EP08. “Solid Security Pro：购买安装与无密码登录 / 受信任设备 / 验证码 / 地理位置设置”

这篇笔记讲怎么从免费版升级到 Solid Security Pro、以及 Pro 版新增的几项进阶登录安全功能——无密码登录（Magic Link / Passkey）、受信任设备、会话劫持防护、验证码（CAPTCHA）、地理位置限制。前置知识看这个系列前面几篇免费版设置笔记。Pro 版剩下的通知设置、用户组进阶设置、以及被锁定网站的解决办法看《Pro版通知、用户组进阶设置与被锁定解决办法》。

重点内容

为什么考虑升级 Pro

Pro 版在免费版基础上，额外提供：Patchstack 虚拟补丁（自动修补已知漏洞）、无密码登录（密钥/Passkey）、Magic Link 一键登录、受信任设备管理、会话劫持防护、临时权限提升、版本管理、登录/注册/密码重置的机器人防护、实时安全仪表板小工具、设置导入导出等。

购买与安装流程

1. 到 SolidWP 官网选择 Pro 版方案——可以选择要保护的网站数量，网站数量越多、平均每站年费通常越便宜
2. 完成结账流程：填写邮箱、同意条款、填写账单信息、付款
3. 付款完成后下载 Pro 版安装包（文件名类似 iThemes Security Pro）
4. WordPress 后台 → Plugins → Add New → Upload Plugin，选择刚下载的文件 → Install Now → Activate Plugin
5. 激活后会提示「有多个版本的 Solid Security 同时启用，请停用其他版本」——这时候找到原本的免费版（Basic），点「停用」→「删除」，确保网站上只留 Pro 版一个版本运行
6. 到「安全」→「站点扫描」重新跑一次扫描——Pro 版的扫描项目比免费版更全面（包含非活跃用户、恶意安装检测等）

无密码登录（Passwordless Login）

到「安全」→「设置」→「功能」，可以启用无密码登录：

• Magic Link：用户输入邮箱后，系统发送一个一次性登录链接，点击即可直接登录，不需要输入密码
• Passkey（密钥）：支持 Face ID、Touch ID、Windows Hello 或设备本身支持的其他生物识别/密钥方式
• 可以设置登录时优先显示「方法优先」还是「用户名优先」，也可以两种方式同时开放
• 可以选择是否要求必须用这些无密码方式登录

权限提升（Permission Elevation）

启用后，可以让某个用户临时获得更高的权限（比如临时给某人编辑或管理员权限），管理员可以随时执行这个操作，用完可以撤销，不需要一开始就永久给某人高权限。

受信任设备 + 会话劫持防护

• 受信任设备：当管理员从一台系统辨认不出、从未使用过的设备登录时，可以限制这类设备的操作权限（比如不能编辑登录信息）
• ⚠️ 会话劫持防护：务必启用。这个防护针对的场景是——攻击者透过某个文件（比如恶意 PDF）取得你的浏览器 Cookie，然后把这些 Cookie 复制到自己的电脑上，伪装成你本人登录，做任何操作都不会被察觉「你其实没有注销过」。这类攻击对内容创作者尤其常见，启用会话劫持防护能有效阻挡这种手法

验证码（CAPTCHA）

到「安全」→「设置」→「防火墙」，可以启用验证码保护登录/注册/找回密码/评论这几个入口不被机器人滥用：

• reCAPTCHA v2：类似「我不是机器人」勾选框，操作简单
• hCaptcha：需要先解一个小题目才能继续，机制上更严格一点

hCaptcha 设置步骤（如果选择这个）：

1. 到 hCaptcha 官网注册账号并登录
2. 为你的网站创建一条参考记录：点加号 → 填入域名
3. 因为是免费账号，验证码会自动启用，点「保存」
4. 把拿到的 Site Key 和 Secret Key 填回 Solid Security 对应栏位

[截图：Solid Security 的验证码设置页面，显示 hCaptcha 的 Site Key/Secret Key 填写栏位]

1. 可以设定这个验证码要用在哪些场景：登录、新用户注册、找回密码、评论——按需求勾选
2. 也能调整外观（浅色/深色）、小工具大小、GDPR 选择加入、以及登录失败次数的锁定门槛

地理位置限制（Geolocation）

到「安全」→「设置」→「实用工具」，可以启用地理位置限制：

1. 到 MaxMind GeoLite2 官网免费注册账号，取得 API 密钥
2. 把 API 密钥填入 Solid Security 对应栏位
3. 下载 GeoLite2 数据库（离线数据库，用来判断登录者所在地区）
4. 设置只允许特定国家/地区的 IP 登录——如果你的用户/管理员都固定在某个国家，可以直接限制成只允许该国家登录

⚠️ 这层防护无法完全杜绝——使用 VPN 的人依然能绕过地理位置限制伪装成本地 IP，但对多数不会特意用 VPN 的攻击者来说，这依然是一层很有效的额外防护。

常见误区

• ❌ 安装 Pro 版后没有停用并删除免费版——两个版本的 Solid Security 同时运行会互相冲突，装好 Pro 版后一定要记得处理旧的免费版
• ❌ 以为地理位置限制能百分之百挡住所有非本地攻击者——使用 VPN 的人依然能绕过，这只是额外的一层防护，不是绝对屏障
• ❌ 没有启用会话劫持防护——这类攻击手法在内容创作者身上很常见（透过恶意文件窃取浏览器 Cookie），Pro 版用户务必开启这项防护
• ❌ hCaptcha/reCAPTCHA 的 Site Key 和 Secret Key 填反或漏填——这两组密钥必须准确对应填入插件设置，填错会导致验证码功能无法正常运作

Sources

YouTube：

1. Solid Security Free & Pro（Video Transcript） — https://www.youtube.com/watch?v=EjcRzyL49S8

官方文档：

1. What are Passkeys for WordPress Websites? — SolidWP