墨尔本网站安全：锁不上门，谈何守财

店门口装一把锁，是防君子的；然而世上偏有不做君子的人。网站也是一样。许多墨尔本的小生意主，花几千块做了一个体面的站，此后便当它是砖砌的，风吹不倒，雨打不烂——直到某一天打开自己的主页，看见满屏不认识的文字，才想起当初没有配钥匙这回事。这便是墨尔本网站安全里最常见的一幕：不是敌人太强，是门根本没关。

门是谁踹的：多半没有仇人

被入侵的小生意主，第一反应总是问：谁跟我有仇？答案通常令人扫兴——没有谁。踹门的不是人，是机器。它日夜在网上挨家挨户地拧门把手，遇上锁着的便走，遇上没锁的便进。它不认得你是墨尔本东区的牙医还是西区的水管工，它只认得一个过期的插件版本号。

所以「我这么小的生意，谁会来黑我」这句话，逻辑上是错的。正因为小，才没人守夜；正因为没人守夜，才最省事。贼不挑肥拣瘦，贼只挑门开着的。

被攻破的墨尔本网站，绝大多数栽在三件事上：插件和主题很久没更新、后台密码是店名加年份、以及全公司共用一个管理员账号。这三样凑齐，等于把钥匙插在锁孔上，还在门口贴了张纸条写明「里面有货」。

丢的不只是一个网站

谈墨尔本网站安全，账不能只算在网站上。被挂马的损失，往往不在网站本身。真正疼的是后面这一串：

• Google 在搜索结果里给你标上红字警告，点击率当天归零；
• 辛苦攒了两三年的排名，在清理和重新审核的这几周里悄悄让给同行；
• 客户在你的联系表单里填过的姓名、电话、地址，如今在别人手里；
• 若站上跑着支付，你要面对的就不止是技术问题，还有隐私法下的通报义务；
• 找人应急清理、重装、送审，账单通常是当初「省下的」维护费的好几倍。

更难算的一笔，是客户下次搜到你的名字时，心里那一顿。生意做的是回头客，回头客靠的是不出事。

几件不费钱、却顶用的事

墨尔本网站安全这件事，最有效的部分恰好最枯燥，也最便宜。真正把风险砍掉一大半的，不是买什么高级防火墙，而是下面这些谁都做得到的动作：

1. 核心程序、插件、主题保持更新；用不上的一律卸载，不是停用是卸载——停用的插件照样能被利用。
2. 后台开双重验证，密码用密码管理器随机生成。这一条几乎单枪匹马挡住所有的暴力破解。
3. 限制登录失败次数，把后台登录地址从默认路径挪开。挡不住真高手，但挡得住那台不知疲倦的机器。
4. 备份要自动、要异地、要定期真的还原一次试试。没验证过的备份，和没有备份是一回事。
5. 每个人一个账号，按需给权限。写文章的人不需要能删数据库。
6. 全站 HTTPS，主机开自动更新，服务器上不放已经废弃的旧站点目录——那是最常见的后门入口。

这些做完，一年花的钱不比一次应急清理多，睡得却踏实得多。

万一门已经被踹了

先别急着删。慌乱之中删掉的，往往是日后查清来路的唯一线索。

顺序大致是：先把站点离线或进维护模式，止住继续伤害；再整站快照留证；然后改掉所有密码，包括主机、数据库、FTP 和后台，不只是那个被盗的账号；接着从干净的备份还原，而不是在被污染的文件上修补；最后补上当初的漏洞——若不补，同一台机器过几天还会回来。

清理完，记得去 Google Search Console 提交审核，把那行红字撤下来。这一步很多人忘，于是站修好了，搜索结果里却还挂着警告，白白多丢一两周的生意。

常见问题（FAQ）