一个网站上线之后，决定用户留不留下来的往往不是设计，而是两件很朴素的事：打开快不快、会不会突然打不开或者被挂马。性能和安全的优化大部分不需要重构代码，按优先级做几件事就能有明显收益。

先弄明白"慢"在哪。用测速工具看三个数字：首字节时间（服务器响应）、首屏渲染时间、完全加载时间。如果首字节时间就超过 500 毫秒，问题在服务器和数据库；如果首字节很快但页面很久才显示，问题在前端资源。不先定位就盲目买加速服务，钱花了效果也看不出来。

优化第一优先：图片。图片通常占页面体积的六到八成。做法很直接：上传前压到合适尺寸（页面显示 800 像素宽，就别传 4000 像素原图）、用 WebP 格式、开启懒加载让屏幕外的图片延后加载。仅做这三步，多数站点的加载时间就能减少一半以上，这是投入产出比最高的动作。

第二优先：开缓存和 CDN。给静态资源设置较长的浏览器缓存，让回访用户不重复下载；接入 CDN 把图片、样式、脚本分发到离用户最近的节点，跨地域访问的改善尤其明显。国内使用 CDN 需要域名已完成备案。注意缓存策略要配版本号，否则改了 CSS 用户看到的还是旧样式。

第三优先：精简资源。停用不用的插件和主题、合并压缩 CSS 与 JS、把首屏不需要的脚本改成延迟加载。很多站点打开慢，纯粹是因为装了十几个用不上的插件，每个都在往页面里塞文件。

再说安全，从必做的四件事开始。

一、全站 HTTPS。现在免费证书申请只要几分钟，装上后强制跳转，既避免内容被篡改插入广告，也是搜索引擎和浏览器的基本要求。

二、守住后台入口。改掉默认管理员账号名、开启强密码加登录失败锁定，有条件再叠一层二次验证。绝大多数入侵事件，入口就是被撞开的弱密码后台。

三、及时更新。程序核心、主题、插件的新版本往往就是在修补已知漏洞，旧版本等于把门锁的说明书贴在门上。更新前先在测试环境验证一次，别直接在生产站上试。

四、做自动化备份。每天增量、每周全量，备份文件存到另一台服务器或对象存储上，不要和网站放在同一块磁盘。被入侵、误删、数据库损坏时，一份可用备份能把损失从"全毁"降到"回滚一天"。

还要防的是可用性风险。给域名配好监控告警（一般免费额度就够），站点掉线时第一时间收到短信；服务器做好资源监控，磁盘写满和内存耗尽是最常见的"莫名其妙打不开"。小流量站点被恶意刷流量打垮的情况并不少见，选择带基础防护的服务商能省不少事。

一个务实的执行顺序：先装 HTTPS 和自动备份，再改后台账号密码并开启更新提醒，接着压图片、开缓存与 CDN，最后才是精雕细琢的代码层面优化。前两步做完，你的网站安全性就已经超过大多数同类站点了。