上个月，中原区一家做教育培训的公司联系我们，说网站被搜索引擎提示"危险网站"，流量直接清零。我们上去一看：网站被挂了赌博广告的跳转代码，页面表面上正常，但用户在手机浏览器打开，会被偷偷跳转到博彩网站。
老板很懵："我们网站又没什么值钱数据，黑客图啥？"这就是最大的误区——黑客不图你的数据，图的是你的网站能当"跳板"和"肉鸡"。
今天给郑州企业一份网站安全自查清单，五分钟就能查出大部分隐患。
一、先做个快速体检：你的网站可能已经被黑了
先自查这三个信号，中一个就要警惕：
第一，搜索引擎提示。在百度搜索"site:你的域名"，如果提示"该网站可能存在恶意内容"，或者搜索结果被劫持到别的标题，基本可以确定被黑了。
第二，手机浏览器打开异常。电脑上看着正常，但手机打开被跳转到广告页、赌博页、色情页，这是最常见的挂马手法。因为黑客专门针对手机端投放恶意跳转。
第三，网站突然变慢。服务器资源被占用（被用来发垃圾邮件、挖矿），网站响应速度明显变慢，也是被黑的典型信号。
这三个信号，任何一个中了，别犹豫，马上处理。
二、五分钟自查清单：排查隐患
如果上面的信号都没中，恭喜你，但别放松。用这份清单自查，五分钟查出潜在隐患：
1. 后台密码强度。你的网站后台密码是不是还是默认密码、生日、手机号、纯数字？是的话，约等于家门没锁。改成12位以上、大小写字母+数字+符号组合。
2. 后台登录地址。后台地址是不是默认的admin？是的话容易被暴力破解扫到。改成不常见的路径，能挡掉90%的扫描攻击。
3. 程序版本。你用的建站程序（WordPress、帝国CMS、织梦等）是不是最新版？旧版本有公开漏洞，黑客专门扫描旧版本网站下手。
4. 数据备份。你上次备份网站数据是什么时候？没有备份的话，数据丢失时神仙难救。备份要定期做，而且要存到和服务器不同的地方。
5. 账号清理。网站后台有多少个账号？有没有离职员工没删的账号？每个账号都是入口，不需要的账号全删掉。
6. 文件权限。网站目录权限是不是过宽？正常的目录权限应该限制写入，防止黑客上传木马文件。
7. SSL证书。网站是不是HTTPS？没有HTTPS的话，客户数据在传输中是明文，容易被截取。而且搜索引擎对非HTTPS网站有降权。
8. 异常文件。服务器上有没有莫名其妙多出来的文件，比如带.php后缀的图片、奇怪的压缩包？有的话很可能已经被入侵。
这八条，你逐条过一遍，能发现不少问题。
三、网站被黑后怎么处理
万一真被黑了，别慌，按这个顺序处理：
第一步，立刻断开风险：改后台密码、删可疑账号、封掉可疑IP，防止黑客继续操作。
第二步，找专业人士排查：确定入侵入口、清除木马代码、修复漏洞。这一步别自己乱来，专业的人一小时搞定，自己折腾可能把网站搞瘫。
第三步，恢复数据：用最近的干净备份恢复网站。没有备份的话，可能需要重新建站——这也是为什么备份那么重要。
第四步，善后：给搜索引擎提交申诉（百度站长平台有申诉入口），申请解除"危险网站"标记，恢复流量。
整个处理周期一般三天左右，前提是有备份、找对人。
四、日常安全防护：花小钱办大事
安全这事，预防的成本永远低于补救。日常做好四件事：
一是定期备份。每周一次全量备份，重要数据可以每天备份。备份存储到本地或云盘，和服务器隔离。
二是定期更新。程序、插件、主题，有新版本就更新，别拖。
三是弱密码整治。后台密码、FTP密码、数据库密码，全部换成强密码，定期更换。
四是安全监测。有条件的话，用安全监测服务，网站被挂马能在几分钟内收到告警，而不是等搜索引擎降权了才发现。
五、卫民网络的做法
我们给客户做网站时，会顺手把安全加固做了：改默认后台地址、设强密码、限制文件权限、配置HTTPS、定期备份。托管客户还有安全监测服务，网站有异常会主动通知。
很多客户说："你们想得真周到。"其实不是周到，是见过太多客户因为网站被黑损失惨重——流量清零、客户流失、甚至被罚款。安全这事，真不是小事。
郑州企业做网站，别光比价格，多问问安全怎么做、备份怎么做。网站是门面，门面不能让人撬了锁。
六、中小网站被黑，为什么经常没人发现
回到开头那个教育公司的案例。他们网站被黑后，我们问了一个问题："你们多久没看过网站了？"答案是："上线后就没怎么管过。"这其实是大多数郑州企业的常态。
网站被挂马后，黑客不会让你知道。页面表面上一切正常，只有手机端会跳转，或者半夜流量大的时候才跳转。等你发现的时候，要么是搜索引擎降权了，要么是客户投诉了，损失已经造成。
这也是为什么我们一直建议：网站要有安全监测。不用多高级，定期扫描、异常告警就够了。我们给托管客户提供安全监测服务，网站有异常会在几小时内收到通知，而不是等到搜索引擎判了刑才发现。
七、花小钱防大灾：安全投入的账要算清
最后给郑州企业算笔账：网站被黑的损失有多大？流量清零，恢复周期至少一周；客户信任受损，品牌形象打折；严重的话，服务器被用来发垃圾邮件，域名被列入黑名单，解封很麻烦。这些损失，动辄上万，还不算时间成本。
而预防的投入呢？定期备份、安全加固、监测服务，一年几千块就够。花小钱防大灾，这笔账谁都会算。
我们做郑州网站建设和网站托管时，把安全当成默认配置而不是增值服务：上线就做安全加固，托管就含安全监测。客户不需要懂技术，但网站必须是安全的。这是我们对"专业"二字的理解——把风险挡在客户看不到的地方。