宜宾酒商做网站安全防护，后台密码还停在初始值

有宜宾酒商问我：官网密码早改过了，站点还算不安全吗？我的答案是：先看后台那一层，admin 后面跟的是不是 123456。前台改了后台没改的站点，我在宜宾碰到过不止一个。

后台那层账号，多数人没动过

官网前台和内容后台是两套登录。建站交付时后台用初始账号，交付完顺手在前台改了一遍密码，这事就算过去了。真正该改的是后台那一个，很多老板以为自己已经改过。

这类账号有共同特征。名字是通用的，密码是短的，不改的话全世界的自动化工具都在试同一组。日志里的失败记录一天能堆到几万条，站点照常开门，老板一点察觉都没有。

更麻烦的是交接时没人提这件事。建站的交付单上写的是页面和功能，账号那栏是空的。宜宾做小程序和网站的公司不少，这一步漏掉的不在少数。

还有一种情况是多人共用一个后台账号。出了事查日志只能查到那个账号，查不到具体是谁。宜宾做酒类批发的站点普遍没分开这一层，冠英古街一带的小站也一样，岷江新区的办公区更不用提。

五粮液酒文化博物馆那类馆区的做法就相反，内容一直有人盯。有没有人盯，比有没有防护更影响长期结果。

改完密码，还有两处没关

把密码改复杂只是第一层。文件传输和后台共用一套凭据的情况并不少见，改完后台忘了改传输那边，等于留了第二个门。第二个门开着，密码强度再高也拦不住。

• 后台账号与前台分开，前台对外的入口不给后台
• 文件传输用独立凭据，跟后台不共用
• 数据库端口不对公网开，只走内网或者跳板

数据库端口直接对着公网开着，也是同一类问题。采购方要看资质名录的站点更要紧，联系方式被换掉，损失算在谁头上说不清。这些项我们交付前都会过一遍安全审计。

防护做到哪一步算做过

我们判断一个站防护够不够，看能不能写出一份清单。清单要写清账号在哪几处、谁有权限。写不出清单的站点，安全全凭感觉。

宜宾做外贸的公司不少，中国（宜宾）跨境电子商务综合试验区那批站点本来就接海外请求。这类站还得单独设访问白名单，照抄内网配置不行。

质量这一关我们从来不省。自动化测试、代码审查、安全审计三样做完，代码才交到客户手上。客户看不见这道门禁，但每一版都要过。

后台密码的常见疑问

已经改过密码的站点还要做防护吗

要。密码只是入口一处，文件上传、数据库端口、后台权限都可能留着口子，这几项上线前都会过一遍。

防护做一次就够了吗

不够。新同事入职把口令改简单了，模板升级又带进新文件，配置会一点点松回去。每月花十分钟看一遍登录失败记录和文件改动，成本很低。

医疗和金融类的项目你们接吗

接，但须资质齐全才接。这是筛选客户的门槛，不是不做。

先查一遍后台账号

客户满意度 98.2%。安全这块的预算我们不动。

宜宾信服无限接网站安全防护，头一步就是把后台账号和传输凭据挨个过一遍，整理成清单交给你。你现在就能自己查一件：登录后台看账号名，是不是还是出厂那一套。密码改不改由你定，我们只负责指出哪些门开着。