网站上线前，很多企业把注意力放在页面效果和内容是否完整，安全项容易排在后面。实际上，上线后的网站会持续暴露在公网环境中，基础安全配置没做好，后续维护会频繁被动。这里整理一份适合企业网站的安全基础检查清单，按准备、执行、复核三个环节来操作。
一、准备阶段：先梳理资产和权限
开始检查前，先明确网站有哪些入口和账号。通常包括网站后台、服务器管理面板、数据库管理工具、FTP或SSH登录等。把每个入口的地址、登录方式、当前权限列成一张表，方便逐项检查。
账号权限方面，要区分管理员、编辑、上传者等角色，不同岗位只分配够用的权限。例如，普通编辑不需要服务器管理权限，客服人员不需要数据库操作权限。如果之前有离职员工或外包人员接触过系统，上线前要清除或重置他们的账号。
二、执行阶段：逐项检查关键安全项
1. 后台地址和登录保护
后台登录地址不要使用默认路径（如 /admin），改成不易猜测的路径。同时检查是否开启登录验证码或二次验证，防止暴力破解。如果网站程序支持，建议限制登录失败次数，超过一定次数后暂时锁定IP。
2. 文件上传和目录权限
检查上传目录是否禁止执行脚本。例如，上传图片的目录应设置为只读，不能运行PHP或ASP等程序。如果网站有文件管理功能，确认普通用户无法访问系统配置文件。
3. 数据库和备份策略
数据库账号不要使用root或admin，密码要足够复杂。同时确认数据库备份方案：是否配置了自动备份？备份文件存储在网站目录之外？建议至少保留最近7天的备份，并定期测试恢复流程。
4. 常见漏洞排查
检查网站是否使用已知有漏洞的插件或组件，尤其是开源CMS（如WordPress、织梦等）。及时更新到最新版本，删除不用的插件和主题。另外，检查是否存在SQL注入和XSS漏洞，可以通过输入特殊字符测试表单提交，但注意不要影响正式数据。
5. HTTPS和敏感信息保护
确保网站启用HTTPS，特别是登录页面和支付页面。检查后台登录是否强制使用HTTPS，避免明文传输密码。同时，查看网站源码中是否暴露了数据库连接信息、API密钥等敏感内容。
三、复核阶段：确认检查和备份有效
检查完成后，要实际测试一遍。例如，用非管理员账号登录后台，确认只能看到权限范围内的功能；尝试访问后台地址，确认被拦截或需要验证。另外，手动执行一次备份恢复演练，确保备份文件可用，恢复步骤清晰。
安全不是一次性工作，上线后也要定期复查。建议每季度检查一次账号权限和备份状态，每次更新网站程序后，重新检查文件权限和漏洞情况。如果网站涉及用户数据或交易，安全投入要更高，必要时可以请专业安全团队做渗透测试。
以上清单适用于大多数企业展示型网站。如果网站涉及在线交易或收集用户隐私信息，还需要考虑等保合规等更严格的要求，这部分需要根据实际情况咨询专业服务商。
