别等被黑了才后悔
你有没有过这样的经历？辛辛苦苦建了个网站，结果某天打开发现首页变成了一张奇怪的图片，或者用户数据莫名其妙被清空。这种情况不是偶然，而是网站安全出了问题。很多人觉得“我这小站没人盯”，可现实是，自动化攻击脚本全天候扫描互联网，只要你的网站有漏洞，分分钟就会中招。
HTTPS 不只是地址栏多把锁
现在打开网站，浏览器地址栏基本都要求显示小绿锁。这不是摆设，而是 HTTPS 在起作用。它通过 SSL/TLS 加密用户和服务器之间的通信，防止数据在传输中被截取。比如你登录后台，密码要是走 HTTP 明文传输，中间有人监听网络，账号密码就直接暴露了。
启用 HTTPS 其实不难，大多数主流主机商都支持免费申请 Let's Encrypt 证书。配置好以后，记得在网站设置里强制跳转 HTTPS，避免用户误访问不安全链接。
弱密码是最大的后门
很多人给后台管理员账号起名叫 admin，密码设成 123456 或者 password。这种组合就像把家门钥匙挂在门口的地毯下，等着别人来捡。攻击者用一个叫“字典攻击”的手段，自动尝试常见用户名密码组合，几秒钟就能撞开你的后台。
正确的做法是：用户名别用默认的 admin，密码至少包含大小写字母、数字和符号，长度不少于12位。更稳妥的方式是启用双因素认证（2FA），就算密码泄露，对方也进不来。
及时更新不是可选项
不管是 WordPress、Typecho 还是自己写的系统，只要是程序就有漏洞。开发者发现漏洞后会发布更新补丁。如果你一直拖着不升级，等于主动给黑客留了个入口。曾经有个案例，一个企业官网用了旧版 CMS，因为一个已知漏洞没修复，结果被植入挖矿程序，服务器资源跑满，访问速度慢得像蜗牛。
建议把程序、插件、主题都保持在最新稳定版本。如果担心更新出问题，先在测试环境验证，再上线。
文件上传功能要严防死守
很多网站允许用户上传头像、附件甚至图片评论。这个功能一旦没做限制，就可能被人上传一个 .php 后门文件。比如攻击者传个名为 avatar.php 的木马，然后通过访问这个文件控制整个服务器。
应对方法有几个：限定上传类型，只允许 jpg、png 等非可执行格式；把上传目录的脚本执行权限关闭；文件名重命名，避免覆盖关键文件。下面是个简单的 Nginx 配置示例，禁止 upload 目录运行 PHP：
location ~* /uploads/.*\\.php$ {
deny all;
}数据库连接信息不能裸奔
网站连接数据库的账号密码通常存在配置文件里。如果这个文件放在网站根目录，又没做访问限制，别人直接输入网址就能下载。比如访问 your-site.com/config.php，如果服务器没屏蔽，内容全露了。
正确做法是把配置文件放在 Web 根目录之外，或者通过服务器规则禁止外部访问。Apache 可以用 .htaccess：
<Files "config.php">
Order Allow,Deny
Deny from all
</Files>备份是最便宜的保险
再严密的防护也不能保证绝对安全。硬盘可能坏，操作可能误删，黑客也可能突破防线。定期备份网站文件和数据库，才是真正兜底的方案。建议每周自动备份一次，存到异地，比如云存储或本地硬盘。
曾经有个博主三个月没备份，被勒索病毒加密所有数据，恢复代价远超平时花在备份上的时间成本。别心存侥幸，备份不是为了“万一”，而是为了“一定有用”。