重點整理
- 網站維護主要是更新、備份、資安監看、憑證與網域續約、內容修改。
- 備份要存在別的地方、保留多個版本，並定期實際還原一次。
- WordPress 官方建議 PHP 8.3 以上，PHP 版本過了支援期就沒有安全更新。
- 發現被入侵先保留現場、備份一份，再找人處理。
- 網域、主機、網站後台的管理員帳號都要在公司名下。
一句話重點： 網站維護主要有五件事：更新、備份、資安監看、憑證與網域續約、內容修改。很多網站出問題，不是當初沒做好，而是上線後沒人持續管理：外掛好幾年沒更新、備份做了卻從來沒測試還原、網域到期忘記續約。這篇幫你整理網站維護該做哪些事、多久檢查一次、負責人需要注意什麼，以及自己維護和交給廠商處理有什麼差別。
網站維護的五件事
| 項目 | 做什麼 | 沒做會怎樣 |
|---|---|---|
| 更新 | 更新網站程式、外掛、佈景主題，以及主機上的 PHP 版本 | 已知的安全漏洞可能被利用，導致網站遭到入侵 |
| 備份 | 定期備份網站檔案與資料庫，另外存放在其他地方 | 網站出問題時可能無法還原，甚至遺失資料 |
| 資安監看 | 留意異常登入、檔案遭到修改、流量突然暴增等情況 | 網站被入侵卻沒及時發現，甚至被拿來發送垃圾信或植入惡意程式 |
| 憑證與網域 | 確認 SSL 憑證正常續期、網域按時續約 | 瀏覽器出現不安全警告，或網站直接無法開啟 |
| 內容修改 | 更新網站文字、圖片、聯絡資訊與最新消息 | 客戶看到過時的資訊，可能影響對公司的信任 |
多久要看一次？
| 頻率 | 要確認的事 |
|---|---|
| 每天 | 備份是否正常完成、網站能不能正常開啟 |
| 每週 | 是否有需要更新的外掛或程式、有沒有異常登入紀錄 |
| 每月 | 更新後的網站功能是否正常、表單送出後能不能收到信 |
| 每季 | 將備份實際還原到測試環境，確認備份確實能用 |
| 每年 | 檢查網域與主機到期日、PHP 版本是否仍在支援期限內、盤點帳號與使用權限 |
WordPress 網站要特別注意的事
WordPress 本身、外掛和佈景主題都有各自的更新需要處理，而過時的外掛也是網站遭到入侵的常見原因。
- 外掛越少越好：用不到的外掛，不要只是停用，建議直接移除。
- 更新前先備份：有些外掛更新後可能和其他外掛發生衝突，先備份才能在出問題時還原。
- PHP 版本也要跟著升級：WordPress 官方 建議的主機環境 是 PHP 8.3 以上。PHP 各版本都有 官方支援期限，超過支援期限就不再提供安全更新。很多網站記得更新外掛，卻忽略主機上的 PHP 可能還停留在好幾年前的版本。
備份：有做不等於救得回來
網站備份最怕的，就是平常以為有備份，真的出問題時才發現檔案不能用，網站根本還原不了。
- 存在別的地方：如果備份和網站都放在同一台主機，主機出了問題，備份也可能跟著消失。建議另外存放在其他地方。
- 保留多個版本：網站被入侵後，可能過了好幾天才發現。如果只保留最新的備份，裡面可能已經是遭到修改的網站內容。
- 定期實際還原一次：不要只確認備份檔案存在，還要實際測試能不能還原，順便了解還原需要多少時間。
網站可能被入侵的徵兆
- 搜尋公司名稱時，出現奇怪的商品資訊或外語標題
- 網站後台突然多出不是自己建立的管理員帳號
- 收到主機商通知，說網站正在發送垃圾信
- 瀏覽器或防毒軟體跳出網站有安全風險的警告
- 網站突然變得很慢，或首頁內容莫名被換掉
如果發現這些情況，先別急著刪除可疑檔案。建議先保留現場，備份一份遭到入侵的網站資料，再請專業人員協助處理，才能進一步追查問題從哪裡發生。
自己維護，還是交給別人？
| 做法 | 適合 | 要注意 |
|---|---|---|
| 自己或公司同仁 | 公司有人熟悉主機與網站後台，也有時間定期維護 | 人員異動時要做好交接，帳號密碼不能只有特定同仁知道 |
| 交給原本的網站廠商 | 原本的廠商仍有提供服務，也聯絡得到 | 確認維護合約包含哪些項目，以及遇到問題多久會回應 |
| 交給專門的維護服務 | 原廠商失聯，或公司內部沒有人能負責維護 | 接手前先盤點網站現況，確認有哪些地方需要補強 |
不管最後選擇哪種方式，網域、主機和網站後台的管理員帳號，都應該由公司持有，而且公司自己要能取得登入權限。這樣未來要更換維護人員或廠商，才不會因為拿不到帳號而卡住。
常見問題
網站上線後就不會動了，還需要維護嗎？
需要。就算網站內容完全沒變，網站程式、外掛和主機環境還是可能出現新的安全漏洞，SSL 憑證和網域也都有到期的問題，不能因為網站目前正常就放著不管。
維護費包含新增功能嗎？
通常不包含。網站維護主要是維持網站正常運作與安全，新功能一般需要另外評估。簽約前建議先確認每月包含哪些修改項目、可以修改到什麼程度，避免日後對維護範圍有不同認知。
原本的廠商聯絡不上，網站還能救嗎？
多半可以。只要能取得主機和網域的登入資料，就可以先盤點網站現況，再評估後續接手。如果連登入資料都拿不到，就需要先聯繫主機商或網域註冊商，確認帳號歸屬與處理方式。
主機商說有幫我備份，還需要自己備份嗎？
建議要。可以先確認主機商多久備份一次、備份保留幾天，以及需要還原時是否另外收費，再決定要不要自行額外備份，避免真的需要還原時才發現不符合需求。
崴米的做法
崴米的網站代管維護採年約制，包含主機狀態與異常監看、SSL 憑證自動續期、程式與套件定期安全更新、每日備份並異地保存，每月也提供固定的網站修改額度。即使網站不是崴米製作的，也可以評估接手，我們會先進行 1～2 週的現況盤點與補強。如果合約到期後不再續約，網站與資料也會完整交還。想了解詳細的維護內容，可以參考 網站代管維護服務；如果是 WordPress 網站需要修改或客製功能，也可以看看 WordPress 服務。
