网站被黑，80%不是黑客技术多高，是后台密码被撞库、被钓鱼、被员工写在便签上。最有效的防御，不是改一个更复杂的密码，而是开双因素认证（2FA）。
什么是双因素认证
登录时除了输密码，还要再输一个手机验证码或者动态令牌。哪怕密码泄露，黑客没有你的手机，也进不了后台。
免费CMS支持吗
主流免费CMS大多支持，或者装个插件就能开。在后台"用户设置"或"安全设置"里找两步验证。绑上你的手机号或者身份验证器App（比如微信小程序里的身份验证器）。
除了2FA还要做什么
第一，后台路径改掉，不要用默认的/admin。第二，限制后台登录IP（如果你公司固定IP）。第三，上传目录禁止执行PHP。这三招加上2FA，小黑客基本进不来。
员工账号怎么管
编辑账号只给文章发布权限，不要给管理员权限。员工离职当天禁用账号。每个账号绑自己的手机，不要共用。
后台安全是小事，但被黑一次恢复的成本远高于现在花十分钟配置。
