网站安全事故很多源于账号失控而非程序漏洞。本文给出权限台账的列法、三角色最小权限设置、离职当天要做的八件事与交接单的正确写法。
一、网站出事，查出问题最多的不是程序是账号
企业网站的安全事故里，有一类和代码漏洞无关：前员工离职半年后还能登录后台；外包服务商手里有服务器和域名面板的账号，合作结束后没人改过密码；管理员账号是通用密码，写在一份共享文档里，七八个人都知道。这类问题不爆则已，一爆就是内容被改、域名被转走、服务器被拿去挂马。管好账号和权限，成本低、收益直接，比多装几个安全插件都实在。
二、先做一张权限台账：谁、有什么、能干什么
管账号的头一步是搞清楚现状。企业网站相关的账号远比想象的多，至少要过一遍这张清单：CMS 后台（管理员、编辑各几个）；服务器（SSH、宝塔或主机面板）；FTP；数据库（phpMyAdmin 或远程账号）；域名注册商平台；SSL 证书账号；CDN、对象存储等云资源控制台；企业邮箱或邮件推送服务的 SMTP 账号；统计工具；小程序或公众号平台（如果与官网有对接）。
台账建议就四列：账号名或登录邮箱、归属平台、目前谁在用、上次改密时间。做台账的过程本身就会暴露问题——比如某个 FTP 账号是三年前合作过的建站公司开的，合作结束之后密码一直没人动过。
三、最小权限怎么落：角色分三类，管理员号锁起来
原则很简单：每个人拿到的权限，刚好够完成他的日常工作。落实到企业网站，建议分三个角色。管理员：能装插件、改模板、管用户，通常只需要一到两个人；编辑：能发文章、改内容、传图片，日常更新内容的人用这个；投稿或临时账号：只能提交内容不能发布，给偶尔提供素材的市场部同事或外部写手。
对应到具体系统，WordPress 的角色机制开箱即用，别把所有账号都设成 administrator；易优等国内 CMS 在管理员组和会员组里也能细分权限。两个细节容易漏：一是文件上传权限，编辑号如果允许上传任意类型的文件，账号被盗时损失会放大；二是 API 密钥和应用授权（比如公众号对接、支付回调配置），这些授权等同一个隐形管理员，交接时也要过一遍。
账号命名上也有讲究。后台账号尽量一人一个，别用“admin01”“test”这类公共账号多人共用——共用账号出问题时，日志里查不到具体是谁的操作，责任无法定位，离职时也无法只停用一个人的权限。已有共用账号的，趁一次交接把拆分做掉，成本比事后追责低得多。
四、离职当天要做的八件事
人员变动是账号失控的高发点，交接别只停留在工作交接单上，账号要当天处理：改掉 CMS 管理员密码（如果离职者知道）；删除或停用其个人后台账号；改 FTP 和服务器面板密码；检查有没有以其名义新开的 API 密钥或应用授权，有就吊销；数据库账号如有共用，一并改；确认域名平台和云控制台的管理员名单里没有此人；提醒接手人检查企业邮箱里有没有存过密码的邮件，相关密码改掉；查看近期登录日志，确认没有异常登录记录。
这八件事加起来不超过一小时，当天做完，后面就不存在“前员工还能进后台”这种事。反过来，拖到一个月后补做，中间这段就是风险敞口。
外包合作关系结束时同样照此办理。建站公司、推广代运营、小程序开发商，合作期内往往拿过服务器、域名、后台的多项权限，合作结束不是简单“不再联系”，而是按上面同一张清单把权限收回来：改密码、删账号、吊销密钥。哪家公司手里还有自己网站的哪些权限，应当随时说得清楚。
五、交接单里该写什么、不该写什么
正常的交接资料包括：网站用了哪些服务、各自的登录入口在哪（不用写密码本身，密码走当面或密码管理工具交接）；备案信息、域名到期日、服务器续费日；模板和源码在哪台服务器、有没有版本管理；日常更新流程和注意事项。
不该出现在交接资料里的，是各类账号密码的明文集中清单——真要做，密码应该分渠道交接，文档里只留账号名和服务名。一份写满密码的文档在流转过程中被谁看过、存到哪台电脑上，都无法追溯，这类文档本身就是风险源。
六、日常三个习惯，让账号风险保持在低水位
其一，管理员账号不开浏览器“记住密码”的共享模式，公司共用电脑尤其不要；其二，重要的管理入口（服务器面板、域名平台、CMS 后台）能开两步验证的都开上，盗号场景下这一道墙的性价比很高；其三，每季度把台账过一遍：上次改密超过一年的服务改一次密码，离职人员的账号确认已删，密钥授权确认还在用。
账号管理不产生直接的业务数据，但在出事的那一天，它决定损失的大小。锐客网给企业做网站托管时，权限台账和季度账号巡检是标准交付项之一，员工离职时的账号处理也可以随时找我们协助，一个电话 137-9839-1694，把该改的密码当天改掉。
