WordPress 安全插件比较：Wordfence、Kadence Security 与 AIOS

如果希望用一个工具管理防火墙、恶意软件扫描和登录保护，可以比较 Wordfence；重视用户与登录策略时，可以考虑 Kadence Security；希望逐项设置保护时，可以比较 All-In-One Security（AIOS）。应核对免费版的实际范围、误报由谁审核，以及管理员怎样恢复访问。任何插件都不能替代更新、账号管理与备份，也不能保证阻止所有入侵。

先决定安全插件负责哪项工作

应区分预防、检测和恢复。Web 应用防火墙（WAF）依据攻击规则评估请求；登录保护降低密码猜测和账号被接管的风险；扫描则寻找文件变化或已知恶意软件的特征。调查入侵、消除根本原因和恢复干净状态，是不同的任务。

文件变化告警可能来自合法更新，也可能来自攻击。收到告警不等于已经感染，删除被标记的文件也不代表根本原因已经消失。应将文件路径、修改时间与自己执行的更新对照，再检查证据。

先检查闲置管理员、共用密码、无人维护的插件，以及是否有可恢复的备份。WordPress 安全加固手册介绍了分层管理。如果主机已经提供防火墙或扫描，应明确插件与服务商各自负责什么。

比较免费与付费保护范围

除了许可证费用，还应比较网站数量、支持合同和续费条件。购买插件，与委托人员调查和清理安全事件，是两件事。后台评分或安装量不能证明产品适合自己的网站。

各产品需要注意的条件

Wordfence：需要有人管理防火墙和扫描结果

Wordfence 在 WordPress 环境中运行防火墙、文件扫描与登录保护。管理者能够区分正常更新和可疑变动、审核被阻止的请求时，可以将它列入候选。也要检查扫描时长、资源消耗与日志保留期限。

免费和付费版的一个重要差异，是新防火墙规则与恶意软件特征的获取时间。Wordfence Free 文档说明，免费版比 Premium 发布晚 30 天取得这些更新。免费版仍包含已有保护和双因素认证。通过产品比较，区分实时威胁信息与由人员直接参与的响应服务。

Kadence Security：以用户策略为重点

当前目录名称是 Kadence Security；较旧的 iThemes Security 或 Solid Security 指南可能显示不同菜单。需要按用户组管理双因素认证、密码要求和暴力猜测防护时，可以考虑它。管理员和顾客需要符合各自角色及实际登录路径的策略。

官方介绍将可信设备、无密码登录和自动漏洞修补列为 Pro 功能。漏洞告警与自动修补不同；即使启用补丁保护，仍需安装原开发者发布的安全更新，或判断是否应停用不再维护的产品。

AIOS：逐项理解并应用设置

AIOS 包含登录、防火墙和文件变化控制。愿意阅读每个选项、逐步增加保护的管理者，可以将它纳入比较。文件变化检测与检查文件内容是否含有恶意软件不同，不应将所有名为“扫描”的功能视为相同范围。

AIOS 官方产品页面区分了 Premium 恶意软件扫描与高级认证。服务器规则功能还取决于主机环境，例如依赖 .htaccess 的规则不能原样用于 Nginx，应检查产品的服务器支持范围。

启用限制前，先准备恢复方式

准备可恢复的网站备份与主机访问权限，再记录登录路径、账号和外部集成。安装方法见插件安装指南。对于重叠的双因素认证和登录阻止功能，应明确负责工具，避免在多套安全插件中重复启用。

1. 记录当前正常状态。测试管理员和普通用户登录、密码重置邮件、表单及手机菜单；也要包含商店或会员网站独立的登录页面。
2. 完成产品初始配置。核对网站类型和管理员邮箱。使用代理时，检查访客 IP 识别；将多位访客当成同一个代理地址，可能造成错误封锁。
3. 先配置登录保护。双因素认证（2FA）要求密码之外的额外认证因素。先在管理账号配置，保留恢复代码，再决定哪些角色需要使用。
4. 保留当前会话，在另一个窗口测试。退出所有会话前，先在隐私窗口验证登录与认证。仍然打开的管理员会话，有助于修正不兼容设置。
5. 每次增加一项限制。将防火墙、用于反机器人检查的 CAPTCHA，以及登录路径修改分开处理。检查手机、表单、商店和自动化，再根据证据调整故障规则。
6. 安排告警审核。选择有人查看的邮箱、扫描计划和保留期限，区分噪声通知与重要告警，并确认计划检查确实运行。

配置 2FA 后，验证一次真实登录

在 Wordfence 中，通过 Wordfence → Login Security 连接认证应用、取得恢复代码，并用应用代码完成启用。认证器丢失时，恢复代码提供备用路径；不要将唯一副本保存在同一部手机上。关闭原有会话前，先完成真实登录测试。

主题自定义登录表单或 WooCommerce 账号页面，可能与标准登录不同。通过 Login Security 选项检查集成与角色设置，并按照官方 2FA 指南测试实际页面。如果代码失败，先确认选中了正确网站，再检查设备和服务器时间。

修改全站认证策略前，应识别使用 REST、XML-RPC 或应用程序密码的服务。REST 与 XML-RPC 是应用程序同 WordPress 通信的接口；浏览器登录和应用程序编程接口（API）认证，可能使用不同路径。先明确集成实际采用的方式，查阅兼容性说明，再决定限制范围，避免直接全部拒绝。

管理员被锁在站外时怎么办？

记录错误页上的产品名称、原因与时间。认证应用问题应采用认证恢复方法；IP 或请求被阻止时，则检查封锁流程与日志。Wordfence 的封锁排查指南介绍了管理员解锁邮件等恢复路径。邮件未收到的问题，需要与封锁本身分别调查。

如果后台和普通恢复路径都不可用，网站所有者应与主机或安全支持人员按产品恢复流程处理。不要在未识别原因时永久移除全部保护或随意删除文件。恢复访问后，修正有问题的规则或认证方式，测试正常访问，再恢复预期保护。

旧封锁响应可能残留在页面、主机或内容分发网络（CDN）缓存中。应区分影响正常访客的误报与实际入侵证据。怀疑感染时，保留文件、日志和当前状态，与负责服务商确认原因、影响及恢复范围。仅安装另一款插件，不能证明清理已经完成。