网站被盯上之前，先把这几道防线架好

别只盯着插件，先想清楚谁在打你

很多站长对网站安全的理解停留在「装个安全插件、开个验证码」。真被打的时候才发现，插件挡得住脚本小子，挡不住流量洪水。攻击大致分三类：一是DDoS/CC，用海量请求把你的带宽和CPU吃满；二是漏洞利用，SQL注入、文件上传、XSS，冲着代码和配置来；三是爬虫和扫描器，不搞破坏但偷内容、耗资源。

三类攻击的应对手段完全不同。流量型要靠带宽和清洗，漏洞型要靠代码审计和补丁，爬虫型要靠规则和限速。搞混了，钱就白花。

WAF只是第一层，源站IP才是命门

接入WAF/CDN之后，很多人以为万事大吉，结果源站IP还挂在旧DNS记录、邮件头、甚至历史扫描库里。攻击者绕过WAF直连源站，防护形同虚设。正确的做法是：换IP、只放行WAF回源段、关闭不必要的端口、检查SSL证书是否泄露真实IP。

• 换源站IP后，别再用老IP做任何解析
• 防火墙只允许WAF节点访问80/443
• 检查子域名、邮件服务器SPF记录是否暴露源站
• 用第三方工具扫一遍自己的历史DNS记录

这一步做完，WAF才算真正生效。

CC攻击来了，服务器配置比规则更管用

CC攻击模拟正常用户请求，规则误杀率高，光靠WAF扛不住。这时候拼的是源站的连接数和带宽余量。普通VPS几十个并发就卡死，而独立服务器配合清洗线路，能扛住持续的压力。

如果业务面向海外用户，选一台带防御的物理服务器比反复调规则省心得多。比如美国西雅图高防服务器4，E3-1230配16G内存和100M带宽，月付139美元，适合中小型站点的日常防护和CC缓解；流量再大一些的，可以看美国洛杉矶高防服务器21，双E5-2620、32G内存、100M带宽，月付609美元，防御和算力都留了余量。

安全是持续动作，不是一次性配置

上线前做一次加固，上线后每周看日志、每月更新组件、每季度做一次模拟攻击测试。把「谁在访问、访问了什么、被拦了多少」变成日常习惯，比出事之后熬夜救火强得多。安全没有终点，只有不断补漏的过程。