网站上线不是终点，而是运维的起点。用免费CMS做站，程序本身是开源的，安全风险主要来自配置和使用习惯。几个五分钟就能做完的动作，能挡掉绝大多数常见问题。

第一招：改掉默认后台地址和弱口令

装好CMS后第一件事，就是把后台管理员账号改成强密码（字母+数字+符号，至少12位），并改掉默认的后台入口路径。黑客的常规操作是用脚本扫admin、login这些常见路径试弱口令，改路径加强密码能挡掉九成自动攻击。

第二招：上传目录禁止执行脚本

免费CMS的上传目录本来只放图片和附件，但如果配置不当，攻击者可能上传一个php脚本当图片，然后访问它来控制服务器。在主机控制面板里把upload目录的执行权限关掉，只允许读取静态文件。这一招配合后台不允许上传php、asp等后缀，基本就杜绝了webshell风险。

第三招：定期备份，养成习惯

备份分两部分：网站文件和数据库。免费CMS通常自带备份功能，或者用主机面板的一键备份。建议每周备份一次，备份文件下载到本地或网盘。主机跑路、误删文件、被入侵，任何一种情况都有后悔药。

第四招：及时更新

关注CMS官方的版本更新通知，小版本升级通常是修安全漏洞。模板和插件也一样，不用的插件及时卸载，减少攻击面。

安全不是一劳永逸的事，但也不需要你变成专家。把上面四招做了，小网站被黑的概率会降到极低。