网站安全最佳实践有哪些?

说到网站安全，这真是个让人又爱又恨的话题。最近帮朋友处理一个被黑的WordPress站点时，发现黑客居然是通过一个两年没更新的插件漏洞进来的，真是防不胜防啊。根据Sucuri的报告，超过60%的网站入侵都是由于未及时更新造成的，这个数字让我后背发凉。

更新，更新，还是更新！

你可能觉得我在说废话，但事实就是如此。WordPress核心、主题和插件的及时更新是安全的第一道防线。我见过太多网站因为”怕更新会出问题”而一直拖着，结果反而出了更大的问题。有个客户坚持用着WordPress 4.9版本，结果被一个已知漏洞攻击，数据全丢了，这种教训太惨痛了。

不过更新也有讲究。我建议先在测试环境更新，观察一周没问题再上线。而且最好选择工作日的上午更新，这样万一出问题还有时间处理。记得去年双十一前夜给电商网站更新，结果出了兼容性问题，那个通宵修站的经历我现在想起来还心有余悸。

密码管理这件”小事”

说真的，现在还有人用”admin/123456″这种组合当后台密码，我都不知道该说什么好。去年帮一家企业做安全审计，发现他们财务系统的管理员密码居然是公司成立日期，这种”纪念性密码”简直是在邀请黑客来参观。

我现在的做法是：1) 强制使用密码管理器生成随机密码；2) 开启双因素认证；3) 定期更换关键密码。虽然麻烦了点，但总比某天早上发现网站被挂马强。Cloudflare的数据显示，启用双因素认证后，暴力破解的成功率能降低99.9%，这个投入绝对值得。

备份，最后的救命稻草

有个做外贸的客户曾经跟我说：”我的网站很安全，不需要备份。”三个月后他的网站被勒索软件加密，所有产品资料都没了，那个绝望的电话我至今难忘。现在我都跟客户说，备份不是万能的，但没有备份是万万不能的。

我建议采用3-2-1备份策略：3份备份，2种不同介质，1份离线存储。而且一定要定期测试备份的可用性，别等到要用的时候才发现备份是坏的。上周刚遇到一个案例，客户自信满满地说有自动备份，结果恢复时发现备份文件已经损坏半年了，这种”假备份”比没备份还可怕。

网站安全就像给房子装防盗门，没有绝对的安全，但我们可以让入侵者觉得”这家太麻烦，换一家吧”。从基础做起，别给黑客留方便之门，这才是最实在的安全之道。