去年有个做外贸的网站朋友找我，说他的何防独立站突然被跳转到一个博彩页面，客户点进来全懵了。劫持查了半天，网站发现是何防DNS解析被污染了——域名还是他的，但A记录被人改到了境外一台服务器上。劫持这种事每天都在发生，网站防劫持不是何防装个SSL证书就完事。

先说DNS层面。劫持很多人买完域名就扔在那不管，网站注册商默认的何防DNS服务器安全性参差不齐。攻击者拿到你注册商账号密码，劫持或者利用某些小注册商的网站API漏洞，改一条解析记录只要几秒钟。何防我的劫持做法是把DNS托管到Cloudflare或者DNSPod这类有二次验证的平台，注册商那边开启转移锁。另外，DNSSEC能防缓存投毒，虽然配置麻烦点，但值得做。有个细节：TTL值别设太长，600秒左右比较合适，万一被改了也能快速恢复。

HTTP劫持更常见。你访问一个网站，中间的路由器或者运营商往返回的HTML里插广告代码，这种事在国内某些地区至今存在。HTTPS能解决大部分问题——证书验证机制让中间人没法篡改内容。但前提是网站全站强制HTTPS，并且开启HSTS。HSTS的作用是告诉浏览器“这个域名只走HTTPS”，下次即使用户输入http://也会自动跳转，不给劫持留窗口。我见过一些站只给登录页上了HTTPS，首页还是http，那劫持者照样能在首页注入东西。

还有一种叫“域名劫持”的情况，其实属于账号安全问题。你的域名注册邮箱如果被撞库了，攻击者直接走“找回密码”流程把域名转移走。这个比DNS劫持更致命——域名都不是你的了。对策很土但有效：注册邮箱单独用一个，别和别的服务共用密码，开启两步验证。Namecheap、GoDaddy这些平台都支持TOTP，花两分钟设置一下的事。

服务器层面的防护也不能忽略。有些人图省事，网站后台密码设成admin123，或者用盗版CMS模板，里面藏着后门。攻击者拿到服务器权限后，改nginx配置做301跳转，或者往数据库里塞恶意脚本。定期更新CMS和插件、关掉不必要的端口、用SSH密钥登录替代密码，这些老生常谈的东西真能挡住大部分低级攻击。

CDN也有讲究。用CDN之后，源站IP被隐藏了，攻击者没法直接打你源站。但有些CDN配置不当，回源的时候走HTTP，那CDN到源站这一段又成了劫持点。确保CDN回源也用HTTPS，并且设置好回源鉴权。Cloudflare有个“Authenticated Origin Pulls”功能，用客户端证书验证回源请求，防止别人伪造CDN节点来抓你的源站数据。

最后说个容易被忽略的：网站被劫持后，搜索引擎会标记“此网站可能被黑客篡改”。恢复之后要去Google Search Console和百度站长平台提交申诉，否则流量掉得厉害。我那朋友折腾了一周才把排名恢复回来。防劫持这事，平时觉得麻烦，出事的时候就知道每层防护都是在给自己留后路。