应用密码

配图占位 · 待补

应用程序密码生成区

WordPress「用户 → 个人资料 → 应用程序密码」区域，显示名称输入框和生成按钮，密码值打码。

• 圈出名称输入框与「添加新的应用程序密码」
• 提示：名称不是登录用户名
• 不要露出真实密码

建议文件：docs-app-password-01.webp

为什么不直接用管理员密码

管理员密码可以登录后台、改主题、装插件、删内容；应用密码只用于 REST API 认证，权限仍然受这个 WordPress 账号的角色限制。把它单独命名，你可以：

• 在「用户 → 个人资料」里看到它最后一次使用时间；
• 不用时只删这一条，不影响你正常登录；
• 不把真正的登录密码写进任何第三方系统。

生成步骤

1. 确认站点是 HTTPS

   打开 https://你的域名/wp-admin/，地址栏没有「不安全」。WordPress 只在 HTTPS 下提供应用密码；HTTP 站点可能整块不显示。

2. 进入个人资料

   左侧菜单「用户 → 个人资料」，滚动到页面下方的「应用程序密码」。

3. 填一个能认出来的名称

   例如 观象台工作台 或 guanxiangtai-2026。这个名称只是列表里的标签，不是登录用户名。

4. 点「添加新的应用程序密码」

   WordPress 会生成一串形如 abcd EFGH 1234 ijkl MNOP 5678 的密码。它只显示这一次，先复制到安全的地方。

5. 保存到工作台

   工作台 → 客户网站 → 编辑 → 接入凭据，填 WordPress 用户名和应用密码。保存后点测试连接。

两个最容易填错的字段

字段	填什么	常见错误
用户名	你登录 WordPress 用的用户名（wp-admin 左上角欢迎语里的那个）	填了昵称、显示名，或应用密码的「名称」
应用密码	刚才生成的那一串，含空格也可以	只复制了一半、把空格删错、用了登录密码

验证是否成功

保存后在工作台点「测试连接」或「同步」。成功时：

• 站点状态变成「已接入」；
• 能拉到页面数量、插件版本；
• 第一次同步能写出站点目录。

失败时按错误码查：

现象	多半原因	下一步
401 / 403	用户名错、密码失效、账号权限不足、站点不是 HTTPS	对照上面的字段表；确认账号能编辑内容
404	插件没启用，或接入地址写错	先装插件，再核对地址
429	失败次数太多，端点暂时锁定	等锁过期，不要连续重试
SSL 超时	主机防火墙 / WAF / 跨境链路	联系主机放行，或稍后重试

撤销与轮换

只撤销观象台这一条

1. 用户 → 个人资料 → 应用程序密码；
2. 找到给观象台用的那一行，点「撤销」；
3. 工作台下一次同步会失败——这是预期的。要恢复就重新生成一条并更新工作台。

怀疑泄露时

1. 立即撤销那一条应用密码；
2. 检查 WordPress 用户列表有没有陌生管理员；
3. 在工作台更新凭据，或暂时停用插件；
4. 如果站点有安全插件，查一下最近的 REST 登录日志。