安全更新

网站安全更新多久做一次？

基本做法是：按固定周期（例如每月一次）持续进行安全更新；一旦公布了严重漏洞，不等周期到来就立即修补。也就是把定期检查和紧急应对分开考虑。

紧急漏洞会通过开发厂商的公告或韩国互联网振兴院（KISA）互联网保护站的安全公告发布。如果有负责维护的服务商，请事先定好由谁查看这些公告并做判断。

更新周期也取决于网站是用什么搭建的。装了很多插件的网站需要更新的组件多，要更频繁地检查。

也可以开启自动更新。小的安全修复设为自动接收，大的版本升级确认后再应用，这样分开处理，能同时降低留下漏洞和页面错乱的风险。

网站需要更新的有哪些？

需要更新的对象分好几层，从服务器一直到页面上挂的插件。如果不事先定好哪一层由谁负责，彼此都以为“对方会做”，就会留下漏洞。

很多人以为定制开发的网站没有插件，所以很安全。但网站里用到的开源组件（库）一旦发现漏洞，同样会发布更新。请问问开发公司是否在接收这些组件的安全通知。

要知道用了哪些组件，才能更新。请向服务商要一份“我们网站用到的程序和组件清单”，这样安全公告一出来，就能马上判断自己的网站是否受影响。

安全更新按什么顺序做才安全？

安全更新的关键是“先做好回退准备，更新后亲自检查”。比起更新本身出错，更常见的问题是更新后没人检查，页面坏了好几天都没人管。

把拖了很久的更新一次性集中处理，出了问题就很难找出是哪一个造成的。如果积压的更新很多，请分几批进行，每次都检查一下页面。

1. 01先做一次完整备份。
2. 02阅读更新说明，确认是安全修复还是大版本升级。
3. 03条件允许的话，先在和正式网站一模一样的测试环境里试着更新。
4. 04在顾客少的时段应用到正式网站。
5. 05用手机和电脑亲自点一遍首页 · 咨询表单 · 预约 · 支付。
6. 06记录什么时候更新了什么。
7. 07出了问题就用备份恢复，查明原因后再重新更新。

拖延安全更新会发生什么？

拖着不更新的网站，会成为专门寻找已知漏洞的自动程序的目标。攻击者并不是盯上某家店，而是用机器大范围扫描还留着漏洞的网站，碰到哪家就钻进哪家。

一旦被攻破，可能会在顾客看不到的地方偷偷生成广告 · 赌博页面，或被植入把顾客转到其他网站的代码。这种状态被搜索引擎发现后，搜索结果或浏览器中可能会出现危险警告。

如果顾客的个人信息通过咨询表单或会员信息泄露，问题就更大了。您可能有义务通知顾客并向相关机构报告，付出的代价远比拖延更新省下的时间大得多。

被黑的痕迹，您很难第一个察觉。如果在搜索结果里看到以自己网站名义出现的陌生内容，或者顾客说“一点进去就跳到别的地方”，请马上告诉服务商。连接好Google Search Console后，Google发现安全问题时您就能收到通知。

除了更新，还要养成哪些安全习惯？

更新做得再好，管理员密码太弱也等于敞开大门。最好把账号管理和更新放在一起照顾。

多名员工共用一个管理员账号也是常见的风险：不知道谁改了什么，员工离职后也很难改密码。尽量为每个人单独建账号，只给必需的权限。

Google也建议网站运营者在及时更新的同时使用安全的密码。下面这些习惯几乎不花钱，效果却很大。

• 管理员密码设得长一些，不和其他网站共用
• 域名 · 托管 · 管理员账号都开启两步验证
• 离职员工 · 以前服务商的账号立即删除
• 不用的插件和主题不要只是停用，要直接删除
• 不要在店里的公用电脑上保持管理员登录状态

把网站安全交给服务商时该问些什么？

光凭一句“我们负责安全管理”，看不出对方到底做什么。请具体问清更新周期、紧急应对、记录共享、出事时的联系方式，并写进合同或报价单。

如果已经怀疑网站被黑，请先通知服务商，也可以拨打韩国互联网振兴院（KISA）互联网保护站的黑客攻击 · 垃圾信息 · 个人信息侵害咨询电话118寻求帮助。在ISSYMO的维护管理订阅中，我们每月进行安全更新并做好备份。

• 定期更新多久做一次？
• 发布紧急安全公告后，几天内完成修补？
• 能否收到更新记录？
• 更新后页面错乱，修复要另外收费吗？
• 怀疑被黑时，联系谁、怎么联系？