结论：多数中小企业官网并不强制做等保定级，但等保提出的基础安全动作应该全部落实

「做官网要不要过等保」是中小企业最常问又最容易被忽悠的问题。实际情况是：是否需要定级取决于系统性质与行业监管要求，多数纯展示、无交易的企业官网并不在强制定级范围内；但在招投标、政企采购、教育医疗等行业场景中，「已通过等保二级/三级」常被列为加分项甚至门槛。无论定不定级，等保要求里的基础安全配置（HTTPS、日志留存、备份、漏洞修复）都值得全做，成本不高、回报明确。具体定级义务建议咨询属地公安网安部门，以官方口径为准。

适用边界

本文面向以官网、小程序、内容型站点为主的中小企业，帮助理解等保分级与自查范围。涉及在线交易、个人敏感信息大规模处理、或行业有明确监管文件（金融、医疗、教育平台）的系统，应聘请专业测评机构评估，不要自行判断。

等级保护 1–3 级对比

口径说明：以上为市场常见区间，各地与各测评机构差异较大；是否定级、定几级，以系统定级报告与属地网安部门意见为准。

不定级也要做的六项基础安全配置

• 全站 HTTPS：免费 DV 证书即可，浏览器不再提示不安全，也是小程序与表单的前置条件。
• 日志留存不少于 6 个月：这是网络安全法的明确要求（相关主体），服务器访问日志与后台操作日志都应保留。
• 定期备份与恢复演练：数据库每日备份、保留 7–30 天，每年至少演练一次恢复。
• 漏洞与弱口令治理：上线前做一次漏洞扫描，后台强制强密码与改默认路径。
• 最小权限：后台账号按角色分配权限，离职人员账号当天停用。
• 挂马与篡改监控：首页被篡改是最常见的安全事件，可用监控工具做可用性与篡改告警。

招投标场景的加分姿势

政企与教育客户的招标文件常出现「具备等保二级及以上」或「完成信息系统安全等级保护备案」的要求。如果贵司近期有投标计划，建议提前 3 个月启动定级备案与测评流程，避免临时抱佛脚。这部分投入同时能换取客户信任——在安全问题上，「有第三方背书」远比口头承诺有效。

下一步

基础安全层面可以先按企业网站安全加固清单：十个低成本高回报的动作自查一遍；需要托管环境配合日志与备份策略的，见网站托管服务价格表。等保定级与测评请以属地网安部门与持证测评机构的意见为准。