不少站主以为“上了 HTTPS 就安全了”，结果照样被 SQL 注入拖库、被挂马、被 CC 打挂。HTTPS 只是把传输加密了，攻击面一点没少。我们做安全防御和 SSL 托管这些年，见得最多的不是“没防护”，而是“防护只做了一半”。下面把完整的安全闭环讲清楚——也说说哪些环节我们可以替你托管。
## 一、HTTPS：安全的第一道门，但只是开始
明文传输意味着账号密码、表单内容在链路上谁都能看。HTTPS 用 SSL/TLS 解决这个。
我们自己提供 SSL 托管服务：证书申请、自动续期、全站强制跳转、HSTS 头配置，一站托管——你不用记“证书还有几天过期”，这事交给我们盯。
## 二、WAF 与边界防御：拦在坏人到服务器之前
WAF 处在用户和 Web 服务器之间，过滤 HTTP 层攻击。至少要拦住：
– SQL 注入（UNION SELECT 等注入特征）；
– XSS（脚本标签与事件处理器）；
– 文件上传木马（伪装成图片的可执行文件）；
– CC 攻击（短时间内海量同 URL 请求）。
云 WAF 和主机 WAF 怎么选，取决于你的站和合规要求。这块我们通常作为安全防御服务的一部分，按你的实际情况配规则，而不是丢个默认策略就完事。
## 三、应用层：安全要写进代码里
– 数据库操作一律参数化，不拼字符串；
– 输出做 HTML 转义，富文本走白名单；
– 设置 CSP 响应头，限制脚本只能从本站加载；
– 文件上传白名单加随机重命名，并禁止上传目录执行脚本。
这些在插件定制与定制开发阶段就内置，而不是上线后打补丁。
## 四、备份：最后一道防线，但“备了”不等于“能恢复”
3-2-1 原则（3 份、2 种介质、1 份离线）大家都知道，真正少做的是“定期演练恢复”。我们帮客户做的是：自动备份，加每月抽一份在测试环境真实还原验证，确认真的能回滚。
## 五、长期防御，靠的是运维不是一次性配置
每日看异常请求、每周更新核心与主题插件、每月审计账号与失败登录——这些琐碎但关键的事，我们包在安全防御服务的长期运维里。
—
不想自己折腾安全，又怕网站哪天出事？安全防御、SSL 托管、网站加速都是我们的核心业务。微信 jeans2045、QQ 361611074，聊聊你的站点情况，我们给一套能落地的方案。
（本文为安全知识系列，下一篇讲“网站加速：为什么你的站手机端打开这么慢”。）