涂门街那家香烛铺的老板问我，后台密码改成什么才算安全。我的答案是先别急着改，您店里伙计换过几轮。人换过密码没换，这种站比压根没设密码的还松。清净寺和关岳庙比邻，香火旺的时候门口摆满香炉，店里的电脑整晚开着。
写在纸上的密码等于没设
密码就贴在电脑旁边的便签上，抽屉关着，桌面摆着。密码贴在便签上，等于把钥匙压在门槛底下。改密码这件事本身不难，难的是定个规矩：谁定、存哪、多久换一次。规矩写下来贴在电脑旁边，比记在老板脑子里靠谱，因为老板也会忘。
账号跟着岗位分
店里通常是老板、伙计、跑腿的三种活。三种活给三种权限，别给一种权限走天下。跑腿的伙计能看订单不能改价，老板能改价不能导全部客户资料。
分权限之前先做一件事：把现有账号列出来，一个一个问是谁的。这一步问完，陌生账号通常就浮出来了。浮出来的那些先停用，观察两天没人申诉再删。直接删容易删掉老板自己忘了的小号。
半年没登录的那条记录
有一家店半年没登录过，密码找回来那天才发现里面多了一个账号。半年没动过的账号，多半是离职那位的旧号。账号留着，成本很低，风险不小。
老模块顺带清一次
开了两年多的网店，多半挂着几个没人用的模块。这些模块自己会往外发请求，站点慢一半有时候就是它们造成的。清一次只要半天，清完把清单留着，下次好交代。这半天的投入一般当天就见效。
常见疑问
改密码会不会把客人数据弄丢？
不会。改的是登录凭证，数据在库里不动。
防住挂马要装东西吗？
多数情况不用。
源码不在手上能整改吗？
能改一部分，深度整改要看代码。
先从便签上那串字改起
这类项目我们做过不少。技术类项目含 1 年免费维护，源码验收后交，交付清单上写明响应时限。客户满意度 98.2%，靠的就是这类小事不出错。
涂门街这类香烛铺，旺季一到店员要同时应付零售、批发和代客上香三头。后台权限不分，伙计顺手就能导出客户手机号。我们给的改法是分三层：店长能看能改、伙计只能开单不能导出、临时工连登录口都看不见。改完那周，伙计问得最多的是“这个按钮怎么没了”，店长反而没说话。
账号分三种、密码不写纸、每季度清一次旧账号，这三步今天就能做完。泉州信服无限接这类活，也是从这三步起手的。您把后台账号列表导出来看一眼，我们先看有没有认不出来的人名。认不出来的先停用，再谈别的。