這是一篇完整的「 WordFence Security 教學 」。
定期備份 網站是重要的，這是防範網站有什麼意外的最後一個盾牌，因為網站出問題隨時都能還原。
如果你搭配的 WordPress 主機，有幫忙做定期備份那更好，這表示你買了雙重保險。
當確認有完整備份，接著站長們可能會需要一個 WordPress 安全性外掛（因為沒人想網站動不動就出問題吧 ..），確保你的網站能抵檔外來的攻擊。
像是暴力登錄、惡意流量攻擊、惡意軟體漏洞等 ..，這些都是常見的攻擊手法，稍微一不注意可能就會讓站長多年的心寫，都功虧一潰 ..。
這也是為什麼我會寫這篇文章的原因，WordFence 是熱門的 WordPress 資安外掛（下面有更詳細介紹），它有提供免費版可使用，且免費版功能就很完整，非常適合站長們使用。
好囉，這篇文章我會帶大家從 WordFence 外掛安裝，到相關設定的調整，都會盡量的與你分享，目錄如下：
- 1. WordFence 是什麼？
- 2. 安裝 WordFence 外掛
- 3. 配置網站防火牆（Firewall）
- 4. 網站漏洞掃描（Scan）
- 5. 即時流量監測（Tools > Live Traffic）
- 6. 兩階段身份認證（Two-Factor Authentication）
- 7. reCAPTCHA 驗證設定
- 8. 配置設定（All Options）
- 9. 還有什麼需注意的？
- 常見問題
- 聯絡犬哥網站
那我們就開始學習囉：）
1. WordFence 是什麼？
WordFence Security 是一款 WordPress 非常熱門的安全性外掛（高達 400w 次下載），提供多種網站資安防護，幫助站長抵擋外來的惡意攻擊。更多完整 WordFence 資安教學。
網站防火牆（Web Application Firewall，簡稱 WAF）
WordFence 的網站防火牆是它的強項之一，這跟一般單純只提醒資安相關問題的外掛不同，因為能把網站防火牆完整處理好，並能防範最新攻擊，是需要強大的資安技術。
它們團隊花了大把時間在防火牆的更新維護上（看 WordFence 外掛內，有超多的防火牆規則就知道 ..），確保能幫 WordPress 站長，抵擋最新的惡意攻擊＆惡意流量。
而 WordFence 採用的是端點防火牆，等於說它在你的網站統一把關，確保不會有任何駭客繞過防護，杜絕所有的漏洞。
惡意軟體掃描（網站漏洞掃描）
WordFence 提供全站掃描機制，能幫你找出可能潛在資安漏洞，不論是網站上現有的主題或網站外掛（惡意軟體掃描）。
或是站長可能過去有安裝一些主題或外掛，但是已經刪除不用了，但舊檔案還是存留在網站中，這些都可能成為潛在的風險。
WordFence 會幫你進行全盤的檢查（可自行選擇掃描程度，有點類似防毒軟體），對有問題的檔案進行警告，並提供相關處理的方法。
如果 WordPress 核心程式（就是直接從 WordPress.org 下載的那包檔案）有被進行變更，WordFence 同樣也會提醒你注意。
還有訪客相關的留言、評論等，是否有可疑的留言或連結，也會同步警告。
後台登錄防護
WordFence 有提供兩階段的身份認證（2FA），站長可用像是 Google Authenticator 進行第二步驟認證，強化網站安全性。
登錄頁面也提供 Google reCAPTCHA 整合，能幫助站長阻止殭屍程序登錄。
WordFence 也對試圖暴力登錄進行 IP 封鎖，還有站長可設定嘗試登入幾次失敗，則進行動作封鎖，讓有意人士無法操作。
至於改變 WordPress 登入路徑，也是簡單實用的安全性提升方法，更多 WPS Hide Login 教學。
多種資安控管功能
- 即時流量監控：這是 WordFence 用來幫你統計網站上目前的流量狀況，像是用戶登錄、惡意訪問來源、被封鎖的使用者等 ..，讓你進一步了解目前網站狀況。
- 用戶 IP 封鎖器：設定想阻擋的惡意 IP，讓他無法再訪問你的網站。
- 還有多種設定：完整的資安功能設定，站長可依照需求調整。
如果你有預算考量，WordFence 會是你的最佳選擇，因為它的免費版就十分強大。
特色評論
WordFence 擁有端點網站防火牆、網站弱點掃描＋處理、即時流量監測 ..。
免費版就很強大，但進階版提供更即時的 IP 黑名單更新、即時防火牆規則、即時惡意軟體簽名，進階版費用可至 官方網站 查詢。
2. 安裝 WordFence 外掛
這章節開始安裝 WordFence 外掛。
前往 WordPress 外掛 > 安裝外掛，搜尋 WordFence 關鍵字，然後安裝＋啟用。
填入你的信箱，這個信箱請務必留你會使用的，因為如果有網站上的資安通知，WordFence 會發信件通知你。
可選擇是否收到 WordFence 寄過來的 WordPress 相關資安通知，如果選擇 YES 請記得到 Email 打開信件，點擊裡面的連結激活。
勾選服務條款，完成後下一步。
這是填入 WordFence 進階版憑證的地方，如果你有購買可在這輸入，如果沒有的話點 No Thanks。
接著，如果 WordFence 會自動導向到 Dashboard 儀表板，就會看到非常多資安功能出現了：）
如果沒有自動導向的話，就點擊前往 WordFence > Dashboard，也會前往儀表板唷。
3. 配置網站防火牆（Firewall）
WordFence 安裝完成，首要做的是就是配置網站防火牆（這也是 WordFence 最重要的功能）。
我們也會看到 Dashboard 也有提示，點擊 Click Here To Configure 前往設定。
備註：另一個提示是詢問，是否開啟 WordFence 外掛的自動更新功能，兩個選擇都可以，依照你的需求即可。
接著，會前往防火牆的配置項（或是前往 WordFence > Firewall），這裡可選擇需配置的伺服器，但 WordFence 預設會幫你偵測最適合的類型，沒特別需求就用預設即可。
網站防火牆開始正式配置前，WordFence 會要求你下載 .htaccess 檔案（因為開始配置後會改寫裡面的內容），那因為我的主機類型還有一份檔案需下載，如果你的沒有就不用理會。
總之都下載起來備份，然後點下一步繼續。
這樣網站防火牆（Web Application Firewall）就配置成功啦，是不是很簡單呢。
接下來，我們來了解一下防火牆介面部分，預設的模式是用 Learning Mode（學習模式），這是因為 WordFence 正在學習你網站的操作模式，並會針對你的操作，做出最適合的防火牆配置。
WordFence 預設學習時間是一週，時間到後會自動切換成 Enabled and Protecting（啟用和保護模式），並開始在你的網站正式運作防火牆。
但如果你的網站已經遭遇到惡意攻擊，才安裝 WordFence 打算進行掃毒除錯，這時就可直接切換成 Enabled and Protecting 應對（就不需要等學習時間了），免得使用掃毒功能除錯完，之後還是遭受到一樣的攻擊。
一開始都先建議讓 WordFence 使用學習模式，除非有特殊狀況再直接運作防火牆。
好囉，以上就是防火牆設定相關教學。
4. 網站漏洞掃描（Scan）
前往 WordFence > Scan，這裡面是有關「 網站漏洞掃描 」的功能，WordFence 會幫你做全站式的檢查。
像是網站主題 / 外掛是否存在惡意軟體、檔案是否存在惡意程式碼、訪客留言是否存在危險連結等 ..。
執行網站掃描＆資安修復
點擊 Start New Scan，就能開始網站掃描。
網站掃描完成後，如果沒問題就恭喜你啦，就不需要做額外修復。
但如果你出現相關調整提示，就可依照 WordFence 的建議進行資安調整，像是我這個網站，就是有網站外掛＆主題還沒升級為最新版，所以 WordFence 提示我升級（下圖）。
備註：如果 WordFence 提示的項目，你已經確認過沒問題且不需修改，可點上圖的 Make as Fixed 按鈕，就會放入到已處裡。
有時後會出現紅色警告（危險級別比較高），可能是網站有不知名的檔案 or 惡意程式碼，WordFence 就會提示你將檔案刪除。
如果是這種狀況，就建議直接照 WordFence 的建議處理掉。
依照需求調整掃描等級
WordFence 有提供掃描等級的修改，點擊 Manage Scan。
預設會是 Standard Scan（標準掃描），可往上或下向調整。
用 High Sensitivity（高靈敏度掃描）為舉例，掃描執行中的主機消耗資源會變多，但掃描會更全面。
這邊順邊分享一個小概念，因為 WordFence 是在你的網站上運作的（非屬於雲管理），所以任何的執行掃描都會佔用主機資源。
除非你遇到重大資安問題，否則會建議用 Standard Scan （標準掃描）就可以了，特別是共享主機，因為共享主機本身的主機資源就有限。參考 主機類型差別。
5. 即時流量監測（Tools > Live Traffic）
前往 WordFence > Tools > Live Traffic，裡面最重要功能應該就是 Live Traffic（即時流量監測），會幫你列出用戶登錄數據、被防火牆阻止的請求、訪客 IP 位置等 ..。
WordFence 預設的流量紀錄模式是 Security Only，就是只會紀錄與安全性相關的流量，其他的數據不會紀錄。
Security Only 會是比較推薦的方式（也是 WordFence 預設值），也是最有效率的模式。
All Traffic 則是會紀錄大部分的數據，這會很耗費主機資源，除非特殊情況不然不建議使用。
當有任何的流量數據紀錄，WordFence 就會列出給你參考。
6. 兩階段身份認證（Two-Factor Authentication）
前往 WordFence > Login Security，WordFence 有提供兩階段驗證功能（Two-Factor Authentication）。
簡單來說就是除了一般的帳密輸入，還必須透過第三方給的臨時碼，才有辦法登入到 WordPress 網站。
兩階段身份認證設定
這裡我推薦使用 Google Authenticator 這款 APP，蘋果 or Android 系統都可下載，下面有設定步驟。
Step1：首先，用這款 APP 掃描 QR Code 做驗證。
Step2：下載還原密碼，這是如果你不小心遺失手機了，可以用這 5 組密碼中其中一組做登錄，每組只能使用一次（請把密碼保存在安全地方）。
Step3：然後輸入 APP 提供的臨時碼（有時間限制，會跳動）。
Step4：點擊啟用。
參考上面流程就可把兩階段身份驗證（2FA），給設定完成囉。
當你在 WordPress 後台登入輸入帳密後，就會顯示這個畫面，你就需打開你下載的 Google Authenticator，並輸入裡面的密碼，才有辦法登入 WordPress 唷！
相關設定調整
切換到 Login Security > Settings，可對 2FA 的控制權限做調整，依照自己的需求就可以了。
如果你常在固定地方作業，覺得每次都需雙重認證很麻煩，就可把地點 IP 放入到白名單，之後在固定地點，就不會要求你輸入了。
設定完成後，記得點 Save 儲存。
7. reCAPTCHA 驗證設定
WordFence 和 reCAPTCHA 有良好的整合，激活此功能後，在 WordPress 後台登入＆註冊頁面，就會出現 Google 資安防護功能。
小教學：
reCAPTCHA 是 Google 提供用來分辨登入者是否真實為人類。
目前 reCAPTCHA v3 版本，採用分數制驗證系統，對使用者在網站上的動作進行評分，若分數過低則會被判定為機器人。
接續上一章的流程，同樣在 WordFence > Login Security（登入安全性） > Settings（設定），會看到 reCAPTCHA 相關功能。
首先，把 reCAPTCHA 功能打開，然後前往 Google 申請 reCAPTCHA 憑證（下圖第 3 步驟，等憑證申請完後，再回來這裡貼上即可）。
進入後選 v3 Admin Console（不是 Get Started 唷，不然會走到付費流程）。
輸入標籤（可輸入網站網域，方便辨認用），選擇 reCAPTCHA v3，還有網站網域＆電子信箱等 ..，完成後送出即可。
接著，就會產生 reCAPTCHA 的網站金鑰＆密碼啦！
只要分別貼到 WordFence 的 reCAPTCHA 相關欄位（上面有提到）並進行儲存，就順利激活成功囉。
至於完成品大概就是長這樣，就能幫助你在表單提交時，嚴謹性變得更高了（防範機器人）！
8. 配置設定（All Options）
前往 WordFence > All Options，有多項配置可讓站長自行調整，但基本上我會建議都先用預設值即可，除非你很確定用法。
這邊跟大家分享，一些我自己有做的小調整，你可以參考並依照自己需求設定。
Email Alert Preferences 信件通知設定
基本上都用預設，只有調整了人員從新設備 or 新位置登錄到後台，我才會收到通知（不然每次有人登錄，都會收到信件會有點 xxx，特別是網站有多位操作者的狀況）。
還有更改了掃描通知級別，改為 Medium 中間等級才會收到信件（預設是 Low 低等級）。
暴力破解防護設定（Brute Force Protection）
WordFence 預設嘗試登錄次數好像設滿高的，這邊我自己是調為 5 次。
基本掃描類型選項（Basic Scan Type Options）
這剛上面有提到過，WordFence 預設是用 Standard 標準掃描，你也可進行調整，設定完成後就會變為默認值。
好囉！如果設定都調整完畢，記得要儲存才會生效唷。
9. 還有什麼需注意的？
WordFence 是一款非常棒的 WordPress 資安軟體，但需注意 WordFence 是在自己的主機上進行運作，所以使用的都是自己主機的資源（這也是唯一的小缺點）。
所以如果你的主機資源不夠，或是有受到管轄（特別是共享主機），在即時流量監測（Live Traffic），記得用比較不耗費資源的方式運作（這上面都有提到），或是進行掃描時避免在訪客眾多時候操作。
確保網站不會因為使用資源過大，而造成速度變慢，或是被主機商警告的問題。
當然，不論是 佈景主題 或 網站外掛，都需審慎挑選，盡量找知名的進行安裝，免得產生了安全漏洞。
好囉，以上就是有關於 WordFence 相關的教學，記得 定期備份 是最重要的，別忘記了唷！
常見問題
WordFence 是什麼呢？
WordFence Security 是一款 WordPress 非常熱門的安全性外掛（高達 400w 次下載），提供多種網站資安防護，能幫助站長抵擋外來的惡意攻擊。
它提供多種防護功能，像是網站防火牆、網站掃描、即時流量監測、兩階段身份認證等 ..，完整的資安功能。
一個網站適合安裝多個資安外掛嗎？
基本上會建議安裝一種即可（除非能互補，但還是建議安裝一種就好）。
原因是，不同資安外掛可能會有衝突問題，而且外掛多對網站也是負擔，其實都是沒必要的。
WordFence 的優勢在哪裡？
WordFence 最強大的地方在於網站防火牆＆網站漏洞掃描，這是其他資安軟體比較沒辦法複製的技術。
因為技術門檻高，這跟只是單純提供資安建議的外掛是不同等級的。
除了 WordFence 還有其他推薦的同等級資安外掛嗎？
當然是有的，畢竟網站資安是個重要的課題。最常被拿來討論的（同等級的），就是 Sucuri。
他們都是非常棒的外掛，在網站防火牆＆網站漏洞掃描，都有強大的技術能力！
聯絡犬哥網站
在網站架設＋網路行銷的過程中，或許會遇到一些解決不了問題，可以在下方留言給我，我會盡力協助解答！
接下來，額外分享 2 個實用資源，可有效幫助大家解決問題。
資源一：犬哥網站（專業 WordPress 網頁設計＆SEO 行銷公司）
如果你沒時間自己架站，或是遇到網站沒有流量、Google 網站排名不理想。歡迎洽詢 犬哥網站（WordPress 網頁設計＆SEO 行銷公司），請專家協助你會更容易！
我們有多年網頁設計、SEO 網站排名經驗，加上上百個高質感作品、SEO 實戰案例，絕對能滿足您的需求！
資源二：WordPress＋SEO 超強線上課程
這門 WordPress 高手架站課 濃縮了犬哥多年在網頁設計的實戰經驗，從網頁設計觀念、WordPress / WooCommerce 後台操作、熱門主題.外掛教學、品牌網站 / 部落格 / 電商網站，3 大類型網站建置方法等豐富內容，一次教會你。
課程內容非常的紮實（長度超過 20 小時）。如果你剛學習自架網站，這門課程可以讓你用最快的速度，就學會這項技能！
網站建立完畢後，但卻沒有流量怎麼辦？或是只能靠花錢投廣告才會有訂單？
這門 SEO 排名飆升課，教你掌握關鍵字策略、SEO 文章撰寫、多種實戰 SEO 技巧、透視對手 SEO 策略、SEO 必備軟體教學、最新 AI SEO 應用等，大幅提升行銷能力。
帶你衝上 Google 排名第一頁，大量提升網站營收和訂單！
