網站資安備份先做對，五月大雨後網站才不怕停擺

五月的雨一下大，地上會積水，網站也會出事。主機故障、備份失敗、密碼太弱，常常比外面的雨更麻煩。

很多人找人架站時，只看版面漂不漂亮，卻沒問備份怎麼做、出事多久能救回來。等到網站打不開、訂單不見、表單失效，才發現問題不是設計，而是底子沒打好。

如果你是剛起步的店家、品牌或個人工作者，先把網站資安備份看懂，會比一直加新功能更實際。

先把網站當成店面看，別只看招牌

網站很像一間店。門面好看，客人會進來；但屋頂漏水，貨架還是會壞。

真正麻煩的地方，往往不是駭客多厲害，而是你根本沒準備好。中央社整理資安署說法指出，中小企業常是攻擊目標，很多人以為自己規模小，就不會被盯上。這種想法很危險，因為網站出問題時，損失通常先落在營運，而不是技術名詞。

你可以先想三件事。第一，網站倒了多久會被發現。第二，資料丟了能不能找回。第三，出事時誰負責處理。

有備份，不代表救得回來。真正要看的是還原能不能跑。

這也是為什麼找架站前，不能只問「會不會做好看」。你要問的是，這個網站能不能撐住更新、被掃到漏洞、或突然當機的那一天。

備份不是一份檔案，而是一套還原方法

很多人聽到備份，就想到某個外掛按一下。其實那只是存檔，不是完整保險。資料庫、上傳圖片、外掛、主題、設定檔，都要一起顧到，網站才有機會完整回來。

比較穩的做法，是遵守 3-2-1 原則，至少留三份、放在兩種不同地方、其中一份放異地。WPToolBear 的網站備份與還原教學有整理完整流程，適合先看一次。若你想先抓重點，也可以直接對照這份WordPress 網站備份檢查清單。

備份還有一個常被忽略的細節，就是還原測試。檔案存在，不等於能開。資料寫得進去，也不代表網站能正常跑。前陣子不少資安與營運討論也提到，資料備份是基本功，不是加分題，資料備份是核心實務之一這件事，越早做越省事。

更新、權限、SSL、密碼，這四個洞先補好

網站出事，常常不是單一原因。更新沒做、權限太鬆、密碼太弱、SSL 過期，任何一個洞都可能變成入口。

先說更新。外掛、主題、WordPress 核心版本都要看。版本太舊，漏洞就可能被拿來試。可是更新也不能亂來，先備份，再測試，再上線，順序不能反。

再來是權限。不是每個人都該有後台最高權限。會寫文的人，不需要能刪整個網站；會上架商品的人，也不該能改系統設定。權限越亂，出事時越難查。

SSL 也不能只看有沒有裝。網址列出現鎖頭，代表連線有加密，使用者輸入的資料比較不容易被攔走。可是 SSL 憑證會過期，過期後網站照樣會跳警告。這種問題看起來小，卻很傷信任。

最後是密碼。很多人還在用「123456」或店名加生日。這種密碼像紙門，風一吹就破。登入後台最好搭配兩步驟驗證，至少讓別人不能只靠猜。

如果你想把這些基本設定一次看清楚，可以直接對照 WPToolBear 的WordPress 資安加固指南。那份清單把登入防護、檔案權限和備份觀念放在一起，看起來會更完整。

找架站廠商前必問的清單

很多廠商都會說「有備份」、「有維護」。問題是，答案到底有沒有內容。你可以直接問下面這幾題。

• 備份多久做一次，存在哪裡？
• 出事後能不能還原到測試站先看？
• 更新失敗時，怎麼回復到上一版？
• 後台有哪些權限分級？
• SSL 到期誰會提醒，誰會處理？
• 有沒有惡意程式掃描，多久掃一次？
• 發現異常時，多久會通知我？

如果對方只回你「都有處理」，卻講不出流程，那就要小心。真正可靠的廠商，會講得出時間點、責任人和還原方式。

你也可以再補問一句，網站維護是不是有寫成 SOP。因為口頭承諾會忘，書面流程才留得住。這類規劃，像網站維護 SOP 流程這種頁面，就很適合拿來對照。

大雨過後真的出事時，災難復原流程要長這樣

網站真的被弄壞時，最怕的不是修理，而是亂修。先停手，才有機會救回來。

1. 先把網站隔離，避免問題擴散。
2. 立刻確認最近一次成功備份。
3. 還原到乾淨版本，再測試登入、表單、結帳與寄信。
4. 通知客戶目前狀況，別讓他們一直撞牆。

這個順序很簡單，卻很常被跳過。有人急著改檔案，有人急著重裝外掛，結果把原本能救的資料也弄壞了。

災難復原不是臨場發揮，而是平常先演練過。

如果你的網站有電商、會員或預約功能，還原後一定要多測一次。前台能開，不代表訂單能進來；後台能登入，也不代表付款流程正常。這些細節，才是營運有沒有真的恢復的關鍵。

大雨過後，先看懂你的網站有沒有防水

網站漂亮，會讓人想停留。可是網站資安備份做好，才是真的安心。備份、更新、權限、SSL、密碼、掃描、復原流程，少一項都可能讓你在出事時手忙腳亂。

找架站服務時，先別被版面吸走注意力。把問題問清楚，把流程看懂，網站才不會一場雨就泡水。