WordPress官网时不时出现奇怪跳转，底部还弹出不明广告，技术查了一圈服务器本身没问题——流量在到达服务器之前就被人动了手脚。
这种事情被用户看到，品牌形象直接打折扣。更麻烦的是，你根本不知道有多少人遇到过，只是没反馈给你而已。
我的态度：如果官网是公司业务的重要入口，这件事不能拖。不是技术问题复杂，是代价和收益的账要算清楚。
DNS高防能防住什么
DNS高防，说白了就是给域名解析加一层保护。专业厂商在全国甚至全球布点，域名解析请求先到他们的节点，经过清洗过滤再返回正确IP。这比你自己DNS服务器被劫持强多了——后者用户请求直接被打到恶意IP，WordPress站再好也没用。
费用方面，中小公司一年几千到几万块不等，看你选什么服务商和防护等级。这个钱，对于有线上业务的公司来说，不算冤枉。
但它有局限性。DNS高防只管域名解析这一层。如果劫持发生在HTTP传输层——用户和服务器之间那段明文传输——它是拦不住的。中间人可以在这个环节注入代码或替换内容，DNS给的是正确IP，但返回的页面已经被篡改了。很多人上了DNS高防之后，劫持问题依然存在，原因之一就在这。
HTTPS强制跳转能堵住什么
HTTPS强制重定向可以堵住上面那个漏洞。逻辑很简单：所有HTTP请求一律跳转到HTTPS，加密通道建立之后，中间人想窥探或篡改流量就很难了。
效果是真的有，前提是你的WordPress站点已经配好了SSL证书，而且整站都支持HTTPS。有些公司官网早几年就上了HTTPS，但切得不够彻底，遗留了很多HTTP资源引用，这种情况下强制跳转会出岔子。
HTTPS改造的成本弹性很大。如果WordPress站已经全是HTTPS了，强制重定向就是个配置问题，几小时搞定的事。但如果站子还大量跑在HTTP上，事情就复杂了——第三方插件、外部接口、内嵌的老系统，这些东西不一定支持HTTPS，得一个个排查、升级或者替换。这部分工作量，管理层初期往往低估，等技术团队开始动手才发现坑一个接一个。
上了之后还有什么要想的
还有件事必须说清楚：上了DNS高防+HTTPS强制重定向，不代表劫持问题就此消失。用户在地铁上连了公共WiFi、回家打开的浏览器装了恶意插件——这些情况是企业的防护措施覆盖不到的。你花钱买的是流量在到达服务器这段路上的安全，不是用户看到的内容一定没问题。
上了这些机制之后，运维要多长一根弦。DNS高防会给你发解析异常告警，但你得有能力判断是真劫持还是误报，响应慢了或者判断错了，WordPress官网分分钟变不可用。HTTPS强制跳转跑起来之后，证书什么时候到期、CDN节点稳不稳、用户端错误率有没有异常，这些都要有人盯着。
值不值得上
看你的WordPress官网承载了什么。如果每天大量自然搜索流量进来、客户询盘和交易都在线上完成，流量被劫持带来的信任损伤是实实在在的，几千块一年的防护成本根本不叫事。
但如果官网就是个电子宣传栏，一个月也没几个访问，劫持事件偶发一次影响也有限，先不投入也能接受，等问题变严重了再说也不迟。
你那边WordPress官网现在什么情况？