wp 小网站装了个 Wordfence，发现安全问题真不容忽视。

[sjwuny]

几乎隔几分钟就有 robot 扫描你的登录页，尝试登陆。

俄冰雪王国，美的的攻击最对。

另外大家有好的解决方案么？保障网站安全。

[yytsjq]

@sjwuny 用 Authy 管理两步验证就不用翻了。而且还可以通过 auth_cookie_expiration 把登录有效期调长些。

[sjwuny]

@yytsjq 下次试试，最近才开始重视安全问题

[xiaopc]

以前是给 wp-login.php 加 HTTP Basic Auth，现在用两步验证(・・;

[xenme]

经常打补丁这些都无所谓。

[LemonFlower]

密码足够长，能猜对算我输 ╮(╯▽╰)╭

[huaxing0211]

wp-login.php?aaa=bbb，检测 aaa 的值不是 bbb，直接 301 重定向到一个网上测速的一个 1G 的文件……
然后看日志，好多 301 ……

[yexiaoxing]

Flask 做的网站，天天收到 wp-login.php...
直接 nginx 里返回超大 header 了

[ivmm]

@huaxing0211 这招够损

[AifeiI]

@huaxing0211 然而人家只是处理 200 的结果。。。

[imnpc]

硬件登陆验证 基于 FIDO 的

[huaxing0211]

@AifeiI wp-login.php?aaa=bbb，检测 aaa 的值不是 bbb，return 404。

[AifeiI]

@huaxing0211 其实我意思是扫描器不会管你返回的非 200 状态码，它还是会来扫描你

[misaka20038numbe]

if IP != xxx echo 'error'; 对的，我的网站我自己都不能登录后台。

[xxhjkl]

@f2f2f #3 插件不错，已启用

[zztt168]

感谢推荐插件

[iwillhappy1314]

服务器是 Linux 的话，可以上 Fail2ban https://www.wpzhiku.com/shi-yong-fail2ban-fang-zhi-wordpress-bao-li-po-jie-hou-tai-deng-lu/

[scriptB0y]

吓得我改了密码

1password 不用插件，能猜得到算我输

[scriptB0y]

wordpress 竟然没有修改密码，只有生成新密码……

[zingl]

投诉 IP ABUSE

[brokenQ]

修改后台登陆地址 设置长密码 定期更改