新的数据泄露和黑客攻击威胁频频见诸报端。电子商务网站是攻击的主要目标，尤其是在即将到来的假日季节。不法分子热衷于窃取流经电商网站的宝贵客户数据，并深知商家更关注销售业绩而非其Web服务器的安全。你不能冒险让薄弱的站点安全性使你和你的客户陷入脆弱境地。
如果你使用托管式电子商务平台并将所有基础设施责任交给提供商，你就在很大程度上依赖其声称安全的销售宣传。或者，如果你将站点托管在专用Web服务器上，那么你的网站管理员必须密切关注安全问题。无论哪种情况，你都应花时间深入调查你所采取的安全保障措施。
如果你使用托管式电子商务平台并将所有基础设施责任交给提供商，你就在很大程度上依赖其声称安全的销售宣传。
以下是一些你可以提出的简单问题，以帮助确保你的电子商务网站安全——并让你睡个安稳觉。
控制管理访问权限
如今我们使用的每次登录都需要严格的用户名和密码要求。登录凭据的强度对于你站点的管理访问以及托管该站点的服务器至关重要。如果你的管理员登录数据被泄露，不法分子将获得对你站点一切内容的无限制访问权限。确保用户名、密码以及任何凭据认证都非常强大，并且至少每三个月更换一次。
用户名和密码的强度与“字符串”的长度直接相关——长度应至少为8到12个字符——以及所使用的字符类型。强密码应包含每种字符类型中的至少一种：字母、大写字母、数字和符号。请检查你的系统以获取具体的最小和最大长度及字符支持指南。你还应考虑双因素身份验证，即管理员需要提供两种身份证明方式：个性化的用户名和密码组合，以及仅由管理员物理持有的基于令牌代码。
此外，要明确知道谁拥有你服务器的管理访问权限。实际上，包括你在内，很少有人真正需要这种级别的访问权限。你应该避免因便利原因而添加新的管理员用户。管理员用户越多，发生安全漏洞的机会就越多。仅让少数经过培训且值得信赖的员工负责基础设施管理，以建立问责制。
通过向你的网络主机提供商和管理员提出以下问题来控制对你站点的访问：
- 你的登录凭据要求是什么？
- 密码多久更换一次？
- 谁拥有你服务器的管理访问权限和密码？
限制客户数据存储
你的客户数据是犯罪分子最看重的价值所在。通过限制存储在服务器上的数据量，你可以减少数据泄露的影响。采取极少或不存储客户数据的策略本身就是一种强有力的安全技术。
首先，要清楚了解当有人访问或在你商店进行交易时，捕获、传输和存储了哪些客户数据。然后明确你保留任何敏感个人数据的理由，以及如果需要保留，保留多长时间。你可能会惊讶地发现，为了有效运营业务，你的系统实际上只需要存储很少的数据。
例如，所有财务数据都可以简单地通过支付网关安全地传输和管理。PCI安全标准要求您不得存储信用卡号、有效期和CVV代码。毕竟，您将来会如何使用这些财务数据呢？对您来说可能没有任何额外的好处，但却会带来巨大的风险。
请与您的网站管理员合作，限制所存储的个人数据，并向她提出以下问题：
- 你的服务器上捕获并存储了哪些类型的数据？
- 这些数据是如何用于运营你的业务的？
- 数据存储和加密的位置在哪里？
使用受信任的SSL证书
从受信任的供应商处实施强大的SSL证书，以极低的成本就能带来显著效果。你将获得一家致力于加密技术的公司的技术支持和持续监控。此外，你还可以自豪地在网站上展示提供商的标志，向购物者证明从你这里购买是安全的。
评估SSL证书供应商的标准包括其对安全技术的专注程度、经验水平（从业年限）、明确的问责制、损害赔偿的保证与责任，以及客户服务。价格较低并不一定意味着安全性较差。但请自问：“如果发生故障，谁需要承担责任并有所损失？”开源技术无法为其技术提供真正的问责保障。
要了解更多关于SSL在你的网站上如何实施的信息，请向你的网站管理员或主机服务商提出以下问题：
- 使用的是哪个品牌的SSL证书？
- 哪些页面和数据受到加密保护？
检测与防护
服务器管理通常被认为主要用于维护正常运行时间和性能管理。你的服务器管理员还负责在服务器上实施安全应用程序。这些安全应用程序可以保护你的Web服务器免受恶意代码和病毒的感染，并能应对黑客攻击。
你的第一道防线是防火墙。特别是，服务器的应用层必须通过防火墙进行保护。防火墙会主动检测并拒绝来自已知攻击的访问。
你还应该为将数据传入或通过你站点的应用程序增加额外的保护层。客户登录、电子邮件订阅表单和“联系我们”表单都是黑客攻击你系统的重点目标。你可以轻松添加更多的安全代码，以快速检测、阻止或删除任何试图安装在服务器上的恶意代码。
向你的服务器管理员询问以下问题：
- 你的服务器上使用了哪些防火墙？
- 针对拒绝服务攻击，已准备了哪些防御措施？
- 目前部署了哪些额外的入侵检测和清除系统？
保持最新并定期备份
保护您的网站及其托管服务器并非一次性清单任务。您需要持续审查、维护和更新安全措施。
安全补丁和应用程序更新频繁发布。这些更新旨在修复漏洞，应立即安装。例如，开源购物车软件（如osCommerce和Zen Cart）或基于WordPress的网页代码都会定期更新。
此外，请确保您的网络主机定期对您的服务器进行安全审计。如果您的网站托管在与其他不受您控制的网站共享的服务器上，这一点至关重要。这些审计可以发现任何过时的安全程序或应用程序，并有助于推动及时更新。
当然，您应始终对网站、数据、应用程序及相关服务器信息进行定期备份。备份可存放在主机的另一台机器上、异地不同位置、云端，或上述方式的组合。确定备份内容、频率和位置后，您还应了解在发生重大安全事件或服务器危机时，您的主机如何帮助您快速恢复运营。
通过提出以下问题做好准备：
- 当安全补丁和其他更新可用时，安装速度有多快？
- 安全审计的频率是多少？
- 您的网站代码和数据备份在哪里？
- 如果网站遭到入侵，行动计划是什么？
回答这些问题涵盖了使您的电子商务网站降低脆弱性所需的基本安全措施。不要仅仅假设安全问题已由他人妥善处理。请与您的网络主机提供商和网络管理员合作，了解其全面的安全计划及其执行方式。这样做可以帮助您和客户免受大多数威胁和攻击。
编辑注：本文于2014年10月28日上午11:56（山地时间）更新。