设置新网站后应该做的 11 件事以确保其安全

恭喜你——你终于成功了！ 经过几周甚至几个月的时间构建您的网站后，它现在已经启动并运行了。 现在，重要的问题是：下一步是什么？ 嗯，有很多事情要做，但概括这一切的一个词就是安全。

网站是最常见的恶意软件攻击载体，经常受到恶意行为者的威胁。 因此，您需要确保采取安全措施来防止数据泄露、声誉受损和财务损失。

也就是说，您在启动网站后应采取以下 11 个步骤，以确保您的持续安全。

1. 保护您的服务器

Ilijia Miljkovac 由 Techopedia 发布的防病毒统计数据显示，服务器安全与网站安全之间存在正相关关系。 这意味着使用服务器防病毒和入侵检测程序等工具来保护您的服务器可以直接提高您的网站安全性。 查看这些服务器安全最佳实践：

• 确保您的服务器操作系统和其他服务器端软件已更新为最新的安全补丁。
• 关闭服务器上运行的任何不必要的服务以避免潜在的攻击。
• 对服务器访问和管理帐户使用强密码。 您还应该使用基于 SSH 密钥的身份验证来提高安全性。
• 聘请合格的安全专家对您的服务器环境进行定期安全审核。

2. 强制创建可靠的密码

保护您网站安全的一种方法是确保您的用户创建可靠的密码。 可靠的密码应至少包含八个字符，并包含大小写字母、数字、符号和特殊字符的组合。 您还应该阻止在不同平台上重复使用密码。

如果您觉得自己能胜任这项任务，请使用 Bitwarden、RoboForm、1Password 或 Dashlane 等密码管理工具来帮助人们创建和存储强密码。 这消除了人们尝试记住密码的需要。

另一种选择是对所有用户帐户强制进行多重身份验证。 这将要求人们在手机上收到代码或通知，作为额外的安全层，然后才能访问自己的帐户。

此外，计划执行定期更改密码的策略（例如每 3-6 个月一次），以最大程度地减少密码漏洞的可能性。 最后，您可以将站点配置为在一段时间不活动后自动注销用户，以防止用户登录另一台计算机时进行未经授权的访问。

3. 获取 SSL（安全套接字层）证书

SSL 证书可帮助您加密网站与其访问者之间的通信。 它通过保护登录凭据和信用卡信息等敏感详细信息来实现这一点。 SSL 证书的其他好处包括：

• 对传输中的数据进行加扰，使得任何试图拦截该数据的人都无法读取该数据。
• 它会在您网站的地址栏中显示挂锁图标和“https://”前缀，这有助于您赢得访问者的信任。
• 添加 SSL 证书被认为是 SEO 必需的，因为它可以保护您的网站并提高其排名和可见性。

4. 更新您的软件

在网站上使用过时的插件、主题和其他组件会使网站面临安全漏洞。 为了避免这种情况，请将您的内容管理系统 (CMS) 和其他相关软件配置为在安全补丁可用时自动安装它们。

对于没有自动更新选项的软件，请安排定期检查，以便您可以立即手动安装它们。 此外，请注意即将到期 (EOL) 阶段的软件组件，以便您可以迁移到具有持续安全更新的不易受攻击的组件。

5. 备份您的网站

即使安全的网站也可能容易受到硬件故障、自然灾害和网络攻击等不可预见的突发事件的影响。 通过定期备份您的网站，您可以将其恢复到上次备份的状态，以防出现意外问题。

您可以采取以下措施，让整个过程更加轻松、安全：

• 根据您网站的更新频率，定期（可能每天或每周）自动执行备份。
• 不要将备份存储在与网站相同的服务器位置，这样即使网站的服务器受到威胁，您也可以访问它们。
• 安排从备份进行测试恢复以验证它们是否运行良好。 此步骤还可以帮助您检测备份过程中的潜在问题。

6. 进行漏洞扫描

使用 Nessus、OpenVAD 和 Acunetix 等漏洞工具扫描您的网站是否存在潜在漏洞，以便解决它们。 您还应该通过模拟网站上的网络攻击并观察其如何处理攻击来进行渗透测试（渗透测试）。

如果您的网站就像处理敏感数据的电子商务平台或在线赌场，请考虑每年或每两年安排笔测试，以识别需要立即改进的领域。

7. 控制谁有权访问

这也可以称为用户管理。 大多数网站为客户、访问者和团队成员提供不同的帐户访问结构。 以下是保护用户访问安全的方法：

• 强制为每个帐户创建强密码。
• 创建具有不同级别访问权限的不同用户角色。 例如，编辑者可以编辑内容，而只有管理员可以删除用户。
• 检查用户帐户并删除不活跃的用户帐户，以最大程度地降低遭受攻击的风险。
• 监视用户活动是否存在可疑行为，例如从异常位置尝试登录失败。

8.保护您的网站表单

由于表单收集登录凭据、联系信息和付款详细信息等数据，因此它们通常成为网络犯罪分子的漏洞目标。 您可以通过以下方式保护您的网站表单：

• 将其与符合 PCI DSS（维护行业安全标准）的支付网关集成。
• 确保所有表单（包括登录表单和联系表单）使用 HTTPS 进行加密和更好的保护。
• 实施输入验证，以便用户只能以特定格式提交数据。 这可以防止黑客在您的表单中输入恶意代码或 SQL 查询。

9.使用Web应用程序防火墙（WAF）

Web 应用程序防火墙在您的网站和 Internet 之间提供一层安全保护。 它监视传入流量，以阻止恶意活动，例如跨站点脚本 (XSS) 尝试和 SQL 注入攻击，然后再到达您的网站。 考虑与您的安全专家讨论如何在您的网站上实施 WAF。

10.扫描恶意软件

恶意软件可能会感染您的网站并将访问者重定向到恶意网站。 它还可能破坏您的网站并使网络犯罪分子能够访问敏感数据。

通过定期扫描您的网站是否存在恶意代码或软件，对这种可能性保持警惕。 此外，请考虑订阅可靠的网站监控服务，该服务可以持续监控恶意软件和其他潜在的安全问题。

11. 确保安全意识和培训

对您的团队成员进行网络安全最佳实践、密码卫生、网络钓鱼诈骗和社会工程策略方面的教育。 对于那些管理网站的人来说尤其如此。 您还可以订阅安全新闻通讯或博客，以便他们及时了解最新的漏洞和威胁。

结论

将您的网站托管在一家具备上述功能且处于安全前沿的公司对您的业务至关重要。

尽管您尽了最大努力防止安全漏洞，但事件仍然可能发生。 因此，您应该制定一个响应计划，以便快速做出反应并最大程度地减少损失。 确保您的安全团队成员始终保持警惕，以便您可以在网站的安全问题失控之前检测并解决它们。

再次祝贺您的网站上线。 我们希望你一切顺利！