每年都有企业网站被挂马、被篡改、被勒索，数据一夜清空。事后排查，多半是基础防护没做——要么没装 SSL，要么没备份，要么后台密码还是 admin123。网站安全不需要多高深的技术，关键是把基础动作做扎实。这份清单覆盖我们建议每个企业官网都该具备的三道防线。

第一道防线：SSL 证书，HTTPS 是底线

SSL 证书让网站从 HTTP 升级到 HTTPS，加密浏览器与服务器之间的通信。没有 HTTPS 的网站，浏览器会直接标记"不安全"，访客看到就关，搜索引擎也会降权。SSL 证书现在成本很低，甚至有免费方案，没有任何理由不做。

需要注意的是，证书要定期续期，过期后网站会直接报错。建议设置自动续期或提醒，避免证书过期导致业务中断——这种低级失误我们见过太多次。

第二道防线：WAF 防火墙，拦截常见攻击

WAF（Web 应用防火墙）能在应用层拦截 SQL 注入、XSS 跨站脚本、CC 攻击等常见威胁。很多企业以为装了服务器防火墙就够了，但服务器防火墙只管端口，管不了应用层的漏洞。WAF 能识别恶意请求，在它到达你的程序之前就拦下。

• 拦截 SQL 注入和 XSS 攻击
• 防御 CC 攻击和暴力破解
• 屏蔽恶意 IP 和爬虫
• 记录攻击日志便于溯源

WAF 可以用云端服务，也可以在服务器上部署开源方案。对于更新维护跟不上的企业，云端托管 WAF 是更省心的选择，规则库由服务商持续更新，无需自己跟进最新的攻击手法。

第三道防线：定期备份，最后一道保险

前两道防线再严密，也无法保证 100% 不出事。备份是最后的兜底——被勒索了能恢复，被篡改了能回滚，误删了能找回。但备份这件事，做了和做好是两回事：

• 备份要包含数据库和文件两部分，缺一不可
• 备份要异地存储，避免服务器挂了备份也没了
• 备份要定期验证可恢复性，不能只备份不测试
• 保留多个时间版本，避免覆盖掉正常状态

我们建议至少每天自动备份一次，保留近 30 天的版本。关键业务可以做到每小时增量备份。恢复演练每季度做一次，确认备份真的能用——很多人在出事时才发现备份是坏的，那时已晚。

别忽略这些基础动作

除了三道防线，还有几个基础动作容易被忽视：后台密码强制复杂度、后台路径不使用默认、及时更新 CMS 和插件、关闭不必要的端口和服务、给文件目录设置正确权限。这些动作不花钱，但能挡住 80% 的自动化攻击。攻击者往往不是盯上了你，而是在批量扫描全网漏洞，你只要比平均水平难啃一点，他们就会跳过你。

写在最后

网站安全是一场持续战，不是上线时做一次就万事大吉。建议企业把安全检查纳入日常运维，定期扫描漏洞、更新补丁、复查备份。拓冰的运维服务包含每月安全巡检，帮助客户把风险消灭在爆发之前，而不是事后补救。