WAF 是什麼？跟傳統防火牆的差異、中小型網站該不該裝一次看懂
WAF（Web Application Firewall，網站應用防火牆）指的是專門攔截 SQL 注入、XSS 這類應用層攻擊的防護機制，跟主機商原本的連線層防火牆是不同的兩件事。中小型 WordPress 站該選雲端代理型還是外掛型，得看幾個實際條件才能判斷。
WordPress資安
XML-RPC 該不該關閉？先看誰還靠它運作，關錯方法白忙一場
XML-RPC 是 WordPress 一支存在超過十年的舊介面，能讓外部程式遠端發文、也讓 Jetpack 保持連線，卻也是資安圈常點名該關閉的風險項目。這篇文章拆解它的風險來源、盤點哪些功能還依賴它運作，並比較三種常見關閉做法的防護程度差異，關閉後也附上驗證步驟，幫你選出真正對得上網站現況的做法。
免費資安外掛跟付費版有什麼差異？升級前你該先搞懂的事
免費資安外掛跟付費版看起來功能差不多，但真正決定網站扛不扛得住攻擊的，是規則多快更新、防護擋在哪一層、出事後誰來收拾，這三道邊界才是關鍵落差。搞懂這三個缺口分別藏在哪裡，才知道自己的網站該不該升級、又該優先補哪一塊。
Managed WordPress主機是什麼？一次看懂跟共用主機的差異
Managed WordPress主機解決的是什麼問題？跟只給一塊空間的共用主機不同，它把核心更新、備份、快取與資安巡檢整段接手。這篇拆解六項代管服務、跟共用主機及 VPS 的差異，以及電商、代理商、個人網站分別適不適合付這筆錢。
別再把 Sucuri Security 當成防火牆，它其實是免費監控稽核外掛
很多人以為裝了 Sucuri Security，網站前面就多一道防火牆，其實免費版只負責監控與稽核，從檔案完整性比對、SiteCheck 遠端掃描到封鎖名單監控，通通只記錄異常不主動攔截流量，真正能擋下攻擊的防火牆得另外付費開通。
wp-admin 403：是被入侵還是設定跑掉？先保留證據再動手修
wp-admin 403 一出現，畫面只丟出一句英文錯誤，看不出是外掛更新誤擋，還是有人已經潛入後台動了手腳。這篇整理三個判斷線索：修改時間、語法新舊、規則位置，教你先分清成因，再依情況圍堵或還原設定，避免把入侵證據跟著刪掉。
網站被入侵 重導卻自己測不出來？3 招用 Google 工具揪出
網站被入侵 重導常常只鎖定從 Google 搜尋結果點進來的訪客，自己在瀏覽器貼上同一個網址卻完全正常，讓人誤以為網站沒事。其實用 Search Console 搭配 cURL 換上 Googlebot 身分重新請求，就能重現 Google 實際看到的畫面，揪出偽裝重導藏在哪裡。
WordPress 安全性設定：9 個新手就能上手的基本防護
WordPress 安全性設定其實不難，從換掉容易被猜的帳號名稱、把密碼拉長，到定期更新與異地備份，這篇整理 9 個新手也能上手的基本防護，不必額外花錢就能擋掉多數自動化攻擊。
wp-config.php 常用設定：10 個開關一次看懂
wp-config.php 常用設定不是裝好 WordPress 就結束了，除錯模式、記憶體上限、後台檔案編輯器這些實用開關，安裝精靈統統不會主動幫你打開。這篇整理 10 個常見設定，教你什麼時候該開、要注意什麼細節。
WordPress 被駭：先隔離、再清除、後補強 3 階段處理流程
WordPress 被駭往往不是運氣不好，而是漏洞出現後沒有及時補上；發現異狀時慌亂砍檔案、亂換密碼，反而清不乾淨。這篇用先隔離、再清除、後補強 3 個階段，把完整處理流程一次講清楚。