保护WordPress登录的方法｜Basic验证与2步验证的差异

保护WordPress登录画面的方法中，常见「加上Basic验证」「启用2步验证」等说明。虽然名称相近，但保护的位置与角色不同。

小型旅宿网站可能包含订房表单、询问、付款与外部服务整合。除了增加防护，也要不妨碍必要功能，并在万一无法登录时仍能恢复的前提下导入。

先说结论：四者各有不同角色
HTTPS是所有防护的基础
Basic验证是什么
2步验证是什么
1. 启用前先准备恢复方法
不要混淆Basic验证与Application Passwords
旅宿网站应先确认的功能
安全导入的顺序
委托AI时，分开「调查」与「变更」
导入前后确认表
总结
参考资料

先说结论：四者各有不同角色

防护	保护对象	使用者要做什么
HTTPS	电脑或手机与服务器之间的通讯	连接至HTTPS URL，确认浏览器的连接信息
Basic验证	抵达WordPress前的服务器端入口	输入共用或个别ID与密码
WordPress登录	WordPress内的管理权限	使用自己的WordPress ID与密码登录
2步验证（2FA）	密码外泄后的未授权登录	额外使用手机确认码等

Basic验证与2步验证并非二选一，但也不是每家旅宿都适合同一种组合。先备妥HTTPS与强度足够、不重复使用的密码，再优先为管理者设置2步验证。是否加上Basic验证，应在确认服务器配置与外部整合的影响后决定。

HTTPS是所有防护的基础

HTTPS会加密通讯内容。若登录画面仍使用`http://`，就无法安全传送认证信息。Basic验证也需要HTTPS，才能在网络上足够安全地处理认证信息，因此先确认整个网站使用HTTPS。

除了浏览器网址以`https://`开头，也请确认WordPress管理后台与登录画面都使用HTTPS。不清楚证书设置时，请向主机服务商或维护人员咨询。

连接信息的图标会因浏览器而异。Chrome电脑版的地址栏锁头图标，已改为打开网站信息或设置的图标。不要只看有没有锁头，应确认URL与浏览器的连接信息。

Basic验证是什么

Basic验证是Web服务器在WordPress之前提供的另一道入口。进入已设置的页面时，WordPress画面显示前，就会先要求输入ID与密码。

虽能让不特定人士较难直接访问登录画面，但须注意以下事项。

与WordPress依使用者管理权限是不同机制
共用Basic验证ID与密码时，较难分辨是谁使用
设置方法会因主机服务商、Apache或nginx等而异
一律保护整个/wp-admin/，可能让部分WordPress功能无法运作
必须搭配HTTPS
设置前须了解无法登录时的解除方法

租用主机的管理界面可能提供访问限制功能。使用VPS则需要管理Web服务器设置与认证文件的技术。不要直接贴上网络找到的设置，应确认服务商的官方步骤与目前配置。

2步验证是什么

2步验证是在WordPress密码之外，额外确认手机验证App产生的暂时代码等信息的机制。即使密码外泄，也较难仅凭密码登录。

一般WordPress网站可使用持续维护的2步验证插件等，依使用者分别设置。先从具备管理者权限的人启用，再视需要扩大到编辑者等使用者。

启用前先准备恢复方法

手机可能故障、遗失或更换机型。设置时发出的备用码，不要只存放在网站内或平常使用的手机，应安全保管在纸质文件或可信赖的密码管理工具等位置。

认为「有问题就删除插件文件」很危险，可能连其他设置也损坏，或无法厘清问题原因。请事先确认插件官方恢复步骤、其他管理者，以及联络主机服务商的方法。

不要混淆Basic验证与Application Passwords

WordPress提供「Application Passwords（应用程序密码）」，供外部App连接至REST API等。通讯采用HTTP的Basic验证方式，但与放在登录画面前方的服务器端Basic验证是不同功能。

名称相似，因此向AI或维护人员咨询时，也应说明目的。

「想评估在抵达wp-login.php前，加入服务器端Basic验证」
「想确认外部工具连接至REST API所需的WordPress Application Passwords」

Application Passwords也不作为一般管理后台登录密码的替代品。应依外部整合个别建立，让不再需要时能分别撤销。

旅宿网站应先确认的功能

启用Basic验证或安全插件后，可能在管理者看不到的位置阻断外部通讯。导入前，先记下以下使用情形。

订房表单与订房引擎整合
询问表单与自动回复
付款服务通知
Jetpack与外部备份、监控服务
使用REST API的App或更新工具
使用admin-ajax.php的画面或插件
渠道管理系统、PMS与OTA等整合

WordPress官方安全资料也提醒，若对/wp-admin/加上服务器端密码保护，可能破坏使用admin-ajax.php的功能。不能只因设置后立刻能登录管理后台，就判定完成。

安全导入的顺序

1. 确认目前管理者与整合服务

确认是否留下离职人员或网站制作公司的不必要管理者账号。不要增加共用管理者账号，每个人都使用自己的账号。同时列出外部整合清单。

2. 取得能恢复的备份

同时保存文件与数据库，记录备份时间与能恢复的人。与WordPress更新入门的概念相同，不能只取得备份，也要确认恢复方法。

3. 先阅读解除与恢复步骤

记下解除2步验证的方法、手机遗失时的联络窗口，以及恢复Basic验证的方法。若只有一位操作人员，请在能联络主机服务商或维护人员的时段作业。

4. 先用一个管理者账号试用2步验证

使用已确认维护状态与兼容版本的插件，先设置一个管理者。保管备用码，关闭目前画面前，先在另一个浏览器或隐私窗口尝试登录。

5. 扩大至必要使用者

完成恢复测试后，再扩大至管理者等具有重要权限的使用者。由本人手机设置，不在聊天中共享验证码或备用码。

6. Basic验证先调查影响，再决定

确认服务商官方功能能否指定目标范围，以及外部服务能否通过验证。不清楚时，不要直接让AI变更服务器端设置，应咨询网站制作公司或主机服务商。

7. 确认到旅客端的操作

最后，在退出登录状态与手机上测试以下项目。

首页与主要页面能打开
管理者能登录与退出登录
订房与询问表单能送出
自动回复与管理者通知能收到
付款与外部服务的测试通知能通过
备份、监控与整合工具没有异常

委托AI时，分开「调查」与「变更」

一开始不变更设置，只请AI调查目前状态与影响范围。不要将密码、验证码、私钥或顾客信息贴进对话。

请调查这个WordPress网站强化登录保护前的状况。

目的:
- 确认HTTPS、WordPress管理者与是否使用2步验证
- 列出加入Basic验证后可能受影响的订房、询问、
  admin-ajax、REST API与外部整合
- 整理恢复方法与确认项目

本次只进行读取与说明。
不要安装插件、变更设置、编辑文件、重新启动或发布。
不要显示秘密信息或个人资料。
不清楚的事项不要推测，请提出确认方法。

由人确认调查结果后，再逐项委托「哪个功能、哪个账号、何时启用」。与AI的批准范围也在用Codex与Claude Code管理WordPress的安全规则中说明。