網站為什麼會被入侵？SSL 與基本資安觀念

很多中小企業覺得「我們的網站又不大，不會有人想攻擊」。事實上，網站被入侵常常不是被鎖定，而是被自動化程式大範圍掃描到有弱點的網站。了解基本的資安觀念，並做好幾件基本功，就能大幅降低風險。

網站為什麼會被入侵？

常見的原因包括：

• 程式或外掛沒有更新：已知的漏洞沒有修補，被自動化程式找到並利用。
• 密碼太簡單或重複使用：容易被猜出或在其他地方外洩後被拿來嘗試。
• 帳號權限過大：太多人擁有管理權限，其中一個帳號出問題就會影響整個網站。
• 來路不明的外掛或程式碼：安裝了不可信的套件，內含惡意程式。
• 主機環境設定不當：檔案權限、舊版本的環境沒有維護。

網站被入侵會怎樣？

• 網站被植入廣告、釣魚頁面或惡意連結。
• 訪客看到瀏覽器的危險警告，無法順利瀏覽。
• 搜尋結果出現奇怪的標題，排名受影響。
• 會員資料或訊息外洩，引發法律與信任問題。
• 網站被關閉或無法使用，影響營運。

基本的資安觀念

1. 使用 SSL 憑證（HTTPS）

SSL 憑證會加密訪客與網站之間傳輸的資料，並且在瀏覽器上顯示安全的標示。對於有表單、會員登入或購物的網站尤其重要。網址以 https 開頭，並確認憑證沒有過期。

2. 保持更新

網站使用的系統、程式與套件，要定期更新，修補已知的漏洞。如果是委託外部公司維護，要確認更新由誰負責、多久執行一次。

3. 強化帳號安全

• 密碼要夠長、夠複雜，不同系統不要共用。
• 可以的話，開啟雙重驗證。
• 後台網址與管理帳號不要使用過於明顯的設定。
• 人員離職或合作結束後，立即停用帳號。

4. 權限最小化

每個人只給需要的權限。負責編輯文章的人，不需要有修改網站設定的權限。

5. 定期備份，並測試能還原

備份是最後一道防線。備份要存放在與網站不同的地方，並確認真的能還原，才不會事到臨頭才發現無法使用。

6. 只安裝可信任的功能

外掛與程式碼要從可信的來源取得，不使用來路不明的版本。不再使用的功能，及時移除。

7. 防止垃圾訊息

表單加上防機器人機制，避免被大量垃圾訊息或惡意內容灌入。

如果懷疑網站被入侵怎麼辦？

1. 先聯絡負責維護的人員或廠商。
2. 更換後台與主機的所有密碼。
3. 從乾淨的備份還原，並找出入侵的原因。
4. 修補漏洞後再重新上線。
5. 若涉及會員資料，需評估是否要通知使用者，必要時請教專業人士。

資安也包含日常的備份與維護，可以看看網站備份與網站維護費；網站若有後台，也要留意後台管理系統的帳號權限。想了解我們的主機代管與維護，可以參考主機代管維護。

資安不是一次性的設定，而是持續的習慣。做好基本功，大多數的風險都可以避免。

延伸閱讀

了解我們的做法：關於創物 →

想了解你的網站安全是否足夠？歡迎和我們聊聊。