「我們只是小公司，網站又沒有什麼重要資料，誰會來駭？」這是很常見的想法。但很多網站被入侵，不是因為被特別盯上，而是被自動化程式大量掃描時，剛好找到一個沒更新的外掛、一組太簡單的密碼。
網站出事的代價，通常不是資料被偷這麼戲劇化，而是更日常的麻煩：首頁被換成奇怪的內容、搜尋結果出現賭博或藥品的連結、Google 顯示安全警告讓客人不敢點、網域忘了續約網站整個打不開。
好消息是，中小企業官網要顧的事情不多。這篇整理 6 件基本功，每件事怎麼檢查、由誰負責，最後是網站真的出事時的處理順序。
動手之前，先分清楚哪些是你的責任、哪些是廠商的。網站安全的分工，取決於網站是怎麼架的：
| 架站方式 | 主機和系統更新 | 你要顧的 |
|---|---|---|
| 自架 WordPress | 你或你請的維護廠商 | 6 件事全部 |
| 架站平台（Wix、Shopify 等） | 平台負責 | 帳號、網域、備份、表單 |
| 請網頁設計公司代管 | 依合約，通常是廠商 | 帳號、網域，並確認合約內容 |
不管哪一種，帳號和網域永遠是你自己要顧的。廠商可以幫你更新系統，但沒辦法替你保管密碼，也沒辦法替你記得網域何時到期。
1. HTTPS 與憑證：網址列要有鎖頭
HTTPS 讓訪客和網站之間的連線加密，網址開頭是 https://，瀏覽器網址列會顯示鎖頭。現在幾乎是網站的基本配備，而且越來越重要：Google 在 2025 年 10 月宣布，Chrome 154（2026 年 10 月）起會預設開啟「一律使用安全連線」，訪客第一次造訪沒有 HTTPS 的公開網站前，Chrome 會先跳出提醒、詢問是否繼續。
要檢查的事：
- 網站每一頁的網址都是
https:// - 輸入
http://開頭的網址，會自動轉到https:// - 憑證會自動續期，不會哪天突然過期
憑證是什麼、免費和付費差在哪，可以參考本批〈SSL 憑證是什麼？〉。
2. 帳號與密碼：一人一個帳號，開兩步驟驗證
後台帳號是最常被突破的地方。要顧好的不只是網站後台，還包括網域商、主機、Email、Google 帳號，只要其中一個被盜，網站就可能被接管。
一人一個帳號
不要全公司共用一組帳號密碼。每個人有自己的帳號，權限依工作需要設定，例如負責發文章的同事，不需要能改網站設定。有人離職或合作結束，直接停用他的帳號，不用改全公司的密碼。
密碼長一點，比複雜更重要
美國國家標準暨技術研究院（NIST）2025 年 8 月發布的數位身分指南修訂版，建議單獨使用密碼登入時，密碼至少 15 個字元，並且不要求一定要混合大小寫和符號，也不要求定期更換，只有在疑似外洩時才更換。實務上可以這樣做：
- 用一句容易記、但別人猜不到的長句子當密碼
- 每個網站用不同的密碼，不要跟其他服務共用
- 用密碼管理工具產生和保存密碼
開啟兩步驟驗證
登入時除了密碼，還要輸入手機上的驗證碼或用手機確認。就算密碼外洩，別人也很難登入。Google 帳號、網域商、Email 都建議開啟；網站後台如果支援，也一起開。
AI 連線也是帳號
如果網站後台有接 AI 助理，那組連線金鑰的權限可能跟後台帳號一樣大。要知道哪些人、哪些 AI 工具拿著金鑰，不用的就停用。
3. 系統與外掛更新：沒用的就刪掉
軟體的漏洞被公開後，攻擊程式會大量掃描還沒更新的網站。Google 搜尋中心〈如何防範惡意軟體感染〉（2025-12-18 更新）的建議是：隨時安裝最新的軟體更新和修補程式，並把網站使用的所有軟體和外掛列成清單，追蹤版本和更新狀況。
自架 WordPress 的網站，這一項最需要注意：
- 系統、佈景主題、外掛都要更新，不只是 WordPress 本身
- 沒在用的外掛和佈景主題直接刪除，停用不代表安全
- 不要裝來路不明的付費外掛「免費版」，這類檔案常被加料
- 更新前先備份，更新後打開網站確認功能正常
使用架站平台或代管系統的網站，系統更新通常由平台或廠商負責。你要做的是確認合約或方案裡有寫清楚這件事，以及網站上另外加裝的外部工具，有沒有人在管。維護費用通常包含哪些項目，可以參考〈網站維護費用怎麼算？〉。
4. 備份與還原：要確認「救得回來」
備份是最後一道防線。網站被駭、改壞了、誤刪了內容，有備份就能回到出事前的狀態。
要問清楚的不是「有沒有備份」，而是這幾件事：
- 多久備份一次、保留多久：每天、每週？保留 7 天還是 30 天？被入侵後常常過一陣子才發現，保留期太短可能所有備份都已經被感染。
- 備份放在哪裡：跟網站放在同一台主機上的備份，主機出事時可能一起消失。
- 怎麼還原、要多久：是自己在後台按一下，還是要找廠商處理？
- 有沒有實際還原過：沒試過的備份，不一定救得回來。
另外，網站上的重要內容，例如文章原稿、商品資料、高解析度照片，建議自己也留一份。網站系統的備份，跟你自己手上的資料，是兩件事。basedot 做的網站是全託管、自動備份，形象官網和電商網站保留 14 天。
5. 網域與 DNS：網站的地址不能弄丟
網域是網站的地址。網域過期，網站和公司 Email 會一起停擺；網域商帳號被盜，別人可以把你的網站導到其他地方。
- 網域登記在公司名下，網域商帳號由公司自己掌握，不要只在廠商手上
- 開啟自動續約，並確認綁定的信用卡沒過期、續約通知寄到有人看的信箱
- 網域商帳號開啟兩步驟驗證
- 知道 DNS 設定在哪裡、誰能修改：DNS 決定網域指向哪台主機、Email 寄到哪裡，改錯了網站和信箱都會出問題
網域和主機為什麼最好在自己名下，可以參考〈網域和主機該誰買？〉。
6. 表單與釣魚信：最常見的攻擊是騙人
表單垃圾訊息
網站表單常被機器人灌入大量廣告留言，夾在其中的真實詢問很容易被漏掉。如果垃圾留言變多，可以和網站廠商討論加上防機器人驗證。另外，表單只收必要的欄位，用不到的個人資料不要收，收了也要知道存在哪裡、誰看得到。
冒充的通知信
很多入侵不是靠技術，而是騙人交出密碼。常見的手法包括：假裝網域即將到期、要你點連結續約；假裝 Google 或平台通知帳號異常、要你重新登入；假裝客人詢價，附件卻是惡意程式。
處理原則很簡單：收到要你登入或付款的信，不要直接點信裡的連結，自己打開網域商或平台的網站登入確認。有疑問的，先打電話問網站廠商。
網站出事了，照這個順序處理
如果發現首頁被竄改、搜尋結果出現奇怪的內容，或 Google 顯示安全警告：
- 先改密碼：網站後台、主機、網域商、相關 Email，全部換掉，並登出所有裝置。
- 通知網站廠商或平台：說明發現了什麼、什麼時候發現的，截圖留存。
- 找出原因、清除問題：由廠商或技術人員處理，必要時從備份還原到出事前的版本。
- 確認漏洞已經補上：更新系統和外掛、移除可疑帳號，不然還原後可能再被入侵。
- 檢查 Search Console：Search Console 的「安全性問題報告」會列出 Google 偵測到的問題，例如遭入侵的內容、惡意軟體、社交工程。所有網頁都修正之後，在報告中選擇「要求審查」，Google 說明審查通常需要數天到數週。
平常就要確認 Search Console 的通知信寄到有人在看的信箱，問題才能早點發現。Search Console 的其他報表，可以參考本批〈Google Search Console 教學〉。
網站安全常見問題
小公司的網站真的會被駭嗎？
會。很多攻擊是自動化程式大量掃描，看的是有沒有漏洞，不是公司大小。沒更新的外掛、共用的弱密碼，是最常見的入口。
用架站平台做的網站，就不用擔心安全嗎？
平台會負責主機和系統的安全更新，這部分確實省心。但帳號密碼、兩步驟驗證、網域續約、釣魚信，還是要自己顧。平台再安全，密碼被騙走一樣會出事。
網站安全要每天檢查嗎？
不用。每個月花 10 分鐘就夠了：看一下後台帳號清單有沒有該移除的人、確認網域到期日、翻一下 Search Console 有沒有提醒。這些可以跟每月的網站例行工作一起做，參考〈網站上線後每個月要做什麼？〉。
裝了 HTTPS，網站就安全了嗎？
不是。HTTPS 保護的是訪客和網站之間的連線，讓資料在傳送過程中不被偷看，但不能防止後台密碼被盜，也不能修補系統漏洞。它是 6 件事裡的第一件，不是全部。
結論：安全是基本功，不是大工程
中小企業官網的安全，不需要昂貴的資安方案，而是把 6 件基本功顧好：HTTPS 正常、帳號一人一個並開兩步驟驗證、系統和外掛有人更新、備份確認救得回來、網域在自己名下且會自動續約、對釣魚信保持警覺。
先釐清哪些由廠商負責、哪些由自己負責，再把自己的部分排進每個月的例行檢查。真的出事時，照著順序處理，損失就能降到最低。
有架設網站的需求，歡迎跟 basedot 網頁設計聯繫。
