指南 · 约 3 分钟阅读
小企业网站安全清单
简短回答：全站使用 HTTPS，保持软件更新，保留经过测试的异地备份，为网站、主机、域名和邮箱账户开启两步验证，添加安全响应头，发布 SPF 和 DMARC，防止域名过期和被转移，并定期复查网站。下面每一项都链接到分步修复方法。
账户与访问
- 为网站后台、主机控制面板、域名注册商、邮箱和支付服务商开启两步验证。
- 使用密码管理器，每个账户使用唯一密码。
- 删除旧员工、代理机构和测试账户。只给每个人所需的角色。
软件
- CMS、插件和主题保持更新，在安全的情况下开启自动更新。找出过时的插件。
- 删除不用的插件、主题以及网站的旧副本（测试环境目录、放在网站根目录中的备份）。
- 如果使用 WordPress，请按照 WordPress 加固清单操作。
备份
- 每天自动备份文件和数据库，并存放在服务器之外。
- 至少保留一份网站本身无法删除的副本（这样勒索软件或黑客无法将其删除）。
- 每隔几个月测试一次恢复。没有恢复过的备份只是希望，而不是计划。
HTTPS 与响应头
- 有效证书并自动续期，仅允许 TLS 1.2 及以上，HTTP 重定向到 HTTPS。SSL 6 项检查。
- HSTS、X-Content-Type-Options、防框架嵌入和 Referrer-Policy。可复制的响应头配置。
- 至少在结账页面设置 Content-Security-Policy。CSP 指南。
- Cookie 设置 Secure、HttpOnly 和 SameSite。Cookie 安全属性指南。
- 不外露服务器、PHP 或 CMS 的版本号。如何隐藏版本号。
邮件与域名
- 为域名配置 SPF、DKIM 和 DMARC。可复制的记录。
- 域名开启自动续费，在注册商处开启域名锁定和两步验证。
- 添加 security.txt 文件，方便别人向你报告问题。
支付
- 优先使用支付服务商托管的支付页面或字段，让卡号永远不经过你的服务器。
- 关注结账页面上的脚本。阻止结账页盗卡。
监控与应对
- 每次变更后以及至少每月复查一次网站。
- 写下网站被黑时该联系谁：主机商、开发人员、支付服务商。
- 了解被黑的迹象。如何判断 WordPress 是否被黑。
常见问题
这份清单中最重要的一项是什么？
保持软件更新，其次是两步验证和经过测试的备份。大多数小网站被黑，利用的都是已知且已修复的漏洞，或重复使用的密码。
我需要安全插件吗？
它可以帮助保护登录和监控文件，但无法替代更新、备份和两步验证。
完成这份清单需要多长时间？
大多数小网站可以在一个下午完成账户、更新和响应头这几项。邮件记录和备份可能需要主机商或邮件服务商协助。