去年秋天，公司一个做外贸的网站朋友半夜给我打电话，说网站首页被替换成了一张黑底红字的安全图片，上面写着“你的公司数据在我手里”。他声音都在抖——那网站是网站他全部订单的来源。我让他先拔网线，安全再登服务器看日志。公司结果发现，网站攻击者用的安全漏洞是网站后台一个两年前就没再更新的插件。这事不新鲜，公司但每次遇到都让人后背发凉。网站

公司网站的安全安全，往往不是公司被什么高级黑客攻破的，而是网站败在“忘了改”“懒得管”这些小事上。我见过太多团队，安全前端页面做得漂漂亮亮，后台密码还是admin/123456。这跟把保险柜钥匙插在锁上有什么区别？

密码和权限：最薄弱的环节

很多公司内部系统，员工离职半年了，账号还能登录。问就是“忘了删”。更离谱的是，有些管理员账号在多个平台重复使用同一个密码。一个论坛被拖库，连带公司官网后台一起沦陷。我自己的习惯是：后台登录必须开两步验证，密码用密码管理器生成。麻烦吗？刚开始觉得麻烦，习惯了也就几秒钟的事。但就是这几秒钟，能挡住绝大多数脚本小子的暴力破解。

权限分配也是重灾区。给实习生开管理员权限，只因为“方便传文件”。这种操作等于把公司大门钥匙复制一把给每个路过的人。最小权限原则不是口号——编辑只能发文章，客服只能看订单，财务才能导出数据。分清楚，出事了才能查到是谁干的。

那些被忽视的“小东西”

插件、主题、第三方统计代码、客服聊天窗口……这些东西往往不是公司自己写的，但都挂在网站上。去年有个案例，某公司用了一个免费的表单插件，结果插件作者在代码里留了后门，所有提交的数据都被抄送到了一个俄罗斯邮箱。三个月后才发现。我的做法是：能自己写的功能就不装插件；必须用的，只从官方渠道下载，并且定期看更新日志。那些半年没更新的插件，直接删掉，别犹豫。

还有备份。我见过一家公司被勒索病毒加密了数据库，他们倒是有备份——备份文件和网站放在同一台服务器上。攻击者顺手把备份也加密了。备份要离线，要异地，要定期恢复测试。我自己的规矩是：每周日晚上自动备份到另一台机器，每月手动下载一份到移动硬盘。移动硬盘平时不插电。

日常该盯什么

不用天天盯着安全日志看，但有几件事得形成习惯。服务器系统补丁，每月打一次；网站后台的登录失败记录，每周扫一眼，如果某个IP连续试了几十次密码，直接封掉；文件修改时间，如果某个核心文件突然在凌晨三点被改动，那基本就是出事了。我手机上装了个简单的监控App，网站返回非200状态码就推送提醒。有次半夜收到提醒，爬起来一看，是有人在扫目录，虽然没成功，但第二天我就把那个路径改掉了。

安全这件事，没有“做完”的时候。它更像打扫房间——今天扫干净了，明天还会有灰。但只要你比隔壁那家公司稍微难搞一点，攻击者就会去找隔壁。别做最软的那个柿子。