双鸭山的老板做安全防护，销售报的年费从零到上万，越听越糊涂。安全的钱该按被攻击的概率花，不是按销售的提成花。按本地网站的真实风险，把账算给你。
先看你的网站值不值得攻击
网络攻击九成九是批量扫描，专挑没设防的下手，攻击者不认识你，他只认识你服务器上的漏洞。所以防护的第一原则是：把自己从“软柿子”里摘出去，就已经赢了一大半。本地大多数网站的失守，不是被高手盯上，是被扫到的。想验证很简单：开防火墙日志看一周，扫描尝试天天都有，全是广撒网的。
零元档：四件套，挡八成风险
强密码、后台路径改掉、删不用的插件、不同平台不共用密码。四样一分钱不花，批量扫描基本就扫不动你了。宝山一位被挂马的客户，事后复盘就败在弱口令，改完再没出过事。先做满这四样，再谈花钱。强密码别嫌难记，用“短语加数字”的方式，比如店名加开业年份再加个符号，好记又够硬。
百元档：三样，经营网站必配
防火墙一年两三百，自动拦截异常请求；自动备份加异地存储一年百来块，出事能回滚；SSL证书免费自动续期零元。三样合计一年四五百，这是带交易的网站的标准防护预算。集贤一家做批发的按这套配了三年，扫描日志里天天有拦截记录，业务从没断过。防火墙的价值不在拦下多少高手，在把每天几百次的批量扫描自动挡掉，省心。
千元档：看真实需求
高防服务器、WAF应用防护，是给有明确攻击风险的平台准备的。判断就两个问题：有没有人持续攻击你？网站停一天损失多少？两个都答否，千元档就是白花。四方台一位客户被推销年费六千的高防，我问了这两个问题劝退了，三年无事。真有持续攻击记录的，也别急着上最高档，先看攻击日志确认规模再定。
防护做得对，顺序不能乱
上防护有讲究：先密码权限、再插件清理、然后防火墙备份、临了才考虑付费套餐，从免费到收费，从稳到险。顺序反了——钱花了，门还开着，最冤。
总结
安全的账：零元四件套先做满、百元三样必配、千元档凭攻击记录和停机损失说话，顺序从免费到收费。今晚先改密码，这是整个防护体系里性价比最高的一步。