保护网站安全：WordPress网站防火墙选择指南
维护网站的安全是一项挑战，也是每位网站所有者的责任。网络世界漏洞层出不穷，要确保网站的每个环节都得到加固和保护，并非易事。
据SUCURI的调查报告显示，高达94%的WordPress网站曾遭受感染，这无疑敲响了警钟。那么，你的WordPress网站安全吗？
使用Web应用程序防火墙（WAF）是保护WordPress网站最有效的方法之一。WAF能够实时添加多重安全防护，阻止已知和未知的网络威胁。WAF的部署方式主要有两种：
- 云端型WAF：由云安全服务商提供保护，位于托管基础设施的网络边缘之外。
- 托管型WAF：通常以WordPress插件形式安装，在请求到达网络服务器之前进行检查、保护和拦截。
很多朋友可能会问，究竟哪种方式更好呢？
这实际上取决于具体情况，但我个人更倾向于云端型WAF。通过使用云安全服务商，所有恶意流量都会在其网络中被拦截，你的服务器只会接收到合法的请求，从而减轻服务器负担。
接下来，让我们一起看看市面上一些适用于WordPress的最佳Web应用程序防火墙。
苏库里 (SUCURI)
SUCURI的WAF不仅提供安全防护，还具有性能优化功能。
SUCURI提供云端型WAF，通过自定义规则立即阻止攻击者和黑客。你无需在服务器上安装任何东西，只需简单的DNS设置，所有流量都将通过SUCURI处理。不用担心DNS更改，他们会提供帮助。
以下是SUCURI的一些主要优势：
安全防护：
- DDoS攻击防御
- 零日漏洞利用预防
- 恶意软件和黑客防护
- 暴力破解缓解
- 恶意机器人拦截
- OWASP Top 10防护
性能优化：
- 支持HTTP/2
- 全球Anycast网络，实现低延迟CDN
- 智能缓存
- Gzip压缩
SUCURI的起价为每月9.99美元。
阿斯特拉 (Astra)
Astra致力于保护你的WordPress网站免受恶意软件和安全漏洞的侵害。它可以有效防御网络钓鱼、社交工程攻击、密码破解、插件漏洞、机器人攻击、SQL注入、恶意软件等威胁。平均而言，一个网站每天会遭受44次恶意软件攻击。不安全的主题、脆弱的插件、托管平台的漏洞都可能导致CMS系统被感染。Astra提供一站式解决方案，无需投资多个安全工具。
Astra的防火墙具备IP和国家/地区屏蔽、24/7实时保护、垃圾邮件拦截、黑名单监控、暴力破解防护等功能，以及超过100种其他防护措施。其基于机器学习的恶意软件扫描程序可执行无限扫描，支持计划扫描和自动扫描，并能自动清除恶意软件，并提供PDF和电子邮件报告。
Astra还提供安全审计服务，包括OWASP Top 10防护、VAPT安全认证、重新扫描、错误修复帮助等。通过阻止用户名枚举、禁用XMLRPC和文件编辑器、更改登录URL、隐藏敏感列表和WP版本信息，Astra全面保护你的WordPress。
Astra能够自动识别并修复各种错误，确保网站性能和速度不受影响。你可以在不到5分钟的时间内完成Astra的设置，无需编码或繁琐的步骤。此外，Astra会提供每一步操作的指导。
你可以在仪表板上查看所有内容，了解有多少漏洞被修复和保护。还可以通过设置IP地址和国家/地区规则，灵活控制谁可以访问你的网站。
Astra的起价为每月19美元。
MalCare
你的WordPress网站安全吗？与其坐以待毙，不如试试MalCare的免费恶意软件扫描。
MalCare通过智能行为模式检测自动阻止恶意流量。它的防火墙对于阻止黑客和机器人入侵至关重要，能够分析IP请求，确保你的网站能有效处理暴力破解等常见威胁。
MalCare还监控其网络上所有网站的攻击，创建恶意IP列表，阻止它们访问你的网站。使用MalCare，你将获得登录尝试次数限制以及可疑登录的及时通知。
此外，MalCare遵循WordPress官方推荐的安全实践，无需你花费时间和精力。它应用安全技术，禁用文件编辑器，保护上传文件夹，更改安全密钥，并禁止安装恶意插件或主题。
现在就免费扫描你的网站吧，无需任何前期费用，即可获得安全保障。
Wordfence
Wordfence是最受欢迎的一体化安全插件之一，拥有超过200万活跃用户。
在高级计划中，你可以享受防火墙保护，以及规则、恶意软件签名和恶意IP的实时更新。
Wordfence还提供以下功能：
- 两因素身份验证
- 垃圾邮件过滤
- 计划安全扫描
- 暴力破解防护
Wordfence的年费为99美元。
Cloudflare
Cloudflare是一款强大的Web防火墙，每秒处理约300万个请求。在PRO计划下，Cloudflare提供WordPress WAF。
Cloudflare以提供性能优化、CDN和安全防护而闻名。它的WAF不会降低网站速度，仅为页面加载时间增加不到1毫秒的延迟。
Cloudflare WAF可以防御OWASP Top 10漏洞、特定于应用程序的漏洞和已知漏洞，并为WordPress网站提供专门的规则。
你可以在5分钟内开始使用Cloudflare。你也可以考虑安装他们的插件进行快速设置。
Cloudflare PRO计划的月费为20美元。
StackPath
StackPath的WAF与CDN紧密集成，与Cloudflare类似。
它们为第七层（应用层）提供所有标准的安全性保护。
例如：
- 机器人保护
- 用户自定义规则
- 动态过滤
- 防止抓取
- 企业级规则
每个计划还包括DDoS保护。
我非常喜欢StackPath EdgeRule，它允许你立即执行许多操作，而无需重启Web服务器或在WordPress站点中安装任何内容。
一些可行的操作包括：
- 注入HTTP标头
- 按国家/地区阻止请求
- 通过引荐来源国将机器人请求重定向到其他国家/地区
- 自定义规则
StackPath与W3 Total Cache集成良好，五个站点的价格从每月20美元起，他们还提供15天免费试用。
NinjaFirewall
NinjaFirewall位于WordPress前面，利用名为Sensei的强大过滤引擎。
该防火墙还提供事件通知、集中日志记录、恶意软件扫描，并支持多站点。
单个域的NinjaFirewall许可证费用为每年34.90美元。
AWS WAF
如果你的网站托管在AWS上，那么你可能会希望使用AWS WAF。
最近，他们发布了一个模板，可以用来缓解OWASP Top 10漏洞。如果你需要更多功能，可以尝试Alert Logic Managed Rules for WordPress。
Shield Security
Shield是另一个内置防火墙模块的WordPress安全插件。
Shield扫描GET和POST请求，如果违反策略则终止请求。它可以让你选择如何响应被阻止的请求。
- 直接终止
- 用自定义消息终止
- 返回主页
- 返回404错误
在防火墙拦截下，它会检查以下内容：
- 目录遍历
- SQL查询
- WordPress术语
- 字段截断
- PHP代码
- Cookie值
Shield还具有其他功能，例如登录保护、用户会话管理、强大的垃圾邮件保护、黑客防护、自动核心更新、自动锁定、审计跟踪等。
结论
我希望以上列表能够帮助你为你的WordPress网站选择合适的Web应用程序防火墙。
WAF对于任何网站来说都至关重要，可以保护其免受黑客、垃圾邮件和攻击者的侵害。如果你不想自己动手，或者没有时间处理这些事情，你可以考虑选择优质的WordPress托管服务提供商，他们会负责处理所有事情，包括托管、安全和CDN等。