数据安全

撞库不是密码太弱，而是入口太松。防撞库不止改密码：3个入口先堵上——登录页、找回密码页、接口，逐个看该加什么，虚拟主机上也能做。

检测密码安全程度最容易犯的错，是把工具给的绿勾当成结论。强度够、没泄露、改完还复查，这三步缺一步都白忙。

通报不是目的，把边界摆到明面上才是。数据审查通报制度听着像机关的活儿，落地时无非一份对账清单：谁在什么时候碰了哪块数据。这篇讲清通报对象、触发条件和该留的记录。

证书挂上去不等于合规到位。出海安全合规：3个盲区比证书更要紧——数据落在哪、日志留多久、隐私声明跟实际做法对不对得上，这三处最容易漏。

巡检报告写得再厚，没扫端口、没核账号、没看日志，也等于白做。网络安全巡检报告的三项必查，按能落地的方式讲清楚，顺带说说复查的笨办法。

快照数据能一键回滚，但回滚和恢复不是一回事。备份放在哪、凭证怎么分开管、恢复按什么顺序走，这三件事没理顺，出事那天照样救不回来。

服务商一纸公告就停服，科技公司爆雷之后，站点数据往往最被动。备份能不能拿回来、多久能迁走，比事后找人吵架管用。以官方公告和合同条款为准。

客服工单数据看着是现成的问答对，但工单本质是写给人看的；直接喂给模型前得先过清洗、脱敏、去重三道工序，合规这条线也不能自己拍脑袋。

先分类还是先分级，答案取决于数据规模：数据分类分级标准真正的价值不在表格多漂亮，而在能不能落到权限、脱敏和导出控制上，业务域不理清分级就收敛不住。

蜘蛛查询工具给的数据多半是二手的：UA 能伪造、IP 不做校验、缓存还滞后。想看真实抓取量，还是得回到服务器日志里按 IP 段一条条比对，面板只适合看趋势。