由 dawei 隐蔽的Cookie陷阱：许多网站默认启用第三方广告追踪脚本，却未弹出合规弹窗或提供明确拒绝选项。GDPR与《个人信息保护法》均要求“主动勾选+逐项授权”，而非默认同意+模糊表述，一旦被用户截图举报，单次违规最高可罚年营收5%。
备案信息“挂羊头卖狗肉”：首页底部仅放置过期ICP备案号，或链接跳转至无关页面；更常见的是将“京ICP备XXXXX号”误写为“京ICP证XXXXX号”。监管部门巡查时，页面备案信息必须实时可验、真实有效、与主体完全一致。
隐私政策成“装饰品”：文档照搬模板，未列明数据收集的具体字段（如手机号、设备ID）、共享对象（如微信SDK、支付宝SDK）、保留期限（如“日志留存6个月”），甚至未注明DPO联系邮箱。用户有权索要完整清单，缺失即属违法。
AI渲染图，仅供参考
SSL证书“带病上岗”：使用自签名证书、证书域名不匹配、过期未续签——这些不仅触发浏览器红色警告，更使HTTPS加密形同虚设。等保2.0明确要求生产环境必须使用受信任CA签发的有效证书。
第三方组件失控：嵌入的百度统计、友盟SDK未做合规改造，自动上传用户IP、地理位置、浏览轨迹；开源插件含隐蔽挖矿脚本或远程执行漏洞。运维团队往往只关注功能可用，忽视代码级安全审计。
日志留存“裸奔式存储”：服务器访问日志、操作日志长期明文存于本地，未脱敏（如保留完整身份证号、银行卡号）、未加密、无访问权限控制。一旦泄露，直接违反《网络安全法》第21条强制留存要求。
应急响应形同虚设：从未演练过勒索攻击或数据泄露场景，应急预案停留在Word文档里。监管要求72小时内向网信部门报告数据泄露事件，而多数团队连日志溯源路径都画不出来，错过黄金处置窗口。