保护电子商务网站的 9 大最佳实践
Posted: Sat Dec 28, 2024 9:20 am
如果您没有合适的工具和技能，保护网站可能是一项艰巨的任务，但这不一定是专门工程师的工作。最重要的是要意识到漏洞所在，并教育您自己和您的团队了解保护电子商务网站免受最常见威胁的最佳做法。
您的任务有两个方面：一方面，您负责保护 WordPress 和 WooCommerce，确定谁可以访问平台、要安装的插件、支付网关、身份验证系统以及与 WordPress、插件和主题维护相关的一切。另一方面，您需要一个安全且先进的基础设施。这就是您的网络托管服务质量的体现。
当然，您的网络托管服务提供商无法保护您免受任何威胁。作为网站所有者，您（也只有您）可以采取一些安全措施。但是，一个重视您网站安全的安全托管服务可以为您提供很大帮助。以下是现代网络托管服务中需要注意的主要安全相关功能。
选择先进的托管基础设施
使用 Web 应用程序防火墙
安装 SSL 证书
使用安全的 SFTP 和 SSH 连接
使用受支持的 PHP 版本
启用双重身份验证
核心、插件和主题更新
备份
Try risk-free
1. 选择先进的托管基础设施
托管基础设施的选择对于您的网站安全、品牌声誉以及最终的业务成功至关重要。您可以选择多种类型的服务，它们在基础设施和提供的服务方面有很大差异：
共享主机
专用托管
VPS 托管
云托管
托管 WordPress 主机
对于电子商务网站来说，依赖安全的基础设施至关重要。如果您关心自己的业务，共享主机不适合您，因为它可能无法保证成功的电子商务网站所达到的最低安全标准。
专用托管可以高度定制并针对安全性进行优化，但可能需要系统管理员技能，而这对于中小型企业来说可能很难找到。
如果您需要控制托管，但又缺乏丰富的技术知识和/或资源，您可以选择虚拟专用服务器 (VPS) 托管，它介于共享托管和专用托管之间。但 VPS 可能有一些缺点：它可能无法处理高流量或峰值，并且性能仍然会受到服务器上其他网站的影响。
云托管服务可能是一个不错的选择，因为它通常有多种安全措施来保护您的网站。但是，如果您不具备必要的技能，配置和管理可能会很困难。
托管的 WordPress 和 WooCommerce 主机让您高枕无忧，因为您无需负责服务器配置和优化，并且您拥有专门的支持服务和简化的站点安装和维护。
基于云的托管 WordPress 主机服务融合了两全其美的优势，将云服务的高速、安全基础设施与托管 WordPress 主机服务的易用性相结合。
Kinsta 托管基础设施和技术堆栈
在 Kinsta，我们相信我们已经在Google Cloud Platform上创建了当今速度最快、最安全的托管 WordPress 托管解决方案。
Google Cloud 区域
Google Cloud 区域（来源：谷歌）
我们在所有可用地区提供C3D 和 C2 计算优化虚拟机，从入门版到企业版及更高版本。我们还利用Google 安全基础架构，其中包括企业级防火墙，可在恶意流量进入您的网站之前将其过滤掉。
此外，我们基于 Nginx、MariaDB、PHP 8.4、LXD 容器和 Cloudflare Enterprise 集成构建了一个快速安全的技术堆栈，它提供了额外的安全性，包括防火墙、DDoS 保护等等。无论客户采用何种计划，此堆栈都可供所有客户使用。
我们使用 Linux 容器 (LXC) 和 LXD 在 Google Cloud Platform (GCP) 上对它们进行编排，确保每个 WordPress 站点完全隔离。在 Kinsta 上，您的网站不会与任何其他网站（包括您帐户下的其他网站）共享资源。
Kinsta 的 WordPress 托管基础设施图
Kinsta 的 WordPress 托管基础设施图表。
查看这篇文章来了解有关我们先进的隔离容器技术的更多信息。
2. 使用 Web 应用程序防火墙
Web 应用程序防火墙( WAF) 是一种屏障，可以过滤掉到达您网站的恶意连接并确保您的 WordPress 网站的安全。
如果您没有在中间设置防火墙，互联网上两台计算机（例如您的计算机和 Web 服务器）之间的直接连接是不安全的。恶意行为者可能会用某种恶意软件感染您的网站或发起DDoS 攻击。
这时就需要Web 应用程序防火墙了。它会扫描您网站的每个连接请求并阻止潜在的恶意访问尝试。
无论您是首次写博客还是成功的企业家，WAF 对您的网站都至关重要。对于电子商务网站，使用 Web 应用程序防火墙至关重要，因为不受保护的网站很容易成为黑客和其他恶意行为者的攻击目标。
如果没有 Web 应用程序防火墙，黑客可以轻松控制您的网站、更改登录凭据、窃取或破坏数据、破坏数据并执行任何形式的非法活动。它可能会彻底摧毁您的网站。此外，您的网站更容易受到 DDoS 和暴力攻击。
要使用 WAF 保护您的网站，您无需在服务器上安装和配置其他软件。只需几分钟即可在您的服务器上设置多个基于云的选项，例如Cloudflare、Sucuri和WordFence 。
Kinsta 托管的所有网站均受到 Cloudflare 的保护
除了我们通过 Google Cloud Platform 防火墙提供的基于 IP 的保护之外，Kinsta 托管的所有网站都受益于我们的Cloudflare 集成，其中包括具有自定义规则集和免费 DDoS 保护的企业级 Web 应用程序防火墙。
得益于我们的 Cloudflare 集成，您无需手动设置 WAF，因为无论您订阅哪种计划，您的网站都会自动受到 Cloudflare 防火墙的保护。
Cloudflare waf
Web 应用程序防火墙的工作原理（图片来源：Cloudflare）
3.安装 SSL 证书
SSL 是一种用于加密和验证客户端应用程序与 Web 服务器之间发送的数据的协议。如果您运营电子商务网站，SSL 证书对于您的网站和业务至关重要，因为它可以确保数据加密、网站身份验证、数据完整性和用户信任。
此外，SSL 证书还可以提高搜索引擎排名，因为搜索引擎更喜欢 SSL 加密的网站。如果您希望有机会出现在 Google 首页，您需要一个有效的HTTPS 加密SSL证书。
Kinsta 上的 SSL 证书
如果您的网站由 Kinsta 托管，您无需处理 SSL 通常需要的所有技术复杂性。我们的客户可以利用我们的 Cloudflare 集成，其中包括为所有 WordPress 网站自动提供 SLL 证书。这包括通配符 SSL 证书，这意味着您的 SSL 还涵盖与您的主域相关的任何子域。如果您已经有一个，您还可以安装自定义 SSL 证书。
无论客户采用何种计划，Cloudflare SSL 证书对于所有客户都是免费的。
要详细了解 Kinsta WordPress SSL 证书，请查看我们的在线文档。
查看我们的视频指南，为您的网站选择合适的 SSL 证书
播放视频
4.使用安全的 SFTP 和 SSH 连接
要手动备份您的 WordPress 网站或手动上传插件或主题，您需要通过FTP 客户端访问网站的文件系统。FTP 客户端通常支持 FTP 和 SFTP 连接，但您只应依赖 SFTP，它使用安全通道通过 SSH传输文件。这与标准 FTP 连接有很大不同。
在 Filezilla 中设置 SFTP 协议
在 Filezilla 中设置 SFTP 协议
Kinsta 仅支持 SFTP/SSH 连接
由于 SFTP 是一种更安全的方法，因此 Kinsta 仅支持 SFTP 连接。
您可以在 MyKinsta 仪表板的WordPress 站点>站点名称>环境>信息下查看 SFTP/SSH 详细信息。
MyKinsta 中的 SFTP 环境凭据
MyKinsta 中的 SFTP 环境凭据
您绝不应该在多个服务和网站环境中使用相同的登录凭据。因此，在 Kinsta 上，每个单独的网站环境（暂存或生产）都有唯一的数据库和 SFTP/SSH 访问凭据。
5.使用受支持的 PHP 版本
每个 PHP 版本通常都支持两年。只有受支持的版本才能获得性能和安全更新，因此使用不受支持的 PHP 版本会降低性能并增加安全漏洞的风险。
截至 2024 年 8 月，PHP 官方支持的版本是 PHP 8.1、8.2 和 8.3。
支持的 PHP 版本
支持的 PHP 版本（来源PHP.net）
在撰写本文时，所有 8.1 之前的 PHP 版本均未收到安全更新。这意味着，如果您使用的是 PHP 8.0 或更早版本，您的网站将面临无法修复的安全漏洞。
WordPress 核心是用 PHP 构建的。插件也基于 PHP，WooCommerce 也不例外。如果您的电子商务基于 WordPress，那么使用受支持的 PHP 版本对于您的在线商店的成功至关重要。
除了安全性得到改善外，最新版本的 PHP 还提供了更好的性能。只需升级到最新的 PHP 版本，即可提高网站速度。
Kinsta 仅允许支持的 PHP 版本
如果您使用与受支持的 PHP 版本不兼容的自定义插件，则可能需要额外的开发工作。但是，我们的主要责任是确保您的网站和我们整个基础设施的最大安全性。因此，Kinsta 不允许您使用不受支持的 PHP 版本。
Kinsta 客户可以在 MyKinsta 中更改其 WordPress 网站的 PHP 版本。导航到您的站点配置部分并从左侧菜单中选择“工具” 。向下滚动页面并找到PHP 引擎。单击“修改”按钮并选择您网站的 PHP 版本。
在 MyKinsta 中修改 PHP 引擎
在 MyKinsta 中修改 PHP 引擎
6. 启用双因素身份验证
使用强密码保护您的网站和托管账户可能不足以保护您 丹麦 WhatsApp 号码数据 的电子商务网站。强烈建议使用多因素身份验证系统。
多因素身份验证是一种身份验证系统，用户在访问服务时需要提供两个或多个身份证明。这可以通过不同的方式实现：指纹等生物识别技术、身份验证器应用、电子邮件、短信、硬件令牌等。
对于您的电子商务网站，您应该在托管服务和 WordPress 网站上启用双因素身份验证(2FA) 来加强身份验证安全性。
使用 Kinsta 启用 2FA
除了为 MyKinsta 使用强密码外，我们还建议启用双重身份验证，并要求公司内的所有用户也这样做。启用 2FA 后，所有 MyKinsta 登录尝试都需要从手机或密码管理应用上的身份验证器应用（例如 Google Authenticator）输入额外的验证码。
要在 MyKinsta 中启用 2FA，请单击右上角的姓名，然后选择“用户设置”。在我的帐户中，向下滚动页面到“双因素身份验证”部分。单击切换按钮并扫描身份验证器应用中的二维码，输入您在应用中看到的 6 位代码，即可完成。
MyKinsta 中的双因素身份验证
MyKinsta 中的双因素身份验证
请注意，Kinsta 不再支持基于短信的 2FA，因为它容易受到基于电话的攻击，并且安全性不如基于时间的令牌。最近的Authy 数据泄露事件暴露了 3300 万个客户电话号码，增加了短信网络钓鱼和 SIM 卡交换攻击的威胁。
Kinsta 不再支持短信身份验证
Kinsta 不再支持短信身份验证
您可以在我们的文档中阅读有关 Kinsta 上的 2FA 的更多信息。
使用 WordPress 启用 2FA
您可能还想在电子商务网站上启用双因素身份验证。WordPress 不支持开箱即用的 2FA，但您可以使
您的任务有两个方面：一方面，您负责保护 WordPress 和 WooCommerce，确定谁可以访问平台、要安装的插件、支付网关、身份验证系统以及与 WordPress、插件和主题维护相关的一切。另一方面，您需要一个安全且先进的基础设施。这就是您的网络托管服务质量的体现。
当然，您的网络托管服务提供商无法保护您免受任何威胁。作为网站所有者，您（也只有您）可以采取一些安全措施。但是，一个重视您网站安全的安全托管服务可以为您提供很大帮助。以下是现代网络托管服务中需要注意的主要安全相关功能。
选择先进的托管基础设施
使用 Web 应用程序防火墙
安装 SSL 证书
使用安全的 SFTP 和 SSH 连接
使用受支持的 PHP 版本
启用双重身份验证
核心、插件和主题更新
备份
Try risk-free
1. 选择先进的托管基础设施
托管基础设施的选择对于您的网站安全、品牌声誉以及最终的业务成功至关重要。您可以选择多种类型的服务，它们在基础设施和提供的服务方面有很大差异：
共享主机
专用托管
VPS 托管
云托管
托管 WordPress 主机
对于电子商务网站来说，依赖安全的基础设施至关重要。如果您关心自己的业务，共享主机不适合您，因为它可能无法保证成功的电子商务网站所达到的最低安全标准。
专用托管可以高度定制并针对安全性进行优化，但可能需要系统管理员技能，而这对于中小型企业来说可能很难找到。
如果您需要控制托管，但又缺乏丰富的技术知识和/或资源，您可以选择虚拟专用服务器 (VPS) 托管，它介于共享托管和专用托管之间。但 VPS 可能有一些缺点：它可能无法处理高流量或峰值，并且性能仍然会受到服务器上其他网站的影响。
云托管服务可能是一个不错的选择，因为它通常有多种安全措施来保护您的网站。但是，如果您不具备必要的技能，配置和管理可能会很困难。
托管的 WordPress 和 WooCommerce 主机让您高枕无忧，因为您无需负责服务器配置和优化，并且您拥有专门的支持服务和简化的站点安装和维护。
基于云的托管 WordPress 主机服务融合了两全其美的优势，将云服务的高速、安全基础设施与托管 WordPress 主机服务的易用性相结合。
Kinsta 托管基础设施和技术堆栈
在 Kinsta，我们相信我们已经在Google Cloud Platform上创建了当今速度最快、最安全的托管 WordPress 托管解决方案。
Google Cloud 区域
Google Cloud 区域（来源：谷歌）
我们在所有可用地区提供C3D 和 C2 计算优化虚拟机，从入门版到企业版及更高版本。我们还利用Google 安全基础架构，其中包括企业级防火墙，可在恶意流量进入您的网站之前将其过滤掉。
此外，我们基于 Nginx、MariaDB、PHP 8.4、LXD 容器和 Cloudflare Enterprise 集成构建了一个快速安全的技术堆栈，它提供了额外的安全性，包括防火墙、DDoS 保护等等。无论客户采用何种计划，此堆栈都可供所有客户使用。
我们使用 Linux 容器 (LXC) 和 LXD 在 Google Cloud Platform (GCP) 上对它们进行编排，确保每个 WordPress 站点完全隔离。在 Kinsta 上，您的网站不会与任何其他网站（包括您帐户下的其他网站）共享资源。
Kinsta 的 WordPress 托管基础设施图
Kinsta 的 WordPress 托管基础设施图表。
查看这篇文章来了解有关我们先进的隔离容器技术的更多信息。
2. 使用 Web 应用程序防火墙
Web 应用程序防火墙( WAF) 是一种屏障，可以过滤掉到达您网站的恶意连接并确保您的 WordPress 网站的安全。
如果您没有在中间设置防火墙，互联网上两台计算机（例如您的计算机和 Web 服务器）之间的直接连接是不安全的。恶意行为者可能会用某种恶意软件感染您的网站或发起DDoS 攻击。
这时就需要Web 应用程序防火墙了。它会扫描您网站的每个连接请求并阻止潜在的恶意访问尝试。
无论您是首次写博客还是成功的企业家，WAF 对您的网站都至关重要。对于电子商务网站，使用 Web 应用程序防火墙至关重要，因为不受保护的网站很容易成为黑客和其他恶意行为者的攻击目标。
如果没有 Web 应用程序防火墙，黑客可以轻松控制您的网站、更改登录凭据、窃取或破坏数据、破坏数据并执行任何形式的非法活动。它可能会彻底摧毁您的网站。此外，您的网站更容易受到 DDoS 和暴力攻击。
要使用 WAF 保护您的网站，您无需在服务器上安装和配置其他软件。只需几分钟即可在您的服务器上设置多个基于云的选项，例如Cloudflare、Sucuri和WordFence 。
Kinsta 托管的所有网站均受到 Cloudflare 的保护
除了我们通过 Google Cloud Platform 防火墙提供的基于 IP 的保护之外，Kinsta 托管的所有网站都受益于我们的Cloudflare 集成，其中包括具有自定义规则集和免费 DDoS 保护的企业级 Web 应用程序防火墙。
得益于我们的 Cloudflare 集成，您无需手动设置 WAF，因为无论您订阅哪种计划，您的网站都会自动受到 Cloudflare 防火墙的保护。
Cloudflare waf
Web 应用程序防火墙的工作原理（图片来源：Cloudflare）
3.安装 SSL 证书
SSL 是一种用于加密和验证客户端应用程序与 Web 服务器之间发送的数据的协议。如果您运营电子商务网站，SSL 证书对于您的网站和业务至关重要，因为它可以确保数据加密、网站身份验证、数据完整性和用户信任。
此外，SSL 证书还可以提高搜索引擎排名，因为搜索引擎更喜欢 SSL 加密的网站。如果您希望有机会出现在 Google 首页，您需要一个有效的HTTPS 加密SSL证书。
Kinsta 上的 SSL 证书
如果您的网站由 Kinsta 托管，您无需处理 SSL 通常需要的所有技术复杂性。我们的客户可以利用我们的 Cloudflare 集成，其中包括为所有 WordPress 网站自动提供 SLL 证书。这包括通配符 SSL 证书，这意味着您的 SSL 还涵盖与您的主域相关的任何子域。如果您已经有一个，您还可以安装自定义 SSL 证书。
无论客户采用何种计划，Cloudflare SSL 证书对于所有客户都是免费的。
要详细了解 Kinsta WordPress SSL 证书，请查看我们的在线文档。
查看我们的视频指南，为您的网站选择合适的 SSL 证书
播放视频
4.使用安全的 SFTP 和 SSH 连接
要手动备份您的 WordPress 网站或手动上传插件或主题，您需要通过FTP 客户端访问网站的文件系统。FTP 客户端通常支持 FTP 和 SFTP 连接，但您只应依赖 SFTP，它使用安全通道通过 SSH传输文件。这与标准 FTP 连接有很大不同。
在 Filezilla 中设置 SFTP 协议
在 Filezilla 中设置 SFTP 协议
Kinsta 仅支持 SFTP/SSH 连接
由于 SFTP 是一种更安全的方法，因此 Kinsta 仅支持 SFTP 连接。
您可以在 MyKinsta 仪表板的WordPress 站点>站点名称>环境>信息下查看 SFTP/SSH 详细信息。
MyKinsta 中的 SFTP 环境凭据
MyKinsta 中的 SFTP 环境凭据
您绝不应该在多个服务和网站环境中使用相同的登录凭据。因此，在 Kinsta 上，每个单独的网站环境（暂存或生产）都有唯一的数据库和 SFTP/SSH 访问凭据。
5.使用受支持的 PHP 版本
每个 PHP 版本通常都支持两年。只有受支持的版本才能获得性能和安全更新，因此使用不受支持的 PHP 版本会降低性能并增加安全漏洞的风险。
截至 2024 年 8 月，PHP 官方支持的版本是 PHP 8.1、8.2 和 8.3。
支持的 PHP 版本
支持的 PHP 版本（来源PHP.net）
在撰写本文时，所有 8.1 之前的 PHP 版本均未收到安全更新。这意味着，如果您使用的是 PHP 8.0 或更早版本，您的网站将面临无法修复的安全漏洞。
WordPress 核心是用 PHP 构建的。插件也基于 PHP，WooCommerce 也不例外。如果您的电子商务基于 WordPress，那么使用受支持的 PHP 版本对于您的在线商店的成功至关重要。
除了安全性得到改善外，最新版本的 PHP 还提供了更好的性能。只需升级到最新的 PHP 版本，即可提高网站速度。
Kinsta 仅允许支持的 PHP 版本
如果您使用与受支持的 PHP 版本不兼容的自定义插件，则可能需要额外的开发工作。但是，我们的主要责任是确保您的网站和我们整个基础设施的最大安全性。因此，Kinsta 不允许您使用不受支持的 PHP 版本。
Kinsta 客户可以在 MyKinsta 中更改其 WordPress 网站的 PHP 版本。导航到您的站点配置部分并从左侧菜单中选择“工具” 。向下滚动页面并找到PHP 引擎。单击“修改”按钮并选择您网站的 PHP 版本。
在 MyKinsta 中修改 PHP 引擎
在 MyKinsta 中修改 PHP 引擎
6. 启用双因素身份验证
使用强密码保护您的网站和托管账户可能不足以保护您 丹麦 WhatsApp 号码数据 的电子商务网站。强烈建议使用多因素身份验证系统。
多因素身份验证是一种身份验证系统，用户在访问服务时需要提供两个或多个身份证明。这可以通过不同的方式实现：指纹等生物识别技术、身份验证器应用、电子邮件、短信、硬件令牌等。
对于您的电子商务网站，您应该在托管服务和 WordPress 网站上启用双因素身份验证(2FA) 来加强身份验证安全性。
使用 Kinsta 启用 2FA
除了为 MyKinsta 使用强密码外，我们还建议启用双重身份验证，并要求公司内的所有用户也这样做。启用 2FA 后，所有 MyKinsta 登录尝试都需要从手机或密码管理应用上的身份验证器应用（例如 Google Authenticator）输入额外的验证码。
要在 MyKinsta 中启用 2FA，请单击右上角的姓名，然后选择“用户设置”。在我的帐户中，向下滚动页面到“双因素身份验证”部分。单击切换按钮并扫描身份验证器应用中的二维码，输入您在应用中看到的 6 位代码，即可完成。
MyKinsta 中的双因素身份验证
MyKinsta 中的双因素身份验证
请注意，Kinsta 不再支持基于短信的 2FA，因为它容易受到基于电话的攻击，并且安全性不如基于时间的令牌。最近的Authy 数据泄露事件暴露了 3300 万个客户电话号码，增加了短信网络钓鱼和 SIM 卡交换攻击的威胁。
Kinsta 不再支持短信身份验证
Kinsta 不再支持短信身份验证
您可以在我们的文档中阅读有关 Kinsta 上的 2FA 的更多信息。
使用 WordPress 启用 2FA
您可能还想在电子商务网站上启用双因素身份验证。WordPress 不支持开箱即用的 2FA，但您可以使