年初大促前，最需要复核的不是促销文案，而是那套平时够用、高峰时可能掉链子的防护配置。流量越大，攻击面越大，配置过期、阈值失准、白名单误伤等问题都集中在促销时段爆发，与其等报警，不如按清单逐项过一遍。
网站防护配置检查项：大促前必须复核的五个维度
大促前的防护复核和平时的日常巡检不一样,日常巡检看“有没有”，大促复核看“扛不扛得住”，下面五个维度是行业共识中事故率最高的配置薄弱点，建议按顺序操作。
大促前安全配置复核：先看CDN和高防IP的转发策略
促销期间流量入口全部集中在CDN和高防IP上,大部分人年初时顺手添加了新的活动域名或路径，却忘了更新转发规则。
优先检查三处：
- 回源地址是否仍然指向最新的源站IP，活动页绑定新服务器后，旧IP可能已下线，但CDN配置里还留着旧地址，导致部分区域用户直接打不开。
- 回源协议与端口是否一致，如果源站只开放443端口，但转发配置里还有80端口，容易触发协议不匹配的报错。
- HTTPS回源是否开启了证书校验，很多团队关闭了校验，方便调试，但大促前应重新打开，避免中间人截留。
具体操作路径：登录CDN控制台，逐个域名查看“回源配置”，记录回源HOST、回源协议、超时时间，重点核对近一个月内是否有过源站变更记录，有变更必须同步更新。
高并发防护配置怎么选：WAF规则与限频阈值调整
搞明白一个问题的关键：WAF规则不是越严越好，大促期间正常用户的访问频率会明显高于日常，如果沿用日常的限频阈值，很容易把真实买家挡在门外，业内专家指出，多数误拦截事故源于阈值未按业务峰值重新评估。
- 查看WAF的“频率控制”规则，将登录、查询、下单接口的阈值上调至日常峰值的3到5倍。
- 核对白名单列表,把参与大促的第三方回调IP、内部运维IP提前加白，避免被自动封禁。
- 检查防护模式,建议大促期间从“告警”切为“拦截”，但必须确认规则已充分测试，否则宁可保持告警模式并安排专人盯日志。
如果还不确定阈值怎么设,可以参考近一个月内各接口的最大QPS，再乘以一个冗余系数，不要拍脑袋填一个整数，那样要么太松要么太紧。
源站与访问控制的隐蔽雷区
很多团队以为有了CDN和WAF就万事大吉,但源站泄露、端口开放、验证码策略这些隐蔽项，才是大促期间被拖库和刷接口的主要路径。
源站IP是否彻底隐藏，回源端口是否收严
CDN只是缓冲区,源站IP一旦泄露，攻击者直接打源站，所有防护都形同虚设，大促前必须验证源站是否仅允许CDN回源IP访问。
实操验证方法：
- 使用在线检测工具查询域名解析记录,确认没有直接指向源站IP的A记录或历史解析记录。
- 在源站防火墙或安全组中,仅放行CDN服务商公布的回源IP段，其余IP全部拒绝。
- 检查源站是否有其他服务暴露（如SSH、Redis、数据库端口），特别是面向公网的端口，建议将管理端口改为只允许堡垒机IP访问。
如果发现源站IP曾泄露,最彻底的办法是更换源站IP，若无法更换，至少要将源站所有非业务端口关闭，并启用源站级别的DDoS清洗。
访问控制与验证码的力度要分场景
大促期间,抢购、秒杀、领券这类场景的访问控制需要单独配置，通用规则只保护了基础安全，但应付不了刷单脚本。
- 登录接口：启用滑块或短信验证码，并设置同一IP每分钟失败次数上限。
- 查询接口：限制同一账号每秒请求数，防止恶意爬取库存。
- 下单接口：增加行为校验，比如鼠标轨迹、点击间隔，但注意不要过度影响正常用户体验。
检查后台管理页面的访问控制,大促期间运营需要频繁登录后台，临时开放IP白名单时，记得设置有效期，避免活动结束后忘记关闭。
SSL证书与内容分发配置的“年度体检”
年初是证书续期的高峰期,漏掉一个证书就会导致全站告警，这项复核不难，但容易遗漏。
- 检查所有域名和子域名的证书有效期,确保覆盖大促结束日期至少提前两周。
- 确认证书自动续期任务正常,如果使用手动续期，立刻在日历上设提醒。
- 查看HSTS策略,确认是否已开启且max-age设置合理，若域名从未启用过HTTPS，不要在大促前临时开启，容易引发混合内容报错。
还有一类容易被忽略的设计：动态资源和静态资源是否走了不同的分发路径，大促页面中的图片、CSS、JS应该走CDN缓存，而动态API直连源站，如果所有请求都回源，缓存命中率会骤降，源站压力成倍增加。
大促前可以使用curl命令测试静态资源响应头,查看是否包含CDN缓存标识，若没有，检查CDN缓存规则中是否遗漏了静态文件后缀。
日志、备份与应急预案：配置之外的“安全垫”
防护配置再完善,也敌不过配置变更时的人为失误，大促前必须保证出问题时有退路。
日志存储与告警通道要提前确认
- 确认WAF、CDN、源站的访问日志都已接入日志服务，且保存周期不少于30天。
- 检查告警通知是否推送到多个接收渠道（短信、邮件、企业微信），避免单一通道故障导致漏报。
- 设置核心接口的告警阈值,比如5分钟内5XX比例超过10%时立即通知。
备份与回滚方案要演练一次
数据库和配置文件的备份不是“有”就行，得保证能恢复。
- 在非生产环境演练一次从备份恢复到源站的全过程,确认备份文件完整且可用。
- 记录WAF、CDN控制台上的所有配置快照，部分云服务商支持一键回滚，确认版本号清晰。
- 提前准备“紧急关闭”开关，比如一键切换维护页、临时关闭支付接口，以便发生严重异常时快速止血。
常见问答：大促前防护配置复核查什么
问：年初大促前，防护配置里最容易被忽略的项目是什么？
答：回源端口策略，大部分团队关注WAF规则和DDoS防护，但源站安全组里往往残留着上次调试时开放的管理端口，大促前只要漏掉一个高危端口，就相当于给攻击者留了后门，建议逐台登录源站服务器，使用netstat -tlnp查看监听端口，对照业务需求关闭所有非必要端口。
问：高并发防护配置怎么选，WAF和DDoS高防有什么区别？
答：两者的防护层次不同，WAF主要处理应用层攻击，如SQL注入、XSS、恶意爬虫；DDoS高防处理网络层和传输层的大流量攻击，比如SYN Flood、UDP反射，大促场景下两者通常配合使用，如果预算有限，优先保证WAF的规则准确率，然后根据官网流量大小选择高防的清洗能力，至于具体的云WAF价格对比，不同服务商按QPS或域名数计费差异较大，建议按业务峰值的两倍带宽需求去询价，而不是看基础价格。
问：大促前调整防护配置后，需要重新压测吗？
答：需要，配置变更后必须模拟高流量场景验证，否则无法确认限频阈值是否合理、WAF规则是否误伤正常请求，可以使用压测工具对核心接口发起流量测试，观察源站CPU、内存、带宽指标，以及WAF拦截日志中是否出现正常UA被误封的情况，压测应在非业务时段进行，并提前通知运维和客服团队，行业内普遍要求大促前至少完成一次完整压测，这同时也是对备份恢复流程的实战检验。
防护配置不是一次性的工作,而是每次大促前的规定动作，按清单逐项复核、调整、验证，远比临时处理故障靠谱得多，把源站藏好、阈值调准、证书检查完、备份验证过，剩下的交给业务去冲刺。