网站安全：管理员必知的关键要点
小型企业或组织的网站管理员，尤其那些没有专职人员和大型IT及网络团队的管理员，往往忽略了许多基本的网站安全原则。在当今时代，不仅存在定向黑客攻击，还有针对看似无穷无尽的随机目标的大规模脚本攻击，这非常危险。无论您的网站规模多么小、重要性多么低，它都可能成为攻击目标。无论您是网站开发者还是管理员，您可能并不熟悉一些基本的网站安全技巧。
如果您是负责网站管理的员工，并且正在阅读本文，一些安全注意事项可能听起来很困难，但请记住，您可以学习所有需要了解的知识。有很多资源（包括我们自己的SitePoint Premium）可以帮助您进行网站开发和管理。我希望本文最重要的收获是让您花几分钟时间认真思考一下您网站的安全问题。
良好的密码安全是网站安全最重要的考虑因素之一。作为管理员，您可能负责各种重要的密码：托管帐户管理、FTP访问、SSH访问、MySQL数据库、网站控制面板、WordPress管理面板等等。所有这些都需要不同的密码（切勿重复使用密码），并且密码长度要足够长。从这方面来看，密码短语比密码更好。复杂性也有帮助，但它应该是您可以记住的东西，或者您可以使用密码管理器来帮助您。
另一个需要考虑的是管理用户对您网站的访问权限。如果您的组织需要多于一两个用户来管理网站，您应该为管理面板等设置单独的帐户。这些用户也应该具有不同的访问级别。在内容管理系统方面，除非用户实际需要这些权限，否则应限制他们访问网站管理设置、更改其他人的内容或文件管理。
拥有用户帐户级别和单独的帐户将有助于防止意外或恶意损坏您的网站，并且使用个人帐户也有助于跟踪和记录谁进行了特定更改，以防发生任何恶意活动（或用户被黑客入侵）。如果用户的帐户是他们自己的帐户，它还有助于删除离开您公司的组织用户——您可以简单方便地停用他们的帐户，而无需重置共享密码。
良好的备份流程的重要性怎么强调都不为过。有效的（这意味着偶尔测试！）备份系统将防止在疏忽行为、代码错误、恶意行为者、灾难性硬件故障或自然灾害的情况下造成数据丢失。即使对于不经常更改的小型信息网站，缺乏备份也会使企业花费数千美元来重建网站。
我们的托管合作伙伴SiteGround为所有客户解决了这个问题，为他们提供了免费的每日备份。
随着谷歌对SSL证书的最新要求，不使用HTTPS且接受敏感用户信息的网站将被浏览器标记为不安全，也许很快所有不使用HTTPS的网站都将被如此标记。因此，几乎每个网站都需要HTTPS，尤其是新开发的网站。您将保护用户的信息，如果您的网站不接受敏感信息，您仍然会为您的查看者提供信心和安心，并且随着像Let’s Encrypt这样的候选方案出现，您可以免费做到这一点。如果您使用的是共享托管，许多托管商（如SiteGround）直接从您的控制面板免费提供Let’s Encrypt证书，这使得保护您的网站更加容易。
数据库现在对于许多网站平台至关重要，包括大多数内容管理系统和具有用户和后端的网站。但是，数据库也存在安全风险。如果数据正在存储，它现在容易受到恶意实体的访问。您需要考虑数据库的安全问题。谁可以访问您网站的控制面板，或者如果您拥有它们，则可以访问您服务器的SSH帐户，以及他们的凭据是否安全？实际数据库呢？您的数据库用户是否拥有其自身数据库的适当权限？他们是否有不应该拥有的全局权限？他们的密码安全吗？
此外，您可能需要查看数据库的访问方式。理想情况下，您可以将对phpMyAdmin等UI的访问权限锁定到特定IP地址，或者完全禁止远程数据库访问，而是通过SSH使用命令行，或使用MySQL Workbench或Sequel Pro等工具，从而减少漏洞数量。
您可能还想做的一件事是设置某种网站警报监控服务，以便在停机或使用警报（例如过多的RAM或CPU使用率）时获得近乎即时的通知。如果您使用的是WordPress或Drupal等CMS，您还可以使用安全插件来获取与安全相关的警报、黑客攻击尝试等。有很多服务（例如Uptime Robot或Pingdom）可以为您提供这些类型的警报，从免费的运行状况检查到付费服务包，以获取详细的监控和报告。
当然，这只是一些提醒和技巧。最重要的技巧是真正改变您的思维方式。考虑这些事情，以及更多的事情。考虑您组织内部和外部的漏洞。考虑您的用户拥有的访问级别。从开发的角度来看，考虑您是如何过滤和验证直接来自网站用户的信息的。您是如何为离开您公司的员工取消帐户的？是否有任何需要检查或更改的共享凭据？SSH访问权限是否需要撤销？版本控制系统呢？
您越考虑这些事情，在保护您的资产方面就越成功。希望本文至少激发了您对网站安全的思考，特别是如果您以前从未想过这个问题的话。如果您有更多建议初学者考虑的安全问题，或者有故事要讲，请随时在下面发表评论！
网站管理员在维护网站安全方面发挥着至关重要的作用。他们负责设置和管理用户帐户，确保网站软件是最新的，并定期备份网站数据。他们还会监控网站是否存在任何可疑活动，响应安全事件，并实施防火墙和加密等安全措施。此外，他们还可能负责教育其他用户了解安全的在线实践。
网站安全对管理员至关重要，因为它可以保护网站免受恶意软件、黑客攻击和数据泄露等潜在威胁。安全的网站不仅可以保护公司及其用户的敏感数据，还可以帮助维护企业的声誉。此外，它确保网站的顺利运行，并防止服务中断。
网站管理员可以通过定期更新网站软件、使用强大且唯一的密码以及实施SSL加密等安全措施来提高网站安全性。他们还可以使用安全插件、定期备份网站数据并监控网站是否存在任何可疑活动。此外，他们还应教育其他用户了解安全的在线实践。
网站管理员应该注意的一些常见安全威胁包括恶意软件、黑客攻击、网络钓鱼攻击和数据泄露。这些威胁可能导致敏感数据丢失、网站功能中断以及损害企业声誉。
在发生安全事件的情况下，网站管理员有责任识别问题的根源、控制事件并修复造成的任何损坏。他们可能还需要通知用户和其他利益相关者有关该事件的信息，并采取措施防止将来发生类似事件。
网站管理员可以通过向用户提供有关创建强密码、识别网络钓鱼尝试以及保持设备安全等主题的信息和资源来教育其他用户了解安全的在线实践。他们还可以实施促进安全的策略和程序，并定期提醒用户遵守这些实践。
有很多工具可以帮助网站管理员提高网站安全性。这些工具包括安全插件、SSL加密、防火墙和防病毒软件。此外，用于定期备份、用户管理和网站监控的工具也可能会有益。
定期备份对于网站安全至关重要，因为它可以确保在发生安全事件或其他灾难时可以恢复网站数据。这有助于最大限度地减少事件的影响，并确保网站运营的连续性。
网站管理员可以通过定期检查和安装更新来确保网站软件是最新的。这很重要，因为过时的软件可能存在可被黑客利用的漏洞。
网站安全中密码管理的一些最佳实践包括使用强大且唯一的密码、定期更改密码以及使用密码管理器。此外，双因素身份验证可以提供额外的安全层。
以上是如何将网站安全视为管理员的详细内容。更多信息请关注PHP中文网其他相关文章！
