风险与加固
安全验证页返回200，为什么Google看到的可能只是“正在检查浏览器”？
安全挑战若替代正文，即使返回200，抓取系统也可能只能看到验证说明。应定位挑战规则与实际内容响应，在验证来源和保护业务的前提下调整误拦范围，不能…
阅读解决方法 →首页 / 网站知识
130 6699 2285 · 微信同号
安全与访问
78 篇 · 第 1 / 7 页
SSL与HTTPS
WordPress连接远程数据库，开了TLS就等于验证了服务器身份吗
数据库连接使用TLS说明传输可能被加密，是否验证服务器证书和主机名还取决于客户端与连接配置。远程库、代理和私有CA环境应分别核对，不应以“有SS…
阅读解决方法 →
登录与权限
多个WordPress共用数据库管理员账号，怎样改为每站最小权限
数据库管理账号权限过大，会扩大某个站点凭据泄露后的影响。应按WordPress和实际插件需要，为各站限定数据库及必要操作，并验证维护需求；不能只…
阅读解决方法 →
SSL与HTTPS
反向代理后WordPress生成http链接，Host和HTTPS标识怎样可信传递
反向代理可能用内部HTTP连接源站，但客户实际访问HTTPS。应用若不知道外部协议，可能生成错误链接或重定向；修复应建立可信代理头的处理边界，并…
阅读解决方法 →
登录与权限
WordPress验证权限后让Nginx发送大文件，X-Accel-Redirect怎样保持私有
X-Accel-Redirect可让应用决定授权后，由Nginx内部处理实际文件发送，减少PHP长期传输负担。但它不是自动授权系统，必须保护内部…
阅读解决方法 →
登录与权限
私有文件GET要登录，HEAD和Range请求也检查了吗
受保护下载不仅要验证普通GET，还要核对HEAD、Range及相关缓存和静态旁路。Content-Disposition提示浏览器下载并不提供权…
阅读解决方法 →
SSL与HTTPS
SSL监测只看主机面板到期日，为什么会漏掉客户实际访问的问题？
主机面板显示的是某处保存或管理的证书，不一定是客户实际连接看到的那张。监测应覆盖真实域名、代理层、IPv4与IPv6及必要备用入口，核对名称、信…
阅读解决方法 →
SSL与HTTPS
反复测试SSL签发前，为什么应先用ACME测试环境？
ACME测试环境用于验证自动化和挑战配置，减少在正式环境反复失败或申请带来的限制。测试证书通常不是面向公众浏览器的正式信任证书；测试成功后仍需按…
阅读解决方法 →
SSL与HTTPS
证书透明度日志里出现陌生子域或证书，企业应该怎样核实？
证书透明度日志可帮助发现某些公开证书签发记录，但记录出现不等于证书正在提供服务或已经发生入侵。应核对域名、签发机构、期限和内部申请来源，再判断是…
阅读解决方法 →
SSL与HTTPS
配置CAA的issuewild后，普通域名证书和通配符授权怎样分开？
CAA的issue与issuewild用于控制不同签发范围。没有独立issuewild时，issue通常也影响通配符签发；增加issuewild…
阅读解决方法 →
SSL与HTTPS
WordPress接口前面加客户端证书，mTLS能代替用户权限吗？
双向TLS可让服务端验证客户端证书，但证书通过不等于获得WordPress所有操作权限。应把连接身份、证书生命周期和应用中的动作授权分开设计，尤…
阅读解决方法 →
SSL与HTTPS
把根证书也发给浏览器，就能让自建证书变可信了吗？
服务器发送证书链，不能自行让客户端信任一个未知根。浏览器的信任来自其受控信任库和验证规则；中间证书帮助构建链，根证书是否被信任则是另一个问题，不…
阅读解决方法 →
