客户说官网打开挺正常的，我们一查源码里多了三十条看不见的链接

上周一位老客户打电话过来，说官网被网信部门通报了，理由是网站里塞了违规暗链。他在电话那头很委屈：页面我天天看，什么都没变啊。我们登进服务器把源码翻了一遍，首页底部模板里多了三十多条指向陌生域名的隐藏链接，前台肉眼完全看不出来。

官网看着正常，不代表它没被人动过

这类事情今年通报得越来越密。十月二十六日，聊城市委网信办的普法专栏转了一起案例：重庆北碚区一家互联网公司的网站被植入多个违规暗链，企业因为安全防护措施不到位，被认定未履行安全保护义务，违反了《网络安全法》第二十三条、第二十七条和《互联网信息搜索服务管理规定》第七条，按第五十九条被责令整改并警告。

值得注意的不是处罚本身，是定性口径。这家企业并没有主动干坏事，它是被黑的。网警十月做科普时说得很直白：法律惩罚的不是"被攻击"这件事，而是被攻击之前没有防护、被攻击之后没有发现和处置。"我不知道"不构成免责。

还有一组案例可以对照。眉山公安九月公布的五起护网案例里，一家食品公司官网主页被篡改成境外赌博链接，一家化工公司因为系统老旧没更新、没装防护设备、网络日志缺失被警告，两所学校分别栽在防火墙过期和日志留存不足六个月上，其中一所被警告并罚款一万元。邵阳三季度通报里也有一家企业，网站被植入暗链和木马，部分链接指向涉赌网站。

这些企业的共同点不是技术差，是没人管。网站上线时有人盯，上线之后就成了没人打开的机器。

暗链到底藏在哪儿

厦门网警十月中旬做过一次科普。老式暗链是一点就弹窗、自动跳转，那种反而好查。现在的暗链绝大多数是隐藏式的：塞在模板源码深处、样式表里，或者垫在产品图、留言板、加盟表单这些正常模块的背后。访客看不见，也不会点，目的是蹭你官网的搜索权重，给博彩站抬排名。

我们在客户站上见过的几种位置，列出来给你对照：

• 公共头部和底部模板文件，改一次全站生效，前台完全无感
• 被遗忘的旧栏目页、活动专题页，链接还在但早没入口了
• 上传目录里挂着图片后缀名、实际能执行的后门文件
• 数据库正文里藏在段落中间的隐藏链接，只在个别分类下输出
• 已停用但没注销的老域名和老备案，解析还活着

第五种最容易被忽略。有家企业三年前换过官网，老站下线了但域名续着费、备案没注销，后来域名被拿去搭了色情页面，追责追到了主体头上。

我们给客户做体检，先查这四件事

今年下半年我们把官网维护流程固定下来了，一次巡检大概两小时，按这个顺序走：

• 比对源码：把生产环境模板和交付版本做一次全量比对，重点看公共头尾和脚本目录，改动要能追到人和时间
• 扫一遍外链：抓全站页面，把指向非白名单域名的链接列出来，逐个确认是不是自己人加的
• 查日志留存：确认访问日志在留存，且不少于六个月，这是《网络安全法》第二十三条的硬要求
• 看后台账号：把管理员列表打出来，离职的人、外包账号、用三年没改过的弱口令，全清一遍

四项里最容易出问题的是第二项和第三项。很多中小企业的服务器日志要么默认只留几天，要么没开。等被通报了要自证，拿不出东西。

修完之后，还得有个固定的日子

官网安全这件事，难的不是技术，是"谁负责"。我们给客户的建议一向是写成制度，别靠人记着：

• 指定一个人，哪怕兼职，网站安全归他，名字要落在纸面上
• 每月一次源码比对加外链扫描，出报告，留档
• 每季度一次口令轮换和后台账号清理
• 废弃域名和备案，下线当月就去注销，别挂着
• 真出问题了，先留存证据，再处置，再上报，顺序别反

那位被通报的客户后来花了两天清理，三十多条隐藏链接全部删掉，模板回滚到我们交付的版本，后台八个账号砍到三个。整改报告交上去后他很感慨，说这两天花的时间，比建站时多花几千块请人维护便宜多了。

网站不是建完就交差的东西。它挂着你的品牌名，也挂着你的责任。