EP01. “Wordfence：安装、首次设置与防火墙配置”

WordPress 是全球最多人用的 CMS，也因此是黑客、机器人攻击最集中的目标。Wordfence 是目前最好的 WordPress 安全插件之一，免费版就包含 Web 应用防火墙（WAF）、恶意软件扫描、内置双因素认证（2FA）、暴力破解防护、实时流量监控。这篇笔记讲怎么安装、首次进入 Dashboard 该做什么、以及防火墙（Firewall）分类底下的所有设置。恶意软件扫描和登录安全看《恶意软件扫描与登录安全》，IP 管理/工具/其他设置看《IP管理、Tools工具与其他设置》，免费版跟 Premium 的差异看《免费版vs Premium对比》。

重点内容

安装与激活

1. WordPress 后台 → Plugins → Add New Plugin，搜索 "Wordfence"，选择作者为 Wordfence 的插件 → Install Now → Activate
2. 激活后左侧边栏会出现新的 Wordfence 菜单
3. 首次使用需要注册一个免费 license（完全免费，但一定要注册）：
   • 点击插件里的按钮跳转到 Wordfence 官网 → Get a Free License → 选择 "I'm okay waiting 30 days"（不用真的等，是文案）
   • 填邮箱地址，选择是否要接收 Wordfence 的邮件（不感兴趣可以选否）
   • 同意条款 → Register
   • Wordfence 会发一封邮件，里面有 license key；也可以直接点邮件里的 "install my license automatically" 按钮，会自动跳回网站帮你填好邮箱和 license key
   • 确认信息 → Install License → Go to Dashboard

首次设置（Dashboard 初次进入）

• 进入 Dashboard 会看到一个升级提示的横幅，先按 dismiss（之后再回来处理其他设置）
• Wordfence 会问是否要开启自动更新：如果不会定期手动更新网站，强烈建议按 "Yes, enable auto updates"，避免插件本身过期变成安全漏洞
• Dashboard 顶部会显示当前「保护百分比」（依据已启用的 Wordfence 功能计算），下方 Notifications 区块列出扫描发现的问题，Firewall Summary 区块显示拦截次数等绝对数字

[截图：Wordfence Dashboard 页面，顶部显示保护百分比，下方 Notifications 与 Firewall Summary 区块]

• 📌 免费版无论怎么设置都不可能显示 100% 保护率，要 100% 必须升级 Premium；这个百分比本身其实不如 Notifications 里的扫描结果、Firewall Summary 里的绝对拦截数字有参考意义，不用为了追这个百分比乱调设置

• 建议第一步先用默认设置跑一次扫描（Scan），开箱即用的结果就能大致了解插件能帮你查出什么问题，细节看《恶意软件扫描与登录安全》

防火墙 Firewall

Wordfence → Firewall。

Learning Mode（学习模式）

• 用来分辨真实访客跟黑客/机器人，也会顺便学习你网站上的插件跟外部服务之间的连接方式（比如电商网站会连接记账系统等第三方服务），这些正常连接会被放行、不受防火墙阻挡
• 学习模式只会自动运行 1 周。如果之后新增了插件或改了设置导致误挡，可以随时重新手动开启学习模式，让它重新学习一次

Blocking（拦截列表）

• 被登出/被拦截访客的 IP 地址会显示在这里，可以手动解除拦截，或者反过来把某个 IP 设为永久拦截
• WAF 也会自动侦测并自行拦截整段 IP range（不只是单一 IP），这部分是自动处理，一般不需要手动介入

防护等级：Basic → Optimized

1. 点击 "Optimize the Wordfence Firewall"

[截图：Wordfence Firewall 页面点击 Optimize the Wordfence Firewall 后的引导流程]

1. Wordfence 会给出针对你网站的最佳 .htaccess 方案，不要自己改，直接点 "Download .htaccess" 下载到本机备份
2. 点击 Continue → 完成后会提示防火墙已优化，按 Close
3. 优化后防火墙会在 WordPress 加载之前就先拦截，防护效果更好

Advanced Firewall Options

• Delay IP and Country Blocking：不要开启，Wordfence 官方自己也不建议开这个
• Allowlisted IP addresses (bypass all rules)：把自己常用的 IP（去 Google 搜 "what's my IP" 查）加进去，避免自己被反锁在网站外面。注意家用 IP 可能会变动，需要的话之后再更新
• Allowlisted services：默认放行的一些常见服务/爬虫，保持默认开启即可，不用关

Brute Force Protection（暴力破解防护）—— 强烈建议启用并调整默认值

这是 Wordfence 最核心的功能之一，具体调整：

• Lockout after how many login failures：默认 20 次，改成 4 次
• Lockout after how many forgot-password attempts：默认 20 次，改成 3 次
• 锁定时长（Amount of time a user is locked out）：可以拉长到 1 整天
• Immediately lock out invalid usernames：
  • 如果网站只有你自己一个用户，建议开启（机器人多半是在试 admin 或常见用户名）
  • 如果网站有很多订阅者/编辑/管理员，建议关闭，避免他们自己打错用户名就被秒锁
  • 也可以手动加入自定义用户名
• 📌 如果你的管理员用户名还是默认的 "admin"，务必更换，步骤：
  1. 新增一个 administrator 用户，用不同的邮箱注册
  2. 记得勾选 "allow a grace period"
  3. 按 Add New User
  4. 用新账号登录，删除原本的 admin 账号
• Prevent the use of leaked passwords：范围从默认「仅 admins」改成「所有拥有 publish post 权限的用户」，覆盖面更安全
• Enforce strong passwords：可选「所有会员」或「仅 admins 和 publishers」；如果只有自己一个人用，保持默认（admins and publishers）即可
• 其他保持默认开启即可：check password strength、participate in real-time Wordfence security network（少数情况下会跟某些服务冲突，但大多数时候没问题）
• 可以自定义被拦截页面显示的文字（Custom text shown on blocked pages）
• Rate limiting：一般网站保持默认设置即可，不用改
• Allowlisted URLs：如果安装 Wordfence 后发现某些第三方服务/插件连不上了，可以把对应 URL 加到这里放行
• 全部改完后记得点 Save Changes

常见误区

• ❌ 以为免费版怎么调都能拿到 Dashboard 上显示的 100% 保护率——这是不可能的，100% 只对 Premium 用户开放
• ❌ 把 "Delay IP and Country Blocking" 当成好用的功能随手打开——Wordfence 官方自己都不建议开启这个选项
• ❌ 网站有多个用户（编辑/作者）时还开着 "immediately lock out invalid usernames"——容易造成同事自己打错用户名就被锁，反而增加维护成本
• ❌ 一直用默认的 "admin" 当管理员用户名——这是黑客最常尝试的用户名之一，务必更换
• 📌 免费用户现在（2026年起）必须连上 Wordfence 中央账号（Intelligence v3 API）才能持续收到防护规则更新，不再是可有可无的注册步骤

Sources

YouTube：

1. Wordfence Security Plugin Full Setup Tutorial (Video Transcript) — https://www.youtube.com/watch?v=7eZyW1WgsJ4

Blog / Website：

1. WordFence 安全插件介绍及使用教程 — https://www.wbolt.com/wordfence-security-plugin-overview.html

官方文档：

1. Wordfence Web Application Firewall (WAF)