乌海跑业务的SSL证书前数据丢失怎么办

我在乌海做电石贸易的，公司官网有在线询价功能，客户可以在网站上提交需求信息。之前没装SSL证书，所有数据都是明文传输。有一次一个客户跟我反馈，说他刚在我网站上提交了询价，转头就接到了竞争对手的电话，问我信息怎么泄露的。我查了半天，才发现网站没有加密，询价信息在传输过程中被人截获了。丢了三个大客户，亏了十几万。今天聊聊SSL证书和数据安全的关系。

没有SSL证书数据是怎么泄露的

网站没有SSL证书，客户在你网站上填的信息，比如姓名、电话、询价内容，从客户的浏览器传到你服务器的过程中是明文的。什么意思呢？就是中间经过的任何一个网络节点，路由器、运营商、WiFi热点，都能看到这些信息。乌达区一个做PVC管材的同行，在咖啡店用公共WiFi登录公司后台，账号密码被同WiFi下的黑客截获了，后台被入侵，客户资料全被拖走。没有SSL证书，就像你寄明信片，邮递员和路人都能看到内容。有了SSL证书，就像你把信装进了密封信封，别人拆不开。

装了SSL证书就安全了吗

装了SSL证书只是解决了传输加密的问题，但数据安全还有其他环节。第一，服务器本身的安全。如果服务器被黑了，SSL证书再好也没用，因为数据到了服务器端就是明文存的。我后来除了装SSL证书，还给服务器加了防火墙、改了强密码、做了定期备份。第二，数据库加密。客户信息存在数据库里，如果数据库被拖库，信息照样泄露。海南区一个做精细化工的同行，装了SSL证书但数据库没设密码，被SQL注入拖库了，三千条客户信息泄露。第三，内部权限管理。谁能看客户数据、谁能导出，这些得控制好。海勃湾一个做煤化工的企业，内部员工离职带走了客户资料，SSL证书防不了这种。

我做了哪些安全措施

丢了客户之后，我做了几件事。第一，装了OV级SSL证书，一年一千二。第二，服务器加了防火墙和WAF，一年一千五。第三，数据库设了强密码，客户信息字段加密存储。第四，内部做了权限分级，只有销售总监能导出客户数据。第五，做了操作日志，谁查了谁导了数据全有记录。一年总投入三千多，跟丢三个大客户的十几万比，九牛一毛。做乌海这边化工贸易的，客户信息就是核心竞争力，不保护好就是给竞争对手送子弹。

总结

SSL证书是数据安全的第一道防线，但不是全部。传输加密、服务器防护、数据库加密、权限管理、操作审计，五道防线一起才叫安全。别以为装了证书就万事大吉了，数据安全是系统工程。你想给网站做数据安全防护，来找我，我帮你把该做的防护都做上，别因小失大。