网站安全，一步一步修好。
简短实用的指南，附可直接粘贴到 nginx、Apache 或 WordPress 的配置。每篇指南都列出参考资料。代码和配置保持英文。
中文指南
安全响应头
可直接复制粘贴到 nginx、Apache（.htaccess）、Cloudflare 和 WordPress 的 HTTP 安全响应头：HSTS、X-Content-Type-Options、防框架嵌入、Referrer-Policy 和 Permissions-Policy。
指南Content-Security-Policy
在不弄坏网站的前提下部署 Content-Security-Policy：从仅报告模式开始，建立允许列表，然后强制执行。附 nginx、Apache 和 WordPress 示例。
指南HSTS
HSTS 的作用、为什么先用较短的 max-age、何时使用 includeSubDomains 和 preload，并附可复制粘贴到 nginx、Apache 和 Cloudflare 的配置。
指南WordPress 被黑了吗？
WordPress 网站被黑的迹象、如何用 WP-CLI 校验和确认，以及一份清理清单：用户、文件、密钥、更新和 Google 复查。
指南WordPress 加固
一份实用的 WordPress 加固清单，附可复制粘贴的代码片段：屏蔽 XML-RPC、隐藏用户名、禁用文件编辑器、保护 wp-config.php、禁止在 uploads 中运行 PHP。
指南HTTPS 与混合内容
用一次 301 跳转强制使用 HTTPS，修复混合内容警告，避免 Cloudflare 跳转循环，并用 WP-CLI 更新 WordPress 中旧的 http:// 链接。
指南结账页 skimmer
盗卡 skimmer 如何进入网店，以及如何阻止它们：脚本清单、结账页 CSP、SRI、托管支付字段和变更检测（PCI DSS 4.0 6.4.3 和 11.6.1）。
指南暴露的 .git、.env 与备份
泄露的 .env 文件、.git 目录和数据库备份会把你的密码交给攻击者。检查你的文件是否公开，在 nginx 或 Apache 上屏蔽它们，并更换密钥。
指南SPF、DKIM 与 DMARC
阻止骗子冒用你的域名发邮件。可复制粘贴的 Google Workspace 和 Microsoft 365 SPF 与 DMARC 记录，以及从 p=none 到 p=reject 的安全路径。
指南检查网站安全
一种免费、安全的网站安全检查方法：HTTPS、安全响应头、邮件记录、WordPress 更新和暴露的文件，附准确的命令以及良好结果应有的样子。
指南A–F 安全评级说明
HackGrade 的 A–F 网站安全评级如何计算：按问题严重程度扣分、每个类别设有扣分上限，以及在存在严重或高风险问题时限制评级的规则。
指南检查 SSL 证书
用六个步骤检查 SSL/TLS 配置：受信任的证书链、域名匹配、有效期与自动续期、仅启用 TLS 1.2/1.3、HTTP 到 HTTPS 的重定向以及 HSTS。附 nginx 和 Apache 的命令与配置。
指南过时的 WordPress 插件
找出过时且存在漏洞的 WordPress 插件和主题：更新页面、WP-CLI 命令、公开漏洞数据库、已关闭的插件以及安全的自动更新。
指南小企业网站安全清单
一份面向小企业的实用网站安全清单：HTTPS、更新、备份、两步验证、安全响应头、邮件记录、域名安全和监控，并附分步修复指南链接。
指南Cookie 安全属性
Secure、HttpOnly 和 SameSite 这几个 Cookie 属性的作用，以及如何在 PHP、WordPress、nginx 和 Apache 中设置它们，同时不破坏脚本需要的 Cookie。
指南隐藏服务器和 PHP 版本
不再公开你的软件版本：nginx 的 server_tokens、Apache 的 ServerTokens、PHP 的 expose_php 以及 WordPress 的 generator 标签，并说明为什么更新比隐藏更重要。
指南添加 security.txt 文件
发布 security.txt 文件，方便研究人员向你报告问题：必填字段、示例、在 nginx、Apache 和 WordPress 上放在哪里，以及如何保持有效。
指南扫描器、渗透测试与响应头检查工具
公平比较免费的安全响应头检查工具、HackGrade 这类自动化网站安全扫描器以及人工渗透测试：各自能发现什么、会漏掉什么，以及何时该用哪一种。
免费检测
抢在别人之前了解你的评级。
免费开始。付费套餐每月 12 美元起，或 29 美元购买单次报告。 查看价格