地址、钥匙与门卫

星期天，傍晚六点。一切看起来都已就绪。在我协助的一家小公司的网站上，想要 PDF 的人必须留下电子邮箱，文件随后通过电子邮件发送。文章那边运作正常。音乐那边却不行：文件不需要向任何人提交任何信息就能直接下载。

程序本身没有错。错的是一把钥匙放的位置。它被留在了 101 号房间的保险箱里，而客人却在 102 号房间的前台要这把钥匙。

本文借助人人都熟悉的东西（一封信、一栋楼、一家酒店、一台自动取款机），讲清楚任何人在委托建设、设计或保护一个网站之前都需要明白的五个概念：地址、钥匙、门卫、盖章的凭条，以及出故障时往哪一边倒。最后，本文说明为什么这一切正是欧洲网络安全法律 NIS2 对企业提出的要求。

这是通讯《A Chave e o Porteiro》（钥匙与门卫）的第 1 期，用浅白的语言讲网络安全。文末我会说明它写给谁、怎么读，以及接下来几期的路线。

要点： 读这篇文章不需要懂计算机。只要您会寄信、会用自动取款机、会把外套寄存在衣帽间，就已经掌握了要点。

1. 地址：大楼、楼层和房间

您给祖母写信时，地址是从小写到大的：姓名、街道、楼层、城市、国家。邮递员则倒过来读：先看国家，再看城市，然后是街道，最后才是门牌。

互联网上的地址也是这样运作的。看看这个例子：artigos.exemplo.pt/musica/cancao/。

• .pt 是国家（或类别，比如 .com）。
• exemplo 是大楼。exemplo.pt 合在一起叫作域名：这是公司买下、别人不能使用的地址，就像在不动产登记处登记过的一块地。
• artigos. 是楼层，叫作子域名：同一栋楼里，一层有自己的门和门铃。它写在域名之前，用一个点隔开。
• /musica/cancao/ 是这一层里的房间，叫作路径，写在域名之后，用斜杠隔开。

表 1 把这几部分并排列出。

图 1 说明了什么。最上面是大楼 exemplo.pt。下面有四层：公司那一层（没有前缀）、作者文章那一层、一个数据面板，以及第二个面板。每一层旁边都有一个保险箱。放在一个保险箱里的东西，不会出现在其他保险箱里，就像酒店里 101 号房的保险箱，用 102 号房的密码打不开。这是好事：如果有人撬开了一个房间，其他房间依然锁着。但这也要求把每把钥匙都放进将要使用它的那个房间的保险箱。星期天，我们正是在这里出了错。

谁知道每一层在哪里？手机里的通讯录

在手机上，您点一下“妈妈”，手机就会拨出号码。您不必记住这个号码。在互联网上，这本通讯录叫作 DNS：当您输入 painel.exemplo.pt 时，DNS 会查出存放这一层的那台计算机的号码，并把您接过去。开设一个新楼层，就是在通讯录里添加一个联系人。

要点： 域名 = 大楼。子域名 = 楼层。路径 = 房间。DNS = 把名字变成号码的通讯录。

2. 动笔之前：建筑师的五个问题

没有人会从墙壁的颜色开始盖房子。首先要问：谁住在里面，从哪里进门，贵重物品放在哪里，谁拿着钥匙，发生火灾时从哪里出去。网站也是一样。

• 每一层是给谁用的？一类读者一层。公司网站、作者的文章和数据面板服务的是不同的人。如果都挤在同一层，一处施工就会打扰到其他人。
• 从哪里进门？每个页面只有一个正式地址。页面搬到别的房间时要留下通知，就像搬家时请邮局把信件转寄到新地址。在互联网上，这叫作 301 重定向：无论谁手里拿着旧地址，无论它写在 PDF、电子邮件还是旧帖子里，最终都会到达新地址。
• 什么要上锁？所有供人阅读的内容都开放，就像商店的橱窗。可以带回家的东西（一份 PDF、一个音乐包）交给留下电子邮箱的人，就像保修单只开给留下姓名的人。
• 钥匙由谁保管？绝不能是网站的代码。代码会被好几个人和工具读到，就像拿给施工方看的房屋图纸。把钥匙写进代码，就等于把家门钥匙贴在图纸上。
• 出故障时往哪一边倒？这是几乎没有人会问的问题。星期天让我们栽跟头的正是它，第 6 节专门讲它。

3. 钥匙：一个不属于任何人的密码

要以 [email protected] 的名义发送电子邮件，网站并不会步行去邮局。它把信件交给一个电子邮件发送服务，我们称之为邮局。邮局会给每封信盖上该域名的电子印章，好让 Gmail 或 Outlook 知道，这封信确实来自这家公司，而不是冒充者。

邮局不接受随便什么人的信。它要求一把钥匙：一长串字母和数字，就像一个特别长的密码。谁拿到它，谁就能以公司的名义寄信。所以它叫作秘密（密钥）。这是一个不属于某个人、而属于某个程序的密码。

好的密钥遵守四条规则，而这些规则在日常生活中早已存在。表 2 列出了它们。

• 只看一次。新银行卡的密码装在密封的信封里寄来；记住之后就把信扔掉。邮局的钥匙也只在创建的那一刻显示。丢了就不去要副本：重新生成一把，把旧的作废。门卫也是这样做的：钥匙存好之后，只显示为“加密值”，连主人自己也无法再读到。
• 只开需要开的东西。您把车交给酒店的代客泊车员时，给的是能发动汽车的钥匙，而不是能打开手套箱和后备箱的那把。我们的钥匙只做两件事：发送电子邮件和管理联系人。它们碰不到付款，也删不了账户。
• 有有效期。身份证和银行卡都有有效期。我们的钥匙有效期一年，如果长时间不用，还会提前失效。忘在抽屉里的钥匙，最终会自己作废。
• 一门一把。没有人用同一把钥匙开家门、车门和办公室的门。文章有一把钥匙，音乐有另一把。如果要作废其中一把，另一把照常工作。

为了生成新钥匙，邮局还要求输入一个由手机生成的六位数验证码。这和在自动取款机上一样：既要拥有银行卡，又要知道密码。这叫作双因素认证。偷到了密码却没有手机的人，只能被挡在门外。

要点： 密钥是给程序用的密码：只看一次，只开需要开的东西，有有效期，每扇门一把。要生成它，手机必须在您手上。

4. 门卫：酒店的前台

为网站提供托管和保护的服务，我们称之为门卫，它扮演的是酒店前台的角色。它接待所有人，不分时间、不分国家，并决定如何对待每一位访客。

• 把每个人要的房间给他，也就是页面。它在世界各地设有前台，存着页面的副本，好让页面在里斯本或圣保罗都能快速打开。
• 每个房间配一个保险箱。每一层都有一份“变量与密钥”清单，正在营业的酒店（生产环境）和排练用的房间（预览环境）各自分开。
• 有跑腿的员工：一些叫作“函数”的小程序，在客人提出特殊要求时开始工作，比如通过电子邮件接收一份 PDF。打开保险箱、使用钥匙的，正是它们。
• 在门口执行“家规”：更改地址的通知（301）、地址上的锁（HTTPS），以及每个页面可以加载、不可以加载的内容清单。

有一个细节不太好理解。更换保险箱里的东西，并不会立刻改变任何事情。只有网站重新发布之后，门卫才开始使用新钥匙。这就像给酒店换锁：前台重新设置之后，房卡才能开门。

要点： 门卫接待访客，每层保管一个保险箱，并有使用钥匙的员工。新钥匙要在网站重新发布之后才算数。

5. 盖章的凭条：PDF 如何通过电子邮件送达

想一想剧院的衣帽间。您寄存外套，拿到一张带编号、盖了章的凭条。散场时，交回凭条，取回外套。没有凭条就没有外套；而一张手画的、没有盖剧院印章的凭条，毫无用处。

通过电子邮件送达 PDF，就是一个衣帽间。图 2 展示了其中的七个步骤。

图 2 说明了什么。（1）读者点击“下载”。（2）弹出一个窗口，只要求填写电子邮箱；通讯为可选项，默认不勾选。（3）请求送到门卫的一名员工手里，他打开这一层的保险箱，取出邮局的钥匙。（4）这名员工准备好盖章的凭条：一个只对这一个文件有效、有效期七天的链接。（5）邮局发送电子邮件，并盖上该域名的印章。（6）读者点击邮件中的链接。（7）门卫核对印章，然后才交出文件。谁要是不拿凭条直接去找文件，就会被带回页面，并看到一条提示。

为什么没人能伪造印章：一步一步地算

印章是一串 32 个字符，由文件名、到期日期和一个只有门卫知道的密钥计算得出。每个字符可以是 64 个符号之一：26 个大写字母、26 个小写字母、10 个数字、连字符和下划线。

• 每个字符有 64 种可能。64 = 2 × 2 × 2 × 2 × 2 × 2 = 2⁶。用计算机的语言说，每个字符相当于 6 个“比特”（6 个是非题）。
• 32 个字符相当于 32 × 6 = 192 比特。
• 可能的印章数量是 2¹⁹²，约为 6.3 × 10⁵⁷：6 后面跟着 57 位数字。
• 设想有一台机器，每秒尝试十亿（10⁹）个印章，在凭条有效的 7 天里一刻不停。一周有 7 × 24 × 3,600 = 604,800 秒。总共是 604,800 × 10⁹ ≈ 6.0 × 10¹⁴ 次尝试。
• 猜中的概率是 6.0 × 10¹⁴ ÷ 6.3 × 10⁵⁷ ≈ 1 × 10⁻⁴³：零点后面跟 42 个零，然后才是一个 1。

打个比方：整个地球大约有 10⁵⁰ 个原子。可能的印章多到足以给 4,700 万个地球上的每一个原子编号。猜中正确的印章，就像闭着眼睛在这 4,700 万个地球中挑中唯一的一个原子。这比连续五周中欧洲百万彩票（EuroMillions）头奖的可能性还要小约 200 倍。

要点： 安全不是靠把文件藏起来，而是靠没有密钥就不可能猜中的印章，就像没有剧院印章的衣帽间凭条一样。

6. 往哪一边倒：星期天的教训

想一想两种门。电影院的紧急出口在停电时必须打开：不能让任何人被困在里面。铁路道口的栏杆在停电时必须落下：让汽车在外面等，好过让汽车停在铁轨上。前者故障时打开；后者故障时关闭。两者都没有错。错的是把它们弄反。

星期天，邮局的钥匙放在文章那一层的保险箱里。音乐在另一层，也就是公司那一层。一位读者申请音乐包时，那一层的员工打开自己的保险箱，没有找到钥匙，于是回答“电子邮件发送已关闭”。而那个窗口当初是按紧急出口设计的：为了不让读者空手而归，它直接把文件交了出去。一个表现得像紧急出口的保险箱。

我们纠正了两件事：

• 钥匙放进了正确的保险箱。公司那一层现在有了自己的钥匙，专门为它生成，权限同样只有两项，有效期也相同。
• 文件改为故障时关闭。如果邮件发不出去，文件也不会从别的门出去：读者会看到“暂时无法发送，请稍后再试。”没有盖章的凭条，门卫就不开门，即使对方知道文件名也一样。

过程中还出了两个差错，之所以讲出来，是因为它们最常见。第一，邮局有两种钥匙，就像有大门钥匙和信箱钥匙。它们看上去一样，开的却不是同一把锁。第二，当您不确定保存的钥匙对不对时，不要去猜。重新生成一把，马上放进保险箱，就像不知道谁有备用钥匙时干脆换锁一样。来历不明的钥匙不能用。

要点： 给人走的门，故障时打开。保险箱，故障时关闭。动手设计之前，先问清每扇门属于哪一种。

7. 那么，这和 NIS2 有什么关系？

NIS2 是欧洲的网络安全法律：欧洲议会和理事会 2022 年 12 月 14 日第 (EU) 2022/2555 号指令，关于在欧盟全境实现高水平共同网络安全的措施（中文译名为非官方译法）。在葡萄牙，它通过 Decreto-Lei n.º 125/2025, de 4 de dezembro（葡萄牙 2025 年 12 月 4 日第 125/2025 号法令）落地，即新的《网络安全法律制度》，自 2026 年 4 月 3 日起生效。负责监管的是 Centro Nacional de Cibersegurança（CNCS，葡萄牙国家网络安全中心）。

想一想机动车定期年检。有些车辆必须年检，有些则不必。但明白事理的人，即使法律没有要求，也会检查刹车。NIS2 也类似：它适用于其所列行业（能源、交通、卫生、供水、数字基础设施、信息技术服务、数字服务提供商等）中的“基本”实体和“重要”实体，一般不包括微型和小型企业。维护这些网站的公司是一家微型企业，原则上目前不受 NIS2 约束（这是技术结论，有待法律专业人士确认：该法令涵盖某些不论规模大小的实体，例如某些域名服务提供商和信任服务提供商）。

那么，为什么还要遵守？有三个理由。

• 因为这是好的工程，而且只要从一开始就做，几乎不花什么钱，就像装电线时顺手装上带接地的插座。
• 因为客户会提出要求。NIS2 要求受其约束的实体监督供应商的安全。医院早已要求餐饮供应商出示食品卫生证书。港口、能源运营商或医院，也会要求 IT 供应商拿出网络安全的证明。
• 因为总有一天会出问题。到了那一天，“钥匙放在正确的保险箱里，有有效期，权限最小”和“钥匙写在代码里”之间的差别，就是虚惊一场和一场灾难之间的差别。

该指令第 21 条第 2 款列出了十项措施，即 (a) 至 (j) 项。表 3 把它们与我们已经做到的和尚未做到的并排列出。这不是合规声明：这是一份诚实的进展盘点，可以当作工作清单使用。

对于受约束的实体，向 CNCS 报告重大事件有时限：发现后 24 小时内发出预警，72 小时内提交更新，影响结束后 30 个工作日内提交最终报告。这就像汽车保险：报案有期限。对基本实体的罚款最高可达 1,000 万欧元或全球营业额的 2%，以较高者为准。

图 3 说明了什么。系统所在的三座房子。左边是代码仓库：房屋的图纸，记录了所有施工的历史，好几个人都会看，所以里面不放任何秘密。中间是门卫：前台，每层一个保险箱。右边是邮局：它发放钥匙、保存联系人名单，并用域名的名字给信件盖章。箭头讲述的是一把钥匙的旅程：它在邮局诞生，由管理员亲手放进门卫的保险箱，从不经过图纸。进入每一座房子时，都应要求第二个因素，也就是手机上的验证码。

这些角色分别由谁来担任？供应商很多，分布在许多国家。表 5 为每个角色举了例子，方便读者遇到这些名字时能认出来。这些只是示例，按字母顺序排列，不构成推荐。

如何选择。不是看名字，而是看每家能保证什么：数据存放在哪里（欧盟境内还是境外，这在《通用数据保护条例》（GDPR）和 NIS2 中都很重要），登录时要求什么样的第二因素，以及能否设置权限最小、带有效期的钥匙。这就像选银行：重要的不是标志，而是保险库。

8. 我向主管机关提出的建议，以及它们为何依然重要

法律强制的和工程建议的，是两回事。葡萄牙的道路交通法规定限速 120 公里/小时，却没有规定雾天该开多快。这个判断留给驾驶员。

2026 年 4 月 14 日，在为落实 Decreto-Lei n.º 125/2025 而制定的规章公开征求意见期间，我向 CNCS 提交了十项建议，发表在文章《从规范合规到运营韧性：对新网络安全制度的 10 项建议》中。征求意见从 2026 年 3 月 10 日持续到 4 月 22 日，共收到 56 个机构和个人的意见。在 6 月发布的最终报告中，这十项建议全部被列为“Não acolhido”（不予采纳）。我在文章《新网络安全制度：还有哪些事没做》中做了总结。

只讲事实，不加形容词。CNCS 拒绝的理由有三点：规章已经规定了强制性的、全面的最低措施；对这些措施的核查遵循相称性原则；每个实体都可以根据自己的风险分析采取更严格的措施。十项建议中有六项（第 1、2、4、5、8、9 项）也有关键基础设施的运营商和制造商以不同的措辞提出过。有三项（第 6、7、10 项）只有我提出。而在一点上，即专业人员的培训（控制项 PR.FC-2，第 9 项建议的核心），文本最终因其他意见而作了修改。

这对本文的读者意味着什么？法律是地板，不是天花板。监管机构明确表示，超出最低要求是每家企业自己的决定。正是在这里，这十项建议重新派上了用场：不是作为法律，而是作为一份清单，列出一家细心的企业可以主动去做的事。表 6 用本文中的比喻解释了这些建议，并指出每一项与楼层和保险箱的例子有何关联。

值得强调的三点关联。

• 第 5 项建议修正了本文自身。手机上的六位数验证码不错，但不是最好的。假网站可以向您索要验证码，并在同一分钟内使用，就像有人听到了被大声念出的密码。实体安全钥匙和手机上的“通行密钥”（FIDO2 标准）就像家门钥匙：只能在真正的锁里转动，插进假门毫无用处。对管理员来说，这就是下一步。
• 第 6 项建议着眼于未来的保险箱。量子计算机一旦大规模出现，就能打开我们今天使用的某些锁：保护地址上那把锁的（HTTPS），以及信件上的印章（DKIM）。衣帽间凭条上的印章，用的是共享的秘密钥匙，抵抗力要强得多。知道自己有哪些锁，是及时更换它们的第一步：这叫作密码资产清单（盘点所用的加密算法）。
• 第 1 项建议是楼层的教训，放大到一个港口的规模。我们把网站分成不同楼层，每层都有自己的保险箱，这样一层被闯入，其他楼层也不会被打开。在港口或变电站，同样的思路把办公室（Wi-Fi、电子邮件）与操纵起重机、闸门和断路器的机器分开。病毒如果从电子邮件进来，就不能有一架楼梯通到机房。

要点： 法律是地板，不是天花板。监管机构没有强制要求的，依然是好的工程，每家企业都可以主动去做。

9. 放进口袋的要点

• 一个地址，多个楼层。一类读者一个子域名。每层都有自己的保险箱。
• 每个页面一个正式地址，每次变更都设置重定向（301）。已经发布的链接永远不会失效。
• 图纸上不放钥匙。钥匙放在使用它的那一层的保险箱里，权限最小，带有效期，生成时需要双因素认证。
• 保险箱故障时关闭。缺了一个环节，门就保持关闭，读者会收到清楚的提示。
• 法律是地板，不是天花板。强制性的最低要求是起点；其余的，根据每种故障的后果来决定。
• 上汤之前先尝一口。星期天的错误之所以被发现，只是因为有人像普通读者一样申请了一个音乐包。最后的测试永远是端到端的：申请、收到邮件、打开链接、试走捷径，然后看到门是关着的。

表 4 是一本袖珍词典，收录了本文用到的词语。

这一切并非小网站独有。港口、海底光缆登陆站或电网控制中心，遵循的是同样的逻辑：地址是公开的，门少且为人所知，每把钥匙只开该开的门，出故障时，就往安全的一边倒。

10. 这份通讯的路线

写给谁。写给不是专家却必须就安全做决定的人：小企业主、委托建设网站的管理者、其他领域的技术人员、教师和学生、公共部门的决策者。也写给那些想成为受法律约束者的供应商的企业：港口、能源运营商、医院、交通运输。

我们的承诺。每一期：一个概念，一个令人难忘的日常比喻，以及三件明天早上就能做的事。不说未经解释的行话，不谈政治，不用恐惧当论据：只讲事实，每一步计算都摆在明处。

每一期怎么读。每一期都有同样的七个部分，让读者随时知道自己读到了哪里：

• 故事：一个真实的案例，不提公司名称。
• 比喻：把概念与人人熟悉的事物相比较。
• 计算：如果有，就一步一步地算，如同手算。
• 法律怎么说：本期主题对应 NIS2 或 Decreto-Lei n.º 125/2025 的哪一项。
• 要点：用两句话讲清核心内容。
• 明天早上：三个具体行动，按难易程度排序。
• 提问：向读者提出一个问题，在评论区继续讨论。

“家规”。技术示例一律匿名，比如本期的 exemplo.pt，以免任何一期成为有心攻击他人者的地图。供应商只作为示例出现，混合排列，并按字母顺序排序。每一期先在网站上发布，PDF 可凭电子邮箱申请，然后再发到领英（LinkedIn）上讨论。每两周出一期。

接下来几期。表 7 列出了未来六个月可能的路线。它按照 NIS2 十项措施的顺序，逐一回顾我向 CNCS 提交的十项建议：从任何人在家就能做的事开始，到关键基础设施结束。

路线不是固定的。如果读者希望先讲某个主题，顺序就会调整。您希望在第 2 期看到什么主题？请在评论区告诉我们。

在 Grupo Aprecisa.com，我们在自己的网站上落实这五条规则，也帮助其他企业做到这一点：包括必须遵守 NIS2 的企业，以及希望成为合规企业供应商的企业。本文是通讯《A Chave e o Porteiro》（钥匙与门卫）的开篇：用浅白的语言讲网络安全，每两周一期。

方法说明

经核实的事实。第 21 条第 2 款的十项措施已对照第 (EU) 2022/2555 号指令文本核实（《欧盟官方公报》L 333，2022 年 12 月 27 日）。Decreto-Lei n.º 125/2025 的日期、报告时限和罚款已在两份独立的法律摘要（PLMJ 和 Cuatrecasas）中核实，生效日期在 ECIJA 中核实；如需作出任何法律决定，建议阅读葡萄牙《共和国公报》（Diário da República）上的官方文本。作者不是法律专业人士；本文属于技术性文章。

观察到的事实。2026 年 10 月 25 日发生的事件，电子邮件发送服务钥匙的权限、有效期以及因闲置而失效的情况，双因素验证，托管服务中按项目和按环境分隔密钥的做法，以及密钥必须重新发布才能生效这一点，都是作者当天在管理面板和端到端测试中直接观察到的。

签名的计算。签名使用 HMAC-SHA-256（一种带秘密密钥的签名函数），截取为 32 个 base64url 字符（64 个符号，每个 6 比特）：32 × 6 = 192 比特；2¹⁹² = 6.277 × 10⁵⁷。以每秒 10⁹ 次计算，7 天的尝试次数：7 × 86,400 × 10⁹ = 6.048 × 10¹⁴。概率：6.048 × 10¹⁴ ÷ 6.277 × 10⁵⁷ = 9.6 × 10⁻⁴⁴。与欧洲百万彩票的比较采用每注 1/139,838,160 的中奖概率：连续五周为 (1/139,838,160)⁵ ≈ 1.9 × 10⁻⁴¹，比猜中签名的可能性高约 200 倍。

与地球原子数的比较。采用地球约有 1.33 × 10⁵⁰ 个原子的通行估算：6.277 × 10⁵⁷ ÷ 1.33 × 10⁵⁰ ≈ 4.7 × 10⁷，即约 4,700 万个地球。这只是数量级，用来说明规模。

未公开的内容。出于安全考虑，本文不提供任何钥匙的值、账户标识或内部管理地址。

参考资料

1. Gaspar do Amaral — 从规范合规到运营韧性：对新网络安全制度的 10 项建议 (14/04/2026) — 在公开征求意见中提交的十项建议
2. Gaspar do Amaral — 新网络安全制度：还有哪些事没做 (25/06/2026) — 对 CNCS 公开征求意见报告的总结：10 项“不予采纳”，6 项与他方意见一致
3. Diretiva (UE) 2022/2555 (NIS2), artigo 21.º — Medidas de gestão dos riscos de cibersegurança — 第 21 条（网络安全风险管理措施）(a) 至 (j) 项原文（英语）
4. PLMJ — Transposição da Diretiva NIS 2: o novo Regime Jurídico da Cibersegurança — Decreto-Lei n.º 125/2025：适用范围、报告时限、罚款以及在 CNCS 的登记（葡萄牙语）
5. Cuatrecasas — Novo Regime Jurídico da Cibersegurança — Decreto-Lei n.º 125/2025 摘要：风险管理、多因素认证、加密（葡萄牙语）
6. ECIJA — Novo Regime Jurídico da Cibersegurança entrou em vigor em Portugal — 于 2026 年 4 月 3 日生效（葡萄牙语）

Gaspar do Amaral · 葡萄牙语原文发表于本站，日期为2026年10月26日；译本发布于2026年10月27日 · 图表 © Aprecisa.com · 借助人工智能