WordPress装好只能访问速查手册：防坑指南+安全加固全方案

找建站公司怕被坑高价？别急，今天给你一份【WordPress装好只能访问】速查手册，帮你省下冤枉钱，还能把网站安全做扎实。别再被那些“专业团队”糊弄了，这篇文章讲的就是你最该知道的那些事。

威胁场景：装好WordPress后只能访问？别慌，这可能是陷阱

很多甲方在做完网站后，发现自己的WordPress网站只能访问一个页面，或者访问不了，只能看到空白页、错误提示，甚至被直接屏蔽。这其实是网站安全防护不到位或者建站公司“偷工减料”的结果。

这种情况常见于以下几种场景：

• 服务器配置错误：有些建站公司为了省事，把WordPress部署在错误的目录下，或者没配置好伪静态，导致网站无法正常访问。
• 防火墙限制：有些服务器配置了安全组或者IP白名单，导致只有某些IP能访问，其他人看不到网站。
• 权限问题：数据库连接失败、文件权限不对，都会导致网站无法加载。
• 被黑或被屏蔽：网站刚上线就被搜索引擎或云平台检测出异常，被临时屏蔽。
• 建站公司偷懒：有些公司装完WordPress就收钱走人，根本没做安全配置，导致网站暴露漏洞，甚至被攻击。

这类问题不仅会影响你正常使用网站，还可能让你网站被黑、数据泄露、收录失败、流量为零，严重的甚至会被搜索引擎惩罚。

漏洞原理：为什么装好WordPress后只能访问？

WordPress本身是开源程序，功能强大，但正因为功能强大，也带来了潜在的安全隐患。如果你的网站在安装后只能访问，很可能不是“技术问题”，而是“安全问题”。

1. 服务器配置不当

常见的问题是伪静态规则未配置。WordPress依赖.htaccess文件进行URL重写，如果服务器没有正确启用Rewrite模块，或者网站文件夹权限不对，都会导致网站无法正常访问。

2. 数据库连接错误

安装WordPress时需要配置数据库连接信息，如果建站公司装的时候填错了数据库名、用户名或密码，就会导致网站无法加载，只能看到错误页面。

3. 防火墙或安全组限制

如果你的服务器是在阿里云、腾讯云、AWS上部署的，服务器自带的安全组规则可能限制了对外的访问权限。建站公司如果不做配置，你网站就只能在本地访问，或者只能被内网访问。

4. 被黑后自动屏蔽

有些攻击者会植入恶意代码，导致网站运行异常。这时候，服务器或云平台的自动防护机制会临时屏蔽你的网站，防止进一步扩散。

5. 建站公司未做基本安全配置

很多建站公司为了省事，只安装WordPress就交差，不配置安全插件、不设置防火墙、不配置SSL、不备案，甚至不处理权限问题，这会直接导致网站暴露于风险中。

防护方案：如何避免装好WordPress后只能访问？

防止网站装好后无法访问，首先要做好基础安全配置，确保服务器、数据库、权限和安全策略都设置正确。

1. 正确配置服务器和伪静态规则

如果你是自己部署服务器，确保Apache或Nginx已经启用了Rewrite模块，并配置好WordPress的伪静态规则。

Apache配置示例（.htaccess）：

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

Nginx配置示例（nginx.conf）：

location / {try_files $uri $uri/ /index.php?$args;
}

如果你是通过建站公司部署，一定要确认他们是否帮你配置好了这些。

2. 确保数据库连接正确

安装WordPress时，需填写数据库名、用户名、密码和主机地址（通常是localhost）。

如果网站无法访问，你可以直接登录到服务器，查看wp-config.php文件，确认数据库配置是否正确。

3. 配置服务器安全组和防火墙规则

如果你的服务器部署在阿里云、腾讯云等云平台上，务必配置好安全组规则，允许80（HTTP）和443（HTTPS）端口的入站访问。

阿里云安全组配置示例：

• 协议/端口：HTTP（80）、HTTPS（443）
• 授权对象：0.0.0.0/0（或指定IP段）
• 授权策略：允许

4. 安装安全插件，防止被黑

WordPress本身安全性较好，但若不加防护，也容易成为攻击目标。安装以下安全插件，可以大幅提升网站安全性：

• Wordfence Security：提供实时监控、漏洞扫描、IP黑名单等功能。
• iThemes Security：提供自动备份、文件变更监控、登录安全等。
• Sucuri Security：自动检测并清除恶意代码，防止被黑。

5. 启用SSL证书，提升网站安全性

SSL证书可以加密网站通信，防止数据泄露。同时，Google Search Console会优先收录HTTPS网站。

你可以在阿里云、腾讯云、Let’s Encrypt等平台免费申请SSL证书，安装方法如下：

安装SSL证书（以Let’s Encrypt为例）：

sudo apt update
sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d yourdomain.com

安装完成后，你的网站地址将从http://yourdomain.com变为https://yourdomain.com。

检测与修复：装好后无法访问的常见排查步骤

如果你的WordPress网站装好后只能访问，建议按照以下步骤进行排查和修复：

1. 登录服务器，检查网站目录权限

进入你的网站根目录（通常是/var/www/html或/home/yourdomain/public_html），查看文件权限是否正确：

ls -la

• 文件权限建议为644
• 目录权限建议为755

如果你发现权限不对，可以通过以下命令修改：

find /path/to/your/site -type d -exec chmod 755 {} \;
find /path/to/your/site -type f -exec chmod 644 {} \;

2. 检查.htaccess文件是否正常

如果你的网站是Apache服务器，打开网站根目录，查看是否存在.htaccess文件，如果不存在，可以手动创建。

.htaccess示例：

# WordPress默认的.htaccess文件
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

3. 检查wp-config.php文件

进入wp-config.php文件，检查数据库配置是否正确，包括数据库名、用户名、密码和主机地址。

define('DB_NAME', 'your_database_name');
define('DB_USER', 'your_database_username');
define('DB_PASSWORD', 'your_database_password');
define('DB_HOST', 'localhost');

4. 检查服务器日志

如果你的网站仍然无法访问，可以查看服务器日志，找到错误原因。

Apache日志路径：

/var/log/apache2/error.log

Nginx日志路径：

/var/log/nginx/error.log

你可以使用以下命令查看日志：

tail -f /var/log/apache2/error.log

5. 测试网站是否能通过IP访问

如果通过域名访问不了，但通过服务器IP地址能访问，可能是DNS解析问题，或者域名未备案。

你可以使用ping命令测试域名是否能解析到IP：

ping yourdomain.com

如果返回IP地址，说明DNS没问题；如果返回unknown host，说明域名未解析或DNS配置错误。

安全加固清单：确保网站上线后的安全稳定

网站装好之后，别急着上线，先做这些安全加固措施，确保网站运行稳定，避免被攻击、被封禁或无法访问。

1. 开启防火墙和安全插件

• 安装Wordfence或iThemes Security等安全插件。
• 在服务器上配置防火墙规则，屏蔽异常IP。
• 定期更新WordPress核心文件和插件。

2. 定期备份网站和数据库

• 使用插件（如UpdraftPlus、BackupBuddy）进行自动备份。
• 或者在服务器上手动备份网站文件和数据库。

自动备份脚本示例（使用rsync）：

rsync -avz /path/to/your/site /backup/location/

3. 配置自动更新和版本管理

WordPress默认是允许自动更新的，但你可以通过wp-config.php文件控制自动更新策略。

控制自动更新配置（wp-config.php）：

define('WP_AUTO_UPDATE_CORE', 'minor'); // 仅允许小版本自动更新

4. 启用CDN和缓存

使用CDN（如Cloudflare、阿里云CDN）可以加速网站访问速度，同时还能隐藏真实服务器IP，提高安全等级。

• 在CDN设置中启用缓存，减少服务器压力。
• 启用HTTP/2和HTTPS，提高网站性能和安全性。

5. 定期扫描漏洞和恶意代码

使用Google Search Console或安全插件扫描网站漏洞，发现异常后及时修复。

6. 定期检查服务器安全日志

监控服务器日志，及时发现异常登录行为或攻击尝试。

7. 服务器安全加固

• 限制SSH登录用户权限。
• 禁用root账号登录。
• 配置强密码策略。

SSH配置示例（/etc/ssh/sshd_config）：

PermitRootLogin no
PasswordAuthentication no

8. 安装SSL证书，启用HTTPS

SSL证书不仅能保护用户数据，还能提高搜索引擎排名。确保所有页面都使用HTTPS访问。

9. 配置robots.txt文件

通过robots.txt文件控制搜索引擎爬虫抓取行为，避免抓取敏感内容。

robots.txt示例：

User-agent: *
Disallow: /wp-admin/
Disallow: /wp-content/
Disallow: /wp-includes/
Disallow: /wp-login.php

10. 定期更新和维护网站

• 定期更新WordPress核心、插件和主题。
• 不使用过期或未维护的插件。
• 定期清理数据库和缓存。

你的网站用的什么技术栈？评论区聊聊

你的网站用的什么技术栈？是WordPress？还是其他CMS？有没有遇到过装好后只能访问的问题？评论区聊聊你的经历，我们一起避坑，少走弯路。