裝一般的資安外掛，常像在門上加一排鎖，勾幾個開關，就當作站台已經安全了。SecuPress 這支 WordPress 資安外掛的做法比較像健康檢查，先替整個站台做一次體檢，給出一個等第，再把查到的問題一項一項帶著處理。
資安設定動輒幾十個選項，每一項都寫著「強化」「防護」，卻沒人告訴你站上現在缺哪一塊、哪一項該先動，結果不是全部勾起來擔心誤傷，就是一個都不敢碰。SecuPress 把這件事拆成「掃描」與「模組」兩條線，掃描負責找出問題並給等第，模組負責長期調整登入、檔案與防火牆規則。
資安外掛會直接改動 .htaccess 與 wp-config.php 這類關鍵檔案，所以在動手勾選項之前，先認識它的來歷、維護狀況與環境需求，比急著按下掃描更要緊。
SecuPress 是什麼？
SecuPress 是一支 WordPress 資安外掛，主軸是「先掃描、給等第，再逐項處理」，另外附一組可以個別開關的防護模組。後台入口也對應這兩條線，SecuPress → Scanners 負責體檢，SecuPress → Modules 則把登入、外掛與佈景主題、核心設定、防火牆、HTTPS 這些防護規則按主題分成一個個模組，可以逐一開關。
外掛頁把定位寫得很清楚，主打針對 WordPress 的攻擊與惡意程式，而不是一般網站通用的防護。
出自法國資安顧問 Julio Potier 之手
SecuPress 背後的核心人物是 Julio Potier。他在 Freemius 的訪談裡自述，2001 年開始寫 PHP，2002 年開始接觸網頁安全相關的工作，2010 年起以自由工作者的身分，專門替 WordPress 站台做建置與資安。這段經歷，也解釋了為什麼這支外掛從一開始就把重點放在 WordPress 專屬的攻擊手法。
他同時也是 WP Media 的共同創辦人之一，這家公司後來做出 WP Rocket 與 Imagify。WP Rocket 的前身，是 2013 年 4 月 Jonathan Buttigieg 在自己部落格發表的小腳本 WP Cache Machine，Julio 從一開始就參與改進，後來與 Jonathan Buttigieg、Jean-Baptiste Marchand-Arvier 一起把它做成一門生意。2017 年 5 月，Julio 離開 WP Media，專心經營 SecuPress，並表示自己沒有留任何持股。所以 SecuPress 與 WP Rocket、Imagify 現在不屬於同一家公司，兩邊只有出身上的淵源。
外掛在 2016 年 8 月 23 日上架 wordpress.org，作者欄寫的是 SecuPress 團隊，貢獻者名單除了 SecuPress 帳號，還有 juliobox、GregLone 與 Superment。
SecuPress 的版本、安裝數與環境需求
目前的穩定版是 2.7.3，2026 年 10 月 22 日釋出更新。啟用安裝數在 4 萬以上，評分約 4.1 顆星，共有 106 則評分。環境需求是 WordPress 5.5 以上、PHP 7.3 以上，最高測試到 WordPress 7.1.3。
名稱上有個容易混淆的地方。外掛庫上的完整名稱是「SecuPress with Simple SSL – Simple and Performant Security」，裝好後外掛清單顯示的名稱卻是「SecuPress Free with Simple SSL – Simple and Performant Security」，看起來像兩支外掛，其實是同一支。名稱裡的 SSL，指的是它內建的 HTTPS 模組。
相容性方面，外掛頁寫明它與所有主機商、常見的快取外掛、多語系外掛（WPML、Polylang 等）都相容，伺服器端的 Apache、Nginx、IIS 也都支援。多站台網路由超級管理員在主站安裝後設為網路啟用，不能只在其中一個子站啟用。免費版直接從外掛庫安裝，另有需要授權的 Pro 版。
安裝只有 2 種方式，啟用前要先處理其他資安外掛
SecuPress 的安裝流程跟一般外掛沒有兩樣，真正需要在動手前處理的，是站上已經裝了哪些資安類外掛。
後台搜尋安裝與手動放進外掛資料夾
第一種做法最常見。到後台「外掛 → 安裝外掛」搜尋 secupress，在 SecuPress 的區塊按「立即安裝」，按鈕會變成「啟用」，再按一次就完成。
第二種做法是手動放檔案。從 wordpress.org 的外掛頁下載 ZIP，解壓縮後放進 /wp-content/plugins/，讓最後的路徑是 /wp-content/plugins/secupress/，再回到後台的外掛頁按「啟用」。主機不方便從後台直接安裝外掛、或習慣用 FTP 上傳時，會走這條路。
啟用之後，外掛頁頂端會出現「SecuPress is activated, let’s improve the security of your website!」，外掛接著請你先掃描整個站台。左側選單也會多出 SecuPress，底下有 Scanners 與 Modules 兩個子選單。沒有 Pro 授權時，還會多一項「More Security」，這一項只是連到 SecuPress 的方案頁，不是功能設定。
SecuPress 不能與其他資安外掛同時啟用
SecuPress 在外掛頁的常見問題裡直接點名了不相容的外掛，包括 Wordfence、Solid Security（舊名 iThemes Security）、Really Simple SSL Security、Bullet Proof Security 與 Sucuri Security。外掛頁的安裝說明，第一句話就是啟用 SecuPress 之前，要先刪除其他所有資安外掛。
外掛作者打了個比方，兩個快取外掛不會讓網站變快，兩個資安外掛同樣不會讓 WordPress 更安全；兩套資安規則放在一起，常常彼此覆蓋或衝突，反而可能讓網站出錯。
實務上要盤點的範圍，比上面那份名單更廣。凡是會改動 .htaccess、wp-config.php、登入頁、XML-RPC 或防火牆規則的外掛，例如登入次數限制、安全強化這一類，都在盤點範圍內。這些外掛先停用、再刪除，等 SecuPress 啟用之後再跑第一次掃描。
不相容的是資安類外掛，快取、多語系與備份外掛不在這個範圍內，可以照常並存。
掃描精靈把整站檢查收成一個等第
掃描是 SecuPress 最有辨識度的功能，也是安裝後第一個會用到的畫面。入口在 SecuPress → Scanners，按下「Scan website」，外掛會先檢查整個站台，找出安全弱點與可以改善的地方，再產出一份報告，逐項列出結果並建議修復方式。
掃描結果依模組分成的 6 組檢查項目
掃描結果依模組分成 6 組，每一組對應後台的一個模組。
- Users & Login：檢查管理員帳號與註冊、訂閱設定，密碼強度，是否使用 admin 這類好猜的帳號名稱，以及登入錯誤訊息有沒有洩漏帳號資訊。
- Plugins & Themes：檢查外掛與佈景主題有沒有待更新、停用後沒刪除，以及已從 wordpress.org 下架、或兩年以上沒更新的項目，這些都是攻擊者常找的缺口。
- WordPress Core：檢查核心更新與自動更新設定、遺留的舊檔案與設定備份檔、wp-config.php 的安全常數、資料庫前綴、安全金鑰，還有站台能不能連到 wordpress.org。連不到的話，站台就收不到重要的安全更新。
- Sensitive Data：檢查 WordPress 版本號與 readme 檔有沒有外洩、PHP 資訊有沒有洩漏、網站有沒有使用 HTTPS，以及不良網址能不能被直接存取。
- Malware Scanners：檢查檔案權限、目錄列表有沒有開著，以及有沒有不該出現的副檔名。
- WAF & GeoIP：檢查 Shellshock 這類已知漏洞的防護、不良 User-Agent、PHP 版本，以及對 .php 檔案的 404 請求怎麼處理。
外掛頁的文案說，可以在 5 分鐘內檢查 35 個安全項目。實際的項目會隨站台環境略有不同，例如站上有 WooCommerce 或 WPML 時，Sensitive Data 這一組會換上對應的版本號洩漏檢查，所以以自己站上掃描完成的畫面為準。
第一次掃描的操作與掃描速度設定
按下「Scan website」之後，各項檢查會陸續跑完並顯示結果。這一步看似只是等待，其實對主機有一點負擔，SecuPress 會同時送出約 30 到 35 個 ajax 請求，有些主機不允許、或會限制這樣的連線量，結果就是部分項目一直跑不完。
這會造成兩種症狀，一是掃描結果不完整、與實際狀況對不上，二是畫面上一直跳出綠色的「New scans!」方塊，代表前一輪掃描沒有順利結束。
按鈕旁邊的下拉箭頭可以調整掃描速度，共有 3 個檔位，Max Speed 是預設，每項之間不延遲；Normal Speed 在每項之間加 0.25 秒；Low Speed 在每項之間加 1 秒。遇到上面這兩種症狀時，把速度調慢一檔再掃，通常就能恢復正常。
掃描可以重複跑。修完一批問題之後再掃一次，就能看到等第有沒有變化；「Latest scans」則保留歷次的掃描紀錄，方便回頭比對。
等第、3 種狀態與逐項說明的讀法
結果頁頂部的大圓環是整站的等第，底下每個檢查項目都標著 3 種狀態之一，並附一句說明與「learn more」連結。Good 代表通過；Pending 是警告，通常是外掛暫時無法判定，例如連不到首頁；Bad 代表未通過，是需要處理的項目。每一組標題列右側還有「Go to module settings」，可以直接跳到對應模組手動設定。
等第是由通過的比例換算出來的。全部項目都通過才拿得到 A，未通過的比例越高，等第就越低。這個分數是拿來追蹤進度的指標，而不是站台安全與否的判決。SecuPress 的文件自己也說，拿到 A 代表站台比安裝前安全，已經擋下最常見的攻擊手法，但沒有任何防護能保證 100% 安全。
有些使用者拿不到 A 就會焦慮，SecuPress 因此在進階設定裡提供「Grade System」開關，不想看到等第的人可以把它關掉。
修復精靈的 3 個畫面與操作順序
掃描完成後按「Next step」，就進入修復精靈。連同掃描結果在內，整個流程共有 4 步：Security Report（掃描結果）、Auto-Fix（自動修復）、手動處理與摘要，後面三個畫面各做一件事，也都可以略過。
這樣的設計讓每一項改動都先被列出來，再由你決定要不要動，隨時可以停下來，回頭確認某個項目會動到站上的什麼東西。
自動修復頁先列出待修項目與預計改動
第二個畫面依模組分組，列出每一個 Bad 項目，並在每一項底下寫一句「按下去會做什麼」。例如「Activate the option Forbid Bad Usernames in the Users & Login module」，意思是啟用 Users & Login 模組裡的 Forbid Bad Usernames 選項；又如「You will be asked for a new username and your account will be renamed」，意思是系統會請你輸入新的帳號名稱，並把現有帳號改名。
免費版在這一頁看得到待修清單與預計改動，每一組頂端會有提示列，說明自動修復需要 Pro 版、請在下一步手動處理，部分項目也會整列反灰。實際的修復動作，在下一個畫面逐項進行。
手動處理頁的修復、略過與重新掃描
第三個畫面頂端會顯示「N issues require your attention」，以及目前處理到第幾項的「1 of N」計數。每個待處理的項目各有一個區塊，標題底下的「How to fix this issue」寫著具體做法，旁邊的「Documentation」按鈕會開啟該項目的說明頁，需要更多背景時可以點進去看。
每個區塊底下有 3 種動作，適合不同情況：
- Fix it and continue：外掛本身就能處理的項目，區塊裡會附上表單，例如要輸入新的帳號名稱，填完按下去，由外掛完成修改。
- I did the job, continue：外掛做不到的項目，例如資料庫密碼的強度，只能自己到主機端改。改完按這個按鈕，外掛會重新掃描該項，確認結果。
- Ignore it：決定先不處理這一項，直接略過。
頂端另有「Ignore all & Go to the next step」，可以整批略過進入下一步。區塊上標示「Available in Pro Version」與「Get Pro」的項目，這個畫面處理不了，同樣可以略過。
摘要頁顯示已修項目與等第變化
第四個畫面是結果頁，頂端寫著「Bravo! You fixed X of Y」，乍看像是這一輪修了幾項，其實 X 是目前所有通過的項目數，掃描時本來就通過的也算在內，Y 則是檢查項目的總數，所以一項都沒修，這個數字也會等於掃描時通過的項目數。下一行是等第，有變化時寫成「Your grade went from C+ to B+」，沒變化則顯示「Your grade is still」加上目前的等第。這一輪真的有項目從未通過變成通過時，畫面才會出現「See all fixed issues」，按下去會展開這一輪修好的項目清單，確認實際動了哪些設定。
展開的清單裡，每個項目會依處理結果標示 Not fixed、Error、Pending 或 Fixed。有些項目要重新掃描一次，狀態才會更新，所以摘要頁上的數字，不一定等於站台最新的真實狀況。
頁尾會引導你前往 Modules，用各模組做更細的調整。
Modules 頁的版面與儀表板模組
掃描與修復處理的是站台「現在」的狀況，Modules 頁才是長期調整防護的地方。頁面左側是模組清單，包含 Dashboard、Users & Login、Plugins & Themes、WordPress Core、Sensitive Data、WAF & GeoIP、Malware Scanners、SSL & HTTPS、Spam & Phishing、Logs and IPs，另外還有 Backups、Alerts & Notifications、Schedules 與 Security Services 等項目。
沒有授權的選項會整列模糊，並標示「Available in Pro Version」，也沒辦法勾選，這是正常的顯示，不是外掛壞掉。頁面右側的欄位放著說明文件與 SecuPress 作者的推廣入口，不影響任何設定。
模組選項的勾選與儲存，停用後規則會自動移除
各個模組頁的版面一致，都依區段排列，每個選項由標題、一段說明，以及一個「Yes, …」開頭的勾選框組成，勾選就代表啟用這個功能。有的選項勾選之後，底下會展開子選項，例如限制登入次數會多出「幾次失敗」與「封鎖多久」兩個欄位。
勾完之後按「Save All Changes」才會生效，部分項目則是勾選當下就即時啟用。
SecuPress 的說明文件對每個模組都有同一句保證，模組停用之後，外掛會自動移除它寫進去的規則。所以遇到問題時，可以先暫時停用某個模組來排查，不需要擔心殘留。
暫停防護、設定管理與 4 個進階開關
Dashboard 模組有幾樣在出事時、或換站時最實用的工具。第一樣是「Security Status」區的「Pause Security」，按下去之後，SecuPress 的 PHP 防護模組會暫停 30 分鐘，時間到了自動恢復。暫停超過 5 分鐘，外掛會寄一封警告信到站台管理員的信箱。已經寫進 .htaccess 與 robots.txt 的規則不會被拿掉，所以這個功能只用來診斷「是不是 SecuPress 造成了衝突」，不能當成長期關閉防護的方式。
提早恢復的入口有 3 個，分別是同一顆按鈕（暫停期間會變成「Re-activate Security」）、管理列上紅色的「Security is paused — Activate」，以及後台顯示的警告通知。
第二樣是 Settings Manager 區，提供匯出、匯入與「Reset All Settings」3 個工具。匯出的設定檔可以搬到另一個站台匯入，也可以當成備份；重設則把所有設定恢復成剛安裝時的樣子。匯出與匯入需要 Pro 授權。
第三樣是「Advanced Settings」的 4 個開關。「Admin Bar Menu」控制管理列上有沒有 SecuPress 選單，「Show Contextual Help & Tips」控制要不要顯示情境說明，這兩項都是每位使用者各自設定。「Grade System」控制要不要顯示等第，「Expert Mode」開啟之後會多出進階選項，例如後面登入模組會提到的 Honeypot，這兩項則是全站設定。
想讓這些設定對所有使用者一體適用，可以在 wp-config.php 加上 SECUPRESS_MODE 常數。值裡寫 expert 會開啟 Expert Mode，寫 help、grade、adminbar 則分別關閉情境說明、等第與管理列選單，幾個值可以並列、順序不拘：
define( 'SECUPRESS_MODE', 'help expert grade adminbar' );Code language: PHP (php)登入入口與帳號規則集中在使用者與登入模組
使用者與登入模組位在 SecuPress → Modules → Users & Login，是最多人會動的一頁，也是最容易把自己鎖在外面的一頁。每個選項都要先弄清楚它管什麼、預設值是多少、設錯會有什麼後果，再決定要不要勾。
搬移登入頁網址與舊網址的處理方式
/wp-login.php 是眾所周知的預設登入網址，機器人每天都在掃這個位置。「Move Login Page」把登入頁搬到自訂的網址，讓掃預設網址的機器人撲空。開關的名稱是「Yes, Move the login and other actions on login page」，勾選之後會出現登入、登出、忘記密碼、密碼重設與「Confirm Admin Email」幾個網址欄位，只有登入頁的網址可以自訂，其他幾欄由登入網址加上動作名稱自動衍生（例如登入網址設成 mylogin，登出就是 mylogin-logout），不能另外改。站台在「設定 → 一般」開放任何人註冊時，才會多出註冊網址這一欄。
這個功能有一個先決條件，網站不能使用「Plain」固定網址。要先到「設定 → 固定網址」選一種漂亮連結，否則這個選項會顯示警告而無法使用。
舊網址被人訪問時，怎麼處理由「What to do when the old page is triggered?」決定。預設的 Standard Error Message 會顯示一段標準的錯誤訊息；另外還有自訂訊息文字的 Custom Error Message、導向指定頁面的 Custom Page，以及開啟 Expert Mode 才會出現、用假登入頁當陷阱的 Honeypot，這三種都需要 Pro 授權，Honeypot 也只在站上只有管理員帳號時才能使用。
預設的錯誤訊息是「This page does not exist, has moved or you are not allowed to access it.」，並附上一個表單，輸入管理員角色帳號的 Email，就能收信取回登入網址。
最需要小心的是忘記新網址。SecuPress 的說明文件寫得很清楚，啟用後舊的預設登入網址就會停用，所以新網址務必先記下來。
登入失敗次數與封鎖時間的預設值
「Use an attempt blocker」這一組的主角是「Restrict bad login attempts (Brute Force)」，失敗次數達到上限時，暫時封鎖超過上限的 IP 位址或帳號名稱；旁邊的「Restrict bad password attempts (Password Spraying)」需要 Pro 授權。早期版本另有一個「Ban attempts on non-existent usernames」，2.7.2 版把它拿掉，更新紀錄建議改用 Restrict bad login attempts，用不存在的帳號登入，同樣會計入失敗次數，攻擊者就沒辦法靠回應的差異，判斷某個帳號存不存在。
失敗次數與封鎖時間這兩個數字欄位，從 2.7.2 版起要開啟 Expert Mode 才會出現，沒開時沿用內建值，失敗 10 次就封鎖 5 分鐘。開啟 Expert Mode 之後，「How many attempts before a ban?」的說明文字建議落在 5 到 25 次；「How long should the ban last?」可以設定 1 到 60 分鐘，說明文字建議 5 到 15 分鐘。封鎖時間一到，就會自動解除。
在 Expert Mode 自己調整時，次數設得太低反而容易誤傷。設成 2 或 3 次時，多人共用同一個 IP 的辦公室，或是剛好忘記密碼的同事，都可能很快被擋在外面。真的被封鎖時，可以透過 SecuPress 寄出的解鎖信恢復。
內建驗證碼與登入錯誤訊息的隱藏
這是兩個互補的小設定。驗證碼的區塊標題是「Enable our CAPTCHA v2 on login page」，勾選框寫著「Yes, use a Captcha」，這是 SecuPress 自己做的驗證碼，不是 Google reCAPTCHA，用來擋自動送出登入請求的機器人。勾選之後，登入表單必須通過驗證碼才能送出，對一般使用者只多一個步驟。
不過它只會加在 WordPress 原生的登入頁。站上若另有前台登入表單，例如 WooCommerce 的「我的帳號」或會員外掛，那些表單沒有驗證碼欄位，但後端仍然會要求驗證碼，結果是使用者就算帳號密碼正確也登不進去。有這類前台登入表單的站，要把 Captcha 關掉。
「Login Errors」的選項是「Yes, hide the common login errors」，把「帳號不存在」「密碼錯誤」這類會洩漏資訊的常見錯誤文字隱藏起來，避免攻擊者判斷某個帳號是否存在。使用 WooCommerce 這類電商外掛時，掃描會略過這一項，因為電商的登入流程需要把錯誤顯示給買家看。
帳號名稱、註冊與使用者列舉的鎖定
帳號層級的幾個選項，各自擋一種攻擊，也各有副作用。
Forbid Bad Usernames：禁止使用被列入黑名單的帳號名稱，預設擋 administrator、root、webmaster 這類好猜的名稱，以及 test 開頭的帳號。站上已經有這類帳號的使用者，下次進後台時會被要求改名。也可以加選「名稱內含 admin 也禁止」。2.7.2 版起，這份黑名單也套用到顯示名稱。
Forbid User Enumeration：擋住攻擊者列舉使用者名稱的管道。前台的作者頁會直接回應 404，頁面上的作者連結也改指向首頁，REST 的 /wp/v2/users 端點會被封鎖（含語系前綴），REST 回應裡的作者資料也會被移除；2.7.3 版起，WordPress 本身與 Yoast SEO、Rank Math、All in One SEO 產生的作者 sitemap 也會一併擋下。副作用是使用 WooCommerce 行動 App 的站不能開這個選項，因為 App 需要列出使用者。SecuPress 的更新紀錄還提到，作者等較低權限的角色曾因為這個選項無法新增或編輯內容，2.7.1 版修正；編輯角色的同類問題則到 2.7.2 版才修正，舊版站台要先更新再啟用。
Lock Default Role、Lock Membership 與 Lock Admin Email：這 3 個開關各自鎖住「新使用者的預設角色」「任何人都可註冊的設定」與「管理員 Email」，不讓它們被改動。攻擊常見的手法，就是把預設角色改成管理員、開放註冊，或把管理員信箱換成自己的，好藉由重設密碼拿下帳號。鎖定之後，連自己也改不了，要改就得先把鎖關掉。
Forbid Same Email Domain：禁止新使用者用本站網域的 Email 註冊，用來防止外人冒用站台網域的信箱註冊。既有使用者會被列為永遠允許，不受影響。
外掛、佈景主題與核心的鎖定設定
Plugins & Themes 與 WordPress Core 兩個模組有共同的性質，它們不是抵擋外來的請求，而是把後台裡本來就能被濫用的功能鎖起來。管理員帳號萬一被盜，攻擊者也沒辦法輕易裝進惡意外掛，或改動核心設定。
外掛與佈景主題的上傳和後台操作鎖定
這個模組免費版能勾選的開關有 4 項，各自鎖定不同的操作：
- Disallow zip uploads：外掛與佈景主題不能再用 ZIP 檔上傳安裝，堵住「上傳一個夾帶惡意程式的 ZIP」這條最省事的入侵路徑。另有一個層級是只能透過 FTP 憑證上傳，需要時系統會請你輸入 FTP 帳密，伺服器沒有 FTP 擴充時，這個選項不能使用。
- Plugin Actions on Back-end：後台不能安裝、啟用、停用或刪除任何外掛，勾選後新增外掛的入口也會失效。適合外掛都已配置完成、不再異動的正式站。
- Theme Actions：跟上一項相同，鎖的是佈景主題的安裝、啟用、停用與刪除。
- Display All：讓外掛頁永遠顯示全部外掛，清空篩選條件、還原被 CSS 或 JS 藏起來的外掛列、關閉分頁，用來揪出被刻意藏起來的可疑外掛。
前三項鎖定的是全站所有人，連你自己也包含在內。要安裝新外掛、或更換佈景主題時，得先回到這一頁把鎖關掉，做完再重新開啟。
模組最上方另有一顆「Reinstall all plugins」按鈕，會從 wordpress.org 外掛庫替每支外掛重新安裝一份最新的乾淨版本。外掛與佈景主題的漏洞監控（Monitor Vulnerable Plugins、Monitor Vulnerable Themes）也在這一頁，需要 Pro 授權。
自動更新與 wp-config.php 常數設定
WordPress Core 模組的選項分兩類。第一類是核心的自動更新：「Minor Updates」強制啟用小版本的背景自動更新，因為有些外掛會把 WordPress 預設的這個行為關掉；「Major Updates」允許大版本也自動更新，SecuPress 的說明是不強制，但建議開啟，因為大版本也含有安全修補。
第二類是一組跟 wp-config.php 常數相關的安全設定，多數直接寫進 wp-config.php，安全金鑰則改由 SecuPress 放在 mu-plugins 的檔案管理，正式站最好都設好：
- Scripts Concatenation：後台不合併 JS 與 CSS，避免被拿來做阻斷服務攻擊（DoS）。
- Skip New Bundles：核心升級時，不再下載用不到的預設佈景主題與外掛。
- Debugging：正式站不顯示錯誤訊息，避免洩漏路徑與程式細節。
- Locations：禁止站台網址被重新指定。
- File editing：關閉後台的外掛與佈景主題檔案編輯器，連管理員也不能直接在後台改檔。
- Unfiltered Uploads：對上傳的檔案做過濾。
- Database Errors：前台不顯示資料庫的錯誤細節。
- Repairing Database：讓資料庫修復頁無法被存取。
- WordPress Cookie Default Name：WordPress 預設的 cookie 名稱帶著一串可以被推算出來的字串，這個選項把它換成隨機字串。
- WordPress Security Keys：產生安全金鑰，取代原本 wp-config.php 與資料庫裡的金鑰。這一項儲存啟用之後，底下才會出現「Regenerate the secure keys」按鈕，可以重新產生金鑰。
其中兩項要特別留意。重新產生安全金鑰會讓所有人登出，包含你自己。「Locations」在用 Duplicator 這類外掛複製站台做測試站時，會讓複製後的站台導回原網址，SecuPress 的文件要求複製前先把它與防盜連選項一起關掉。
這些選項是 SecuPress 直接寫入 wp-config.php 的，改之前要確認這個檔案可以寫入，並且先備份。
敏感資料模組負責收起外洩的線索
攻擊者動手之前，通常會先蒐集資訊，例如站上用的是哪個版本、哪些檔案放在外面、哪些入口開著。Sensitive Data 模組做的，就是把這些線索收起來，只是每個選項隱藏的東西不同，對正常功能的影響也不一樣。
版本號、readme 與目錄列表的隱藏
這一組選項都屬於「資訊洩漏」，各自藏一條線索：
- WP Version Disclosure：移除 WordPress 的版本號。攻擊者拿到版本號，就能對照已知漏洞挑選手法。
- PHP Version Disclosure：移除伺服器回應標頭 X-Powered-By 所帶出的 PHP 版本。
- PHP Disclosure：又稱 PHP Easter Egg，擋掉可以揭露已安裝 PHP 模組資訊的特定請求，多數主機預設已經關閉。
- Protect Readme Files：限制 readme.txt 這類檔案被直接存取，這些檔案會透露外掛與核心的版本。
- Directory Listing：關閉目錄列表，避免有人輸入資料夾網址，就看到裡面所有的檔案。多數主機預設已經關閉，只有主機沒關時才需要開。
這些選項的作用是讓攻擊者少一條線索，不是修補漏洞本身。真正降低風險的，仍是持續更新外掛與核心。
XML-RPC 與作者頁網址的調整
這兩項會直接影響站上的功能，設定前要看清楚副作用。
XML-RPC 是一種遠端存取 WordPress 的協定，也常被拿來做暴力破解。SecuPress 提供兩種處理：「Disable all the features」把所有功能停用；「Only disable for multiple authentication attempts」只擋一次帶多組帳密的請求，其他功能照常。站上若有行動 App，或其他連到網站的服務，就不要選全部停用，否則那些連線會一起失效。
作者頁網址預設會洩漏使用者的帳號名稱。「Author Page Base」可以把作者頁網址裡的 /author/ 前綴改掉，使用者也能在自己的個人資料頁，自訂作者網址的代稱。
搭配前面的 Forbid User Enumeration 一起看，作者頁是洩漏帳號名稱的主要管道之一，兩個選項分別從封鎖與網址改寫兩個方向收斂這條線索。
Blackhole 陷阱與不良網址的存取封鎖
這兩個選項都是用規則抓壞機器人。
Blackhole 會在 robots.txt 裡寫入一條 Disallow，把某個目錄標示為禁止進入。守規矩的搜尋引擎看到就不會進去，不守規矩的機器人闖進去，IP 就會被封鎖。要注意的是，自己去測試這個陷阱，同樣會被封。SecuPress 說明鎖站原因的文件裡，就把「想測試 Blackhole，結果它真的有效」列為其中一種情況。被封的 IP 可以到 Logs and IPs 模組查看與解除。這個選項只支援裝在網域根目錄的站台，WordPress 裝在子目錄（例如 example.com/blog/）時會反灰無法勾選。
Bad URL Access and File Extensions 擋掉直接存取會洩漏敏感資訊的網址與檔案，預設的做法是封鎖 WordPress 核心裡一份不該被直接存取的網址清單。開啟 Expert Mode 後另有「只允許清單內網址」的模式，可以把合法需要被存取的網址或資料夾填進「Custom allowed URLs and Folders」，一行一個，這個模式需要 Pro 授權。
這個選項的規則是寫進 .htaccess 的，所以使用 Nginx 主機的站，規則要手動加進設定檔。
防火牆模組攔截可疑請求的規則
WAF & GeoIP 模組的核心是「請求過濾」，也就是在請求進到 WordPress 之前，先比對 User-Agent、網址內容與來源網址，符合規則就擋下來。其中 Request filters 區塊有 3 個過濾器，另外還有 2 個單獨的選項。
規則太嚴時，可能把正常的工具、外掛或爬蟲也擋掉。遇到某個服務突然連不上，不要急著改規則，先用前面提過的 Pause Security 暫停防護，判斷問題是不是出在 SecuPress。
比對 User-Agent、請求內容與來源網址的 3 個過濾器
3 個請求過濾器各自比對不同的東西：
- Block Bad User Agents：擋已知惡意爬蟲與掃描工具的 User-Agent。你也可以自行加入要擋的 User-Agent，SecuPress 有專文說明做法。
- Block Bad Content：檢查網址或查詢字串有沒有帶惡意內容，例如 SQL injection 的特徵，符合就擋。
- Block Bad Referers：來源網址在黑名單的請求會被擋，黑名單可以自行加入，一行一個網址。這一項從 2.7.1 起免費可用。
偽冒搜尋引擎機器人與 PHP 404 請求的攔截
Block Fake SEO Bots 針對的是偽造身分的機器人。有些伺服器會假稱自己是 Googlebot 或其他可信的 User-Agent，混進來爬取內容。外掛會比對 User-Agent 自稱的對象，包含 Google、Bing、Yandex、DuckDuckGo、Baidu、Yahoo、Facebook、ia_archiver 等，再驗證來源 IP 是否真的屬於那一家，對不上就以 403 擋下。
Block 404 requests on PHP files 處理的是對 .php 檔案的 404 請求。攻擊者常拿這種請求，探測站上有沒有隱藏的惡意 PHP 檔，外掛會把這類請求導向 404 頁，避免被探測。有些外掛或佈景主題會合法地存取不存在的 .php 檔，此時要把對應的檔案加進例外，SecuPress 有專文教怎麼設定。
啟用 SSL 與 HTTPS 模組前，網站要先支援 HTTPS
外掛名稱裡的「Simple SSL」，指的就是這個模組，它有 3 個選項：「Force HTTPS」強制整站以 HTTPS 載入；「Redirect every HTTP request to SSL/HTTPS」把所有 HTTP 請求轉址到 HTTPS；「Fix Mixed Content Warning」在輸出頁面時，把內容裡的 http:// 改成 https://。
這個模組不會幫你申請憑證。網站本身還不支援 HTTPS 時，3 個選項底下都會顯示紅色警告「Your website does NOT support HTTPS」，其中 Force HTTPS 與 Fix Mixed Content Warning 會反灰無法勾選；Redirect every HTTP request to SSL/HTTPS 雖然還能勾，警告卻寫明這時無法轉址，同樣不該勾選。頁面最下方還有一個「SSL Certificate」區塊，標示為 Coming soon，目前只是預留位置，所以憑證要先在主機端裝好。
已經有憑證、網址列卻仍然顯示不安全時，多半是混合內容造成的。HTTPS 頁面裡只要還有 http:// 開頭的圖片、CSS 或 JS，瀏覽器就會標示不完全安全。「Fix Mixed Content Warning」的做法是在輸出時替換，不會改資料庫裡的內容，關掉這個選項之後，一切回復原狀。
啟用強制轉址前，要先確認「設定 → 一般」裡的網站網址已經是 https，否則可能造成轉址迴圈。使用 IIS 主機的站，HTTPS 轉址規則從 2.7 版起也支援。
垃圾留言、釣魚防護與紀錄名單這 3 個模組
這三個比較小的模組，各有一兩個實用、卻常被忽略的設定。
反垃圾留言的處理方式與留言延遲
SecuPress 內建一套輕量的反垃圾留言機制，可以設定 5 件事：
- Handling Spam：安裝後預選的是「Send spam to trash and delete it after 30 days」，垃圾留言先移到回收桶，30 天後自動刪除，不會一直佔著資料庫空間（天數跟著 WordPress 回收桶的保留天數走）。另一個選項「Only mark as spam」只把留言標成垃圾、留在資料庫裡，跟 WordPress 原本的做法相同。
- Shortcode usage：留言裡含有短碼或 BBCode，就標為垃圾。
- Improve the WordPress comments disallowed terms：擴充 WordPress 的留言黑名單字詞，加入多種語言的字詞。
- About Pingbacks & Trackbacks：不使用這兩種功能的站，可以直接禁用，既有留言裡的相關紀錄也會一併隱藏。
- Delay before posting a comment：留言送出前要等 30 秒，送得太快的會被判定為機器人而擋下。
留言延遲靠核心的留言欄位判斷，自訂佈景主題的留言表單 ID 不同時，舊版的計時器會失效，2.7.1 已經修正。另外，外掛作者建議，不啟用這套機制的站，最好另外安裝別的反垃圾外掛。
防釣魚代碼附在網站寄給使用者的信裡
Anti-Phishing 是少見的設計。開關是「Yes, users can set a anti-phishing code in their profile」，啟用後，每位使用者可以在自己的個人資料頁，設定一組專屬的數字代碼。依外掛的說明，這組代碼會附在網站寄給他的 Email 裡，收信的人可以用它分辨信件是真的還是釣魚信，沒有代碼、或代碼對不上的，就要提高警覺。
另有一個「Set a anti-phishing code for this Website」，可以設定站台層級的代碼。
這個功能比較適合有許多使用者的會員站、電商站，對只有一個管理員的站，意義不大。
404 紀錄、動作紀錄與允許 IP 名單
Logs and IPs 模組提供兩種紀錄與兩份 IP 名單。Action Logs 記錄 WordPress 上的敏感動作，例如密碼與個人資料更新、Email 變更、新增管理員、重要角色登入，出事時可以回頭查是誰做了什麼。404 Logs 記錄 404 頁面的觸發，機器人常用大量 404 請求探測不安全的內容，從這份紀錄看得出站上被掃了哪些位置。
名單的部分，重點是「Allowed IPs」。這份名單裡的 IP 永遠允許訪問，優先權高於所有其他名單，支援 IP 範圍的寫法。把自己常用的固定 IP 加進去，是避免被登入失敗次數、Blackhole 等規則誤封最直接的做法。另一份名單用來手動加入永遠不得進入的 IP。
使用時最容易踩到的衝突與鎖站風險
資安外掛的風險，多半不在功能本身，而在規則連自己一起擋下，或與站上別的外掛、主機設定互相衝突。這兩類狀況，事前預防與事後解法都有固定的做法。
被鎖在後台外面時的解鎖方式
SecuPress 的防護會把使用者擋在門外，連管理員也不例外。SecuPress 的文件列出 4 種常見原因：登入失敗次數超過上限、用不存在的 Email 或帳號登入、碰到 Blackhole，以及用 Pro 版的 GeoIP 封鎖了自己所在的國家。
解法一最簡單。被擋時畫面會出現解鎖表單，輸入管理員 Email，系統會寄一封含解鎖連結的信，連結點下去就能解鎖。輸入的 Email 不是管理員信箱的話，系統不會寄信。
解法二針對忘記搬移後的登入網址。先打開舊的登入網址，用錯誤訊息底下的表單取回新網址。如果還是不行，就用 FTP 在 wp-config.php 靠近上方的位置，加上這一行：
define( 'SECUPRESS_ALLOW_LOGIN_ACCESS', true );Code language: PHP (php)登入之後，修改或關閉搬移登入頁的設定，再把這一行刪掉。要注意，這一行同時會停用雙重驗證與驗證碼。
解法三是在 mu-plugin，或佈景主題的 functions.php，暫時加上下面這一行，讓所有 IP 都被允許：
add_filter( 'secupress.ip_is_allowed', '__return_true' );Code language: PHP (php)進到後台之後，要立刻把這一行刪掉，否則等於讓所有 IP 都不受限制。
預防的做法很直接，事先到 Logs and IPs → Allowed IPs 把自己的 IP 加進去，上面這幾種情況就不會把你擋在外面。
與前台登入頁、行動 App 和複製站台的衝突
SecuPress 本身運作正常，別的東西卻壞掉，通常是下面幾種情境：
- WooCommerce、會員外掛的前台登入表單：這些是外掛自己的登入表單，不受 SecuPress 的登入次數限制、驗證碼與雙重驗證保護，任何角色（包含管理員）都能從這個表單登入。若開了 Captcha，前台表單還會因此登入失敗，要把 Captcha 關掉。
- WooCommerce 行動 App：App 需要列出使用者，所以不能開 Forbid User Enumeration。
- 行動 App 或外部服務連線：不要全部停用 XML-RPC，否則連線會中斷。
- 用 Duplicator 這類外掛複製站台：複製前先關掉 Locations 與防盜連（Protect my media from being hotlinked），否則複製不會成功；其中 Locations 會把網址固定成原站的網址，複製後的站台會被導回原網址。
- Nginx 主機：SecuPress 在 Apache 上會自動修改 .htaccess，Nginx 沒有這個檔案，所以 SecuPress 只會在後台顯示需要手動加進 nginx.conf 的規則，沒加進去就不會生效。
- 主機端另有防護：例如已經有 WAF 時，掃描結果可能不準，可以把掃描速度調慢再試。
暫時停用防護與完整解除安裝的做法
遇到狀況時，先判斷是不是 SecuPress 造成的，用最小的動作確認。診斷的順序是 Pause Security 暫停 30 分鐘，沒有改善再停用單一模組（模組停用會自動移除它寫入的規則），最後才停用整個外掛。
SecuPress 會改動的地方包括 .htaccess 與 wp-config.php（規則夾在 # BEGIN SecuPress 與 # END SecuPress 之間）、robots.txt（Blackhole 用）、mu-plugins 目錄下的檔案（安全金鑰與 cookie 雜湊用），以及資料庫裡的選項與排程。
確定要移除時，要走正確的程序。到外掛頁先停用再刪除，外掛會自動清掉自己的檔案、.htaccess 與 wp-config.php 的修改，以及資料庫裡新增的項目。伺服器的權限不足時，mu-plugins 裡的檔案可能殘留，需要用 FTP 手動刪除。
只用 FTP 刪掉 /wp-content/plugins/ 底下的外掛資料夾並不夠，wp-config.php 與 .htaccess 裡的規則、資料庫裡的設定與排程事件都會殘留，得逐一手動清除。用過安全金鑰選項的站，移除之後金鑰會回到資料庫，由 WordPress 自動產生。
SecuPress Pro 的功能、方案與價格
SecuPress Pro 是同一支外掛輸入授權之後多出來的功能，不是另一支獨立的外掛。
依定價頁與外掛頁的說明，Pro 多出的功能包括：雙重驗證（2FA）、惡意程式掃描、已知漏洞外掛與佈景主題偵測、資料庫與檔案備份、排程任務（掃描、備份、惡意程式掃描）、警報與通知、每日動作報告、依國家封鎖 IP（GeoIP）、封鎖 AI 機器人、自動修復、PDF 報告匯出、密碼與工作階段類的進階使用者防護，以及 White Label。
授權的啟用方式有 2 種：在已安裝的免費版裡，到 Dashboard 模組的授權資訊區，填入 Email 與授權碼，Pro 版會自動下載並安裝；或者從 SecuPress 的帳號下載 Pro 版的 ZIP，用「上傳外掛」安裝。
方案依網站數分級，有 1、5、10、25、50、100、200 站。依 SecuPress 定價頁 2026 年 10 月的標示，年繳價格是 1 站 60 歐元、5 站 190 歐元、10 站 290 歐元、25 站 490 歐元、50 站 790 歐元、100 站 990 歐元、200 站 1490 歐元。月繳價格是 1 站 6 歐元、5 站 19 歐元、10 站 29 歐元、25 站 49 歐元、50 站 79 歐元、100 站 99 歐元、200 站 149 歐元。付款可以切換歐元或美元。價格會變動，實際金額以定價頁為準。
帳號類型分 2 種。Webmaster 帳號是一組授權碼，不能共用；Agency 帳號則是每個站台一組授權碼，可以分享，需要一次性加收 99 歐元，只能搭配 5 站以上的年繳方案。多站台網路同樣要 5 站以上的方案才支援，1 站方案不行。
價格是未稅的淨價，定價頁寫明依法國稅法無需課稅。授權會自動續約，可以隨時取消。沒有免費試用，但購買後 14 天內可以無條件退款。替客戶的站台使用，不需要額外費用，只是續約由你負責，也可以請客戶自己購買。
資安設定最怕的是一次做太多、又做得太急。SecuPress 把工作拆成掃描、逐項修復與模組調整，用意就是讓每一步都看得見、能回頭。安裝之前，先備份 .htaccess、wp-config.php 與資料庫，並把自己常用的固定 IP 加進允許名單，再按下「Scan website」，拿到第一個等第。之後每改一個模組就重掃一次，讓 SecuPress 的每項設定，都建立在你看得懂的結果上。