备份插件也能成为入口：WordPress安全该先修权限还是先修习惯？

Updraft相关密钥泄露事件里，攻击链不是「备份文件被下」，而是远程管理信任被滥用[1]。前端和站点责任人争论点常变成：要不要继续用带远程控制的备份插件，以及密钥轮换是不是从来没进过 checklist。

技术修复是升级与撤钥；习惯修复是少给第三方持久高权限。两件事都要做，但很多团队只会做完前半。

你更倾向关掉远程管理，还是接受远程管理但强制轮换？