網站資安與備份最低配備：密碼、更新、備份與被入侵後怎麼辦
小型網站也需要基本資安。說明帳號密碼、更新、備份、權限與外掛管理的最低配備，以及網站遭入侵後的處理流程與求助管道。
小型網站的資安，不需要高深的技術，卻需要持續做好幾件基本的事：使用強密碼並啟用雙重驗證、系統與外掛定期更新、限制後台權限、做好自動備份並實際測試過還原、使用 HTTPS，以及指定負責人。多數被入侵的小型網站，並不是遭到精密的攻擊，而是因為使用弱密碼、長期沒有更新或安裝了來路不明的外掛。本文列出最低配備，並說明萬一網站被入侵或資料遺失時該怎麼處理。涉及個人資料外洩的部分，請同時參考個資法的說明。
為什麼小網站也會被攻擊
許多攻擊是自動化的，攻擊程式會大量掃描網路，尋找已知漏洞或弱密碼的網站，並不挑選目標。被入侵後的網站可能被植入惡意連結、用來發送垃圾郵件、導向詐騙網站、或被當作攻擊其他目標的跳板。後果包括：搜尋引擎標示不安全、顧客信任受損、主機商停用帳號、需要花費時間與費用清理，嚴重時還涉及個人資料外洩的法律責任。因此資安不是大公司才需要的事。
最低配備清單
| 項目 | 做法 | 為什麼重要 |
|---|---|---|
| 強密碼 | 每個帳號使用長且不重複的密碼，使用密碼管理工具 | 弱密碼與重複使用是最常見的入侵原因 |
| 雙重驗證 | 後台、主機與網域帳號都啟用 | 密碼外洩時仍有一道防線 |
| 定期更新 | 系統、佈景主題與外掛有安全更新時儘快處理 | 已知漏洞是攻擊的主要入口 |
| 最小權限 | 只給人需要的權限，離職或結束合作立即停用帳號 | 降低帳號被濫用的風險 |
| 精簡外掛 | 只裝必要且持續維護的外掛，移除不用的 | 外掛越多，漏洞越多 |
| 自動備份 | 每日或定期備份，保存多份，並放在不同位置 | 資料遺失或被入侵時能還原 |
| 測試還原 | 至少實際還原一次 | 沒測試過的備份，不能算有備份 |
| HTTPS | 全站啟用，憑證自動更新 | 保護資料傳輸與使用者信任 |
| 登入保護 | 限制錯誤登入次數，變更預設後台網址或加上驗證 | 防止暴力破解 |
| 責任人 | 指定一個人負責，並有交接紀錄 | 資安常因為沒人負責而被忽略 |
備份的原則
備份常用「三份、兩種媒體、一份異地」的概念：同一份資料至少有三份副本，存放在兩種不同的媒介，其中一份放在不同的地點。對小型網站，實務上可以簡化為：
- 主機商的自動備份（確認頻率與保存天數）。
- 另外一份備份存放在不同的服務，例如你自己的雲端儲存空間。
- 網站重大改版前，手動做一份完整備份。
備份內容要包含檔案與資料庫，只備份其中一項無法完整還原。同時要確認備份檔案本身有受到保護，因為備份中也含有個人資料與設定。實際還原一次，才能知道備份是否真的可用、需要多久時間，以及還原流程有沒有遺漏。
外掛、主題與第三方服務的風險管理
網站的資安風險很大一部分來自於第三方元件。管理原則：
- 只從官方或信譽良好的來源取得外掛與主題，避免破解版。
- 選擇有持續更新、使用者眾多、有明確支援管道的產品。
- 定期檢視已安裝的外掛，移除不再使用的。
- 重大更新前先備份，並在測試環境確認不會壞掉。
- 第三方服務（如表單、客服、追蹤工具）的帳號也要啟用雙重驗證，離職時一併處理。
另外，若委外製作網站，要確認廠商是否會在你的主機上留下測試帳號、預設密碼或後門，交付時把這些全部清除並更換。
網站被入侵後怎麼辦
發現異常（網站被改版、出現奇怪的連結、被搜尋引擎警告、主機商通知）時，可以依序處理：
- 保持冷靜並記錄：截圖異常狀況，記下發現的時間。
- 保存證據：不要立刻刪掉所有東西，先保留紀錄與日誌，以供分析。
- 更換密碼：更換所有相關帳號密碼，包括網站後台、主機、資料庫、電子郵件與網域帳號，並啟用雙重驗證。
- 聯絡主機商與廠商：說明狀況，請求協助與日誌。
- 還原或清理：利用乾淨的備份還原，或請專業人員清除惡意程式。還原前先確認備份是入侵之前的版本。
- 修補漏洞：找出入侵原因，更新系統與外掛，移除有問題的元件。
- 評估個資外洩：若涉及顧客個人資料，依個資法評估通知當事人與處理的義務，並考慮諮詢律師。
- 通報與求助：必要時可向 TWCERT/CC 等機構通報與尋求處理建議，涉及犯罪也可向警政機關報案。
- 事後檢討：寫下原因與改善措施，避免重複發生。
勒索與詐騙訊息
網站被入侵後，有時會收到勒索或要求付款才能恢復的訊息。原則上，不要輕易付款，因為付款不保證能恢復，也可能引來更多勒索。優先使用備份還原，並尋求專業協助。另外也要留意假冒主機商、網域註冊機構或政府單位的詐騙信件，這些信常以「網域即將到期」「帳號異常」為名，要求你點擊連結輸入資料，收到時請直接登入官方網站確認，而不是點擊信中的連結。
預算與責任分工
資安與備份的成本不高，但需要有人負責。簡單的作法是在年度預算中列入：備份與監控工具、維護合約或專業檢查費用、以及緊急處理的備用金。簽維護合約時，要寫明誰負責更新、誰負責備份、發生事件時的處理責任與費用。也要明確指定你這邊的窗口，避免大家都以為是別人負責。維護費用的整體規劃可參考網站每年維護費用。
何時需要專業協助
網站處理付款、會員或敏感資料時，建議請專業人士做資安檢查。發生入侵、資料外洩或收到勒索訊息時，應盡快尋求資安專業人員與律師的協助，並依法規評估通報義務。
常見問題
小型形象網站需要做這麼多資安措施嗎？
基本的幾項（強密碼、雙重驗證、更新、備份）成本低、效果高，建議都要做。其他的措施可依網站重要性與資源逐步加強。
主機商說有備份，我還需要自己備份嗎？
建議另外保留一份。主機商的備份可能有保存期限，也可能與主機一同受影響。確保至少有一份存放在不同的地方。
怎麼知道網站被入侵了？
常見徵兆包括：網站內容被竄改、出現陌生的頁面與連結、速度突然變慢、搜尋結果出現奇怪內容、主機商或搜尋引擎發出警告、有陌生的管理員帳號。
被入侵之後，要通知顧客嗎？
若涉及顧客個人資料外洩，依個資法可能有通知當事人的義務，建議盡快諮詢律師，並以法規與主管機關的最新規定為準。
