网站上线前的安全检查清单

一句话：八项清单：账号口令、端口暴露、后台路径、错误页、HTTPS^释HTTPSSSL 证书是用于在浏览器与服务器之间建立加密通道的数字证书，部署后网站通过 HTTPS 访问。它解决传输过程中的窃听与篡改问题，并验证网站身份。、备份、日志^释日志定时任务是按预设时间自动执行的程序，用于对账、报表、清理、同步等周期性工作；日志是程序运行时产生的记录，用于排查问题、审计与监控。、依赖版本。全部过一遍大约两小时，能挡住绝大多数自动化攻击。

清单

1. 改默认凭据数据库 root 密码、后台管理员密码、面板密码全部换成长随机串，删除示例账号。
2. 收端口公网只开 80、443；SSH 与面板端口限制来源 IP；3306、6379 不对公网开放。
3. 藏后台后台路径改成不易猜的地址，加登录失败锁定与二次验证。
4. 关调试生产环境关闭 debug，错误页只显示友好提示，不吐堆栈、框架版本、数据库信息。
5. 上 HTTPS证书有效、301 强制跳转、无混合内容。
6. 验备份数据库与站点文件各有备份，且真的恢复过一次。
7. 开日志访问日志与错误日志保留，按等保要求留存不少于六个月。
8. 查依赖框架与插件升级到安全版本，停用的插件删除而不是留着。

注意：最常见的三处漏洞都在「默认」上：默认管理员账号、默认数据库^释数据库数据库是结构化存储与管理数据的系统。MySQL 是关系型数据库，用表与行组织数据、支持事务；Redis 是键值型内存数据库，常用于缓存、计数与队列。端口、默认后台路径。攻击者不破解，只按默认值逐个试，这三项不改，等于把门开着。

上线后一周内要做

• 看访问日志里有没有大量扫描路径（/wp-login.php、/.env、/phpmyadmin）。
• 确认搜索平台能正常抓取，robots.txt 没有误封。
• 看服务器资源曲线，确认没有被当矿机（CPU 长期 100%）。
• 确认备份任务真的在跑，且文件大小正常。

权限最小化

数据库账号只给业务库权限，不给 FILE、SUPER；服务器不用 root 跑应用；云账号用子账号并开 MFA，不用主账号 AccessKey。权限给多了，一处被突破就是全盘失守。

资料来源

• 《网络安全法》第二十一条：等级保护^释等级保护网络安全等级保护（等保）是中国对网络与信息系统按重要程度分级保护的安全管理制度。系统需定级、备案、建设整改、测评，并按级别接受监督检查。与日志留存要求。
• OWASP Top 10：常见 Web 应用安全风险。
• 阿里云 / 腾讯云《安全基线检查》说明。