HTTPS、备份、防篡改：企业官网的三条安全底线

企业官网的安全事件里，真正技术含量高的攻击占比不高。更多的情况是：证书过期没人续、后台密码还是初始密码、网站从上线起就没做过备份。这三件事做好，能挡掉大部分常见问题。

先说 HTTPS。现在浏览器对没有证书的网站会直接标注不安全，访客看到提示多半会离开。证书有有效期，到期前要续；配置时要确认整站都走加密连接，而不是只有首页跳了、内页还是明文。证书到期是可以通过监控提醒的，不必靠人工记。

再说后台账号。内容管理后台的入口地址、管理员账号名、密码强度，是最容易被忽视的一环。默认账号不改名、密码用简单组合、多人共用一个账号，都会提高出问题的概率。建议按人数开独立账号，权限按需要分配，离岗人员及时停用。

第三是备份。备份要解决两个问题：出事之后能恢复，以及恢复的东西是最近的。只备份一次不管更新，等于没有备份。网站程序和数据库都要覆盖，备份文件要存在与网站服务器不同的地方，并且定期验证能不能真的还原。

容易被忽略的还有更新。建站系统、模板、插件如果有安全更新，长时间不升级会留下已知漏洞。升级前先备份、先在测试环境验证，是稳妥的做法。

建议至少每季度过一遍这四项：证书有效期、账号与权限、备份是否可还原、系统是否有待更新的补丁。花的时间不多，能避免大部分突发状况。