電商網站資安與法規總整理：HTTPS、PCI DSS、個資法、七天猶豫期與詐騙防範

對網路商店來說，電商網站資安出事的代價特別高：被植入惡意程式碼偷走信用卡資料、會員資料外洩後顧客接到假客服電話、後台帳號被盜改價格。這些事一旦發生，損失的不只是金錢，還有花了好幾年累積的信任。

很多老闆以為「網址有鎖頭就安全了」，或是「用開店平台就不用管資安」。這篇文章依據 PCI 安全標準委員會（PCI SSC）、OWASP 等國際組織的官方資料，以及台灣消費者保護法、個人資料保護法的條文，把電商網站要注意的技術資安與法規義務整理成一份實務清單。

先分清楚：平台幫你做了什麼，你還要做什麼

資安責任要看你的架站方式而定：

架站方式	平台通常負責	商家仍要負責
開店平台（Shopify、SHOPLINE 等）	主機、平台程式更新、結帳頁安全	後台帳號權限、第三方 App、自訂程式碼、個資與客服流程
自架（WooCommerce 等）	幾乎沒有	主機、程式與外掛更新、備份、防火牆、全部的資安
無頭或客製開發	依合約與架構而定	前台程式、API 金鑰、串接安全

不論哪種方式，帳號管理、員工權限、個資處理流程與消費爭議處理都是商家自己的責任，沒辦法外包給平台。

基本功：HTTPS 與帳號安全

全站 HTTPS

HTTPS 會加密瀏覽器和伺服器之間的傳輸，防止資料在途中被竊聽或竄改。現在主流瀏覽器會對沒有 HTTPS 的網頁顯示「不安全」，對要輸入會員密碼、地址、電話的電商網站，全站 HTTPS 是最低門檻。檢查重點：

所有頁面都強制導向 HTTPS，沒有混合內容（HTTPS 頁面載入 HTTP 圖片或程式）
憑證自動續期，不要等到過期才發現
舊的 HTTP 網址正確 301 轉址，避免影響 SEO

但要記住：鎖頭只代表傳輸有加密，不代表網站本身沒有漏洞，也不代表對方是正派商家。

後台帳號

很多入侵事件不是駭客技術高超，而是後台密碼太弱或被重複使用。基本要求：

管理員帳號一律開啟多重要素驗證（MFA）
每位員工各自一組帳號，依職務給最小權限，離職立即停用
不在公用電腦登入後台，定期檢視登入紀錄
第三方 App、外掛只安裝必要的，不用的就移除

更完整的網站維運與資安日常，可以參考網站維護與資安指南。

PCI DSS：收信用卡就要知道的國際標準

PCI DSS（支付卡產業資料安全標準）是由 PCI 安全標準委員會發布、用來保護持卡人資料的國際標準。只要儲存、處理或傳輸信用卡資料，就在適用範圍內，實際驗證要求由收單機構或卡組織依商家規模決定。

依 PCI SSC 官方部落格（2024 年 6 月）：

PCI DSS v4.0.1 於 2024 年 6 月發布，屬於有限度修訂，修正格式與文字、釐清部分要求的意圖，沒有新增或刪除要求。
v4.0 於 2024 年 12 月 31 日退役，之後 v4.0.1 是唯一有效版本（截至 2026 年 10 月查詢，請以 PCI SSC 文件庫為準）。
v4.0 中原本標示為「未來生效」的新要求，自 2025 年 3 月 31 日起生效。

對中小電商最重要的一點：別讓卡號經過你的伺服器

台灣多數中小電商是串接第三方金流（綠界、藍新、各銀行刷卡頁等），或使用開店平台內建的結帳。這種把刷卡頁交給合規金流服務商的做法，可以大幅縮小你需要負責的範圍。PCI DSS 有給商家使用的自我評估問卷（SAQ），其中 SAQ A 適用於把卡片處理完全外包的電商。

PCI SSC 在 2025 年 1 月宣布更新 SAQ A：把付款頁面安全相關的要求 6.4.3、11.6.1（以及配套的 12.3.1）從 SAQ A 移除，改為新增一項資格條件，要求商家確認自己的網站不容易受到可能影響電商系統的腳本攻擊。官方也強調，這是驗證方式的調整，底層要求並沒有被取消；商家應向收單機構或金流服務商確認自己的驗證要求。

白話來說：就算刷卡頁不在你的網站上，如果你的網站被植入惡意腳本、把顧客導到假的付款頁，還是會出事。所以網站本身的程式碼安全仍然重要。

網站常見弱點：參考 OWASP Top 10

OWASP（開放式網路應用程式安全計畫）定期發布網站應用程式最常見的十大風險。最新的 OWASP Top 10:2025 依序為：存取控制失效、安全設定錯誤、軟體供應鏈失效、加密機制失效、注入攻擊、不安全的設計、身分驗證失效、軟體或資料完整性失效、安全記錄與警示失效、例外狀況處理不當。

對電商來說，幾個最貼近的情境：

OWASP 類別	電商常見情境	對策
存取控制失效	改網址上的訂單編號就能看到別人的訂單	每個請求都在伺服器端檢查權限
安全設定錯誤	預設管理員帳號、測試頁未關、錯誤訊息洩漏系統資訊	上線前檢查設定、關閉除錯模式
軟體供應鏈失效	外掛、佈景主題或第三方腳本有漏洞或被植入惡意程式	只用可信來源、定期更新、盤點第三方腳本
注入攻擊	搜尋框、表單被注入惡意指令	使用參數化查詢、輸入驗證
身分驗證失效	撞庫攻擊盜用會員帳號	登入限速、異常登入通知、鼓勵 MFA

第三方腳本特別值得注意。電商網站常裝了追蹤碼、客服工具、評價外掛、熱點分析等十幾支腳本，每一支都是潛在入口。建議至少每季盤點一次，移除不用的，並確認付款相關頁面只載入必要的程式。

台灣法規：個資法與消保法的通則

以下只整理確定的通則，具體個案請諮詢律師或主管機關。

個人資料保護法

蒐集要告知：蒐集會員資料時，應告知蒐集目的、資料類別、利用方式等事項，隱私權政策要清楚易找。
安全維護義務：個資法要求保有個人資料檔案的非公務機關，應辦理安全維護事項，防止個資被竊取、竄改、毀損、滅失或洩漏。
外洩要通知：知悉所保有的個資被竊取、洩漏等情形時，應通知當事人。
行銷可拒絕：利用個資行銷時，當事人表示拒絕接受行銷，就應立即停止。

個資法於 2025 年 11 月再度修正，部分條文的施行日期由行政院另定（2026 年 10 月查詢全國法規資料庫）。實務細節，例如通報的方式與期限，請以主管機關最新公告為準。

消費者保護法：通訊交易的七天猶豫期

網路購物屬於消保法所稱的「通訊交易」。消保法規定，通訊交易的消費者收受商品後七日內，可以退回商品或以書面通知解除契約，無須說明理由，也不用負擔任何費用或對價。這常被稱為「七天鑑賞期」，但正確概念是猶豫期：讓消費者有時間考慮，不是試用期，商品仍應保持可退回的狀態。

另外，消保法也要求企業經營者以通訊交易訂立契約時，要以清楚易懂的文字提供企業名稱與聯絡方式、商品內容與價格、付款與交貨方式、解除契約的方式與期限、消費申訴處理方式等資訊，網路交易要以消費者可完整查閱並保存的電子方式提供。

部分商品屬於主管機關公告的合理例外情事（例如易於腐敗、依消費者要求客製化的商品等），可以不適用七天解除權，但必須在交易前明確告知消費者，不能事後才主張。哪些商品屬於例外，請依主管機關最新規定確認。

詐騙防範：保護顧客，也保護品牌

台灣電商最常見的詐騙之一，是歹徒冒充商家客服，以「訂單設定錯誤」「重複扣款」為由，要求顧客操作 ATM 或網路銀行。這類詐騙常利用外洩的訂單資料，讓顧客信以為真。商家可以做的事：

在訂單確認信、出貨通知、網站頁尾明確寫出「我們不會要求您操作 ATM 或提供網路銀行驗證碼」
限制客服與出貨人員能看到的個資欄位，例如部分遮蔽電話與地址
建立官方客服管道清單（官網、LINE 官方帳號），提醒顧客只透過這些管道聯繫
一旦發現疑似個資外洩，依法通知當事人，並在官網公告防詐提醒

另一面是商家自己被騙，例如盜刷卡下單、假冒買家要求改寄地址。可以搭配金流服務商提供的 3D 驗證與風險控管、對高金額或異常訂單人工確認。清楚的退換貨政策與防詐提醒本身也是一種信任訊號，可參考網站信任感設計。

電商資安與法規檢查清單

全站 HTTPS、憑證自動續期、無混合內容
後台帳號開啟 MFA，依職務給最小權限，離職立即停用
刷卡交給合規金流服務商，向收單機構確認 PCI DSS 驗證要求
定期更新平台、外掛與佈景主題，每季盤點第三方腳本
定期備份並實際演練還原
隱私權政策、個資告知、取消行銷訂閱機制齊全
退換貨政策清楚載明七天解除權與例外商品，於交易前告知
訂單信與網站明確提示防詐資訊，客服個資欄位遮蔽
建立資安事件應變流程：誰負責、怎麼通知顧客、怎麼對外說明

資安與法規是電商網站的地基，平台選擇、金流物流與上線行銷的完整規劃，可參考電商網站架設完整指南。

常見問題

用開店平台架站，還需要擔心 PCI DSS 嗎？

多數開店平台的結帳由平台或金流服務商處理，商家需要負責的範圍較小，但不是完全沒有。仍要管好後台帳號、第三方 App 與自訂程式碼，並向收單機構或金流服務商確認自己需要提交的驗證文件。

七天鑑賞期是不是可以試用七天？

不是。消保法給的是通訊交易的猶豫期，讓消費者在收到商品後七天內可無理由解除契約，目的是彌補網購無法事先檢視商品的不便，並不是試用期。商品仍應保持可退回的狀態，細節依個案判斷。

所有商品都適用七天內無條件退貨嗎？

不一定。主管機關公告了一些合理例外情事，例如易腐敗或依消費者要求客製化的商品等，可以排除七天解除權，但商家必須在交易前清楚告知。若沒有事先告知，就可能無法主張例外。

網站被駭或個資外洩，第一步該做什麼？

先止血：變更所有管理員密碼、隔離受影響的系統、保留紀錄。接著評估外洩範圍，依個資法通知受影響的顧客，並在官網與官方客服管道發布防詐提醒，必要時尋求專業資安團隊與法律協助。

結語：把資安當成持續的營運工作

電商資安不是一次設定就結束的專案，而是像盤點庫存一樣需要定期做的營運工作。先把 HTTPS、帳號權限、刷卡外包與防詐提醒這些基本功做好，就能擋下大部分常見風險。

如果你的商店是自架或客製開發，不確定現在的安全狀況，網軍行銷的電商網站建置服務可以協助檢視網站架構、外掛與第三方腳本，並把法規要求的資訊整合進網站設計中。

參考資料

PCI Security Standards Council，Just Published: PCI DSS v4.0.1：https://blog.pcisecuritystandards.org/just-published-pci-dss-v4-0-1
PCI Security Standards Council，Important Updates Announced for Merchants Validating to Self-Assessment Questionnaire A：https://blog.pcisecuritystandards.org/important-updates-announced-for-merchants-validating-to-self-assessment-questionnaire-a
OWASP，OWASP Top 10:2025：https://owasp.org/Top10/2025/
全國法規資料庫，消費者保護法：https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=J0170001
全國法規資料庫，個人資料保護法：https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=I0050021

電商網站資安與法規總整理：HTTPS、PCI DSS、個資法、七天猶豫期與詐騙防範

先分清楚：平台幫你做了什麼，你還要做什麼