网站设置访问密码 到底是不是智商税？干了7年建站，我见过太多老板因为这点小事急得跳脚。今天不整虚的，直接告诉你怎么给网站加把锁，既防外人窥探，又不让搜索引擎抓瞎。
先说个真事儿。上个月有个做高端定制家具的客户找我，说后台数据差点被同行扒光。其实不是黑客厉害，是他把后台登录页直接暴露在公网，连个验证码都没有。更惨的是，百度蜘蛛天天去爬他的后台，导致服务器负载飙升，正常用户访问都卡成PPT。这种低级错误，真的让人恨铁不成钢。
很多人第一反应是：加个密码不就行了？简单，在WordPress后台或者服务器Nginx里配一下。但问题就在这儿。如果你只是简单加了HTTP基本认证，百度蜘蛛也会被挡在外面。虽然这能保护隐私，但如果你希望首页内容被收录，而只有后台或特定页面加密，那就得讲究技巧了。
我试过很多方法，最后发现，最稳妥的还是用“robots.txt”配合“目录密码”双管齐下。别嫌麻烦，这是最接地气的做法。
第一步，确定你要加密的范围。是全站加密，还是只加密后台？如果是全站加密，比如你的网站还在开发中，或者是个内部展示站，那直接在服务器层面设置。Nginx用户可以在配置文件里加auth_basic指令，Apache用户用.htaccess。这时候，百度蜘蛛确实进不去了，但没关系，你的目的是保密，不是SEO。
第二步，如果你只是不想让外人看后台，但希望前台正常被收录，那就别动全站。去服务器后台，给wp-admin或者你的后台目录设置访问密码。这时候，百度蜘蛛还是能爬你的首页和文章页，因为它不需要输入密码就能访问。但是，当它试图进入后台时，会被HTTP 401或403拒绝。这就达到了“前台开放，后台封闭”的效果。
这里有个坑，很多人加了密码后，发现百度不收录了。为什么？因为有些CDN或安全插件，会把所有带密码的请求都拦截，或者返回错误代码。这时候，你要检查你的安全策略，确保对搜索引擎蜘蛛放行。比如，在Nginx里判断User-Agent，如果是百度蜘蛛，就不强制要求密码，或者返回200状态码。但这有风险，不建议对敏感数据这么做。
我有个客户，用了“网站设置访问密码”功能后，特意在robots.txt里Disallow掉了后台目录。这样，百度蜘蛛连后台的门朝哪开都不知道，自然就不会去爬了。同时，他在后台加了强密码和双因素认证。这一套组合拳下来，安全性提升了不止一个档次。
别信那些“一键加密”的插件，有些插件本身就有漏洞。我自己建站，从来不用那些花里胡哨的插件来加密。我就用服务器自带的功能，或者代码层面的限制。稳定，可控，还免费。
最后，提醒一句。加密不是万能的。如果你的密码设成123456，那神仙也救不了你。一定要用大小写+数字+符号的组合，长度至少12位。这点钱都不花，还谈什么网络安全？
总之，网站设置访问密码 不是不能做，而是要做对地方。分清前台和后台，分清公开和私密。别为了所谓的“全面保护”，把正常用户和搜索引擎都拒之门外。那样做的结果，就是网站变成了一座孤岛，除了你自己，没人看得到，也没人搜得到。
希望这篇经验能帮你避开那些坑。建站不易，且行且珍惜。如果有具体问题，欢迎在评论区留言，我看到都会回。毕竟，这行干了7年，见过的坑比走过的路还多。
