修订版《网络安全法》施行后，企业官网的安全运维要做哪些事？HTTPS、日志、备份与漏洞修复清单

一、新闻背景：官网也在“网络安全”的范围里

据安全内参的文章等报道，2026年1月施行的修订版《网络安全法》，将造成严重后果的违规行为的罚款上限提高到了1000万元。同时，金杜律师事务所的解读提到，2026年个人信息保护专项行动在继续推进；10月26日中新网报道的84款应用被通报，也让不少企业开始关注自己的线上系统。

很多企业主会觉得，通报的都是 App，和自己的官网没关系。其实企业官网往往同样有联系表单、留言板、会员注册、在线预约，也在收集手机号和姓名；同时官网又是对外开放的系统，被扫描、被攻击、被挂马的概率并不低。

本文不对法律条文做解释，只从运维角度，把企业官网该做的安全工作整理成六份清单。

说明：以上为按报道转述的信息，不构成法律意见。具体义务请以官方法规原文为准，涉及合规判断请咨询专业律师。

二、清单一：HTTPS 与传输安全

1. 全站 HTTPS：包括首页、表单页、后台，不要只有部分页面有证书；
2. HTTP 自动跳转 HTTPS：服务器配置 301 跳转，避免出现两个版本的页面；
3. 证书到期提醒：免费证书一般周期较短，设置自动续签并在到期前几周监测；证书过期后浏览器会显示“不安全”提示，影响访客信任；
4. 协议版本：服务器停用过旧的 TLS 版本，使用主流浏览器都支持的现代协议；
5. 混合内容：页面里引用的图片、脚本、样式也要走 HTTPS，否则浏览器会拦截或警告；
6. 后台入口：后台登录页不要使用默认路径，并限制来源或增加二次验证。

三、清单二：表单与个人信息

官网上的联系表单、留言、预约、会员注册，都会收集个人信息。检查要点：

• 只收必要字段：联系我们表单需要姓名、手机号就够了，不必再要身份证号、详细住址；
• 说明用途：表单旁用一句话写明“用于联系您沟通项目需求”，并链接隐私声明；
• 勾选同意：同意复选框默认不勾选，由访客自己勾选；
• 存储方式：数据库里的手机号等字段，按公司安全要求考虑访问控制，避免所有员工都能随意导出；
• 邮件转发：很多官网把表单内容直接发到邮箱，邮箱也要有强密码和二次验证；
• 保存期限：留言和咨询记录不要无限期保留，明确保存多久、之后如何处理；
• 删除响应：访客要求删除个人信息时，有人负责处理，流程明确。

四、清单三：日志留存

日志是出现安全事件时回溯的依据。建议：

1. Web 访问日志：Nginx、Apache 的访问日志和错误日志要开启，并设置合理的切割与归档，不要被覆盖得太快；
2. 后台操作日志：谁、什么时间、改了什么，至少要能追溯到账号；
3. 登录日志：成功和失败的登录记录，异常登录能被发现；
4. 留存时间：具体留存期限请按法规和行业要求、结合律师意见确定，不要凭感觉；通常建议日志与业务系统分开存放，避免服务器被入侵时日志一起被删；
5. 日志里的个人信息：访问日志中的 IP、参数里可能含有手机号，注意访问权限，不要把含个人信息的日志随意发给外部人员。

五、清单四：备份与恢复

没有备份的官网，被勒索或误删后几乎只能重做。备份清单：

• 数据库每日备份：自动执行，保留近期的多个版本；
• 网站文件定期备份：尤其是上传目录和配置文件；
• 异地存放：备份不要只放在同一台服务器上，服务器出问题时一起丢；
• 定期恢复演练：每个季度挑一天，用备份在测试环境恢复一次，确认备份真的可用；
• 变更前手动备份：升级系统、批量修改数据、迁移服务器之前，先手动做一份完整备份。

六、清单五：漏洞与更新

官网被入侵，常见原因不是黑客多高明，而是系统长期不更新：

1. 系统与组件版本：CMS、插件、PHP 版本、数据库版本，保持在厂商仍提供安全更新的版本上；
2. 不再维护的模板和插件：下线或替换，不要因为“能用”就一直留着；
3. 漏洞扫描：定期做基础扫描，关注常见高危项，如 SQL 注入、跨站脚本、文件上传、弱口令；
4. 上传限制：限制上传文件类型和大小，上传目录禁止执行脚本；
5. 接口与测试页面：删除测试页、备份文件（如 .bak、.zip、.sql）、phpinfo 页面；
6. 修复闭环：发现问题后记录、指定负责人、修复后复测，不是“知道了”就算完。

七、清单六：账号与权限

1. 强密码：后台、服务器、数据库、域名注册商、云控制台账号都要使用强密码，并且互不相同；
2. 二次验证：对云服务器控制台、域名账号、邮箱开启二次验证；
3. 按需授权：运营人员能发文章就够了，不需要服务器权限；外包人员的权限在项目结束后及时回收；
4. 离职交接：人员离职时，修改其接触过的账号密码；
5. 服务器登录：关闭不必要的端口，限制 SSH 登录来源，避免使用弱密码直接暴露在公网。

八、给不同规模企业的落地建议

小微企业官网（单台服务器）：先做到全站 HTTPS、每日自动备份、后台强密码加二次验证、系统及时更新，这四件事投入不大，却能挡住多数常见问题。

有多个业务系统的企业：把官网、商城、会员系统、小程序后台一起纳入清单，统一账号管理和日志留存。

使用外包运维的企业：在服务协议里写清备份频率、漏洞响应时限、日志是否留存，以及出现事件时的通知流程。

关于费用：企业官网建设的价格一般是 1280 起、2680 起、3880 起，商城和定制类 6800 起，续费约 500–800 元/年；安全运维（备份、更新、监测）可以单独约定，也可以并入年度服务。如果你现在的官网不确定做到了哪些，可以联系广州万户网络科技，我们按这份清单帮你做一次基础检查，列出已做到和未做到的项目，再决定是否需要整改。

九、小结

回到新闻本身：法规在收紧，监管在持续通报，但对企业官网而言，要做的事情并不神秘，就是传输加密、少收信息、留好日志、做好备份、及时修漏洞、管好账号。这六份清单按顺序做一遍，已经可以覆盖大部分日常风险。

再次提醒：本文是运维层面的参考，不构成法律意见，具体合规要求请以官方法规原文和专业律师意见为准。