每位中小企业老板都该懂的网站安全基础

“谁会来黑我们？我们只是小生意。”这话我们常从马来西亚中小企业老板口中听到，而它建立在对黑客行为方式的误解上。几乎没有人会坐下来决定专门攻击贵公司。真实情况是自动化程序——机器人——昼夜不停地扫描数百万个网站，对找到的每一个试探同样那些众所周知的弱点。您的网站被测试，不是因为您重要，而是因为您存在。好消息是：既然攻击是自动化且毫无想象力的，防御也早已研究透彻，而且大多数属于基本卫生习惯，不是昂贵的魔法。

小网站到底为什么会被黑

中小企业网站被黑，很少是因为您的数据值钱。机器人要的是您的网站这个资源：用来挂诈骗页面、发垃圾邮件、把您的访客重定向到可疑药房，或悄悄扫描下一批目标。但损失照样落在您头上——Google 把网站标记为危险，浏览器弹出警告，客户失去信任，而清理的花费远超预防。理解攻击者是脚本而不是人，会改变您的心态：您不需要斗过天才，只需要别做整条街上最好开的那扇门。

HTTPS：那把挂锁不是可选项

HTTPS 为访客浏览器与您网站之间的连接加密，浏览器因此显示挂锁。没有它，任何输入到您网站的内容——姓名、电话、支付资料——都以网络上其他人可读的形式传输，而且现代浏览器会主动警告访客该网站“不安全”。单是那条警告就足以杀死询盘。如今已没有任何借口：通过 Let's Encrypt 等服务证书是免费的，任何称职的主机商或开发商都会把它当作理所当然的标配。如果您的网站至今还走明文 HTTP，这周就把它修好。

更新：机器人最先来试的那扇门

对小网站得手的攻击，大多利用的是已知且早已修复的软件漏洞——补丁存在，只是没人打上。网站运行所依赖的每一个软件，都需要有人负责保持最新。如果自上线以来没人碰过网站的底层软件，就该假设机器人比您更了解它的弱点。向建站的人问一个直白的问题：安全更新由谁负责，多久一次？

备份：您的后悔药

没有完美的防御，所以真正的问题是糟糕的一天能糟到什么程度。有存放在网站之外的近期备份，被黑或更新翻车只是一桩麻烦——恢复、修补、继续前进。没有备份，您可能要对着截图和记忆重建网站。一份备份值得拥有要满足三点：自动执行（人会忘），存放在服务器之外（躺在网站旁边的备份会和网站一起死），并且有人实际测试过恢复流程。没测试过的备份是一份希望，不是一个计划。

密码与 2FA：性价比最高的几步

• ●每个重要账户用不同的密码——邮箱、托管、域名、管理后台。密码复用意味着泄露一次、门门大开
• ●密码要长。让密码管理器负责记忆，密码才能做到真正随机
• ●凡是支持两步验证（2FA）的地方都打开——单靠偷来的密码，攻击者将寸步难行
• ●最要严防死守的是接收密码重置邮件的那个邮箱；谁控制它，谁就控制一切
• ●员工离职当天就收回权限。旧账号是经典的隐蔽入口

攻击面：网站怎么建的很重要

这里有一个老板们很少听到的结构性观点。用平台加一摞第三方插件拼出来的网站，背负着每一个插件的安全包袱——每个插件都是陌生人写的代码，按他们的节奏更新或弃置，每一个都在扩大机器人可以试探的范围。行业报告长期指出，大多数入侵始于插件和主题，而非核心平台。定制开发的网站——比如我们做的 Next.js 项目——可被攻击的东西本来就少：没有插件市场，没有被机器人狂敲的著名后台登录页，活动部件少得多。这不是免疫——没有什么是——但从更小的攻击面出发，安全就从救火变成了日常家务。

这个月实际该做的事

检查自己网站上的挂锁。问服务商更新由谁负责、备份放在哪里。为邮箱和托管账户打开 2FA。这张短清单就能堵上大多数机器人在找的入口。而如果“我们的网站谁在维护？”的诚实答案是“没有人”，那就值得解决——我们的维护配套每月 RM50 起，涵盖更新、备份和支持，或者请我们看看您的配置，我们会直说哪里没问题、哪里有问题。