有泉州老板问网站安全防护值不值得做，我一般先反问一句：你后台能登进去的有几个人。我的答案是，先数人再谈方案。账号这一层没管好，后面买再多东西都是白搭。古城西街那些小店后台就老板一个人，权限上倒没毛病，问题出在密码和导出上。
账号这一层先数清楚
晋江国际鞋纺城那批做档口的，后台权限没细分过，新来的实习生能导出客户手机号。权限跟着岗位走，不跟着人走。谁能看订单、谁能改价格、谁能导数据，三样分开。这个动作半小时能做完，做完再谈别的，比买一道防护产品实在。
分权限的时候有个常被忽略的地方：临时来帮忙的人。帮忙这件事会一直帮忙下去，权限不会自己过期。我们一般约定一个临时账号的有效期，到期自己失效。
老模块比新漏洞更常见
老站上一年前挂的功能模块，有的作者早就不维护了，谁也说不清后面连着哪个地址。世遗泉州那 22 处遗产点相关的官网也在这个范围内，页面多，老模块更多。这类东西不清理，等于给外人留了一扇没上锁的门。
清单写完会有一个发现：真正在用的老模块通常不到三成。剩下的删掉，页面速度还会快一点。删之前先打包存一份，放到备份里。这个动作我们做过几次，回退的时候都用上了。
数据出口和出事找谁
后台能导数据这件事，要写清楚谁批、导什么、留多久。涂门街那家做香烛的老字号做法很省事，只留必要字段，导出的表格当天清掉。出事那天能找到人，比把加密做得多复杂都管用。
留痕这件事要落到纸上。导了哪张表、谁导的、什么时候，全部记一行。一行记录的成本是几秒钟，回查的时候值一条命。
质量门禁这道工序
我们交代码前走一道质量门禁，自动化测试加代码审查加安全审计，三样都过才交出去。这道工序不是加钱项，是流程里的一步。客户满意度 98.2% 是站点首页上的口径，写在那儿给谁看都行。
技术类项目含 1 年免费维护，验收后交付完整源码，这两条我们从不含糊。两条都写进合同，不放在宣传页上。
安全防护的常见疑问
后台只有一个人用，也要防吗？
要。密码强度、登录记录、导出记录这三样照做，十分钟能做完。
安全防护一般怎么收费？
属于技术服务类，价钱我们按服务项报价，每个项目单独核。
上线以后发现问题管不管？
管。
四个问题答完再谈方案
后台几个人、旧模块清没清、数据出口谁批、出事找谁，这四问答完再谈方案。泉州信服无限做这类活先把清单列出来，方案排在清单后面。您把后台账号数一数发来，我们先看权限这一层。数字出来了，再谈下一步怎么做。