进步 WordPress 登录安全性的最佳办法保留到最初：WordPress 双因素身份验证。双因素身份验证须要额定的代码以及您的 WordPress 用户名和明码能力登录。
双因素身份验证的办法有很多，但并非所有办法都是一样的。如果能够，请防止应用 SMS 进行双因素身份验证。美国国家标准技术研究院不再举荐应用 SMS 发送和接管验证码。
应用 WordPress 平安插件，您应该启用双因素电子邮件或挪动应用程序办法。
请留神，许多网站要求您应用电子邮件地址作为用户名。如果攻击者入侵其中一个网站，下一步将是尝试应用他们窃取的新电子邮件地址和明码登录电子邮件帐户。如果您的某个用户或客户在每个站点上重复使用泄露的明码，则他们的电子邮件帐户以及他们的双因素电子邮件代码将被泄露。双因素挪动应用程序办法将最大水平地进步 WordPress 登录安全性。登录所需的额定验证码将发送到用户的手机。因而，即便攻击者能够拜访 WordPress 和电子邮件凭据，他们依然无奈登录。