安全不需要专家，需要习惯

密码与权限

后台密码不用生日与公司名，长度优先于复杂度；不同系统不同密码。人员离职当天收回账号权限——很多入侵走的不是技术漏洞，而是没被收回的老账号。

能开两步验证的后台（邮箱、域名、主机控制台）全部开启，域名邮箱被盗比网站被黑麻烦得多。

备份：最后的底牌

每周至少一次全站备份（程序+数据库+上传文件），备份保存在网站服务器之外的地方。被黑后最值钱的不是修复技术，而是「把昨天的备份拿回来」。

建站平台用户确认平台自动备份策略；自建站用户把备份写进日历，靠自觉不可靠。

更新、HTTPS 与最小暴露

使用内容管理系统的网站及时更新核心与插件——绝大多数入侵利用的是已知旧漏洞。全站启用 HTTPS 是底线，浏览器已把无锁标识标记为「不安全」。用不到的功能（测试页、旧后台、多余端口）全部下线，暴露面越小越安全。