内容摘要：WordPress后台登录地址，默认就是你的域名后面加上 /wp-admin。比如你的网站是 www.example.com，那后台就是 www.example.com/wp-admin。这几乎是所有

WordPress后台登录地址，台登默认就是录地你的域名后面加上 /wp-admin。比如你的台登网站是 www.example.com，那后台就是录地 www.example.com/wp-admin。这几乎是台登所有WordPress站长都知道的事，但真正的录地问题从来不是这个默认地址，而是台登——你天天用这个地址登录，有没有想过它其实是录地个安全隐患？

我见过太多网站被暴力破解的案例。攻击者写个脚本，台登不停地往 /wp-admin 和 /wp-login.php 这两个路径发送登录请求，录地一天能试几万次密码。台登你设个弱密码，录地比如 admin123，台登基本上撑不过半天。录地就算你密码够强，台登日志里那密密麻麻的失败尝试记录，看着也让人心烦。

那怎么办？改地址呗。别误会，不是让你去改WordPress核心文件——那样升级一次就全没了。正经做法是装个安全插件，比如 WPS Hide Login 或者 iThemes Security。装好之后，你可以把后台地址改成任意字符串，比如 www.example.com/my-secret-login。从此以后，访问原来的 /wp-admin 会直接跳转到404页面，攻击者连登录入口都找不到。

但这里有个坑，我得提醒你。改完地址后，你自己也得记牢新地址。别笑，我有个客户，改完地址后忘了存书签，第二天急着发文章，在浏览器里输了好几次 /wp-admin 都进不去，最后打电话问我网站是不是被黑了。我说大哥，你上周刚让我帮你改的地址啊。电话那头沉默了三秒，然后传来一声“哦”。所以，改完地址第一件事，就是把它存到浏览器的收藏夹里，或者写在你手机备忘录里，别太相信自己的记性。

另外，还有个细节容易被忽略——/wp-login.php 这个文件。就算你改了 /wp-admin，直接访问 /wp-login.php 还是能跳出登录框。有些插件会顺手把这个也屏蔽掉，但如果你用的插件没处理，那就得手动加个重定向规则。简单点说，你可以让所有访问 /wp-login.php 的请求都跳到404或者首页。这个用插件就能搞定，不需要碰代码。

说到底，改后台地址不是让你高枕无忧，它只是把门从大街上挪到了小巷子里。真正重要的还是密码强度、二次验证、定期更新这些基本功。我自己的习惯是，后台地址改得够隐蔽，然后开启两步验证，密码用随机生成的长串。就算有人找到了登录页，没有手机上的验证码，他也进不来。

对了，还有个小技巧，如果你用的是Apache服务器，可以在 .htaccess 文件里加几条规则，限制特定IP访问后台。但这个方法只适合固定IP的用户，比如公司网络。家用宽带IP经常变，你要是把自己锁在门外，那就只能去翻主机商的备份了。

最后说一句，WordPress后台地址这件事，别跟别人炫耀你改得多隐蔽。因为真正想攻击你的人，会先扫描你的插件列表，看看你用了哪个安全插件，然后直接去查那个插件的默认设置。所以，改完地址后，记得把插件的默认路径也换掉，或者干脆选个不那么大众化的插件。安全这件事，永远是多一层防护，多一分安心。