怎么设置安全网站

去年有个做外贸的设置朋友，网站被注入了恶意脚本，安全Google直接给它标了“不安全”。网站流量三天掉了七成，设置客户邮件全在问是安全不是跑路了。他找我帮忙看，网站我打开源码一瞧，设置表单提交的安全URL居然还是http开头。这事不复杂，网站但拖了一周才弄好，设置损失已经造成了。安全

安全网站不是网站装个SSL证书就完事。证书只解决传输加密，设置相当于给信封封了口，安全但信封里装的网站是不是炸弹，它管不了。

HTTPS是底线，不是全部

Let's Encrypt的证书免费，自动续期也简单。宝塔面板里点两下就能部署，命令行用certbot也就一条指令的事。但装完之后得检查一件事：页面里有没有混合内容。比如图片、JS文件还走http，浏览器地址栏那个锁头图标会带个黄色三角，用户看着就不放心。Chrome开发者工具的Console面板会直接报Mixed Content警告，挨个改掉就行。

还有个细节，HSTS响应头建议加上。它告诉浏览器“以后这个域名只能用https访问”，能防住SSL剥离攻击。Nginx里加一行add_header Strict-Transport-Security "max-age=31536000" always;就生效。

后台入口别裸奔

WordPress默认后台是/wp-admin，全世界都知道。我一般改成随机字符串，或者加一层HTTP Basic认证。有个客户嫌麻烦不肯改，结果每天被暴力破解尝试上千次，日志文件撑爆了服务器磁盘。

登录页面加验证码、限制尝试次数，这些插件都有现成的。但更管用的是改端口——SSH的22端口每天被扫描无数次，换成高位端口能挡掉九成自动化攻击。数据库端口3306同理，别对公网开放。

文件权限和更新，老生常谈但总有人栽

Linux下目录权限755、文件644是标准配置。wp-config.php这种敏感文件设成600，只有属主能读。我见过有人整个网站目录设成777，问就是“不然传不上图片”。这跟把家门钥匙插在锁上没区别。

CMS核心、插件、主题，有更新就及时打。去年那个流行的Elementor Pro漏洞，补丁发布后24小时内就有大规模扫描。拖一周不更新，基本等于敞开大门。但更新前记得备份，有次自动更新把客户自定义的functions.php覆盖了，网站白屏，折腾半天才恢复。

WAF和日志，别等出事才看

Cloudflare免费版自带基础WAF规则，能拦SQL注入和XSS的常见payload。小网站够用了。服务器层面，Nginx的ngx_http_limit_req_module可以限制请求频率，防CC攻击。

日志要定期翻。/var/log/nginx/access.log里那些频繁出现的404、POST请求，往往就是扫描器在探路。我习惯用goaccess实时看，终端里跑一下就能看到异常IP。发现某个IP在短时间内请求大量不存在的路径，直接iptables封掉。

安全是个持续动作，没有一劳永逸。证书会过期，漏洞会爆出，攻击手法在变。花半小时把基础配置做扎实，比出事之后花三天救火划算得多。那个外贸朋友后来把整套流程走了一遍，到现在一年多了，再没出过问题。