WordPress网站日常维护清单：每周每月该做的 12 件事

网站上线，只是开始。我自己的站，加上帮客户照看的几个站，出过的问题几乎都不是”上线时没做好”，而是”上线后没人管”：

• 插件半年没更新，被扫出漏洞；
• 备份一直在跑，真要恢复时才发现文件是空的；
• SSL 证书悄悄过期，访客打开就是一个红色警告页。

维护听起来像一件很大的事。拆开来看，就是 12 件固定的小事，按频率排好、到点就做。下面每一项我都尽量附上官方依据，能用命令检查的，我都在本地的 WordPress 7.1 上跑过一遍。

1. 备份：先确保出了事能救回来

其他 11 件事都可能出意外，备份是兜底的那一件，所以放在第一位。

WordPress 官方的备份文档讲得很明确：一个 WordPress 站点的备份包括数据库和文件两部分，缺一不可。数据库里是文章、评论和设置，文件里是主题、插件和上传的图片。

多久备份一次？官方的说法是：文章不多的小站，每周备份一次；更新频繁的站，每天备份。另外，每次升级、搬家之前都要额外备份一次。备份要保留最近 3 到 5 份，并且分开存放，比如服务器上一份、云存储一份、自己电脑上一份。

很多人只把备份存在同一台服务器上。服务器一旦出问题，网站和备份会一起没了。

网站备份可以参考：All-in-One WP Migration 教程

2. 恢复演练：备份能不能用，试过才知道

这一条最容易被跳过，但它恰恰决定了第 1 条有没有意义。官方文档也提醒，自动备份之外要再做手动备份，并且要确认整个备份流程真的有效。

我的做法是每个季度挑一份备份，恢复到一个临时站点上，比如一个测试子域名或者本地环境，然后打开几篇文章、进一次后台。能正常打开，这份备份才算数。

3. 每天自动做：在线监控

网站挂了，最好是你先知道，而不是客户发微信来问。这件事不用人盯，交给监控服务。

我用的是 UptimeRobot。官网价格页上，免费版可以添加 50 个监控，每 5 分钟检查一次，挂了会发通知给你。对大多数企业站来说，这个频率够用了。

可以参考：UptimeRobot免费版使用教程

4. 每天自动做：确保管理员邮箱能收到信

这一项很多人没意识到。WordPress 很多关键通知都是发到”管理员邮箱”的。

最重要的是”故障恢复模式”邮件。7.1 源码里写得很清楚：插件或主题导致严重错误时，WordPress 会给管理员邮箱发一封邮件，标题是 “[站点名] Your Site is Experiencing a Technical Issue”，里面带着进入恢复模式的链接。默认收件人就是 admin_email，也可以在 wp-config.php 里用 RECOVERY_MODE_EMAIL 另外指定。这封邮件默认每天最多发一次。

另外，WordPress 默认每 6 个月会在你登录时，要求你确认一次管理员邮箱是否正确。这个提示别随手点掉，借这个机会确认一下邮箱还能用，服务器也确实能把邮件发出去。

5. 每周：更新核心、插件和主题

先搞清楚自动更新现在是什么状态

我翻了 WordPress 7.1 的源码，发现自动更新的默认值取决于网站是什么时候装的：

• 5.6 及以后新装的站： 大版本自动更新默认是开启的，源码里的注释写着 “Default to enabled for new installs”。
• 从 5.6 之前升级上来的老站： 这个选项被设成了 unset，只会自动安装小版本，也就是维护和安全更新。

想确认自己的站是哪种状态，打开”仪表盘 → 更新”。页面上会显示”Switch to automatic updates for maintenance and security releases only”（切换为仅自动更新维护和安全版本），或者”Enable automatic updates for all new versions of WordPress”（为所有新版本开启自动更新），点一下就能切换。

插件和主题默认不会自动更新，要在插件列表里逐个开启。

插件自动更新出错，6.6 起会自动回滚

这是我读源码时发现的一个实用改进。从 WordPress 6.6 开始，已启用的插件自动更新完成后，WordPress 会发一个”回环请求”检测网站有没有崩。如果检测到致命错误，就自动恢复成更新前的版本。

不过有两个前提：一是只针对自动更新，二是要求服务器能正常发起回环请求。第 7 条会讲怎么检查回环请求。你在后台手动点”更新”时没有这层保护，所以手动更新前一定要先备份。

更新卡住了怎么办

更新过程中，网站会临时显示”Briefly unavailable for scheduled maintenance. Check back in a minute.”（网站正在进行例行维护，请一分钟后再来）。这是因为 WordPress 在网站根目录放了一个 .maintenance 文件。

如果更新中途断了，这个文件可能会留在那里。我测试过：文件刚生成时，网站返回 503 和这句提示；把文件里的时间改成 10 分钟以前，网站就恢复了 200。源码里的逻辑是，超过 10 分钟就视为维护结束。所以遇到这种情况先别慌，等 10 分钟，或者直接删掉根目录下的 .maintenance 文件。

可以参考：WordPress 卡在维护模式处理方法

6. 每周：在 Search Console 扫一眼

做外贸站，Google 是主要流量来源，每周花两分钟看一眼 Search Console 很值得。Google 官方的建议是：如果只是定期查看，重点看手动处置（Manual actions）和安全问题（Security issues）这两项。哪一项亮了红灯，流量都可能直接归零。

时间充裕的话，再看两个报告：

• 网页索引（Page indexing）： 官方建议定期留意错误数突然增加，或者已编入索引的页面数突然下降；
• 站点地图（Sitemaps）： 确认 Google 能正常处理你提交的 sitemap。

还没接入 Search Console 的，可以先看这篇 Search Console 使用教程。

7. 每月：做一次站点健康体检

后台”工具 → 站点健康”是 WordPress 自带的体检工具，每月打开一次，把黄色、红色的项逐个处理掉。下面几项跟维护关系最大：

停用的插件。 站点健康的提示原文是 “Inactive plugins are tempting targets for attackers”（停用的插件是攻击者眼中诱人的目标），建议不用的插件直接删除。很多人以为停用了就安全了，其实插件文件还在服务器上，有漏洞的话照样能被利用。

停用的主题。 核心的建议是：保留当前主题、它的父主题，再加一个默认主题作为备用，其余的都可以删掉。

计划任务。 如果出现 “A scheduled event is late”（有计划任务延迟）或 “A scheduled event has failed”（有计划任务失败），定时发布、自动备份这类依赖 WP-Cron 的功能就可能没有执行。

回环请求。 也就是 “Loopback request” 这一项。它不通过的话，第 5 条讲的插件自动回滚就无法工作。

自动加载选项和 OPcache。 这两项会直接影响后台速度。具体怎么处理，我在WordPress 后台慢怎么办那篇里实测讲过。

有 SSH 权限的话，下面几条命令能把这些检查快速跑一遍。我都在本地测试过：

bash

wp plugin list --status=inactive   # 列出停用的插件
wp theme list --status=inactive    # 列出停用的主题
wp cron event list                 # 查看计划任务和下次执行时间
wp cron test                       # 测试 WP-Cron 能否正常触发

wp cron test 正常时会返回 “Success: WP-Cron spawning is working as expected.”

8. 每月：清理数据库

数据库不会自己变干净。修订版本、垃圾评论、过期的临时数据会越积越多。下面三条命令我都在本地跑过：

bash

wp post list --post_type=revision --format=count       # 统计修订版本数量
wp comment delete $(wp comment list --status=spam --format=ids) --force   # 彻底删除垃圾评论
wp transient delete --expired                          # 删除过期的临时数据

我测试时，第二条命令把垃圾评论数从 1 清到了 0。第三条命令删掉了 1 条过期的临时数据。

回收站不需要手动清。WordPress 默认会把放进回收站超过 30 天的内容自动删除，对应的常量是 EMPTY_TRASH_DAYS，默认值为 30。

不习惯命令行的话，可以用插件在后台一键清理，操作步骤见用 WP-Optimize 优化数据库。不管用哪种方法，清理前都要先备份。

9. 每月：检查用户和登录安全

人员会变动。帮你做过网站的外包、离职的员工，账号往往还留在后台。每个月看一眼管理员名单：

bash

wp user list --role=administrator --fields=ID,user_login,user_registered

不认识的账号、已经不需要的账号，降级或者删掉。删除用户时，WordPress 会问你把这个人的文章转给谁，记得选一个保留的账号，别连文章一起删了。

管理员账号建议都开启双重验证。插件安装和设置步骤，见这篇 WP 2FA 双重身份验证教程。

10. 每月：校验核心文件有没有被改过

网站被入侵后，最常见的手法之一就是篡改核心文件。WP-CLI 自带一个检查命令：

bash

wp core verify-checksums

官方文档的说明是：它会从 WordPress.org 下载当前版本的 md5 校验值，逐个和本地文件对比，并且为了安全，执行时不会加载 WordPress。全部一致时，会显示 “Success: WordPress installation verifies against checksums.”

中文站不用额外加参数。我查了 WP-CLI 的源码，没有传 --locale 时，它会自动读取 WordPress 安装包自带的语言版本（wp_local_package）。插件文件也可以用 wp plugin verify-checksums --all 检查，但只对 WordPress.org 官方库里的插件有效。

这个命令需要服务器能访问 WordPress.org。我的测试环境连不上外网，所以这一条是按官方文档整理的，没有在本地实际运行。

11. 每季度：PHP 版本和磁盘空间

PHP 版本是很多老站的隐患。PHP 官网的支持表上写着：PHP 8.2 的安全支持在 2026 年 12 月 31 日结束，8.3 支持到 2027 年底，8.4 支持到 2028 年底。WordPress 官方要求页面推荐的是 PHP 8.3 及以上。

现在还在用 8.2 或更低版本的站，这个季度就该安排升级了。升级之前先确认主题和插件兼容，完整步骤看这篇WordPress 升级 PHP 版本教程。

磁盘空间也顺便看一下。”工具 → 站点健康 → 信息”里有一项 “Directories and Sizes”（目录和大小），能看到上传目录、主题、插件各占了多少空间。备份文件堆在服务器上把硬盘撑满，是我见过不少次的事故。

12. 每季度：确认 SSL 证书会自动续期

证书过期，浏览器就会直接拦截访客。现在多数人用的是 Let’s Encrypt，而它的有效期正在缩短。按 ISRG（Let’s Encrypt 的运营方）官方公布的时间表：

• 默认证书目前有效期是 90 天；
• 2027 年 2 月 10 日起改为 64 天；
• 2028 年 2 月 16 日起改为 45 天。

官方建议很明确：不要手动续期，要靠自动化；同时设置监控，证书没按时续上时要能收到提醒。所以每个季度确认两件事：一是面板或者 certbot 的自动续期是否正常运行，二是证书的到期日期是不是在往后推。第 3 条提到的在线监控服务，很多也支持证书到期提醒，可以一起配置。

维护日历：贴在显示器边上就行

频率	要做的事
自动 / 每天	在线监控（3）、管理员邮箱能收信（4）、按站点活跃度自动备份（1）
每周	处理更新（5）、看 Search Console 的手动处置和安全问题（6）、小站每周备份（1）
每月	站点健康体检（7）、清理数据库（8）、检查管理员账号（9）、校验核心文件（10）
每季度	恢复演练（2）、PHP 版本和磁盘空间（11）、SSL 证书续期（12）

这 12 件事不需要很专业的技术，但需要坚持。如果你实在没时间自己做，可以选一家自带自动备份、自动更新和安全防护的托管主机，把第 1、3、5、12 条的大部分工作交给主机商。几家主机实际表现怎么样，可以看我自费测试过的外贸建站主机推荐。