網站安全不是只有電商或大型企業才需要處理。只要你的網站有表單、會員、後台、外掛、追蹤碼或廣告程式，就可能面臨資料外洩、惡意跳轉、垃圾內容注入、SEO 排名受損等風險。小網站最常見的問題不是被高階駭客鎖定，而是版本太舊、密碼太弱、備份不存在、權限開太大。

這篇整理一套網站安全基本檢查表，適合 WordPress、企業形象站、內容站和接案作品集使用。若你正在建站，也建議搭配 SSL 憑證指南、主機入門指南 與 網站速度優化 一起規劃。

本文目錄 10 節
  1. 第一層：HTTPS 與網域安全
  2. 第二層：版本與外掛更新
  3. 第三層：帳號、密碼與權限
  4. 第四層：備份與還原演練
  5. 第五層：表單與垃圾攻擊防護
  6. 第六層：安全標頭與伺服器設定
  7. 安全問題如何影響 SEO
  8. 網站安全檢查表
  9. 常見問題
  10. 延伸閱讀

第一層：HTTPS 與網域安全

HTTPS 是網站安全的基本線。它能加密瀏覽器與伺服器之間的資料傳輸，也會影響瀏覽器信任提示、SEO 基礎訊號和使用者觀感。現在多數主機都提供免費 Let’s Encrypt 憑證，重點是確認憑證會自動續期，而且所有 HTTP 頁面都正確轉址到 HTTPS。

你需要檢查：

  • 首頁與所有內頁是否都使用 `https://`
  • HTTP 是否 301 轉址到 HTTPS
  • 圖片、CSS、JS 是否仍載入 HTTP 資源
  • 憑證是否會自動續期
  • 是否有舊網域、www/non-www 版本沒有統一

第二層：版本與外掛更新

WordPress 網站最常見的安全事故，往往來自過期外掛、過期佈景主題或沒維護的自訂程式。更新不是看到通知就立刻按，而是要建立流程：先備份，再更新，再檢查前台與重要功能。

建議至少每月做一次維護。若網站有會員、表單、付款或高流量頁面，更新頻率要更高。外掛越少越好，任何停用但未刪除的外掛都應該移除，因為它仍可能留下檔案與風險；需要保留哪些基礎外掛，可先看 WordPress 必裝外掛推薦。

第三層：帳號、密碼與權限

安全問題常常不是技術被突破，而是帳號管理太鬆。後台帳號不要共用，管理者權限只給真正需要的人，離職或合作結束後要立即移除權限。

最低要求如下：

  • 不要使用 admin、test、demo 這類帳號名稱
  • 每個人使用自己的帳號，不共用密碼
  • 後台啟用兩步驟驗證
  • 主機、DNS、網域註冊商都使用不同密碼
  • 只把管理者權限給必要角色

第四層：備份與還原演練

沒有測試過還原的備份，不能算真正的備份。你需要同時備份檔案與資料庫，並把備份放在主機之外，例如雲端硬碟、物件儲存或備份服務。若備份只存在同一台主機，主機故障或帳號被入侵時可能一起消失。

基本備份策略可以這樣設計：

  • 內容站：每週完整備份，每日資料庫備份
  • 電商與會員站：每日完整備份，重要時段增加即時備份
  • 改版前：手動建立一次可識別的備份點
  • 每季：實際還原到測試環境，確認備份可用

同主題推薦 架網站要花多少錢？2026 台灣架站費用完整拆解 第五層：表單與垃圾攻擊防護

聯絡表單、留言、搜尋框和登入頁都是常見攻擊入口。即使網站沒有會員，也可能被大量垃圾表單拖慢、被注入惡意連結，或讓信箱被淹沒。

表單防護要包含驗證、頻率限制、欄位清理和通知規則。不要在前端只靠 JavaScript 防護，因為攻擊者可以直接送 POST 請求。若使用第三方表單工具，也要檢查資料保存區域、通知權限和垃圾過濾。

第六層：安全標頭與伺服器設定

安全標頭可以降低 XSS、點擊劫持、混合內容等風險。常見設定包括 Content-Security-Policy、X-Frame-Options、X-Content-Type-Options、Referrer-Policy 和 Permissions-Policy。不是每個共享主機都能完整設定，但至少要知道目前可設定到哪裡。

若你使用 Cloudflare，也可以從防火牆規則、Bot Fight Mode、WAF、SSL/TLS 模式和快取規則開始。重點是不要同時在主機和 Cloudflare 設定互相衝突的轉址。

安全問題如何影響 SEO

網站被入侵後，SEO 受損通常比技術修復更久。常見情況包括被植入垃圾頁、搜尋結果出現日文或賭博關鍵字、使用者被跳轉到其他網域、Google 顯示「這個網站可能遭到入侵」。

建議每月檢查 Google Search Console 的安全性與人工判決報告，並用 `site:你的網域` 搜尋是否出現陌生頁面。若看到不明 URL，先不要只刪檔，要找出入口並清掉後門。

網站安全檢查表

  1. 確認全站 HTTPS 與 301 轉址。
  2. 移除不用的外掛、佈景與測試檔。
  3. 啟用兩步驟驗證，關閉共用帳號。
  4. 設定站外備份並測試還原。
  5. 檢查表單防護與垃圾提交。
  6. 確認 private path 不可公開讀取。
  7. 定期查看 Search Console 安全報告。

安全不是一次性的專案，而是一組維護習慣。對小型網站來說，把基本層做好，通常就能避開大多數可預防的事故。

常見問題

小型內容站也需要做安全嗎？

需要。內容站若被植入垃圾頁或惡意跳轉，會直接傷害 SEO 和使用者信任。即使沒有交易資料，也應該做好更新、備份、HTTPS 和權限管理。

裝安全外掛就夠了嗎？

不夠。安全外掛只能補一部分防護，真正重要的是更新流程、備份、權限、主機設定和還原演練。外掛越多也可能增加維護成本。

多久需要備份一次？

取決於更新頻率。一般內容站至少每週完整備份；若每天有新內容、訂單或會員資料，就需要每日或更高頻率備份。