我见过太多人把网站后台密码贴在显示器边上，网站用黄色便签纸写着“admin / 123456”。后台那便签纸被阳光晒得发脆，账号边缘卷起来，密码像一片秋天的网站落叶。

去年帮朋友收拾一个老电商网站，后台后台密码是账号“wang123”。wang是密码老板姓王，123是网站公司门牌号。三年没改过。后台网站被黑了两次，账号每次都是密码改个密码继续用。他说黑客也没拿他怎么样，网站就是后台首页被挂了几行小字，删掉就完事。账号

后台账号密码这东西，本质上是信任的边界。你给员工开个账号，就是给他一把钥匙。有人把钥匙挂在门口，有人配了三把分给不同的人，还有人把锁芯都换成了指纹的。

有个做跨境电商的朋友，团队二十来人，后台权限分了七级。运营只能看订单，客服能改物流单号，财务能提现，技术能碰服务器配置。他说这套权限体系花了两周才搭好，但值得。因为去年有个客服离职时直接删了三百多张售后工单，如果她权限够大，整个数据库都得遭殃。

密码本身的门道也不少。纯数字的密码，暴力破解用不了十分钟。加个大小写字母，时间翻到几个月。再加上符号，基本能挡住大多数脚本攻击。但人不是机器，记不住太复杂的东西。于是有人把密码写在备忘录里，手机丢了等于后台裸奔。

我见过最讲究的做法，是一个做内容平台的技术主管。他给每个后台用户发一个硬件密钥，U盘形状，插上电脑才能登录。密码是随机生成的，每三十天自动换一次，用户根本不知道自己的密码是什么。他跟我说：“让机器记密码，让人记住责任就行。”这话听着挺玄，但那个网站运营了四年，没出过一次账号安全问题。

自相矛盾的是，越大的网站后台越低调。你看那些银行系统，登录页就一个输入框，连“忘记密码”的链接都藏在角落里。反倒是小型创业公司的后台，花里胡哨的验证码、滑块、短信双验证全上了，结果员工烦得要死，直接把密码存进浏览器自动填充，等于没设防。

说到底，后台账号密码是一道门。门太薄，风一吹就倒；门太厚，自己人进出也费劲。平衡点在哪？看你的业务值多少钱，也看你的团队有多少人值得信任。

我自己的习惯是，每个后台账号密码都用密码管理器生成，二十位随机字符，不同网站绝不重复。登录时复制粘贴，麻烦是麻烦点，但至少不用担心一个密码泄露导致全线崩溃。去年有个老网站的数据库泄露，我用同一个邮箱注册的十几个服务里，有七个用了相同密码。那次之后，我把所有密码都换了。

密码这玩意儿，本质上是对抗人性的懒惰和侥幸。你觉得自己网站小，没人惦记，那就等着被扫量工具撞库；你觉得员工都靠得住，那就等着离职的人带走你的客户数据。后台账号密码不是技术问题，是管理问题。

最后说个细节。那些真正做得好的后台，登录页通常没有“记住我”这个勾选框。因为安全这回事，从来就不该图省事。