有个客户周一早上给我们打电话，说官网首页变成了一堆看不懂的外文广告。问他有没有备份，他说“建站公司应该有吧”；问后台密码谁知道，他说“市场部、销售部好几个人都知道”。这类网站安全事故我们处理过不少，原因几乎都差不多。
说到网站安全，很多老板第一反应是防火墙、防攻击这些听起来很专业的东西。其实对于一个展示型的企业官网，真正出问题的地方往往很朴素：没备份、不更新、权限乱。把这三件事做好，能挡住大部分麻烦。
备份：网站安全的最后一道保险
备份不能防止出事，但出事后能让你很快恢复。没有备份，网站被篡改或者服务器故障，就只能从头再建，图片、文章、询盘记录全没了。
备份要包括两部分：网站文件和数据库。只备份文件不备份数据库，恢复出来的网站是空的；只备份数据库不备份文件，上传过的图片和附件就找不回来。
备份放哪里也有讲究。只放在同一台服务器上等于没备份，服务器出问题时备份一起没了。比较稳妥的做法是服务器本地留一份，再定期同步一份到另一个地方，比如云存储或公司内部的电脑。
最容易被忽略的一点：备份要定期试着恢复。我们见过备份脚本跑了一年，真要用时才发现文件是坏的。半年左右找个测试环境恢复一次，确认能用，心里才踏实。
程序和插件及时更新，网站安全才有底
不管是用开源建站系统还是定制开发的网站，背后都有程序框架、插件和服务器软件。这些东西隔一段时间就会发布安全补丁，修的就是已经被公开的漏洞。
漏洞一旦公开，批量扫描的脚本马上就会跟上，专门找还没打补丁的网站。所以不更新的网站，网站安全基本无从谈起，被盯上只是时间问题。
更新有两个常见的坑。一个是怕更新出问题所以干脆不更新，几年下来版本落后太多，想升级都难。另一个是直接在正式网站上点“一键更新”，结果某个插件不兼容，网站白屏了。
比较稳的节奏是：先备份，再在测试环境更新、点一遍主要页面和表单，没问题再更新正式站。用不上的插件和主题直接删掉，别只是停用，停用的插件照样可能有漏洞。
后台权限：谁需要就给谁，用完就收回
后台账号是网站安全里最容易出问题、也最好改的一环。
先看看你们公司是不是这样：一个管理员账号，全公司共用，密码是公司名加年份，好几年没换过。做市场的离职了，账号密码还在他脑子里。这种情况真的很普遍，也是网站安全最大的隐患之一。
改起来不难：
- 每人一个账号，按需分配权限。发文章的只给编辑权限，不需要能改网站设置；
- 密码设复杂一些，不同系统不要用同一个密码；
- 后台登录地址不要用默认路径，能开登录验证码或二次验证的都开上；
- 员工离职当天就关停他的账号，包括网站后台、服务器、域名管理平台；
- 服务器和数据库的密码只留给真正维护的技术人员。
域名账号也要单独说一句。很多企业的域名是当年建站公司帮忙注册的，挂在别人名下，密码也在别人手里。这个最好尽早转到自己公司名下，域名丢了，网站做得再好也白搭。
企业网站安全防护的其他几件小事
除了上面三条，还有几件花不了多少功夫、但值得做的事。
网站安全的基础配置是 HTTPS 证书，证书快到期时要有人提醒续期，否则浏览器会提示“不安全”，访客看到直接关掉。表单要加验证码和提交频率限制，不然会被灌进大量垃圾询盘。上传功能要限制文件类型，只允许图片和文档，防止有人传上来可执行的脚本文件。
如果网站有会员注册、在线下单这类功能，用户的手机号、地址这些信息要加密存储，后台导出数据要有记录。这一块牵涉个人信息保护，做得马虎了，出问题就不只是网站的事。
每月自查表
网站安全不是做一次就完事，可以安排一个人每月花半小时过一遍：
| 检查项 | 看什么 |
|---|---|
| 备份 | 最近一次备份时间，异地那份是否同步了 |
| 更新 | 程序、插件有没有待更新的安全补丁 |
| 账号 | 有没有离职人员账号没关、有没有陌生账号 |
| 页面 | 首页和主要页面是否正常，有没有被插入陌生链接 |
| 证书和域名 | 到期时间是否临近 |
发现异常别慌，先截图留证，再联系技术人员处理。
结论
中小企业做网站安全，不需要一上来就买很贵的安全产品，先把备份、更新、权限这三件事做扎实：文件和数据库都备份、异地留一份、定期试恢复；程序插件先测试再更新；后台账号一人一号、离职即关。再配合每月自查，大部分问题都能提前发现。蔚岚科技做网站建设时会把备份和权限一起配置好，老网站想做一次安全检查，也可以打 18720919319 找我们。
常见问题
企业官网很小，也会被攻击吗？
会。很多攻击是脚本批量扫描，不挑网站大小，只要有没修的漏洞就可能中招。
网站多久备份一次合适？
看更新频率。经常发文章、收询盘的网站建议每天自动备份；很少改动的展示站，每周一次也可以，改动前再手动备份一次。
网站安全交给建站公司就行了吗？
建站公司可以负责技术维护，但账号权限、离职交接、域名归属这些事，企业自己要心里有数，最好有专人对接。
网站已经被篡改了怎么办？
先别急着自己删文件，截图留证后联系技术人员。一般要找到入口、清理恶意代码、修补漏洞，再从干净的备份恢复。
免费的 SSL 证书能用吗？
能用，加密效果没问题，主要注意有效期较短，要设置好自动续期，不然过期后浏览器会报不安全。