在找 Wordfence 替代方案？这六个问题起决定作用

很少有人出于好奇而更换安全插件。通常都有个起因：网站变慢了，邮箱里塞满了提示，或者在一次数据保护审查中有人问起，这个插件到底往外发送了什么。本文梳理了常见的起因，并针对每一个给出替代方案必须回答的问题。

起因 1：提示太多，真正有用的太少

这是最常见的原因，也是最危险的：每周都要点掉三个无害发现项的人，迟早也会把真正的那个点掉。因此，要问每个替代方案的问题不是“它有多少个模式”，而是它如何处理误报。

如何判断：工具是否说明了它在查找“什么”？能否放行某个发现项——文件一旦变化，放行是否随之失效？Kakapo Security 会把每一次放行与所读取内容的校验和绑定：只要文件有任何改动，该发现项就会重新出现。这很不方便，但这是对的。

“全部放行”这样的批量按钮是个警示信号，而不是便利。它等于一键大赦——赦免的偏偏正是那些本该逐个查看的情况。

起因 2：网站变慢了

对数以万计的文件进行扫描需要计算时间。关键在于，它是在没人访问时占用这些时间，还是在访客浏览期间。要问替代方案的问题：扫描是否分批进行并设有时间预算，能否暂停，下次启动时能否从上次中断的地方继续？

第二个常被遗忘的问题：每一次页面访问时会发生什么？防火墙会一同检查。规则越多，每个请求的工作量就越大——因此，规则精简且经过检验，比数量众多更重要。

起因 3：不应有任何数据外发

安全插件能看到带用户名的登录尝试、IP 地址、文件列表和数据库内容。如果其中任何内容被发送给某个服务，这个服务就必须写进你的处理活动记录。要问替代方案的问题：哪些数据会离开服务器，能否关闭？

在 Kakapo Security 中，防火墙模式、扫描模式和检查逻辑都在插件内部。只有你自己设置的内容才会与外部通信：从 api.wordpress.org 获取 WordPress 核心的校验和，以及——如果你填写了的话——你自己的漏洞数据源。出厂时后者为空。

起因 4：登录才是真正的薄弱环节

大多数账号被接管，并不是通过代码漏洞，而是通过密码。因此要检查替代方案在登录方面提供了什么——而且是限制失败尝试之外的功能：迁移登录地址、强制密码强度、查看并结束正在进行的会话、登录时间窗口、按来源国家限制。

关于双重验证，还有一个令人不太舒服的问题：邮件验证码就够了，还是你们需要身份验证器应用？Kakapo Security 只提供邮件验证码，并在界面中如实写明。对许多编辑团队来说，这已经足够。需要 TOTP 的人，必须在切换之前问清楚。

起因 5：紧要关头查不到信息

事故发生后，重要的不是拦下了什么，而是能证明什么：谁在何时登录过，哪些文件被改动过，谁更改了哪项设置。要问替代方案的问题：有没有日志——以及能否看出它事后是否被改动过？

Kakapo Security 会把活动条目串联成链，并结合你 wp-config.php 中的一个值来计算这条链。有人修改或删除某个条目，链条就会明显断开。这不是保险柜，但它让日志有别于一份可以被悄悄编辑的列表。

起因 6：五个插件对应五项任务

安全、Cookie、备份、速度——每个主题一个插件，各有各的界面、各自的登录账号、各自的账单。如果这就是起因，那么问题就不是“选哪款安全插件”，而是其余组件是否出自同一家，操作方式是否一致。

简版清单

任何替代方案都做不到的事

WordPress 中的任何插件都无法替代 Web 服务器前面的防火墙，因为插件要等 PHP 启动之后才开始运行。任何插件都无法替代及时更新。任何扫描也无法找出所有恶意代码——它只能找到与其模式相似的东西。把这三句话记在心里，选择时就会不一样，也更从容。

在网站经证实干净的时候，记录你的文件基准。在被入侵之后才记录的基准，会把恶意代码认定为正常状态——此后它就再也不会引起注意。

常见问题