网站安全维护台账

去年冬天，网站维护一个做外贸的安全朋友半夜给我打电话，说网站被挂马了，台账首页跳转到博彩页面。网站维护我问他上次改后台密码是安全什么时候，他沉默了半天，台账说“好像还是网站维护去年建站的时候”。这种事我见得太多了。安全网站安全维护台账不是台账给领导看的表格，它是网站维护你半夜能安心睡觉的底牌。

台账的安全第一页应该记什么？服务器登录日志。不是台账那种一个月导出一次、塞进文件夹就再也不看的网站维护CSV。你得每周扫一眼，安全看看有没有陌生IP在凌晨三点尝试SSH。台账我自己的习惯是，把连续三次登录失败的IP直接丢进防火墙黑名单——这招简单，但能挡掉八成以上的暴力破解。有个做民宿预订的客户，就是因为没做这一步，被人用弱口令撞进后台，改了房价，一晚上损失了七千多块。

密码管理得单独列一栏。别用“公司名+123”这种组合，也别在多个平台复用同一个密码。我见过最离谱的案例，一个技术负责人的邮箱密码和他家智能门锁的密码一模一样，邮箱被撞库后，连家里的监控画面都被人看了去。台账里要写清楚：谁在什么时候改了什么密码，改完有没有通知相关的人。听起来琐碎，但真出事的时候，你能顺着这条线找到是哪个环节漏了。

插件和主题的更新记录也得记。WordPress站点尤其如此。有个做摄影作品展示的客户，用的还是三年前的图库插件，漏洞公告都出了半年了，他愣是没管。结果被人上传了WebShell，整站文件被加密，对方开口要两个比特币。更新这件事，别攒着，看到推送就点。台账上记一笔“2024-03-12 更新Contact Form 7至5.9”，花不了十秒钟，但能让你在出问题时快速排除变量。

备份这块，我得说点难听的。很多人以为备份就是点一下“导出”然后扔进云盘。错了。你得定期恢复一次试试。我自己的做法是，每月1号从备份文件里随机抽一个数据库表，导入到测试环境跑一遍查询。去年帮一个客户做应急响应，他说“我每天都备份”，结果一恢复，发现备份脚本半年前就静默失败了，导出来的全是空文件。台账上要写清楚：备份时间、备份位置、恢复验证时间、验证人。四个字段，缺一不可。

还有一项容易被忽略的：第三方服务的授权列表。你的网站可能接了支付接口、短信验证、CDN、统计代码。每一个授权都是一扇门。有个做在线课程的客户，离职了一个运营，但对方的企业微信授权没解除，三个月后被人从那个入口登进后台，把课程价格全改成了0.01元。台账里要列清楚：服务名称、授权账号、授权时间、到期时间、负责人。每季度过一遍，该关的关，该换的换。

最后说个习惯问题。台账别用Excel。用在线文档，带修改记录的那种。每次改动自动留痕，谁在什么时候动了哪一行，清清楚楚。我见过太多人用本地表格，改来改去最后自己都忘了哪版是最新的。安全这件事，最怕的就是“我以为我记了”。

台账不是护身符。它更像你车里的行车记录仪——平时感觉不到存在，但真被撞了，你能拿出来说清楚是谁的责任。网站安全没有一劳永逸，只有日复一日的琐碎记录和及时响应。今天花十分钟填一行字，明天可能就省下十小时的抢救时间。