企业网站安全：必须落实的基础防护措施

企业网站承载的不只是一个公司简介页面。网站里有产品数据、潜在客户的留言，还有可以随时修改网站内容的 CMS（内容管理系统）后台权限。一旦网站被黑，后果可能是页面被篡改、被植入垃圾链接、浏览器弹出危险警告，最终失去潜在客户的信任。

好消息是，只要坚持落实基础措施，大部分风险都可以降低。本文介绍每个企业网站都应具备的几层防护，以及您需要向网站服务商询问的问题。

为什么企业网站会成为攻击目标？

很多企业主会想：“我们的网站这么小，谁会来黑它？”实际上，大多数攻击都是自动化的。黑客程序会扫描成千上万个网站，寻找常见漏洞：未更新的软件、弱密码，或没有防护的表单。网站被盯上，不是因为规模，而是因为存在漏洞。

因此，安全并不只是大公司才需要关心的问题。每个接入互联网的网站都需要基础防护。

HTTPS 与 SSL 证书

HTTPS 会对访客浏览器与网站之间传输的数据进行加密，例如询价表单中填写的内容。浏览器会把没有 HTTPS 的网站标记为“不安全”，这可能让潜在客户犹豫不决。

请确保所有页面都使用 HTTPS，而不只是部分页面；同时，以“http://”开头的旧地址应自动跳转到“https://”版本。SSL 证书也需要按时续期。如今很多主机服务会自动续期，但仍值得检查一下。

定期更新软件

网站由许多组件构成：CMS、插件、主题，以及服务器上的软件。每个组件都可能出现安全漏洞，随后通过更新修复。从不更新的网站会不断积累早已公开的漏洞。

如果您的网站使用的 CMS 装了大量附加插件，那么每个插件都是一个需要维护的组件。只使用真正需要的插件，不用的就删除。还要明确由谁负责安装更新。

强密码与双重验证

CMS 后台权限是网站的大门。如果管理员密码泄露或容易被猜中，黑客根本不需要寻找技术漏洞。

每位用户使用足够长且独一无二的密码，不要在其他服务中重复使用。
将密码保存在密码管理器中，而不是记在笔记或聊天群里。
如果 CMS 支持，请开启双重验证（2FA）。开启后，仅凭密码无法登录。
不要多人共用一个账号。每个人都应有自己的账号。

按角色分配用户权限

团队中并非每个人都需要完整权限。负责撰写文章的市场人员，不需要删除页面或修改网站设置的权限。按角色分配权限后，即使有人操作失误或账号泄露，也不会波及整个网站。

请定期检查 CMS 用户列表。员工调岗或离职时，应立即停用或调整其权限。被遗忘的旧账号是一个常被忽视的漏洞。

延伸阅读：什么是 CMS，它如何运作。

真正能恢复的备份

备份是最后一道安全网。如果网站因攻击、编辑失误或服务器故障而受损，可以借助备份恢复到之前的状态。

好的备份应自动、定期执行，与主网站分开存放，并且做过恢复测试。从未做过恢复测试的备份，到真正需要时可能派不上用场。

防范垃圾信息和机器人

联系表单和询价表单经常成为机器人的目标，被大量发送垃圾信息。垃圾信息不仅烦人，还可能淹没潜在客户发来的重要留言。

常见的防护手段包括：在表单上加入防机器人验证、限制同一来源的提交次数，以及使用 Web 应用防火墙，在可疑流量到达网站之前将其过滤。请选择不会妨碍真实访客的防护方式。

常见错误

所有人共用一个管理员账号：无法知道是谁改了什么，密码也在很多人之间流传。
网站多年不更新：安全漏洞不断累积。
插件过多：每多一个插件，就多一个需要维护的组件。
备份与网站存放在同一台服务器上：服务器一旦出问题，备份也随之丢失。
离职员工的权限未收回：旧账号在无人监管的情况下仍然有效。

需要向网站服务商提出的问题

整个网站是否都使用 HTTPS？由谁负责证书续期？
由谁负责安全更新，多久更新一次？
CMS 是否支持双重验证，以及为不同用户设置不同权限？
备份多久做一次、存放在哪里、如何恢复？
表单如何防范垃圾信息和机器人？
如果网站发生安全事件，会如何处理？

延伸阅读：如何选择网站建设公司，了解开始合作前还应该问哪些问题。如果想知道网站能否经得起真实的攻击，也可以问问渗透测试。

常见问题

有了 HTTPS，网站就安全了吗？

不是。HTTPS 保护的是传输中的数据，但无法防止通过弱密码或过时软件进行的入侵。HTTPS 只是所需的多层防护之一。

没有网上商店的企业展示型网站也需要做安全防护吗？

需要。企业展示型网站同样有 CMS 后台权限、联系表单，还关系到公司的声誉。被黑的网站可能被植入有害内容，并被浏览器和搜索引擎标记为不安全。

如果网站已经被黑了，该怎么办？

请立即联系网站服务商或主机管理方，修改所有用户的密码，并用干净的备份恢复网站。之后要查明是哪个漏洞被利用，避免再次发生。完整步骤请看网站被黑：24小时内的第一步行动。

网站安全不是一次性的工作，而是一种习惯：保持更新、限制权限、始终保留备份。

想要一个有人维护、安全无忧的企业网站？欢迎了解我们的网站建设服务，或阅读网站主机是什么，如何选择。