有一个做出口的老板，他的网站是公司最主要的获客渠道。有一天早上，他像往常一样打开网站，发现首页变成了一堆看不懂的乱码，所有的产品图片都消失了，客户案例页面也被替换成了不知道什么内容的页面。他联系建站公司，对方说“可能是被攻击了，但你没有备份，恢复不了”。最后他只能找人从头重建，整整花了两个月才把网站恢复到原来的样子。那两个月里，他只能跟每一个来问的客户说“网站正在更新，暂时无法访问”。他说那句话的时候，心里很清楚——有些客户不会等两个月，他们早就去了别人那里。

被攻击这种事，你不一定遇到过，但它确实可能发生，而且一旦发生，带来的损失不只是网站恢复的费用，更是那段时间里流失的客户和信任。所以在这里，我想给中小企业老板三个关于网站安全的基础设置建议。这些事做起来不难，但做与不做之间的差距，会在你需要用到它们的时候变得非常明显。

第一件事：定期备份数据。

这是最重要的一个动作，也是绝大多数中小企业没做的那个动作。备份不需要你懂技术，但需要你的服务商提供这个功能。跟你的建站公司确认他们是否提供自动备份服务，频率是每天还是每周，备份数据是否存储在与服务器不同的位置。备好了放在那里，用不到最好；万一需要用到，它就是唯一的救生圈。没有备份，出了任何问题，都意味着从头再来。

第二件事：强密码加双重验证。

很多网站被入侵，不是因为黑客技术有多高，而是因为密码太容易猜了。大量的泄露事件显示，弱口令是最常见的入侵通道。如果你还在用“123456”“admin”或者公司名字加年份这种组合当密码，那你的网站基本上是没有锁门的。密码设置成至少十二位、包含大小写字母数字和特殊符号的组合，并且不要再重复使用同一密码。如果网站支持双重验证，也就是登录的时候除了输密码，还需要输入手机验证码或者通过身份验证工具确认，尽量把它打开。这一步多花几秒钟，就能挡住大多数自动化的破解尝试。

第三件事：保持系统和插件的更新。

网站的建站系统和安装的插件，隔一段时间就会有新版本发布。这些更新里，很大一部分是为了修复已知的安全漏洞。你不更新，那些漏洞就一直敞开着。跟你的建站公司确认他们是否定期帮你做系统更新，如果没有，你可以自己登录后台，在系统提示更新的时候点击确认就可以了。只需要花几分钟，就能避免很多已知风险。

这三件事都不复杂，但很多中小企业老板从来没有关注过。备份没有做、密码还是最简单的、系统从来不更新，然后等到网站真的出了安全问题，就开始着急。花一个小时确认这三件事有没有做，比你等出事之后再花一个月去解决，要值得多。网站的日常运维里，这三件事是最基础、也是最重要的。它们花不了多少时间，却能让你少走很多弯路。提醒一下：今天就去确认这三件事。拖到明天，可能就多一分风险。而那个风险带来的损失，往往是你不想面对的。