WordPress使用者列舉怎麼防範？4 個帳號外洩管道一次揪出
WordPress使用者列舉（user enumeration）指的是攻擊者不用登入、光靠瀏覽器或幾支公開 API，就把網站上正在使用的帳號名稱一個個掃出來的手法。作者封存頁、REST API、內建 Sitemap、登入表單的錯誤訊息，都是常見的外洩管道，這篇整理四個管道各自的堵法與檢查清單。
WordPress 安全
WordPress檔案編輯器該不該關掉？一行設定擋住駭客最愛的後門
WordPress檔案編輯器讓管理者在後台直接改佈景主題與外掛的程式碼、存檔即生效，卻也常是駭客拿到帳號後最先用來植入後門的工具。加一行 DISALLOW_FILE_EDIT 設定就能一次關閉，一併看懂它擋得住與擋不住的入侵路徑。
沒設防的輸入框，SQL injection 能跳過密碼登入？
SQL injection 是駭客鑽 WordPress 網站最常見的手法，光靠一個沒設防的輸入框，就可能讓會員資料外洩、甚至跳過密碼登入後台。2026 年 7 月連 WordPress 核心都被查出漏洞的 wp2shell 事件，證明沒有網站絕對安全。本文說明攻擊原理與非工程師也能做的防範做法。
資安外掛真的擋得住攻擊嗎？先搞懂它能防與不能防的界線
看到後台跳出「已擋下攻擊」的紀錄，很多人就把資安外掛當成安全的保證。但它真正做的只有一件事，比對已知的攻擊特徵，符合就擋、不符合就放行。漏洞公開到修補完成之間的空窗、社交工程手法，還有密碼與備份這類管理員自己該做的決定，都不在它的防護範圍裡。
暴力破解攻擊背後，94% 登入嘗試其實是機器人在跑迴圈
你以為暴力破解攻擊是駭客手動一組一組試密碼？其實 94% 的登入嘗試都是機器人在跑迴圈。暴力破解攻擊跟字典攻擊、憑證填充手法不同，WordPress 因市佔率高、登入路徑固定，長年是首要目標，搞懂原理才知道防護該守住哪三個關卡。