公司網站被入侵前該做的幾件事：中小企業的資安盤點與應變順序

多數中小企業對網站資安的印象是「我們又沒什麼好偷的」。實際情況是，大部分入侵根本不針對你——自動化程式全天掃過整個網際網路，找有已知漏洞的版本、猜得到的密碼、忘記關掉的後台，成功了就拿去塞廣告頁、寄垃圾信、挖幣或當跳板。被看上的不是你的商業機密，是你的主機資源與網域信譽。好消息是，防這類攻擊不需要昂貴的設備，需要的是把幾件基本功做完並且維持住。投入多少可以依網站性質決定：純形象站最壞情況是重新部署一次，有會員或收集個資的站要多一層存取控制與日誌，有收款或串接金流的站就該當成正式系統對待。

先盤點入口與鑰匙，再談工具

• 網域與 DNS：註冊商帳號在誰手上、有沒有開兩步驟驗證、到期日是否自動續約。網域被奪走或 DNS 被改掉，後面的網站內容再乾淨也救不回來。
• 主機與連線方式：SSH 或 FTP 帳號有幾組、是否還允許用密碼登入、主機控制台有哪些人能進。
• 應用層：CMS 版本、外掛與主題清單（含停用但沒刪掉的）、後台管理員名單。外掛是中小企業網站最常見的入口。
• 資料與備份：資料庫在哪裡、備份存在哪裡、最後一次成功還原是什麼時候。
• 第三方與外包：曾經給出去的帳號（設計、行銷、前一家維護商）、串接用的 API 金鑰、表單與分析服務。結案或離職後沒收回的權限，是最容易被忽略的一條路。

被入侵前最值得做的幾件事

• 兩步驟驗證與不共用帳號：註冊商、主機控制台、CMS 後台、公司郵件這四個先開。每個人一組帳號，離職就停用——共用一組 admin 會讓事後完全查不出是誰做了什麼。
• 固定的更新節奏：把 CMS、外掛與主機系統更新排成每月固定時段，先在測試環境跑過再上線。因為怕更新弄壞網站而長期不更新，等於把已經公開的漏洞一直留在門口。
• 最小權限：負責發文的人不需要安裝外掛的權限，行銷外包不需要主機 SSH。權限開太大時，一個被盜的帳號就等於整台主機。
• 真的能還原的備份：異地保存，至少一份離線或不可覆寫，而且檔案與資料庫都要在內。每季挑一次做還原演練，沒有驗證過的備份只是心理安慰。
• HTTPS 與憑證自動續約：憑證過期會讓瀏覽器直接把訪客擋在門外，而這類中斷幾乎都是忘記續約，不是被攻擊。順手把後台限定 HTTPS、開啟 HSTS。
• 把不需要的東西關掉：停用的外掛要刪掉、測試站與舊版目錄不要留在正式主機、資料庫匯出檔與 .env 絕對不能放在網站根目錄——放在那裡等於開放下載。
• 留得下日誌與基本監控：存取與錯誤日誌至少保留一段時間，再加上可用性與檔案變動通知。出事時沒有日誌，只能猜。

主機商負責到哪裡，你負責哪裡

這條界線沒講清楚，出事時雙方都會以為對方有做。共享主機通常幫你更新作業系統與網頁伺服器，但 CMS、外掛與你自己的程式碼一律是你的責任；同一台機器上還有別人的網站，鄰居被入侵有機會波及你。VPS 或雲端主機給你完整控制權，代價是作業系統更新、防火牆與 SSH 設定全部自己來——不少人以為搬上雲就比較安全，實際上是把責任整包接回自己身上。託管型平台（含 PaaS 與託管型 WordPress）管得最多，但簽約前要問清楚三件事：備份含不含資料庫、能不能自己下載、出事時能不能拿到原始日誌。把這三個答案留成書面紀錄，比事後爭論有用。

最常被忽略的幾個錯誤

• 把後台網址改掉當成安全措施：改掉路徑可以減少雜訊，但擋不住真的在找漏洞的程式。它是裝飾，不是鎖。
• 所有服務共用一組密碼：任何一處外洩，攻擊者會直接拿去試註冊商與主機。密碼管理工具的成本遠低於一次重建網站。
• 備份跟網站放在同一台主機：主機被刪或被加密，備份一起沒了。勒索軟體第一件事就是找備份。
• 裝了十幾個外掛卻沒人盤點：功能重複、作者早已停止維護的外掛就是現成入口。網站內建功能能做到的事，不要為它多裝一個外掛。
• 登入與表單沒有任何速率限制：被自動化猜密碼或灌垃圾訊息不只是煩，也會吃掉主機資源，還可能讓你的網域被郵件服務標記。
• 以為網站重做就自動變安全：新站上線卻沿用舊帳號、舊 DNS 設定與舊主機權限，問題會原封不動跟過來。

真的出事了，處理順序

• 先保留現場：複製一份日誌與受影響的檔案再動手清理。急著把被改過的檔案刪掉，等於刪掉唯一能找出入口的線索。
• 止血：必要時把網站暫時下線或切到維護頁，避免持續散播惡意內容，被瀏覽器與搜尋引擎標記之後要花更久才洗得掉。
• 全面換憑證：後台、資料庫、SSH／FTP、API 金鑰、註冊商與郵件密碼全部換一輪，並檢查有沒有被新增的管理員帳號或排程工作。
• 從乾淨的備份還原，而不是逐一清理：先確認那份備份的時間早於最初的入侵跡象，把漏洞修掉才重新上線，否則同一個洞會在幾天內被再走一次。
• 評估通報義務：若涉及客戶個資或付款資料，要依規定處理通知事宜，不是悄悄修好就算了。這部分建議讓法務或合規確認。

資安沒有做完的一天，但也不必一次做到完美。把帳號收攏、開好兩步驟驗證、排定更新節奏、確認備份真的還原得回來——這四件事做完，就擋掉絕大多數自動化攻擊，剩下的再依網站性質逐步補強。如果你不確定現在的網站與主機處於什麼狀態，或手上有幾組帳號已經不知道還在誰那裡，浮石數位可以協助做一次盤點與風險檢視，排出該先修哪幾項，也可以把更新與備份的例行工作接下來。