WordPress 是一款功能和安全性都十分强大博客 CMS 系统，目前在全球使用非常广泛。很多个人博客，企业博客等等都是用 WordPress 平台。网站安全应该是每一个站长必须随时注意的，我们应该先做好防范措施，而不是等到站点被黑，数据库被盗才想到安全性。 WordPress 也一样，虽然很多 WordPress 用户都认为它非常安全，但它也可能被黑客攻击。所以本文就总结了几点 WordPress 博主必须要做的安全设置。
一、 WordPress 数据库操作权限的安全设置
首先说说数据库的安全设置。我建议你最好单独给 WordPress 建一个数据库，最好不要跟其它网站或应用共享一个数据库。因为如果其中一个网站有漏洞，黑客进入了数据库，这就威胁到了整个数据库表的安全。然后还应该设置 WordPress 数据库的操作权限，比如，哪些账户可能有 insert 、 delete 和 create 权限，哪些只有 select 权限等。
另外各个数据库账户的密码一定要非常强壮，最好用密码管理软件生成一串包含数字、字母和符号的随机密码。关于权限设置，你可能参考以下代码：
$ mysql -u root -p
mysql> create database 'myblog';
mysql> grant select, insert, delete, update, create, drop, alter on myblog.* to 'bloguser'@'localhost' identified by 'mypassword';
mysql> flush privileges;
mysql> exit;
二、修改默认管理员帐户密码
不要在管理员的用户名中使用诸如 Admin 这样的名称，你可以直接用 MySQL 打开数据库，直接修改数据库中的管理员用户名。表名为_users 。也一定注意管理员的密码。要跟上面设置数据库的密码一样，要弄得复杂一些，最好有大写字母、小写字母、数字和符号。可以考虑用一些密码管理软件，如 KeePass 等来保存密码。
三、使用加密路径访问
这一条不是很觉见，因为很多站点一般是不支持 SSL（HTTPS） 的访问模式，需要付费。但 WordPress 是支持用 HTTPS 的方式访问的。如果你的服务器支持 HTTPS，你一定使用加密方式访问后台。因为如果使用一般的 HTTP，你的密码可能会被人用抓包嗅探软件截取到。要启用 HTTPS 访问后台的方式的话，你需要在 wp-config.php 中加入以下代码：
define('FORCE_SSL_ADMIN', true);
四、及时升级到新版本
新版本的发布除了新功能一定还有对漏洞的修复。所以当有新版本发布时，你一定要重视了解下此版本修复了哪些漏洞。要及时下载最新安装包更新到新版本。
五、定期备份 WordPress 数据库和文件
一定要定期备份数据库。因为一旦数据库被入侵破坏，你可以将数据库恢复过来。谁都不想幸幸苦苦做的内容瞬间化为灰烬。你可以找找 WordPress 数据库备份的插件，有些插件可以设置定期自动执行备份操作。有一款叫 WP-DB Manager 的插件可以自动将备份发送到你的 Gmail 邮箱。
除了备份数据库以外，也应该把 WordPress 的文件做定期备份。特别是当你对代码做了很大的修改的情况下，比如插件、主题模板等，你更应该对源代码做一下备份。万一 WordPress 被攻击，恢复起来也容易得多。
六、屏蔽文件夹目录浏览
有些主机可能允许浏览目录结构，这个的安全隐患非常大。浏览目录结构表示黑客可以看到你所有的文件名。最简单的办法是在每个目录下面都放上一个空内容的 index.html 文件。这样访问者就只能看到一个空白的页面了。要关闭 Apache 的目录浏览也很简单，只需要在根目录的.htaccess 文件中添加这行代码：
Options All -Indexes
七、不要在页面代码中输出 WordPress 版本号
你的 WordPress theme 的代码在 Meta 段肯定没有显示版本号，但是版本号可以通过一些方式读取到。要在 functions.php 文件中添加下面这行代码：
如果你的 WordPress 没有这个文件，你可以创建一个，然后添加上这行代码。