老张被罚了五万。网站原因很简单：他公司官网的有漏留言板有个SQL注入漏洞，被人塞了赌博链接，后网网警巡查抓到，警罚直接下了《网络安全法》第二十一条的网站处罚通知。老张跟我吐槽的有漏时候，手指头戳着桌子：“我又不是后网搞技术的，哪知道这玩意儿还要坐牢？警罚”

这事不新鲜。去年杭州一家做外贸的网站，网站后台弱密码，有漏被境外IP传了钓鱼页面，后网网警找上门，警罚罚款八万。网站老板当场懵了——他连FTP是有漏啥都不知道。很多中小企业主觉得，后网网站就是个门面，跟门口挂的招牌一样，挂上去就完事了。可网警不这么看。你网站有漏洞，被人利用来干坏事，你就是责任主体。

《网络安全法》第二十一条写得清楚：网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。啥叫安全保护义务？说白了，你得防住最基本的攻击。SQL注入、XSS跨站、弱口令——这些十年前的老漏洞，现在随便找个扫描器都能扫出来。网警检查的时候，拿工具一扫，漏洞列表拉出来，你连辩解的余地都没有。

我见过一个更冤的。某地一家餐饮连锁，官网用的是开源CMS，三年没更新。黑客利用已知漏洞传了个webshell，把网站当成了C&C服务器。网警监测到异常流量，顺藤摸瓜找到他们。老板说：“我这网站就展示个菜单，谁没事攻击它？”网警回了一句：“黑客不挑食。”

罚款不是目的。网警那边有个内部说法：罚你，是因为你“可被利用”。你的服务器成了跳板、你的数据库被拖走、你的页面被篡改——这些都会影响公共网络安全。你觉得自己是受害者，但法律上你是失职者。就像你家院子围墙塌了，有人翻进去扔了违禁品，你照样得担责。

那怎么办？几个实在的建议。第一，别用那些“一键建站”的便宜货，很多模板代码十年没更新，漏洞一抓一大把。第二，找个靠谱的人定期扫漏洞、打补丁，花不了几个钱，比罚款便宜多了。第三，后台密码别用admin/123456，这跟没锁门一样。第四，如果网站真没人维护了，直接关掉，别留着当靶子。

老张后来花了八千块找人重做了网站，又花两千买了WAF。他跟我说：“早知道这样，当初花五百块买个安全插件就完了。”我说：“你现在知道了，可还有一堆人不知道呢。”

网警的处罚决定书里不会写“你不懂技术”，只会写“未履行网络安全保护义务”。法律不看你的技术能力，只看你的网站有没有漏洞、有没有被利用。这行就是这样，出事之前觉得小题大做，出事之后觉得罚得太轻。

最后说个细节。网警检查的时候，会看你的网站日志。如果日志里早就有异常访问记录，而你从来没管过，那处罚会加重。换句话说，不是“我不知道”就能免责，而是“你本该知道”。