为什么要做网站安全基础检查
企业官网长期运行后，程序漏洞、弱密码、陈旧插件等隐患会逐渐累积。定期做一次安全基础检查，能提前发现常见风险，避免网站被篡改或植入恶意代码。这份清单适用于大多数使用CMS（如WordPress、织梦、帝国等）的企业官网，也适用于定制开发的网站。
检查清单具体步骤
1. 登录与账户安全
- 确认是否还使用默认管理员账号（如admin），建议改为自定义名称。
- 检查所有用户密码强度，弱密码需重置为字母+数字+符号组合，长度不低于8位。
- 查看最近登录记录，是否有异常IP或未知设备登录。
- 停用不用的账户，特别是离职人员的账号要及时删除或禁用。
- 确认后台登录地址是否被修改过，若未修改可考虑更换为自定义路径。
2. 核心程序与插件更新
- 登录网站后台或查看版本信息，确认CMS主程序是否为最新稳定版。
- 列出所有已安装的插件、主题或模块，逐一检查是否有新版本发布。不用的插件及时卸载。
- 关注官方安全公告，对已报漏洞的组件优先更新。
- 如果使用第三方插件，尽量选择持续维护、活跃更新的来源。
3. 文件与目录权限
- 检查网站根目录及上传目录的写入权限：通常不需要写入的目录设置为755，需要写入的目录（如upload、cache）设置为755或777，但需确认是否有安全策略限制。
- 确认配置文件（如config.php、wp-config.php）权限为644或更低，禁止被外部直接访问。
- 移除不需要的文件，比如安装脚本、示例文件、测试页面等。
4. 数据备份策略
- 检查备份是否覆盖网站文件和数据库，备份频率是否合理（一般建议每日自动备份）。
- 测试备份文件能否正常恢复，不能只看备份任务是否成功。
- 确保备份文件存放在非网站根目录的独立位置，避免被通过URL直接下载。
5. HTTPS与SSL证书
- 确认网站是否全站启用HTTPS，浏览器地址栏显示安全锁标志。
- 检查SSL证书有效期，到期前30天及时续费或更换。
- 确保HTTPS配置正确，无混合内容警告。
6. 日志与监控
- 开启网站访问日志和错误日志，至少保留30天。
- 定期查看日志中是否有扫描、暴力破解、SQL注入尝试等异常记录。
- 如有条件，可以部署简单的安全监控工具，如文件完整性检查、登录失败告警。
检查周期建议
基础检查建议每季度执行一次，但以下情况需立即执行：
· 程序发布重要安全更新后
· 网站出现异常（如页面被篡改、弹出异常广告）
· 服务器或托管环境变更后
· 新增第三方插件或功能模块后
常见问题（FAQ）
问：没有专门的安全团队，自己按清单检查够用吗？
答：基础检查清单能防范大部分常见风险。如果网站涉及用户信息或交易，建议定期委托专业安全服务做漏洞扫描。
问：检查时发现文件被篡改该怎么办？
答：立即离线网站，从备份恢复文件。之后再排查篡改途径，并加强登录和插件更新管理。
问：可以自动化部分检查项目吗？
答：可以。部分CMS有安全插件能自动检测文件权限、通知更新，但登录日志和备份恢复测试仍需人工确认。
总结与下一步
定期执行安全基础检查，是保证企业官网稳定运行的基本操作。对照清单逐项确认，能避免大部分低级别漏洞被利用。完成检查后建议将结果整理成文档，记录整改情况，方便下次复查时对比。如果发现自身技术能力不足以处理复杂问题，可考虑将安全维护工作委托给专业的网站运维服务商。
