你花了几万块建了个独立站，每天订单没几个，倒是接到两通电话：一通说“你的网站有安全漏洞，赶紧交钱处理”，另一通说“我们是百度官方，帮你做安全认证”。
别急着掏钱。你真正需要搞清楚的，不是“要不要做安全”，而是“我的网站到底归谁管安全”。
你的网店，安全责任到底在谁身上？
大多数中小企业老板做的是独立站，用的是现成的网店系统，比如Shopify、店匠、Shoplazza这类SaaS平台。你交月费，平台给你服务器、后台、支付接口，你只管上架商品、接单发货。
这种情况下，客户付款时输入的银行卡信息，根本不经过你的服务器。数据直接在客户浏览器和平台支付网关之间加密传输。你连卡号都看不到，也就谈不上“泄露客户银行卡”这回事。
安全的重活，平台的后端工程师替你扛了。你不需要自己去搞什么PCI合规认证，也不需要买昂贵的防火墙。
但如果你是自己买服务器、自己搭网站、自己接支付接口，那情况就完全不同了。你等于自己开了一家“数据保管库”，所有责任都在你头上。
先搞清楚自己属于哪一级
自己做技术搭站的老板，需要对照交易量判断自己的合规等级。标准很简单，按过去12个月的线上银行卡交易笔数来分：
- 年交易超过600万笔：最高级别，需要外部审计
- 年交易100万到600万笔：次高级
- 年交易2万到100万笔：中等级别
- 年交易低于2万笔：最低级别
绝大多数中小企业的年交易量都在2万笔以下，也就是最低级别。但注意，级别低不等于可以不管。你哪怕一个月只卖几十单，只要客户付了款，你就有责任保护那笔数据。
三个动作，自己就能做
不需要请什么安全顾问，你按这三步走就行。
第一步：摸清家底
把你网站上所有跟“收钱”沾边的环节列出来。客户在哪个页面填卡号？数据传到哪个服务器？谁有权限看后台？你的电脑里有没有存过客户的支付信息？这一步就是搞清楚“我的数据到底在哪”。
第二步：能不留就不留
很多老板为了方便，会把客户卡号、有效期顺手记在Excel里，或者让客服记在微信聊天记录里。这是最大的雷。只要你不存，黑客就偷不到。最好的做法是：所有支付信息都交给支付平台处理，你自己后台只保留订单号和金额。
第三步：该报备就报备
如果你用的是国内支付服务商（比如微信支付商户、支付宝商家），对方通常会要求你提交一份简单的安全自评表。别嫌麻烦，填完交上去，对你对客户都是交代。如果你的交易量比较大，支付平台还会要求你每季度做一次漏洞扫描，找第三方安全公司出份报告就行，费用大概在几百到一两千块钱。
别被“安全焦虑”割韭菜
市面上有不少公司，专门吓唬中小企业老板。“你的网站有漏洞，不处理会被黑客攻击”“百度会给你降权”“微信支付会封你的号”——这些话大部分是吓你的。
真正需要你操心的只有一件事：你的客户付款时，用的是不是安全的环境。
- 你的网站有没有https锁标志？没有的话，去服务器后台开一下，很多平台自带这个功能，不用额外花钱。
- 你的后台密码是不是“admin123”？是的话，赶紧改。
- 你的员工离职后，有没有收回后台权限？没收回的话，今晚就操作。
最后一句大实话
安全不是一次性买卖，是持续的习惯。你不需要成为专家，只需要做到“不存不该存的数据，不给不该给的人权限，不花不该花的冤枉钱”。
你的客户不会因为你做了安全认证就多买一单，但如果你出了泄露事故，你的生意可能一夜归零。就这么简单。
微信扫码