建站时没人管的七道安全缝，机器人比客户先钻进去

后台登录还是 admin/admin，撞库脚本每秒都在试

打开你公司的后台地址，如果还是 /admin 这种一眼能猜到的路径，等于把门牌号贴在了街口。更危险的是用户名 admin、密码 admin123 这类默认组合，公开的泄露密码库里躺着两千三百万组常见组合，撞库工具对一个弱口令账号平均四小时就能爆破。网页制作阶段就该把后台入口藏进不规则的二级目录，比如 /x9k2panel，再叠一层短信二次验证；用户名禁用 admin 和 root，登录密码至少十二位，大小写字母、数字、符号混着来。自查方法很简单：拿常用弱口令试登自己的后台，能进去就说明该改了。

SSL 证书悄悄过期，地址栏变红字吓退访客

浏览器地址栏那把小锁不是永久的，免费证书九十天就到期，付费的也大多一年一换。证书过期的当天起，Chrome 和 Edge 会直接把站点标成「不安全」红字，实测跳出率能涨三成以上，询盘跟着掉。很多老板直到客户截图发来才发现证书早过了期。网页制作交付清单里应把证书到期日写进运维交接表，并在到期前三十天、十五天、七天各设一条日历提醒；用免费证书必须配凌晨自动续期脚本，DNS 或解析商一换就得重新核对密钥，否则续期会静默失败。

建站模板三年没更新，已知漏洞成了后门

不少企业官网用的还是三四年前的 CMS 版本，连带着一堆从没升级过的插件。一个组件漏洞从公开细节到被大规模扫描利用，平均只要七天，老旧版本被入侵的概率是打了补丁版本的六倍。很多网页制作团队交付后不再跟进组件更新，这恰恰是最隐蔽的后门。自查时直接问建站公司要一份用的 CMS 和插件版本清单，去厂商公告栏查最近半年有没有安全补丁；谈续保时把「每季度打一次安全补丁」写进服务条款，别等出了事才想起版本号。

联系表单不设防，一天吞下几百条垃圾

官网底部的留言表单如果只靠一个图片验证码，基本等于没防。打码平台几块钱就能绕过大多数验证码，更别提那些连限频都没有的表单。实测无防护的表单一天能收到三百到八百条「代开发票」「包过」之类的垃圾，真客户的询盘被淹没在里头。网页制作时非技术人员最容易漏的就是表单限频，以为加了验证码就万事大吉。自查：用同一个 IP 连续提交十次，看系统拦不拦；再翻一遍后台留言，要是清一色广告就说明该上频率限制了。正经做法是同一访客一分钟最多提交两次，超了就弹验证码。

网站和数据库从没备份，被勒索就归零

问过十家中小企业，七家说不清自己的官网上次备份是什么时候。服务器被勒索软件加密、或一次误删操作，没有近期备份就意味着整站数据要从头再来。被加密后若拿不出七天内的备份，恢复成本往往超过网站本身造价。网页制作报价单里几乎不含备份这项，得单独要求写进合同：每天凌晨三点自动打包一次，本地和异地各留一份，保留最近十四天。自查就一句——给服务商发个工单，问「我现在要回滚到上周三的版本，你能给吗」，答不上来的赶紧补备份方案。

后台端口和数据库口敞在外网，十一个小时被扫到

有些站点为了图省事，把 8080、8888 甚至数据库用的 3306 端口直接对外敞开，等于把金库侧门也上了街牌。自动化扫描工具对一个开着 3306 的站点，平均十一个小时就能扫到并尝试弱口令。网页制作交给外包后，自己也要会查端口，不能全信对方一句「都关好了」。自查：用免费的在线端口扫描工具输入自己域名，看这几个高危端口有没有亮着；正确做法是后台只用公司固定 IP 段能访问，其余一律在防火墙关掉，数据库端口压根不该出现在公网。

上传功能不卡后缀，传个 php 就拿到服务器

不少官网有简历、资质、合同上传入口，如果只拦常见危险后缀、用黑名单而不是白名单，攻击者可换成 .phtml、.php5 这类变体绕过去，文件一旦能被当成程序执行，整台服务器就易主了。白名单只放行 jpg、png、pdf 三种，其余一律拒绝，才能彻底堵死。网页制作完成验收时，把上传功能单独验一遍白名单：试着传一个 .php 文件，前台报错拒绝才算过关；顺便确认上传目录没有脚本执行权限。这一步在交付清单里单独打勾，比上线后救火省事得多。