很多小企业主觉得没人会费心攻击自己的网站。但实际上，大多数攻击都是自动进行的。机器人在互联网上批量扫描弱密码和过时的软件，它们才不在乎你的公司有多大。
好消息是，几个基本习惯就能预防大部分常见问题，而且都不需要专门的安全团队。下面是应该重点关注的地方。
1. 先保护好账号
网站的安全程度，取决于控制它的那些账号。包括主机托管、域名注册商、DNS 服务商、内容管理系统，以及背后的邮箱。
- 处处开启两步验证，优先使用验证器 App 或安全密钥，而不是短信。
- 使用密码管理器，让每个账号都有一个又长又独立的密码。
- 最重要的是保护好邮箱，因为重置密码的邮件都发到这里。一旦邮箱被人控制，其他账号往往也保不住。
- 把备用恢复码保存好，放在安全、独立的地方。
- 清理旧用户。 离职员工、合作过的代理公司和自由职业者，都不应该继续保留权限。
2. 保持软件更新
过时的软件是最常见的入侵途径之一。如果你在用 WordPress 这样的 CMS，要定期更新核心程序、主题和插件，并删除不再使用的部分。插件越少，需要打补丁的地方就越少。
静态网站可以避开很多这类问题，因为访客访问时服务器上不运行任何程序。静态网站还是 CMS？
3. 全站使用 HTTPS
整个网站都应该通过安全连接加载，并且自动把 HTTP 访问跳转到 HTTPS。大多数现代主机都提供可自动续期的免费证书。确认证书在正常续期，并且没有页面显示安全警告。
4. 有经过实测的备份
- 自动备份内容、数据库和文件。
- 至少保留一份独立于主机账号的副本。
- 至少实际恢复过一次。从没测试过的备份，真正需要时可能用不了。
如果网站源码保存在私有的版本管理仓库里，你还能得到每一次修改的完整历史记录。
5. 保护好域名
失去对域名的控制，可能让网站和邮箱同时瘫痪。
- 开启自动续费，并确保付款方式有效。
- 开启注册商锁定和两步验证。
- 确保域名登记在公司名下，放在你们自己控制的账号里，而不是某位前员工或代理公司的账号里。
6. 保护表单和数据
- 只收集必要的信息。
- 在联系表单上使用防垃圾信息措施。
- 绝不要把 API 密钥或密码写进网站代码或公开的代码仓库。
- 清楚自己持有哪些个人数据，并遵守适用的隐私规定。
7. 加一层防护
内容分发网络或 Web 应用防火墙可以过滤大量恶意流量、抵御攻击，很多服务商都提供好用的免费方案。基础的安全响应头，还能在浏览器层面提供进一步的保护。
8. 想好出事时怎么办
提前写一份简短的预案：
- 该找谁：主机商、开发人员还是代理公司？
- 如何让网站下线，或者从备份恢复？
- 哪些密码需要修改？
- 需要通知哪些人？如果可能涉及个人数据，要咨询相关的法律义务。
每月快速检查
- 所有更新都装好了吗？
- 最近一次备份成功了吗？
- 账号里有没有不认识的用户？
- 网站是否通过 HTTPS 正常加载、没有警告？
- 域名和证书的续期是否正常？
总结
做好网站安全，靠的主要是好习惯：牢固的账号、及时更新的软件、经过实测的备份，以及安全的域名。平时多花一点心思，就能避免小企业遇到的大多数问题。
