EP03. “Solid Security：防火墙、本地暴力破解与隐藏后端设置（免费版）”

这篇笔记讲「功能（Features）」分类底下的防火墙相关设置（禁止用户名单、本地暴力破解防护、更改管理员用户名），以及「高级设置（Advanced）」里跟登录方式/隐藏后端相关的设置。这几项都是直接针对「怎么挡住攻击者」的核心防护设置。前置知识看《全局设置、功能与通知设置》。

重点内容

防火墙 → 禁止用户设置

启用默认禁止列表（由 Jim Walker 在 Hack Repair.com 上创建）——这是一份已知恶意 IP/用户名单，直接套用即可，不需要自己额外调整。

防火墙规则引擎设置

保持默认即可，不需要更改。

本地暴力破解防护

这个功能相当强大，重点设置：

• 自动锁定「管理员」用户名：除非你自己就是叫 admin 的用户，否则应该锁定这个用户名——因为 admin 是全球 WordPress 标准安装最常用的默认用户名，也因此是自动化爬虫最常拿来试探攻击的目标
• 📌 怎么更改管理员用户名（如果你现在用的账号就叫 admin）：
  1. 到「用户」页面 → 「所有用户」，检查自己的用户名是不是 admin
  2. ⚠️ 已登录状态下没办法直接改用户名，必须创建一个新用户
  3. 点「添加用户」，用一个跟现有登录账号不同的邮箱地址注册新用户
  4. 把新用户设为管理员角色，填好信息后点「添加用户」
  5. 用新账号登录，删除旧的 admin 账号（可以选择保留旧账号的邮箱/密码信息迁移到新账号）

设置完点「保存」。

高级设置：登录方式与访问控制

到「高级设置」→「WordPress 调整」页面：

• API 访问权限（XML-RPC）：⚠️ 如果不是开发者、也没有用 Jetpack 这类需要 XML-RPC 的插件，务必禁用整个 XML-RPC 功能——这个模块经常被自动化攻击滥用，攻击者能透过它每分钟尝试上千次密码猜测，速度非常快。除非确定有系统真的在用 XML-RPC，否则保持禁用不会有任何损失
• REST API 访问权限：同样建议限制访问范围
• 用户登录方式：默认可以同时用邮箱地址或用户名登录，如果想限制成只能用其中一种，可以在这里设置
• 强制使用唯一昵称：建议启用
• 禁用额外的用户存档：建议启用——发帖数为零的用户不需要有公开的存档页面，这也能让机器人更难透过存档页面猜测出有效用户名

高级设置：隐藏后端（Hide Backend）

1. 开启「隐藏后端」后，原本的 /wp-admin/ 登录网址会失效，无法再用来登录
2. 可以把登录网址改成任意自定义的 slug，例如 yourdomain.com/keys-of-my-castle/

[截图：Solid Security 隐藏后端（Hide Backend）设置页面，显示自定义登录 slug 的填写栏位]

1. 注册 slug 也能一并修改，但如果网站本身没有开放很多人注册，建议保持不变
2. 有人尝试访问原本的 /wp-admin/ 时，可以设置重定向到另一个自定义页面（比如显示「黑客进不来」这类文字提示）
3. 也可以自定义登录相关的操作逻辑，这部分是给了解自己在做什么的开发者用的，不熟悉的话留空即可

⚠️ 极其重要：保存这项设置之后，原本的 /wp-admin/ 网址会立刻失效——务必先把新的登录网址记下来再点保存，不然会直接把自己锁在后台外面（修复方法看《网站被 Solid Security 锁定怎么解决》）。

常见误区

• ❌ 一直用默认的 admin 当管理员用户名——这是自动化攻击最常尝试的用户名，务必更换，且要透过「新建用户 → 删除旧用户」的方式操作，不能直接改名
• ❌ 不确定自己有没有在用 Jetpack/手机 App 发文，就直接关闭 XML-RPC——先确认清楚，不然会导致这些工具突然无法使用
• ❌ 开启「隐藏后端」保存前没有先记下新的登录网址——保存瞬间原本的 /wp-admin/ 就会失效，忘记记录新网址等于把自己锁在外面
• ❌ 网站没什么人注册却还开放自定义注册 slug 的复杂设置——用不到的功能不需要额外折腾，保持默认即可

Sources

YouTube：

1. Solid Security Free & Pro（Video Transcript） — https://www.youtube.com/watch?v=EjcRzyL49S8

官方文档：

1. All about Firewall with Solid Security — SolidWP