一家做包装材料的公司想改官网上的电话，发现后台密码只有三年前离职的网管知道，人早就联系不上了，域名注册邮箱也是他的个人邮箱。折腾一个月才把网站夺回来。企业网站建设的钱花得再值，账号管理一乱，网站随时可能变成别人的资产。
先建一本账号台账
网站相关的账号远比想的多：域名管理账号、服务器或虚拟主机账号、网站后台管理员、FTP、数据库、备案系统账号、企业邮箱管理端。每个账号记五样信息：平台地址、账号名、密码、绑定的手机和邮箱、到期时间。这份台账打印一份放公司档案柜，电子版存老板和行政两人手里。记住一个原则：所有账号的主体信息必须落在公司名下，手机号和邮箱用公司的，绝不能用经办员工的私人邮箱注册，这是很多纠纷的根源。
权限分级，别一锅端
网站后台通常支持多角色，按需分配：内容编辑只给发文章改图片的权限；超级管理员只留一两个，给真正懂技术或责任最强的人。行政兼职更新新闻的，就给编辑权限，删错栏目的风险就小得多。外包维护的服务商给维护账号，不动管理员密码。人员离职当天，他的账号当天停用，这条要写进离职交接清单，和归还电脑放在同一栏。
- 台账：每个账号五要素登记，双备份保管
- 分级：编辑、管理、维护分开授权，最小够用
- 交接：离职当天停账号，域名邮箱优先过户
几个低成本的防护习惯
密码别用admin123这种，管理员密码十二位以上，字母数字符号混着来，每半年换一次；后台登录地址尽量不用默认的admin路径；开启登录失败提醒，一周出现几十次陌生IP尝试登录，就该警觉了。域名账号绑定手机验证，这是整个网站体系里最值钱的一环，域名丢了，其他都白搭。服务器和后台的自动备份确认开着，哪怕出事，也能把损失控制在几天内。
权限管理还有个高频场景：临时给外部人员开账号。比如请人做短期推广，需要传点内容，就开一个编辑权限的临时账号，事情结束当天停用，别嫌麻烦，网站出问题的线索里，长期不回收的临时账号占了不小的比例。安全这件事没有一劳永逸，靠的就是这些零成本的规矩一直被执行下去。
两条建议：企业网站建设验收当天，就要求服务商交齐全部账号并当场登录验证，写进交付清单；每年固定一天做账号年检，逐条过台账，改密码、核到期、清离职账号。比格网络交付项目时都会给客户一份账号交接表模板，网站是资产，资产就得有账。
