碰面时他问起，后台密码设成 abc123456 要紧吗？我说这个密码，扫描工具几秒钟就能试出来。网站的大门，很多就是从这儿被推开的。
弱密码为什么这么危险
攻击者不需要多高明，写个程序把常见密码组合试一遍就行。admin、123456，另外还有公司名加年份，这几类基本是第一批被试的。
更麻烦的是很多人所有平台共用一个密码。一个地方泄露，其他地方跟着遭殃，一个密码能牵出一串。
我们的建议是后台密码单独设一个，长度至少十几位，字母数字符号混着来。别用生日、别用手机号，这两样最容易猜。
后台地址最好改一下
默认的后台地址是公开的秘密，谁都知道在哪个路径。地址不改，等于告诉别人门在哪儿，只等密码被试出来。
把后台地址改成只有自己人知道的一个路径，能拦掉相当一部分自动扫描。这一步改动很小，效果却明显。
还有一条，后台不要对所有人开放。能限制固定 IP 访问的，就限制一下，外面的人连登录页都看不到。
还有一个习惯很重要，就是离职的人要及时收回权限。人走了账号还在，这是很多网站出事的起点。名单要有人管，谁来了谁走了，都记一笔。
两步验证值不值得开
两步验证就是密码之外再加一道，比如手机验证码或者验证器。密码被猜中了，还有第二道拦着。
对网站后台来说，这一步其实很值。开启之后，即使密码泄露，别人也进不来。
我们的建议是至少给管理员账号开。日常运营的小账号可以和内部约定好，但管理员的权限最大，值得多一道。
问到后台安全，客户最想知道的
密码多久改一次
没有硬性要求，但发现异常或者有人员离职时一定要改。平时用强密码比频繁改更重要。
能不能只靠验证码登录
验证码是补充手段，不能替代密码。两者一起用才稳。
网站已经有防火墙了还需要改密码吗
需要。防火墙挡的是外面的攻击，密码是你自己的门锁，两回事。
常斌不哄客户，会这么讲：后台密码这东西。改一次花三分钟，被进去一次要收拾三个月。
今天就把密码改了
我的建议是别等，今天就登录后台把密码换成强密码，顺手把后台地址也改一下。这两件事，今天做完就少一分风险。
累计交付过 300 多个小程序和 100 多个商业应用。遇上网站安全这种活，信服无限第一步永远是看后台密码。谈预算之前，告诉我你的网站后台密码多久没改过了。我们帮你看看还有哪些地方要加固，一起过一遍，该加固的地方一处都别落，今天就办。