托管选择影响的不只是页面打开速度，也包括谁能访问后台、更新失败后能否恢复、证书是否及时续期，以及出现事件时谁负责通知和处理。加拿大网络安全中心建议企业在开发和管理网站时，把机密性、完整性和可用性一起纳入设计。
先问清楚责任边界
确认域名、DNS、应用、数据库、媒体文件和备份分别由谁管理；确认管理员是否使用多因素认证和最小权限；确认软件、依赖和内容系统的更新方式；确认离职或供应商更换时如何交接。没有责任矩阵，安全问题常常会卡在“以为对方负责”。
小企业也应具备的基础控制
全站 HTTPS；后台管理员使用独立账号和多因素认证；定期修补 CMS、依赖和主题；限制上传类型与权限；保护密钥和环境变量；对日志、异常登录和表单滥用设置监控；保留加密备份并定期做恢复测试。加拿大网络安全中心还提供面向中小组织的基线控制，可作为采购时的提问清单。
备份只有能恢复才算备份。至少要知道恢复到哪个时间点、恢复需要谁批准、恢复后如何检查数据完整性，以及是否存在与生产环境隔离的副本。
用服务问题验证可靠性
询问监控覆盖哪些指标、故障如何通知、支持时间是什么、备份保留多久、是否有迁移出口、是否提供测试环境，以及安全事件如何升级。对业务网站来说，清晰的响应流程往往比一个没有定义的“99.9%”更有用。
EngineHost 的托管方案可以把域名、应用、内容和维护拆开讨论；具体部署、备份、支持和响应能力应在项目范围与合同中确认，不应仅凭营销页面推断。
资料说明
来源：加拿大网络安全中心《Security considerations when developing and managing your website》及《Baseline Cyber Security Controls for Small and Medium Organizations》。本文是采购与运维检查清单，不构成安全认证或 SLA 承诺。
