EP501-503. “插件章节实战：怎么找/装/管理 Plugin、备份网站（UpdraftPlus）、安全防护（Wordfence）”

• 装插件前先看四个指标：评分、活跃安装数（5 万+）、最后更新时间、兼容性警告——评分再高，装机量太低也是警讯
• 备份和恢复最好是同一个插件搞定，光备份文件不够，出事时能不能一键还原才是关键
• 中小企业网站平均每天遭受 4 到 40 次网络攻击——安全插件不是可选项，是网站的第二道保险

重点内容

怎么找、装、管理 Plugin（EP501）

后台 Plugins 菜单下有三个子项：

• Installed Plugins：目前已经装的插件列表
• Add New：找新插件的地方
• Plugin Editor：改插件代码用的，普通人完全不需要碰，这是给开发者用的

点 Add New 后，上面有几个分类 tab：Featured（精选）、Popular（热门）、Recommended（推荐）、Favorites（收藏）、Premium（付费）。Premium 是需要付费的插件，但绝大多数需求都有免费选项，基本不用花钱。

右上角搜索框可以直接搜关键字找插件，例如想加社交分享按钮，就搜 "social media buttons"。

装插件前必看的四个指标

在一堆搜索结果里选插件时，务必看这四点，不要随便挑第一个：

1. Reviews（评分 + 评分数量）：评分高、评分人数也多才有参考价值。
2. Active installations（活跃安装数）：建议选 5 万到 10 万以上的。评分再高，装机量太低也是警讯——宁可信任被大量网站验证过的插件。
3. Last updated（最后更新时间）：太久没更新的插件风险有两个：可能跟你现在的 WordPress 版本不兼容，也可能因为没跟上 WordPress 更新而留下安全漏洞，给黑客可乘之机。
4. "Untested with your version of WordPress" 提示：尽量选没有这个警告的插件。如果只是因为 WordPress 刚发布新版本没多久（例如才过一小时），插件还没来得及测试兼容性，可以再等等看，不用太担心。

点进插件详情页，还能看到：Description（描述）、Installation（安装说明）、FAQ（常见问题）、Changelog（更新记录）、Screenshots（截图，做设计类/展示类插件时特别重要，安全类/备份类插件则不用太在意截图）、Reviews（评论，装之前一定要看，尤其是最新的评论）。

安装与卸载插件

安装：

1. 在插件详情页或搜索结果列表直接点 Install Now。
2. 安装完成后点 Activate，插件立刻生效。

有些插件激活后会自动出现在网站前台（例如社交分享按钮），有些则是藏在后台 Settings 菜单底下等你去配置——具体在哪，插件激活后通常会有提示。也有一些插件（例如 WP Forms、Elementor）会直接把自己的菜单加到左侧主导航栏，而不是塞进 Settings。

卸载：

1. 进入 Plugins → Installed Plugins。
2. 先点 Deactivate（停用）。
3. 停用后才能点 Delete（删除），确认后插件才会真正被移除。

[截图：Plugins → Add New 搜索结果页面]

为什么一定要备份网站（EP502）

备份是新手最容易忽略、也是后果最惨的一个疏忽。网站可能因为下面任何一种情况瞬间消失：

• 主机商（例如 Bluehost）自己出错
• 某个插件开发者的更新出问题
• 网站被黑客攻破（就算你自己做了安全防护，主机商本身也可能被攻击）

网站没了，投入的时间、精力、金钱和辛苦建立起来的生意就全部归零，只能从头再来。备份插件免费又好装，没有理由不做。

好的备份插件要具备三个条件

1. 自动定期备份（Automatic backups）：能设定固定周期自动跑，不用自己手动记着做。
2. 能恢复（Restore）：备份跟恢复最好是同一个插件搞定。
3. 支持云端存储（Cloud options）：不然备份文件只能存在自己的主机空间里，主机空间通常不大，网站一长大很快就会被占满。云端选项例如 Google Drive，目前提供 15GB 免费空间，注册就能用——免费插件 + 免费云端空间，成本等于零。

安装并设置 UpdraftPlus

路径：Plugins → Add New，搜索 "updraft plus"（注意是连在一起的一个单词 updraftplus，没有空格）。

这款插件评论数极高、评分很好、活跃安装数超过 200 万、近期有更新、完全兼容——是 WordPress 里最受欢迎的备份插件之一。点 Install Now → Activate。

设置路径：Settings → UpdraftPlus Backups → Settings

1. Backup schedule（备份排程）：Files（文件）和 Database（数据库）都要设置排程，两个都要备份才完整，不然可能出现「文章还在，但图片全丢了」的惨况。周期依更新频率决定：一周更新一两次，设 Weekly；每天有大幅改动，考虑设 Daily。
2. 保留份数：建议保留 2 份，出事时有得选。
3. Remote storage（远端云存储）：选 Google Drive（没有账号就现场注册一个），点选后会跳出授权流程——登录 Google 账号，允许 UpdraftPlus 查看/编辑/创建/删除 Google Drive 文件（这是备份运作必须的权限），最后点 Complete Setup。其他云选项（例如 Dropbox）也可以，部分云选项是付费功能，选一个免费的用就行。
4. Email notification：勾选，每次自动备份完成会收到邮件提醒，确保备份真的有在跑。
5. Files backup 要包含的内容：全部勾选，包含所有目录。
6. Expert settings 不用管，默认设置已经够用。

设置完点 Save Changes，完成 Google Drive 授权后会看到 "Success" 提示，显示已连接的账号和目前用量。

手动备份、恢复与迁移

• 手动备份：随时点 Backup Now 按钮，勾选要包含 Database、Files，并送到远端云存储，点确认即可开始备份。建议每次对网站做完重大改动后都手动备份一次。
• Existing backups（备份记录列表）：可以看到自动备份和手动备份的每一笔记录，选中想要的版本点 Restore 就能一键还原。
• 搬迁备份到别的网站：UpdraftPlus 内建的 Migration 服务是付费功能，但不用花这个钱——直接把备份文件下载到电脑，登录目标网站后台，点 Upload backup files 上传就行，一样能达到搬迁效果。

UpdraftPlus 付费版值不值得

免费版已经能满足几乎所有需求。付费版价格大约在 30-90 美元之间，主要买的是客服支持（support）——如果你技术不熟、网站规模已经做得很大，想要有人随时能帮忙处理备份问题，可以考虑升级。刚起步阶段用免费版完全没问题，而且可以用很长一段时间。

为什么一定要有安全插件（EP503）

网站的两大「必装插件」，第一是备份，第二就是安全插件。数据很吓人：一般中小企业网站平均每天遭受 4 到 40 次网络攻击，有些网站每月甚至高达 1.6 万次攻击。网站/生意做得越大，越容易成为攻击目标。

就算已经有备份能恢复网站，安全插件仍然不可省，因为真正要保护的是网站数据（website data）：

• 站主自己的个人信息
• 商业机密信息
• 更敏感的：客户的个人信息——一旦被黑客窃取甚至公开，事情会变得非常棘手，生意规模越大风险越高。

好的安全插件要具备三个条件

1. Firewall（防火墙）：阻止任何人未经授权访问或修改网站文件，没办法修改文件，就没办法植入恶意程序（malware）、没办法搞破坏。
2. Block IP（封锁攻击 IP）：一旦侦测到攻击/植入恶意程序的行为，直接封锁该 IP 地址（每个访问者的专属网络地址），让对方之后完全无法再访问网站。
3. Automated scans（自动扫描）：按设定的周期自动扫描网站，确认没有被植入任何可疑程序、一切正常。

安装并设置 Wordfence

路径：Plugins → Add New，搜索 "wordfence"（同样是连在一起的一个单词）。

结果是 Wordfence Security – Firewall & Malware Scan：活跃安装数超过 200 万，评分极高，近期有更新，完全兼容——用了多年、经得起时间考验的老牌插件。点 Install Now → Activate。

激活后会直接出现在左侧主导航栏（不像 UpdraftPlus 藏在 Settings 里）。

初次设置：

1. 用邮箱注册账号——好处是之后扫描发现异常、或插件/主题过期需要更新时，会直接发邮件通知你。可以选择不订阅它的 newsletter。
2. 不需要 Premium key，选 No, thanks 继续，用免费版即可。

首次进入会有导览教程，可以照着走一遍熟悉界面。这款插件基本是「即插即用」，装好活跃后大部分功能已经在运作，但有一个设置强烈建议手动做：

优化防火墙（Web Application Firewall）：

1. 页面顶部会有提示 "take a moment to optimize the Wordfence Web Application Firewall"，点击进去 Configure。
2. 使用推荐设置（recommended），下载 .htaccess 备份文件（这是允许对 WordPress 做底层修改的配置文件，先备份一份以防万一）。
3. 点 Continue → Close，完成。

到这一步，网站已经同时有了备份和安全防护，这是新手阶段最基本也最重要的两道保险。

进阶设置：限制登录尝试次数（Brute Force Protection）

路径：Wordfence → All Options → Firewall Options → Brute Force Protection

• 登录失败次数上限：默认是 20 次，改成 5 次。正常人记得自己密码根本用不到 5 次以上，把上限调低能大幅降低被暴力破解密码的风险。
• 忘记密码尝试次数上限：同样改成 5 次。
• 改完点 Save Changes。

回到 Dashboard 能看到网站被拦截攻击的统计数字（例如显示过去 24 小时内的总拦截次数）——数字看起来可能很吓人，但这就是真实情况，网站/生意越做越大，遭遇的攻击尝试也会越来越多，这正是安全插件存在的意义。

如果之后想付费升级插件，讲师建议优先考虑的就是备份插件和安全插件——这是网站最核心的两道防线，比其他功能类插件更值得投资。

最后，如果想手动跑一次扫描：左侧点 Scan → New Scan 即可，同样会有导览教程带着操作。建议装好之后先手动跑一次。

[截图：Wordfence Dashboard 攻击拦截统计]

核心概念速查

行动步骤

1. 装任何插件前，先检查 Reviews、Active Installations（5 万+）、Last Updated、是否兼容当前 WordPress 版本这四项。
2. Plugins → Add New 搜索 "updraftplus"，安装激活后设置 Files + Database 排程备份（依更新频率选 Weekly/Daily）、保留 2 份、连接 Google Drive 远端存储、打开邮件通知。
3. 做完网站重大改动后，手动点一次 Backup Now。
4. Plugins → Add New 搜索 "wordfence"，安装激活，用邮箱注册（跳过 Premium key）。
5. 点顶部提示优化 Web Application Firewall，下载 .htaccess 备份，完成设置。
6. 进 All Options → Firewall Options → Brute Force Protection，把登录失败和忘记密码尝试次数都改成 5 次。
7. 装好后手动跑一次 Wordfence 的 New Scan，确认网站目前是干净的。

工具 & 资源

常见误区

• 只看评分高就装插件，不看 Active Installations 和 Last Updated，结果装到一个装机量很低或很久没更新、有安全隐患的插件。
• 只备份 Database 或只备份 Files 中的一种，出事时发现文章内容和图片对不上。
• 觉得「反正有备份了，安全插件可以省」——备份只能帮你恢复网站，不能防止客户/商业敏感数据被黑客窃取泄露。
• 登录失败次数上限一直用默认的 20 次，等于变相给暴力破解密码的攻击者更多机会。
• 想付费搬迁备份到新网站，其实直接下载备份文件再到新网站后台上传即可，不需要用付费的 Migration 服务。

Sources

Udemy（课程 transcript）：

1. The Completed Digital Marketing Guide 27 in 1 — Section 33, Lecture 501 (How to Use Plugins)
2. The Completed Digital Marketing Guide 27 in 1 — Section 33, Lecture 502 (Backup Your Website)
3. The Completed Digital Marketing Guide 27 in 1 — Section 33, Lecture 503 (Secure Your Website)