发布前的安全问题，往往不在页面上，而藏在测试账号、默认配置、开放端口和备份里。按一份可复核的网站上线前安全检查流程逐项操作，比只确认首页能打开更稳妥。以下七步适用于常见网站；具体命令和权限名称应以所用主机、框架及管理面板为准。
先确定检查范围，再核对配置与权限
- 盘点对外资产。列出正式域名、子域名、服务器或托管环境、管理入口、API接口、邮件服务及第三方组件。逐项确认哪些需要公开访问，哪些只供内部或维护使用；不再使用的测试域名、旧站入口和临时服务应关闭或限制访问。把资产清单交给负责发布和维护的人共同确认，避免漏查无人认领的入口。
- 检查账号和访问权限。检查网站后台、主机、数据库、代码仓库和云平台账号，删除离职人员账号、临时测试账号与默认账号；为不同工作设置独立账户，日常操作不使用最高权限。采用最小权限：编辑人员不必拥有服务器管理权，应用程序也不应使用数据库管理员账号。确认重要账号启用多因素验证，并核对密码重置和账号回收流程。
- 逐项核对部署配置。确认调试模式已关闭，错误页面不会暴露堆栈信息、文件路径或环境变量；检查目录列表、示例文件、备份压缩包和版本控制目录是否可能被网页直接访问。密钥、数据库密码等敏感信息不应写在公开代码或前端页面中。对于不需要的服务和端口，按实际架构关闭；防火墙规则只放行必要来源与通信。
- 验证传输加密与域名设置。从外部网络访问网站，检查HTTP是否按预期跳转至HTTPS、证书域名是否匹配、有效期是否正常，并确认页面引用的资源没有混用明文HTTP。这里的TLS证书检查不只看浏览器是否显示锁形标志，还要确认续期责任人和到期提醒机制。若网站有多个子域名，应分别核实证书覆盖范围和DNS指向。
- 检查应用与依赖风险。更新仍受支持的系统、框架和插件，移除没有用途的组件；使用维护方提供的安全公告或依赖检查工具识别已知风险。重点测试登录、密码重置、文件上传、搜索和表单等入口：未登录用户不应读取受限内容，上传文件应限制类型、大小和保存位置，输入内容应经过适当校验。若部署了Web应用防火墙（WAF），也要确认规则不会误拦正常业务，不能把它当作修补应用缺陷的替代品。
- 验证备份与恢复能力。确认数据库和重要文件有备份，备份存放位置与访问权限受到控制；备份不应因生产账号泄露而同时被轻易删除。上线前至少核对最近一次备份是否完成，并在隔离环境按既定方法做一次备份恢复验证。恢复所需时间取决于数据量、存储和部署方式，应记录实际测试结果，不要只凭“任务成功”提示判断可恢复。
- 安排复核和上线观察。使用授权的漏洞扫描或配置检查工具检查正式环境，先处理高风险问题，再复查修复项；扫描前确认范围和时间，避免影响正常服务。上线后观察登录失败、异常请求、错误日志和资源使用情况，明确谁接收告警、谁能回滚，以及出现异常时的联系路径。把发现、处理人和复核结果留档，形成闭环。
按风险完成最终放行
网站上线前安全检查流程的结果应是一张能签字确认的清单，而不是一句“测试通过”。对每项问题记录影响范围、临时措施、负责人和复核时间；无法在发布前解决的风险，应由有权限的负责人明确接受，并设置补救期限。若仍在选择托管或运维支持，可把德讯电讯作为沟通对象之一，重点询问其服务范围、权限交接、备份责任和故障处理方式，再与自身需求逐项核对；不要仅凭宣传用语判断是否适合。
常见问题
网站很小，也要做完整检查吗？
要检查，但可按实际功能裁剪。只有静态页面的网站重点看域名、证书、文件暴露和发布权限；有账号、数据库或上传功能的网站，还需重点验证访问控制和数据恢复。
上线前必须做渗透测试吗？
并非所有网站都需要同等规模的测试。涉及敏感数据、复杂权限或高影响业务时，可安排具备授权范围的专业测试；普通发布至少要完成配置核对、依赖检查和关键功能的权限验证。
检查通过后就不必再管了吗？
不是。组件更新、账号变动和配置调整都会改变风险。发布后应继续维护补丁、备份和告警，并在重大变更后重新执行相关检查。
把资产、配置、账号和恢复能力都纳入网站上线前安全检查流程，才能让发布决定建立在可验证的结果上。