网站上线那一刻，网站维护工作才真正开始。和管我见过太多人把服务器一配、网站维护域名一解析，和管就觉得万事大吉，网站维护结果三个月后打开首页，和管发现数据库连接报错，网站维护页面上挂着一串英文警告。和管维护这件事，网站维护平时看不见，和管出问题时全是网站维护急事。

先聊备份。和管有人觉得备份就是网站维护每周拖一次数据库文件到本地硬盘。真出事的和管时候，这种备份往往救不了你——文件可能损坏，网站维护可能只备份了数据没备份上传的图片，也可能恢复时发现版本对不上。我的习惯是数据库每天自动导出，保留最近十四天，同时把网站根目录打包，每周一次完整快照。备份文件不放服务器本身，扔到对象存储或者另一台机器上。去年有个客户被勒索软件盯上，整台服务器文件被加密，幸亏备份在异地，两小时就恢复了。他后来跟我说，那两小时里他一直在冒冷汗。

更新这件事更容易被忽略。CMS核心、插件、主题，隔几周就有新版本。不更新，漏洞摆在那里，扫描器一抓一个准。但更新也不是闭着眼睛点“立即升级”。我一般先在本地或者测试环境跑一遍，看看前台后台有没有报错，表单能不能提交，支付流程是否正常。确认没问题再动生产环境。有次帮人维护一个电商站，自动更新了某插件，结果购物车页面白屏，损失了半天的订单。从那以后，我养成了更新前手动打快照的习惯，哪怕只是个小版本号。

安全方面，弱密码是头号杀手。admin/123456这种组合，机器人几秒钟就能撞开。强制复杂密码、限制登录尝试次数、后台路径别用默认的/wp-admin，这三招能挡掉大部分低级攻击。再进一步，可以上WAF，或者至少把PHP版本升到受支持的稳定版。老版本PHP本身就有已知漏洞，跟网站代码写得好不好没关系。

性能监控也得做。网站变慢通常不是突然发生的，而是数据库查询越来越多、日志文件撑满磁盘、图片没压缩。装个监控工具，CPU、内存、磁盘、响应时间都看着点。我遇到过磁盘占满导致MySQL无法写入的情况，排查半天，最后发现是错误日志滚了十几个G。设置日志轮转，定期清理临时文件，这些小事能省下大麻烦。

内容管理听起来不像技术活，但恰恰是维护的一部分。删掉过期的促销页面，检查死链，更新版权年份，这些细节用户未必夸你，但留着就是减分项。有次我点进一个客户网站的“最新活动”，日期还是三年前的。信任感瞬间掉一半。

最后说人。维护不是一个人的事。密码要交接，操作要有记录，谁改了什么东西得能查到。用Git管理代码，用工单系统跟踪变更，哪怕只有两个人协作，也比口头说“我改了个东西”强。我见过因为前员工离职后恶意删库的案例，如果有权限分离和操作日志，至少能追责，也能更快恢复。

网站维护没什么高深理论，就是一堆琐碎的事重复做、认真做。你糊弄它，它迟早糊弄你。每次点下“更新”之前多想一步，每次备份之后顺手验证一下能不能恢复，这些动作花不了多少时间，但能让你半夜睡得踏实。