官网内容被人改了图。采购商正好看到。大理做装备制造的老板觉得脸上挂不住。我的答案是：防篡改不靠运气。权限、留痕、校验三件事做对，再加一道监测，篡改基本无从下手。别把指望全押在没人来黑上。安全的事，做在前头最省。
先把后台权限这闸收窄
后台账号按需开，能看数据的就不用给编辑权限。FTP 别开匿名，上传目录以外一律设成只读。账号开得少、权限给得小，能动手脚的人自然少。大理有家做门业的客户，权限一收完，可疑操作当场归零。把权限这道关把牢，一半的风险就此消散。开户之前先自问一句：这位非用不可吗？
谁改的要留得下痕
谁改的、改了什么、什么时候改的，都要有记录可查。出了事能追到人和时点，平时也当警钟敲着。没有留痕的后台，出了篡改连从哪查起都不知道，只能挨个去问。留痕花钱不多，用处却大得很。
文件指纹盯住暗中改动
把核心文件的指纹算出来存好，定时比对，文件一被改立刻知道。挂码、暗链、偷换图片，指纹一比就现形。这招对静默篡改最灵，人眼看不出来，程序一比对就现形。一天比对上一回，耗不了多少资源。
告警这道哨再补一层
可用性监测盯网站通不通，关键词监测盯页面内容变没变。模板建站500元起步，含1年免费维护并交付源码，校验和监测一并配上。网站安全防护我们担着，异常当日发现当日处置，绝不让难堪拖到隔夜。防篡改拼的是平日的功夫，而非事后的补救。
老板们最常问的几桩事
防篡改是不是很费钱？
基础三件事几乎零成本，靠的是配置和习惯，监测工具花费也不高。
内容管理系统靠不靠谱？
正版加及时更新是安全的，风险多半出在弱口令和盗版插件上。
文件校验多久跑一次？
每天自动核一遍，站点改动勤的可以加密到每小时，耗不了多少资源。
页面被改了得先停站吗？
先摘掉问题内容、恢复干净版本，不必整站下线，速度比完美重要。
总结
大理的企业网站，权限、留痕、校验这三件事做对，篡改就找不到落脚点。监测告警补上最后一环。异常当天就知道。把网站情况讲一讲，交给大理信服无限，防篡改的底子一次打好。这三样今天动手就能做起来。街坊的口碑传得比朋友圈快。