官網維護與資安指南：HTTPS、更新、備份與 WordPress 外掛管理一次看
文章目錄
很多企業的官網，是在幾年前請人架好之後就沒人管了：後台密碼是當年工程師設的、外掛顯示有十幾個待更新、上一次備份是什麼時候沒人知道。直到某天客戶反映「你們網站跳出奇怪的廣告」，或是 Google 搜尋結果出現警告，才發現網站早就被入侵。官網維護不是額外的開銷，而是保護品牌信譽與客戶資料的基本責任。
這篇文章以 WordPress.org 官方的安全與備份文件為主軸，加上 web.dev、Google Search Central 的資料，整理中小企業官網最需要做好的五件事，以及一份每月可以照著跑的維護清單。雖然以 WordPress 為例，大部分原則也適用於其他網站系統。
一、全站 HTTPS：不只是網址前面多一個 s
web.dev 的〈Why HTTPS matters〉開宗明義建議：所有網站都應該用 HTTPS 保護，即使網站沒有處理敏感資料。 原因包括：
- 完整性：防止傳輸過程被竄改，例如有人在網頁中插入廣告或惡意程式
- 隱私：防止被動竊聽；就算是一般頁面，大量瀏覽紀錄也可能透露使用者的行為
- 新功能的前提：許多瀏覽器功能，例如定位、相機麥克風存取、Service Worker 與 PWA，都要求在 HTTPS 下才能使用
在搜尋方面，Google Search Central 的「網頁體驗」文件把「網頁是否以安全的方式提供」列為自我檢查項目之一，並可在 Search Console 查看 HTTPS 報告。目前多數主機商都提供免費的 SSL 憑證，申請並不困難。
導入時要注意：
- 所有 http 網址都要 301 轉址到 https，並統一 www 或非 www 的版本
- 檢查混合內容：頁面是 https，但圖片或程式碼仍用 http 載入，瀏覽器會警告或直接封鎖
- 憑證到期前自動續約，憑證過期時瀏覽器會顯示全頁警告，等於網站暫停營業
如果是在改版時順便從 http 換成 https，網址對照與轉址規劃請參考網站改版不掉排名。
二、更新：核心、佈景主題、外掛都要跟上
WordPress.org 的〈Hardening WordPress〉提醒，舊版本不會再收到安全修正，保持更新是最基本的防線。實務上有三層要顧：
| 項目 | 風險來源 | 建議做法 |
|---|---|---|
| WordPress 核心 | 舊版已知漏洞 | 保持在官方支援的版本 |
| 佈景主題 | 過時或來源不明的主題 | 只用官方目錄或信任來源，停用的主題直接刪除 |
| 外掛 | 最常見的入侵入口之一 | 定期更新，不用的外掛刪除，不要只是停用 |
外掛自動更新該不該開？
WordPress 從 5.5 版開始，管理員可以針對個別外掛與佈景主題開啟自動更新；系統預設每天執行兩次，並在更新成功或失敗時寄出 Email 通知。官方文件也提醒，開啟自動更新前，要先確定網站可以回復到前一版，也就是先有備份。
我們的建議是分級處理：
- 安全性外掛、小型功能外掛：可以開自動更新
- 頁面編輯器、電商、會員系統等大型外掛：先在測試站更新、確認版面與功能正常，再更新正式站
- 已停止維護的外掛：盡早找替代方案，這類外掛不會再有安全修正
三、備份：沒有測試過還原的備份，不算備份
WordPress.org 的〈Backups〉文件說明，一個完整的 WordPress 網站備份包含兩部分：
- 資料庫：文章、頁面、留言、設定都存在這裡
- 檔案：WordPress 核心、外掛、佈景主題、上傳的圖片、
wp-config.php與.htaccess
官方特別強調，備份檔案不等於備份資料庫，兩者都要做。 頻率方面，官方建議內容不常變動的小型網站約每週一次，活動頻繁的網站每天一次，而且每次升級或搬家前都要先備份。
存放位置建議至少保留 3–5 份近期備份，並分散在不同地方，例如主機、雲端空間與本機。如果使用自動備份，官方也建議定期手動備份一次，確認自動化真的有在運作。
我們會再加上一條：每季至少做一次還原演練，在測試環境實際還原，確認備份檔是完整可用的。很多網站出事時才發現備份檔損毀、或只備份了檔案沒備份資料庫。
四、帳號與存取安全
依 WordPress.org 的強化建議，帳號與權限方面至少要做到：
- 強密碼並啟用兩步驟驗證：不要用字典單字、公司名稱或網址當密碼
- 帳號一人一個：不要全公司共用一組管理員帳號，離職員工與合作結束的廠商帳號要立即移除
- 最小權限：小編用「編輯」或「作者」角色就好，不需要給管理員
- 關閉後台檔案編輯：在
wp-config.php加入DISALLOW_FILE_EDIT，避免有人從後台直接修改程式碼 - 使用 SFTP 而非 FTP：避免帳號密碼以明文傳輸
- 限制檔案權限：
wp-config.php這類敏感檔案權限要收緊 - 保留伺服器紀錄：出事時才能追查攻擊來源與時間
五、監控：問題越早發現，損失越小
維護不只是更新與備份，還包括持續觀察網站狀態：
- 網站監控服務：網站無法連線時即時通知
- Google Search Console：留意安全性問題通知、索引異常與 HTTPS 報告，操作方式請見Google Search Console 實戰
- WordPress「網站狀態」工具：位於「工具」選單，會列出版本過舊、排程異常等建議；外掛自動更新依賴 WordPress 排程，若排程異常也會在這裡顯示
- 速度與 Core Web Vitals：外掛越裝越多，網站常常越來越慢，搭配網站速度與圖片優化定期檢查
每月官網維護檢查清單
- 檢查並更新 WordPress 核心、佈景主題與外掛（大型外掛先在測試站更新）
- 刪除未使用的外掛、佈景主題與帳號
- 確認自動備份正常，並下載一份到異地保存
- 檢查 SSL 憑證到期日與全站是否仍為 HTTPS
- 查看 Search Console 是否有安全性或索引問題
- 測試聯絡表單、詢價信件是否正常寄達
- 檢查網站速度與失效連結
- 每季：在測試環境做一次備份還原演練
常見問題
網站很小、沒有會員資料，也會被駭嗎？
會。很多攻擊是自動化程式大量掃描已知漏洞，不會挑網站大小。被入侵的小型網站常被拿來放垃圾連結、導向詐騙頁面或寄送垃圾信，最後影響的是品牌信譽與搜尋排名。
外掛裝越多越危險嗎？
外掛數量本身不是唯一問題，關鍵在於來源是否可信、是否持續更新。不過每多一個外掛，就多一個需要追蹤更新的元件，也可能拖慢網站。原則是只留必要的、有持續維護的外掛，不用的直接刪除。
主機商說有幫忙備份，還需要自己備份嗎？
建議要。主機商的備份可能保留天數有限、還原需要額外收費，或與網站放在同一個機房。自己再保留一份異地備份，並確認資料庫與檔案都有包含，才不會在主機商出問題時一起受影響。
結語：把維護排進行事曆，而不是等出事
官網維護與資安沒有一勞永逸的設定，但只要把 HTTPS、更新、備份、帳號管理與監控這五件事變成例行工作，就能大幅降低常見的資安風險。想了解網站從規劃到上線的完整流程，可以參考企業官網設計完整指南。
如果公司內部沒有人力定期維護，網軍行銷的 WordPress 網站設計服務可以協助從建站開始就做好安全設定、備份與速度優化，並規劃上線後的維護流程，讓你更專心經營本業。
參考資料
- WordPress.org Advanced Administration Handbook，Hardening WordPress：https://developer.wordpress.org/advanced-administration/security/hardening/
- WordPress.org Advanced Administration Handbook，Backups：https://developer.wordpress.org/advanced-administration/security/backup/
- WordPress.org Documentation，Plugin and themes auto-updates：https://wordpress.org/documentation/article/plugins-themes-auto-updates/
- web.dev，Why HTTPS matters：https://web.dev/articles/why-https-matters
- Google Search Central，Understanding page experience in Google Search results：https://developers.google.com/search/docs/appearance/page-experience
相關服務
網軍行銷整合數位資源、創意驅動行銷，為中小企業提供網路整合行銷與品牌解決方案。
