电子商务网站安全风险与防护策略

如果您运营一个网站，尤其是电子商务网站，确保交易安全进行、保护用户和客户数据免遭泄露是您的首要责任。您的 WordPress 网站数据库中存储着大量敏感信息，包括个人数据、物理地址和电子地址、信用卡详细信息、交易日志等，这些数据的安全性和完整性都需得到保障。虽然互联网上不存在绝对安全的事物，尤其是开源软件，但您可以通过采取多种安全措施来最大程度地降低漏洞、数据盗窃和其他可能对网站或基础设施造成严重损害的风险。根据 GDPR，数据控制者有责任确保数据处理符合相关法规，而数据控制者正是决定处理个人数据目的和方式的主体。因此，贵公司或组织若决定“为何”和“如何”处理个人数据，便成为数据控制者，而处理这些数据的员工则是为数据控制者的任务服务。

一个网站的安全漏洞可能对公司业务造成致命打击。谁愿意将自己的信用卡信息交给一个不安全的网站？若客户数据被窃取并用于非法目的，对品牌声誉的损害将是巨大的。简而言之，安全与性能同等重要，是电子商务网站和企业成功的关键。鉴于此，我们整理了一份安全措施和最佳实践清单，旨在帮助电子商务所有者保持竞争力，避免严重的法律责任和在线业务损害。

### 电子商务网站的 13 大安全风险

根据《2020 年 Trustwave 全球安全报告》，传统实体零售商和电子商务环境是网络安全风险最高的行业之一，2019 年发生的安全事件中约占总数的 24%。这凸显了电子商务网站安全的重要性，以及为保障客户交易和数据安全，电子商务网站所有者必须采取的措施。为了更好地了解在线企业所有者应采取的行动和最佳实践，我们首先需要了解电子商务网站面临的最危险威胁。根据 OWASP 的十大网络应用程序安全风险，我们整理了以下不完全清单，列出了电子商务网站目前必须面对的最普遍威胁。

1. **恶意软件和勒索软件**
恶意软件种类繁多，威胁程度各异。黑客利用恶意软件入侵设备并窃取数据，造成的经济损失可能极为严重，甚至摧毁整个公司。尽管后果可能不总是那么严重，但客户可能会收到“网站包含恶意软件”或“网站具有欺骗性”等警告信息，影响网站在搜索引擎结果页（SERP）中的可见度，严重损害品牌形象。勒索软件是恶意软件的一种亚种，它会劫持设备或网站，在受害者支付赎金前拒绝访问其文件。由于恶意软件攻击对电子商务网站的风险极高，定期扫描网站以防恶意软件感染至关重要。

2. **网络钓鱼**
网络钓鱼是一种社会工程学攻击，网络犯罪分子通常通过电子邮件传播恶意软件。它旨在窃取用户名、密码、信用卡或银行账户信息等敏感数据，用于恶意目的或出售。这类攻击通常通过垃圾邮件或其他形式的欺诈电子邮件或即时消息进行。

3. **DDoS 攻击**
DDoS（分布式拒绝服务）攻击通过大量请求淹没网站，使服务器无法承受过多流量并导致网站瘫痪。其后果是网站离线，带宽成本急剧增加，甚至可能导致托管账户暂停。

4. **SQL 注入**
SQL 注入是一种由恶意行为者实施的攻击，他们试图将 SQL 语句注入网络应用程序。若攻击成功，他们就能访问网站数据库并读取、修改或删除数据。

5. **跨站脚本（XSS）**
跨站脚本是一种攻击，即在网站上附加恶意代码，以便在页面加载时执行。这种注入发生在用户的浏览器上，其目的通常是窃取敏感信息。

6. **中间人攻击（MitM）**
中间人攻击或路径上攻击是一种网络攻击，攻击者置身于两个设备（如网络浏览器和网络服务器）之间的通信中间，旨在恶意窃取信息和/或冒充其中一个代理。

7. **凭证填充**
凭证填充是一种网络攻击，攻击者使用从某一服务或网站的数据泄露中获得的凭据登录另一服务或网站。对于在家工作的专业人员和远程公司来说，这种攻击是一种常见风险。

8. **零日漏洞**
零日漏洞是一种尚未解决或以前未知的安全漏洞，没有任何修复措施。零日意味着，在该问题对您的业务造成严重损害之前，您有零天的时间来修复它。

9. **电子盗刷（Magecart）**
电子盗刷或数字盗刷是指在零售商的网站上插入恶意软件，目的是在结账时窃取支付数据。这也被称为 Magecart 攻击。

10. **暴力攻击**
暴力攻击是一种试错方法，用于解码登录凭据、API 密钥和 SSH 凭据等敏感数据。密码一旦被破解，如果在多个网站上使用相同的凭证，就可以用来访问其他服务。

11. **后门**
后门提供了一种绕过身份验证或加密系统自动登录网站、设备或服务的方法。一旦网站或服务被攻破，恶意行为者就可以创建自己的后门来访问您的网站、窃取数据，甚至可能破坏您的整个网站。

12. **社会工程学攻击**
社会工程学攻击特别危险，因为它们利用了人性的特点：信任他人、缺乏知识、不喜欢违背命令、功利主义等。社会工程学的基础是对人的心理操纵，目的是泄露机密信息，如密码、银行账户信息和财务信息。这类攻击最常用的渠道是电子邮件、聊天、电话、社交网络、网站等。

13. **供应链攻击**
供应链攻击中，网络攻击者会将恶意代码渗透到供应商的软件中，随更新一起发布。虽然供应链攻击不像其他后门攻击那样普遍，但最近在几个 WordPress 插件中发现了此类攻击。

### 确保电子商务网站安全的 9 项最佳实践

如果没有合适的工具和技能，确保网站安全可能是一项艰巨的任务，但这并不一定是专职工程师的工作。关键在于了解网站的薄弱环节，并向自己和团队传授保护电子商务网站免受最常见威胁的最佳实践。您的任务包括：一方面，负责 WordPress 和 WooCommerce 的安全，确定谁可以访问平台、要安装的插件、支付网关、身份验证系统，以及与 WordPress、插件和主题维护有关的一切；另一方面，需要一个安全、先进的基础设施，而虚拟主机服务质量的重要性就在于此。当然，您的虚拟主机提供商无法让您免受任何威胁，作为网站所有者，您需要采取一些安全措施。但一个认真对待网站安全的安全托管服务可以帮上大忙。以下是现代虚拟主机服务应具备的主要安全功能。

1. **选择先进的托管基础设施**
托管基础设施的选择对网站安全、品牌声誉以及最终的业务成功至关重要。您有几种类型的服务可供选择，它们在基础设施和提供的服务方面差别很大：
– **共享主机**：不适合电子商务网站，因为它可能无法保证所需的安全标准。
– **独立主机**：可以高度定制并优化安全性，但可能需要系统管理员技能，这对中小型企业来说可能很难找到。
– **VPS 托管**：介于共享主机和专用主机之间，适合需要控制主机但缺乏技术知识和/或资源的用户，但可能无法处理高流量或峰值，且性能仍受服务器上其他网站影响。
– **云主机**：通常有多种安全措施来保护网站，但若不具备必要的技能，可能很难进行配置和管理。
– **WordPress 和 WooCommerce 托管**：让您高枕无忧，无需负责服务器的配置和优化，还能获得专业的支持服务，简化网站的安装和维护。基于云的托管 WordPress 托管服务融合了两个世界的优势，既有云服务高速安全的基础设施，又有托管 WordPress 托管服务的易用性。

2. **使用网络应用程序防火墙（WAF）**
网络应用程序防火墙（WAF）是一种防护装置，可以过滤恶意连接，防止其进入您的网站，并确保 WordPress 网站的安全。若不在中间安装防火墙，互联网上两台计算机（如您的计算机和网络服务器）之间的直接连接是不安全的。恶意行为者可能会用恶意软件感染您的网站，或发起 DDoS 攻击。WAF 可以扫描网站的每个连接请求，阻止潜在的恶意访问尝试。无论您是初涉博客还是成功的企业家，WAF 对您的网站都至关重要。对于电子商务网站来说，使用 WAF 至关重要，因为不受保护的网站很容易成为黑客和其他恶意行为者的目标。如果没有 WAF，黑客就能轻易控制您的网站，更改登录凭证，窃取或破坏数据，毁坏网站，并进行各种非法活动。

3. **安装 SSL 证书**
SSL 是一种协议，用于加密和验证客户端应用程序与网络服务器之间发送的数据。若您运行一个电子商务网站，SSL 证书对您的网站和业务至关重要，因为它能确保数据加密、网站验证、数据完整性和用户信任。此外，SSL 证书还能提高搜索引擎排名，因为搜索引擎更喜欢 SSL 加密的网站。若您想在谷歌首页上排名，您需要一个有效的带有 HTTPS 加密功能的 SSL 证书。

4. **使用安全的 SFTP 和 SSH 连接**
要对 WordPress 网站进行手动备份或手动上传插件或主题，您需要通过 FTP 客户端访问网站的文件系统。FTP 客户端通常支持 FTP 和 SFTP 连接，但您只应使用 SFTP，它使用安全通道通过 SSH 传输文件。这与标准 FTP 连接有很大不同。

5. **使用支持的 PHP 版本**
每个 PHP 版本通常支持两年。只有受支持的版本才会收到性能和安全更新，因此使用不受支持的 PHP 版本会降低性能并增加安全漏洞的风险。截至 2024 年 8 月，官方支持的 PHP 版本为 PHP 8.1、8.2 和 8.3。在撰写本文时，8.1 之前的所有 PHP 版本都不会收到安全更新。这意味着，如果您使用的是 PHP 8.0 或更早的版本，您的网站将面临无法修复的安全漏洞。WordPress 核心是用 PHP 构建的，插件也基于 PHP，WooCommerce 也不例外。若您的电子商务是基于 WordPress 的，那么使用受支持的 PHP 版本对您的网上商店的成功至关重要。除了提高安全性外，最新版本的 PHP 还能提供更好的性能。

6. **启用双因素身份验证（2FA）**
使用高强度密码来保护网站和托管账户的安全可能还不足以保护电子商务网站的安全。强烈建议使用多因素身份验证系统。多因素身份验证是一种要求访问服务的用户提供两个或两个以上身份证明的身份验证系统。这可以通过不同方式实现：生物识别（如指纹）、验证器应用程序、电子邮件、短信、硬件令牌等。对于电子商务网站来说，您应该在主机服务和 WordPress 网站上启用双因素身份验证（2FA），以确保身份验证的安全性。您可能还想在电子商务网站上启用双因素身份验证。WordPress 不支持开箱即用的 2FA，但您可以使用以下插件之一快速、轻松地为网站添加这一功能：双因素身份验证、谷歌验证器。

7. **核心、插件和主题更新**
除了 WordPress 核心版本外，每当发现新的漏洞时，WordPress 都会定期发布新的安全更新。主题和插件也是如此。为了保护您的 WordPress 网站，您需要对整个 WordPress 网站进行更新，以防止出现安全漏洞。在 WordPress 仪表板中，在“仪表盘>更新”下，您可以启用所有 WordPress 版本的自动核心更新，也可以只启用维护和安全版本的自动核心更新。您还可以管理主题和插件的自动更新。从 WordPress 6.6 开始，您可以在出现故障时回滚插件的自动更新。如果您愿意，可以禁用此功能并自己进行更新，但更新大量网站可能是一项耗时而枯燥的任务。这就是为什么许多机构会求助于第三方工具，以便从一个外部环境管理所有 WordPress 网站的更新。

8. **备份**
若更新出错，或者由于安全漏洞导致网站受到威胁或完全被毁，备份可以救您一命。如果您的主机没有提供自动备份系统，您可以使用 WordPress 插件。我们建议使用能提供增量备份的 WordPress 插件：这样您就可以在不丢失磁盘空间或降低网站性能的情况下备份网站。不过，真正关心您的电子商务网站的虚拟主机服务应该提供定期的 WordPress 备份。

9. **小心使用插件**
您的 WordPress 网站通常需要很多插件。对于电子商务来说尤其如此，因为它往往需要一些 WordPress 或 WooCommerce 本身不具备的功能。在为 WooCommerce 网站选择插件时，您需要遵循一些最佳实践：
– 不要安装无效插件。这对电子商务业务至关重要。无效插件是被黑客攻击过的高级 WordPress 插件或主题，可能包含修改过的代码，旨在造成危害或收集信息。
– 首选由声誉良好的供应商定期更新的插件。相信社区，查看其他用户的评论和评分。尽可能避免使用评级较低和由未知供应商维护的插件。
– 在生产环境中使用插件之前，请务必在暂存环境中进行测试。这样可以防止出现与其他插件或 WordPress 内核本身的兼容性问题。
– 在生产环境中安装插件之前，请务必备份您的网站。
– 不要安装不必要的插件或提供多余功能的插件。不必要的插件可能会产生不必要的安全漏洞、与其他插件冲突或降低网站性能。
– 检查插件是否存在任何已知漏洞。使用安全服务，如 WordPress 漏洞数据库或 WPScan。不过，在定期更新的流行插件中也能检测到安全漏洞。WooCommerce 和 Easy Digital Downloads 等插件也不例外。

### WordPress 特有的威胁及如何防范

在本文的第一部分，我们列出了影响一般电子商务网站的一些主要安全威胁。其中一些威胁对 WordPress/WooCommerce 网站尤为严重。虽然 WordPress 是开源软件，但值得指出的是，黑客入侵 WordPress 网站并不是因为内容管理系统本身存在漏洞，而是因为在任何事件发生之前本可以预测和修复的漏洞。不更新内核、插件和主题会使您的电子商务网站受到攻击，就像使用弱密码和没有严格的网站访问策略一样。以下是一份威胁和最佳防范措施的快速清单，可帮助您确保网站安全：
– 谨慎选择用户名和密码
– 保持网站更新
– 不要使用无效的 WordPress 插件和主题
– 锁定 WordPress 仪表盘
– 在 WordPress 中启用双因素身份验证
– 加固 wp-config.php
– 禁用 XML-RPC
– 隐藏 WordPress 版本
– 添加 HTTP 安全标头
– 使用 WordPress 安全插件
– 为 WordPress 文件和文件夹设置正确的权限
– 禁用 WordPress 仪表板中的文件编辑功能
– 防止盗链
– 定期备份 WordPress
– 测试 WordPress 网站的安全性
– 使用 WordPress 活动日志

如需更全面的 WordPress 网站安全措施清单，请查看我们的《WordPress 安全指南》。

### 小结

要确保电子商务网站的安全，需要做很多工作。自己动手需要大量的技术技能，而这些技能可能是小型企业和初创企业所不具备的。然而，想要开设网店、接受国际市场挑战的公司所有者不应放弃电子商务带来的发展机遇。这正是企业级托管 WordPress 和 WooCommerce 主机可以提供帮助的地方。您每天都要面对哪些风险和漏洞？您的托管服务是否能为您的电子商务网站提供足够的保护，使其免受恶意代理的侵害？请在下面的评论中分享您的经验。