网站安全防护的基础措施，襄阳企业自查表

HTTPS加密

这是最基本的也是最重要的安全措施。HTTPS可以防止数据在传输过程中被窃听和篡改。现在免费的SSL证书到处都是(Let's Encrypt永久免费)，没有任何理由还用HTTP。

而且Google Chrome已经在地址栏将HTTP网站标记为"不安全"，这直接影响用户信任度和SEO排名。

{CITY}还有大约40%的企业官网没有启用HTTPS。其中一部分是不知道怎么做(其实很简单的)，另一部分是觉得没必要(这就危险了)。

强密码策略和多因素认证

所有后台登录必须强制使用强密码(12位以上、大小写字母+数字+特殊符号)。并且一定要开启多因素认证(MFA/2FA)——即使密码被盗，没有第二重验证也无法登录。

据统计，81%的数据泄露是由于弱口令或被盗凭证导致的。强密码+MFA可以几乎完全杜绝这类风险。

定期更新

操作系统、Web服务器(Nginx/Apache)、数据库(MySQL/PostgreSQL)、CMS(WordPress/Drupal)、PHP/Python运行环境——所有软件都要保持最新版本。

每次爆出的重大安全漏洞(如Log4j2)，都在提醒我们：不更新就是在裸奔。建议每周检查一次安全公告，每月做一次补丁更新。

最小权限原则

Web应用不应该以root/administrator身份运行。数据库连接账号不应该有DROP TABLE的权限。每个服务和应用只给它完成工作所需的最小权限。

这样即使某个应用被攻破了，攻击者能造成的破坏也被限制了。

防火墙和WAF

服务器级别：配置iptables/firewalld只开放必要的端口(通常只需80/443/22)。Web应用级别：部署WAF(Web应用防火墙)拦截SQL注入/XSS/文件上传等常见攻击。云厂商的基础WAF服务很多都有免费版，先用起来。

定期备份

这是最后一道防线。即使前面所有的防护都被突破了，只要有干净的备份就能快速恢复。备份策略：每日增量备份+每周全量备份、异地备份(不要和主站在同一台服务器)、定期做恢复测试。

{CITY}有家企业被勒索病毒加密了全部数据，因为有一个离线的冷备份，花了4小时就完全恢复了。另一家没有正规备份的企业，同样的情况花了半个月+支付了2万赎金(还不一定能解密)才部分恢复。