网站被黑、数据泄露、页面跳转到奇怪的广告页——这些都不是电影情节，而是真实发生的网络事故。很多站长一开始没当回事，直到客户信息被拖库、搜索引擎把网站标记为危险站点，才意识到问题严重性。其实，做好网站安全防护并不需要成为技术大神，掌握几个关键点就能挡住大部分攻击。
别让弱密码成突破口
很多人给后台管理员账号设“123456”或者“admin888”，这等于把家门钥匙贴在门口。黑客用自动化工具批量尝试常见密码，几分钟就能撞开一个站。建议每个系统都用独立的强密码，包含大小写字母、数字和符号，长度至少10位。更省心的方法是直接上密码管理器，比如Bitwarden或1Password，生成并保存复杂密码。
及时更新系统和插件
WordPress、Discuz、ThinkPHP这类常用程序，每隔一段时间就会发布安全补丁。有些站长怕更新后插件不兼容，干脆一直拖着。但旧版本里的漏洞早就被黑客研究透了，专门写脚本扫全网找目标。就像你家窗户有裂缝，别人知道从哪儿撬。定期检查后台更新提示，测试环境没问题就尽快升级，别等被挂马才后悔。
限制登录尝试次数
暴力破解太常见了。黑客用程序不断试密码，试多了总能中。可以在服务器加规则限制：同一个IP连续输错5次，锁定半小时。Nginx配置可以这样写：
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;
location = /wp-login.php {
limit_req zone=login burst=5 nodelay;
include fastcgi_params;
fastcgi_pass 127.0.0.1:9000;
}这段代码会限制每分钟最多5次请求到登录页，超过就拒绝，能有效防住批量撞库。
隐藏敏感路径和版本信息
默认的/wp-admin/、/admin.php这种路径等于告诉黑客“来爆破我”。可以把登录入口改成自定义路径，比如/my-secret-door/。同时关掉前端输出中的版本号，避免暴露用了哪个CMS和具体版本。PHP应用可以在头部加上：
<?php
// 隐藏PHP版本
header('X-Powered-By: PHP/7.4'); // 伪造版本
ini_set('expose_php', 'Off');
?>备份不能只靠嘴说
再严密的防护也怕零日漏洞。定期备份才是最后的救命稻草。光本地存一份不够，万一硬盘坏了呢？推荐用云存储自动同步，比如阿里云OSS或腾讯云COS。设置每天凌晨自动打包数据库和文件，保留最近7天的版本。真出事了，半小时内就能回滚到正常状态。
用HTTPS加密通信
现在连小博客都应该上HTTPS了。不仅防中间人窃听，还能让浏览器显示小绿锁，用户看着也放心。Let's Encrypt提供免费证书，配合宝塔面板或Nginx AutoSSL几分钟就能配好。以后表单提交、登录过程都不会被嗅探，数据传过去是乱码，只有服务器能解开。
监控异常行为
有个客户发现网站突然变慢，查日志才发现每天有几千次访问来自同一个IP段，全是扫描敏感文件的请求。后来上了简单的告警机制：只要出现/admin.php?cmd=这样的危险参数，立刻发邮件通知。早发现早处理，别等首页被替成博彩页面才行动。
安全不是一劳永逸的事。就像你不会只锁一次门就永远安心，网站也需要持续关注。花点时间做基础防护，比事后清理、道歉、赔偿划算得多。