TOOLNAVIA / 选购指南
WPX Business DDoS 与 WAF 防护边界：包含什么，哪些仍由你负责
先看结论
WPX Business 包含多层安全能力，但“套餐包含”不等于无限防护，更不等于停机赔付保证。真正需要判断的是：WPX 的 XDN、源站缓解和 ModSecurity WAF，是否覆盖你的日常 WordPress 风险；哪些监控、取证与升级动作仍然必须由你负责。
结论先说：WPX 表示其 XDN 可在多种 DDoS 缓解服务之间动态切换，不同源站位置使用不同供应商，所有 WPX 服务器都部署了 ModSecurity Web 应用防火墙。这是有价值的基础保护。但服务条款同时把“导致 WPX 服务器完整性受影响的大规模或反复 DDoS 暴露”列入限制情形。因此，购买 Business 应基于“分层托管防护”，而不是“任何攻击都不会造成停机或账户后果”的想象。
选购速览
- 适合谁
- 希望获得托管 DDoS/WAF 防护，同时明确运维边界的 WPX Business 买家。
- 收费方式
- Business 实时购物车期限与总额会变；本次核验页面将安全能力列为套餐包含，而非单独定价。
- 先看限制
- 不承诺无限缓解、零停机、固定供应商、容量或定制规则；须核对最新条款与书面支持范围。
WPX Business 包含哪些防护
当前 Business 购物车面向最多 5 个网站，并继承 Starter 的核心安全组合：SSL、每日备份、恶意软件扫描与清理、技术支持和 XDN。核验时页面显示五年预付折算每月 19.99 美元、一次性 1,199.60 美元，并列出 29.99 美元参考价。这只是实时购物车观察，不是保证报价；付款前必须重新核对期限、总额、税费和续费条件。
WPX 的安全知识库把防护拆成几个层次：
- **XDN 边缘层：**混合 DDoS 缓解，可在多种服务间切换。 - **源站层：**每个服务器位置使用一个 DDoS 缓解供应商，地点不同，供应商可能不同。 - **应用层：**所有 WPX 服务器部署 ModSecurity WAF，安全团队会根据漏洞与扫描结果更新规则。 - **账户与 WordPress 层：**暴力破解防护、每日恶意软件扫描、备份，以及客户自己的监控。
这比只依赖一个 WordPress 安全插件更完整，但也说明 WAF 不能与 DDoS 防护画等号。DDoS 涉及网络层和 HTTP 攻击类型，WAF 主要判断应用请求与已知攻击模式。
营销承诺与合同边界
WPX 安全页称不同源站位置由不同 DDoS 供应商保护，并强调持续更新的 WAF；知识库则更具体：XDN 可动态切换缓解服务，源站供应商因地点而异，客户仍应主动观察异常。所核验页面没有公开具体缓解容量、保证缓解时限、单次攻击 SLA 或零停机承诺。
合同边界更重要。条款称服务按现状提供，不保证不中断、及时或无错误，并把威胁服务器完整性的大规模或反复 DDoS 暴露列为服务限制。这并不否定套餐中的防护，而是说明它属于降低风险的服务，不是覆盖所有攻击的保险。
一篇较旧的独立评测把 Incapsula 写成全部套餐的 DDoS 供应商，但 WPX 当前知识库称源站供应商会因地点而异，XDN 也可切换服务。因此，Incapsula 只能作为历史评测背景，不能写成当前统一供应商。
ModSecurity 能做什么，不能做什么
ModSecurity WAF 可以用通用规则识别 SQL 注入、跨站脚本、文件包含等常见攻击。OWASP 将 Core Rule Set 定义为第一道防线，并强调尽量减少误报，而不是保证完美识别。WPX 在本次核验页面中没有公开精确规则集版本和全部调优参数。
误报因此是正常运维风险。上线前应测试登录、支付、Webhook、上传、站内搜索与 REST API。若正常请求被拦截，先记录 UTC 时间、URL、请求路径、响应码、客户端 IP 和可复现步骤，再联系支持；不要为了让一个请求通过而全局关闭防护。
你仍要承担的责任
WPX 知识库提醒客户继续监控网站，因为检测和清理不一定立即完成。WordPress 官方加固指南也把安全视为分层工作，要求更新、备份、日志与监控。Business 用户仍应：
1. 使用唯一密码和 2FA 保护 WPX 账户，并限制管理员权限。 2. 更新 WordPress 核心、受支持的主题与插件，删除弃用组件。 3. 保留独立恢复副本，并知道如何在事故中恢复。 4. 监控可用性、文件变化、日志、结账错误和异常流量。 5. 将域名和 DNS 访问与主机登录分开，以便必要时切换流量。 6. 在进行破坏性修改前保存事故证据。 7. 怀疑账户被入侵或遭遇持续攻击时及时通知 WPX。
WAF 无法修复不安全的业务逻辑、被盗凭据、脆弱的自定义代码或受损的外部服务；DDoS 缓解也不能保证永远吸收所有攻击类型、规模与路径。
购买前建立事故流程
短时流量异常时，先确认网站是否真的不可用，检查状态与监控，并记录时间和受影响 URL。出现反复 403 或 429 时，要区分 WAF 拦截、容量问题和应用故障。持续攻击时，向支持提供首次出现时间、主机名、已知来源模式、业务影响，以及最近的 DNS 或插件变更。
收入关键型网站购买前应向支持确认：
- 目标 Business 网站是否启用 XDN，源站位置在哪里？ - 怀疑 DDoS 或 WAF 误报时，需要提供哪些证据？ - 反复攻击威胁共享服务器完整性时，会如何处理？ - 在不关闭安全控制的情况下，正确升级路径是什么？
若你的合同要求书面缓解 SLA、明确容量、专用日志、自定义 WAF 规则、保证响应步骤或外部事故报告，应取得书面承诺，或增加专业安全层。所核验的公开 Business 页面没有建立这些承诺。
谁适合，谁需要额外防线
WPX Business 适合最多 5 个 WordPress 网站，站长希望获得托管基础防护，同时愿意维护应用、监控和恢复流程。对普通小企业站，它的价值在于不必分别拼装边缘、服务器和恶意软件工具。
如果网站存在已知勒索威胁、受监管事故响应要求、合同零停机义务、定制 API 流量，或曾反复遭遇大型攻击，就不应只依赖套餐。可比较专用边缘安全、托管 SOC、外部可用性监控和事故响应服务；额外工具应解决已确认缺口，而不是重复已有能力。
结论
当混合 DDoS、源站缓解和 ModSecurity 层符合你的常规风险，而且你接受条款限制时，WPX Business 值得考虑。它的价值不是“免费无限安全”，而是降低日常工作量的托管基线；凭据、软件卫生、监控、取证和升级责任仍由你承担。
Toolnavia 的商业入口仅使用已批准的 [WPX Business 精确路由](/go/wpx-managed-wordpress-business-official-usd)，不会暴露原始跟踪链接，也不会宣称尚未确认的 TOOLNAVIA 个人码可用。付款前请重新核对实时购物车与最新条款。
