有泉州企业老板问后台账号要不要改，我一打开就知道问题在哪，就是口令太松。账号 admin，密码拼音加六个数字，这是我们见过最常见的一组。不是说立刻会被黑，是概率高得多。晋江和南安的后台我都查过，同一个口令出现过很多回。概率高了，出事只是时间问题。
口令先改这一件事
口令要长，不要靠符号堆。六个纯数字密码，机器试起来很快，一串不常见的词反而难猜。我们给人开的初始密码都是随机字符，强制改一次。交付的 100+ 商业 APP 都按这条来，服务 300+ 电商企业。这一条十分钟就能做完，做完再谈别的。先把这一个动作做掉，比什么都强。
登录日志要有人看
有的后台登录页一晚上被试了几千次，日志撑到几十兆，没人管。日志没人看，等于没有日志。我们建议设一条规则，失败次数超阈值就先临时锁。锁了不影响自己，锁晚了影响数据。数据丢了，麻烦就不是一小时能说的了。这种事我一般先问备份在哪。顺序永远是先止损，再谈原因。
最该收的账号在离职那栏
账号最该收的不是外人的，是离职那位的。权限交接不做，出了事没人知道是谁动的。我们一般会在验收清单上写一句：账号清一遍。这一句写在纸上，比写在微信里管用。
泉州信服无限交付代码时会过一遍质量门禁，安全这一项也在里面。自动化测试加上代码审查，交付前自己先查一遍。这不是额外服务，是流程里的一步。
交接要有清单
交接要有清单，谁的账号、哪些权限、哪台机器。写清楚比口头交代可靠得多。清单留档，隔两年再查也查得动。这一份清单比十个口头约定管用。做到这一步，后台这块基本就稳了。
后台账号的常见疑问
多久换一次口令？
发现异常就换，正常情况下定期换。人员离职当天必须换掉。
要不要限制登录 IP？
办公地址固定的话值得做。经常出差就得另想，别把自己关在门外。
源码交付和这个有关系吗？
有。源码在你手里，能自己改代码，安全整改自己就能做，不必求人。
三样今天就能查
后台口令要长，登录日志要有人看，离职交接要有清单。这三样今天就能查，先查再谈别的。您把后台地址发来，我们先看能不能被试。别等出事才想起这三个字，这句话我贴在办公室墙上。