“我们只是一家小公司，谁会来攻击我们的网站？”这句话我们经常听到。然而，大多数攻击并不针对某家特定公司，而是由自动化工具发起，目标是任何存在漏洞的网站。网站安全与企业规模无关，是每个人都要面对的问题。
本指南将介绍网站为什么会成为攻击目标、SSL 证书有什么作用、2026 年起缩短的证书有效期对您有何影响，以及更新、访问控制、备份和防火墙等基本措施、软件开发中需要考虑的 OWASP Top 10 风险，还有遭遇攻击时应该怎么做。
目的不是把您变成安全专家，而是让您能够向外包公司、主机服务商或软件团队提出正确的问题，并避免最常见的错误。
小网站为什么也会遭到攻击？
对攻击者来说，您网站所使用的资源与网站本身同样有价值。被攻陷的网站可能被用于：
- 垃圾邮件与网络钓鱼：通过您的服务器发送成千上万封虚假邮件，导致您的域名被列入黑名单。
- SEO 垃圾内容：在您的网站中植入隐藏页面和链接；Google 可能会将您的网站标记为“已遭入侵”。
- 数据窃取：联系表单、会员信息和订单记录被盗；这在 KVKK 框架下即构成数据泄露。
- 勒索与恶意软件：文件被加密，或向访客传播恶意软件。
此外还有看不见的成本：清理被攻陷的网站、重建信任、恢复搜索排名以及向客户解释，往往比采取预防措施的成本高得多。而且一旦您的邮件域名被列入黑名单，就连正常的报价和发票邮件也会开始无法送达客户。
这些攻击大多扫描的是早已公开且补丁早已发布的已知漏洞。也就是说，安全的大部分工作靠的不是复杂的技术，而是定期维护和自律。
攻击者不会挑选您；他们只是找到那扇没关的门。
什么是 SSL 证书，应该选择哪种类型？
SSL（如今的技术名称为 TLS）证书会对访客浏览器与您服务器之间的流量进行加密，并在地址栏中显示 https 和锁形图标。没有 SSL，通过表单提交的电话号码或密码可能被网络中的其他人读取。浏览器会将没有 SSL 的页面标记为“不安全”；Google 也将 HTTPS 视为页面体验评估的一部分。
| 类型 | 验证什么？ | 适合谁？ |
|---|---|---|
| DV（域名验证型） | 仅验证您拥有该域名的控制权 | 企业网站、博客；Let’s Encrypt 等免费方案即属此类 |
| OV（组织验证型） | 除域名外，还验证公司是否真实存在 | 希望在证书中展示企业身份的公司 |
| EV（扩展验证型） | 全面的公司验证 | 部分金融和大型机构；浏览器已不再显示单独的绿色地址栏 |
就加密强度而言，三种类型并无差别。区别在于证书背后的身份验证。对于大多数中小企业网站和电商网站来说，一张配置正确、自动续期的 DV 证书就已足够。
2026 年 SSL 证书有效期缩短：您该怎么做？
由浏览器厂商和证书颁发机构组成的 CA/Browser Forum，在 2025 年 4 月通过的 SC-081 决议中，决定分阶段缩短公共 SSL/TLS 证书的最长有效期：
| 日期 | 证书最长有效期 |
|---|---|
| 自 2026 年 3 月 15 日起 | 200 天 |
| 自 2027 年 3 月 15 日起 | 100 天 |
| 自 2029 年 3 月 15 日起 | 47 天 |
实际上，这意味着“每年买一次证书、手动安装”的时代已经结束。200 天的有效期已经生效；到 2029 年，证书每年需要续期七到八次。
- 改用自动续期：使用支持 ACME 协议的服务商（如 Let’s Encrypt），或主机面板中的自动 SSL 功能。
- 跟踪证书状态：部署一个能对即将到期的证书发出提醒的监控工具。
- 列出手动安装的证书：如果您使用付费的 OV/EV 证书，现在就向服务商咨询自动化方案。
- 启用 HSTS：HSTS 头会告知浏览器始终通过 HTTPS 连接您的网站，从而阻止降级为未加密连接的攻击。
网站安全的 5 项基本措施
技术上看似最简单的措施，往往能拦住最多的攻击：
- 1. 软件保持最新 —内容管理系统、主题、插件、服务器软件和所用的库都应定期更新。仅停用不用的插件还不够，要彻底删除。
- 2. 严格的访问控制 —为管理后台、主机面板、FTP 和数据库使用独一无二的长密码，使用密码管理器，并在一切可能的地方启用双重验证（2FA）。
- 3. 最小权限 —只授予每个用户其所需的权限。离职员工和项目已结束的外包公司的账号应立即关闭。
- 4. 定期备份 —遵循 3-2-1 原则：至少三份副本，两种不同介质，一份存放在独立于服务器的地方。每年测试几次备份能否成功恢复。
- 5. 监控 —针对网站可用性、文件变更和登录失败尝试设置提醒。定期查看 Google Search Console 的“安全问题”报告。
防火墙（WAF）、DDoS 防护与安全响应头
在基本措施之上增加的第二道防线，是在恶意流量到达网站之前将其拦截。
- Web 应用防火墙（WAF）：过滤 SQL 注入、暴力破解登录尝试和已知攻击模式。大多数 CDN 服务在基础套餐中就提供这一功能。
- DDoS 防护：在 CDN 或主机层面抵御以海量请求压垮网站的企图，在促销活动期间尤为重要。
- 登录限制与验证码：在管理后台和表单中限制尝试次数，会让机器人难以得逞。
- 安全响应头：Content-Security-Policy、X-Frame-Options（或 CSP frame-ancestors）、X-Content-Type-Options 和 Referrer-Policy 等 HTTP 响应头会告知浏览器应信任哪些资源，从源头阻止多种攻击。
CDN 和缓存同时还能提升网站速度；在这里，一笔投资可以同时改善安全和性能。关于速度方面， 网站速度与 Core Web Vitals 我们在相关文章中做了介绍。
定制软件的安全：OWASP Top 10:2025
如果您的网站包含会员、支付、预订或客户后台等定制开发的部分，安全在很大程度上取决于代码的编写方式。这一领域全球公认的参考清单，是 OWASP 列出 Web 应用最关键风险的 OWASP Top 10。在自 2021 年以来首次更新的 2025 版中，突出的条目包括：
- 访问控制失效：例如用户在地址栏中改个编号就能看到别人的发票。它仍然位居榜首。
- 安全配置错误：未关闭的管理界面、默认密码、详细的错误信息。在 2025 年榜单中升至第二位。
- 软件供应链失效：这一新增类别涵盖项目中使用的第三方软件包、插件和构建工具的安全。
- 加密失效与注入：以明文存储密码，或未经校验就把用户输入拼接到数据库查询中。
- 异常情况处理不当：同样是新增类别，指系统在出错时陷入不安全的状态。
与软件团队合作时，请把这份清单当作检查工具：询问针对每种风险采取了哪些措施。对于关键项目，在上线前进行独立的渗透测试也是一种良好实践。正因如此，在我们处理支付和个人数据的自有产品 KATSİS 和 RestaurantBill 中，基于角色的权限管理、加密连接和日志记录从设计第一天起就已到位。想了解这些产品的更多信息， 我们的项目 请查看相关页面。
网站被黑后应该怎么办？
即使采取了最好的措施，您仍可能遭遇安全事件。慌乱中的处置往往会抹掉痕迹，让问题扩大。请按冷静的顺序处理：
- 第 1 步 —将网站切换到维护模式或暂时关闭访问，避免访客受害。
- 第 2 步 —修改所有密码（后台、主机、FTP、数据库、邮箱）并终止所有会话。
- 第 3 步 —检查服务器日志和被修改的文件，找出攻击来源；不修补漏洞就从备份恢复，会导致攻击再次发生。
- 第 4 步 —从干净的备份恢复，更新所有软件，并通过 Search Console 申请审核。
- 第 5 步 —如果个人数据受到影响，请从法律角度评估情况。KVKK 规定，数据控制者在获知泄露后应尽快、且根据委员会决定最迟在 72 小时内通报个人数据保护委员会；并在合理期限内告知相关当事人。
土耳其国家网络安全事件响应中心（USOM）发布有关网络威胁的警报，并受理事件报告。关注与您机构相关的公告是一个好习惯。
- 所有页面是否都通过 HTTPS 打开，SSL 是否自动续期？
- 内容管理系统、主题和插件是否为最新版本？
- 管理后台是否已启用双重验证？
- 旧用户和外包公司的账号是否已关闭？
- 备份是否存放在服务器之外，恢复是否经过测试？
- WAF/CDN 和安全响应头是否已启用？
- 是否书面规定了发生泄露时由谁做什么？
常见问题
SSL 证书能让网站完全安全吗？
不能。SSL 对访客与服务器之间的数据流量进行加密；但它无法修补软件漏洞、弱密码或未更新的插件。要保障安全，除了 SSL，还需要定期更新、严格的访问控制和备份。
免费的 SSL 证书够用吗？
对于大多数企业网站和电商网站来说，够用。Let’s Encrypt 等免费 DV 证书提供与付费证书相同的加密强度。付费的 OV 和 EV 证书提供额外的机构验证，但并不会让连接更安全。
SSL 证书的有效期是多久？
根据 CA/Browser Forum 的决议，自 2026 年 3 月 15 日起，新证书的最长有效期为 200 天。该期限将于 2027 年 3 月 15 日缩短为 100 天，于 2029 年 3 月 15 日缩短为 47 天。因此，自动续期已成为必需。
如何知道我的网站被黑了？
最常见的迹象包括：网站上出现您不认识的页面或链接、Google 搜索结果中出现外语标题、访客被重定向到其他网站、Search Console 中出现安全警告，以及主机服务商发来的垃圾邮件通知。
为了网站安全，应该多久更新一次？
安全更新一经发布就应尽快安装。一般原则是：至少每月检查一次网站，关键安全补丁则应立即安装。更新前别忘了先备份。
结语
网站安全不是一次性的部署，而是持续的习惯：自动续期的 SSL、最新的软件、双重验证、存放在服务器之外的备份以及防火墙。这些基础防护层能在门口就挡住绝大多数自动化攻击。
CYF Tech 在开发 网站和定制 Web 软件时 从一开始就将安全纳入考量，并在上线后提供维护和更新支持。如果您希望与我们一起检查现有网站的安全状况， 给我们留言.