营销站不是攻击例外
营销站常被认为「只是静态页」而缺少基线，却仍处理表单、脚本与 CMS 令牌。安全基线应写进每个客户交付：传输、头部、依赖、密钥、权限、备份与事件响应联系人。可上线把安全检查放进上线清单，与 SEO 检查并列。下文是可执行最小集，不是渗透测试替代。下文给出可落地的判断框架、分步清单与常见误区，便于上海及跨境团队在两到四周内推进，并把相关服务能力组合进同一交付节奏。
传输与主机
强制 HTTPS、HSTS（评估就绪后）、规范主机名、预发认证。证书监控到期。结合可上线探索→设计→开发→上线节奏，把该项写入验收与预发检查，避免口头对齐后遗漏。结合可上线（KSX Studio）探索→设计→开发→上线节奏，把该项写成可验收产物：负责人、完成定义、预发验证与回滚策略，避免口头对齐后再次发散。
安全头
CSP（逐步收紧）、Referrer-Policy、X-Content-Type-Options、Permissions-Policy 等按栈配置。记录例外脚本。结合可上线（KSX Studio）探索→设计→开发→上线节奏，把该项写成可验收产物：负责人、完成定义、预发验证与回滚策略，避免口头对齐后再次发散。
依赖与供应链
锁版本、漏洞扫描、减少无用客户端库。第三方标签走同意与子资源完整性（如适用）。结合可上线探索→设计→开发→上线节奏，把该项写入验收与预发检查，避免口头对齐后遗漏。结合可上线（KSX Studio）探索→设计→开发→上线节奏，把该项写成可验收产物：负责人、完成定义、预发验证与回滚策略，避免口头对齐后再次发散。
表单与反滥用
服务端校验、速率限制、垃圾防护、敏感字段最小化。成功页防重放。结合可上线探索→设计→开发→上线节奏，把该项写入验收与预发检查，避免口头对齐后遗漏。结合可上线（KSX Studio）探索→设计→开发→上线节奏，把该项写成可验收产物：负责人、完成定义、预发验证与回滚策略，避免口头对齐后再次发散。
CMS 与密钥
最小权限 token、轮换、不进前端包。预览链接有时效。离职回收账号。结合可上线探索→设计→开发→上线节奏，把该项写入验收与预发检查，避免口头对齐后遗漏。结合可上线（KSX Studio）探索→设计→开发→上线节奏，把该项写成可验收产物：负责人、完成定义、预发验证与回滚策略，避免口头对齐后再次发散。
内容与仿冒
关键公告渠道、品牌资产保护、客户官方域名列表。被仿站时的沟通模板。结合可上线探索→设计→开发→上线节奏，把该项写入验收与预发检查，避免口头对齐后遗漏。结合可上线（KSX Studio）探索→设计→开发→上线节奏，把该项写成可验收产物：负责人、完成定义、预发验证与回滚策略，避免口头对齐后再次发散。
事件响应最小集
谁在 1 小时内响应、如何轮换密钥、如何回滚发布。联系人写进交付文档。结合可上线探索→设计→开发→上线节奏，把该项写入验收与预发检查，避免口头对齐后遗漏。结合可上线（KSX Studio）探索→设计→开发→上线节奏，把该项写成可验收产物：负责人、完成定义、预发验证与回滚策略，避免口头对齐后再次发散。
可执行清单
- 1HTTPS/主机/预发认证确认
- 2安全头基线部署
- 3依赖扫描纳入 CI
- 4表单服务端校验与限流
- 5密钥与 CMS 权限审计
核心要点
- 营销站需要书面安全基线。
- 第三方脚本与表单是高频风险面。
- 响应联系人与回滚属于交付物。
常见问题
- 要 WAF 吗？
- 视威胁与合规；先做好基线与限流，再按风险加 WAF。
- 静态导出就安全吗？
- 减少服务端面，但仍有供应链、DNS、托管控制台与表单后端风险。
- 客户要插很多追踪码？
- 走标签治理与 CSP 例外清单；解释性能与安全成本。