WPX Business 账户安全：2FA、IP限制与更安全的Collaborator访问

Owner 账号优先使用 Authenticator App

WPX 支持 Authenticator App 与 Email 2FA。官方指南把 Authenticator App 作为更强的选择，因为验证码在设备上生成，而不是发送到可能已经被攻击的同一邮箱。

主机 Owner 可以影响网站、数据库和平台设置，所以 2FA 应视为默认配置。CISA 与 OWASP 也建议高权限账户启用 MFA。

Recovery Code 是 2FA 的一部分

WPX 在 2FA 设置时生成 4 个一次性 Recovery Code。正常第二因素不可用时可用它们恢复访问，并应安全保存。

不要把 Recovery Code 和 Email 2FA 放在同一个邮箱，也不要贴进共享项目笔记。密码管理器或受控离线副本更安全。使用后应重新生成，并再次检查 2FA。

IP Restriction 很强，但也可能把自己锁在外面

WPX 可以把账号访问限制到指定 IP 或子网。对于固定公网 IP 的办公室或固定出口 VPN，这很实用。

但 WPX 明确提醒动态 IP 会变化。如果今天把家庭宽带 IP 加白名单，运营商明天换地址，就可能把自己锁住。开启前先确认出口地址稳定，并准备恢复路径。

OWASP 把 IP 白名单视为访问限制或风险信号，但**不能替代 MFA**。

给开发者 Collaborator，不要给 Owner 密码

WPX 的 Collaborator 默认权限从 None 开始，再由 Owner 明确开放需要的权限。 这比把主账号密码交给开发者安全得多。

WordPress 对应用用户也推荐最小权限：只给完成工作需要的能力。

WPX 权限与 WordPress Admin 要分开

WPX Collaborator 和 WordPress Administrator 解决不同层次的问题。主机权限涉及平台级工具；WordPress Role 控制 CMS 内能做什么。

内容编辑只需要发文章时，不应该给 WPX 权限；外包任务只需要较低权限时，也没必要直接给 WordPress Administrator。应分别按平台层和应用层分配最小权限。

建立结束合作清单

开发者或代理离开时，应删除或降低 WPX Collaborator，轮换他们使用过的共享 SFTP/SSH/数据库凭据，删除不需要的 WordPress 用户，检查近期活动，并确认 Owner 的 2FA 和 Recovery Code 仍由自己控制。

同时检查 Allowed IP。以前办公室、VPN 或外包人员的网段不应该永久留在白名单里。

购买判断

如果你是小团队，想要托管 WordPress，同时希望主机账户有较完整的访问控制，WPX Business 很合适。组合使用 Authenticator 2FA、安全保存 Recovery Code、只在固定 IP 环境使用 IP Restriction，并通过 Collaborator 委派工作，而不是共享 Owner 登录。

联盟披露：通过 Toolnavia 的合资格 WPX 入口购买时我们可能获得佣金，但不会改变本文的访问控制建议。