一个客户的网站突然跳转到博彩页面，Google标了危险站点，自然流量一周归零。一次讲清。查下来是后台管理密码太简单。被人扫到了。加固做了三天，流量恢复了两个月才回来。哪项指标最先看？
常见入口就那么几个
绝大多数入侵靠的是疏忽，高深攻击很少见。后台弱密码、插件没升级跟上传功能没限制与数据库端口对公网开放，这四样最常见。这四条占了大半。把这些堵上，风险就能降一个量级。上传功能是最危险的。
允许上传php文件到可访问目录，等于开了后门。上传要做三件事：限制扩展名、重命名文件以及存到不可执行的目录。这三条是基本要求。第一步是补丁，系统和应用框架的已知漏洞先补上。第二步是权限，数据库不用root跑业务，网站目录不给写权限。
加固要按顺序做
第三步是端口，只开必要的端口，管理口限制来源IP。改端口不算安全。把SSH从22改成2222，扫描器照样能找到。真正的防护是密钥登录加失败锁定加来源限制。三项组合起来，才叫挡住了。
出事之后要查什么时候进来的、从哪进来的与改了什么，全靠日志。所以日志要开、要留以及要能查。至少保留三十天，访问日志、错误日志和登录日志三类都要有。WAF值得上。
日志是事后唯一的线索
它能拦掉很多自动化扫描和常见注入，虽然不能百分百防住，但能把攻击成本抬高。配置别用默认规则，按自己业务调一调，误拦会少很多。末了说句实话：安全是持续的事，不是装个插件就完了。补丁、权限与日志，三件事长期做，比一次大规模加固有用。三个月能看到什么？
网站安全加固的常见疑问
网站加固要做哪几步
补丁和权限最小化与端口收敛以及密钥登录跟日志留存，配合 WAF 提升攻击成本。
改端口能防攻击吗
不能。扫描器仍能找到开放端口，应配合密钥登录、失败锁定和来源 IP 限制。
日志要留多久
建议至少三十天，保留访问、错误跟登录三类日志，便于事后追溯。
后台地址也值得改。默认的 admin 路径是扫描器第一个试的，换成不容易猜的路径，配合登录失败锁定，能把大部分暴力破解挡在门外。成本几乎为零。
总结：安全加固靠的是基本功。补丁、权限和日志长期做，比临时抱佛脚有效。