公司沒有 IT 人員，網站和主機誰來顧？
約 8 分鐘
很多台灣中小企業的網站，是三年前找廠商做好、上線之後就沒人再碰過。老闆以為它會一直好好跑著，直到某天客戶打電話來說「你們網站打不開」或「瀏覽器說你們不安全」。這中間通常沒有戲劇性的攻擊事件，只是一連串沒人做的例行工作累積到爆掉。這篇文章要講的是：這些例行工作到底有哪些、你有哪幾種方式可以處理、以及花錢委外的時候該怎麼保護自己。
1. 沒人顧的時候，通常是這幾件事先出問題
沒有 IT 人員的公司，網站出事的原因高度重複。多半跟駭客特地鎖定你無關，是系統元件會過期、憑證會到期、硬碟會滿、服務商的自動扣款會失敗，而這些事沒有人在看。等到症狀明顯的時候，通常已經走到最貴的修復階段。
最常見的是外掛與佈景主題長期沒更新。公開的已知漏洞會被自動化掃描機器人一台一台試，打進來之後常見的手法是在網頁裡塞賭博或色情連結。你自己不會發現，通常是客戶或搜尋引擎先發現。第二常見的是 SSL 憑證到期沒續約，訪客一進站就看到紅色警告頁，搜尋排名與詢問量會同步掉下來。
再來是那些安靜壞掉的東西。主機硬碟被日誌檔或備份檔塞滿，資料庫寫不進去，網站顯示連線錯誤。備份機制其實半年前就跑失敗了，沒有人收到通知，需要還原的那天才發現沒東西可以還原。網域忘記續約，或續約通知寄到已離職員工的信箱，網站和公司信箱會同時斷掉。
最貴的一種是被入侵之後沒人處理。網站被搜尋引擎標記為有害站點，或被主機商直接停權，這時候要修的就不只是網站，還有已經掉下去的排名與客戶的信任。
2. 「網站維護」實際包含哪些工作
「維護」兩個字太模糊，導致老闆很難判斷自己有沒有被服務到。把它拆成六類就清楚多了。每一類都有明確的產出，你可以直接拿去問現在幫你顧網站的人：這一項誰在做、多久做一次、做完我怎麼知道。
網站維護實際包含的六件事
- 更新。WordPress 核心、佈景主題、外掛的版本更新。重點在更新前先做相容性測試，避免新版外掛把版型或表單打壞。
- 備份。完整檔案加資料庫，存到跟網站主機不同的地方。同一台主機上的備份，主機掛掉時會一起消失。
- 監控。每隔幾分鐘打一次網站，掛掉時發出告警。另外還有憑證到期、網域到期、磁碟空間的提醒。
- 資安修補。作業系統與服務套件的安全更新、關掉不需要的服務、後台登入保護、檔案權限檢查。
- 效能。圖片與快取設定、資料庫定期清理、載入速度追蹤。
- 緊急處理。網站掛掉或被入侵時，有人負責止血、清除惡意程式、從乾淨的備份還原、找出進入點並補起來。
六類裡面最容易被跳過的是備份與監控，因為它們平常沒有產出，做得好的時候你什麼都感覺不到。偏偏出事那天收不收拾得了，全看這兩件有沒有在做。
3. 三種常見做法的成本與風險
沒有 IT 人員的公司，處理方式大致落在三種：找內部比較會電腦的同事兼著做、平常放著出事再找原開發廠商、或是付固定月費請人代管。三種都有人用得好，差別在於你願意把風險放在哪裡。
| 做法 | 現金支出 | 風險落在哪 |
|---|---|---|
| 自己兼著做 | 接近零 | 行政或行銷同事通常沒有能力判斷「這個更新會不會弄壞網站」，也很難在半夜收到告警時處置。人一離職，帳號密碼與流程就跟著消失 |
| 出事再找原開發者 | 平常不花錢，急件另計 | 緊急工單常以時數計費、急件加成，而且對方手上有專案時你要排隊。日常巡檢多半不在開發合約的範圍內 |
| 固定月費代管 | 每月固定 | 支出可預期，換到按表操課的更新、備份與監控。風險在於選錯對象，所以合約要寫清楚範圍與回應時間 |
判斷方式其實只有一題：估算網站停機一天，你損失多少訂單、詢問或內部工時。這個數字跟月費放在一起比，答案通常很明顯。幾乎不更動的靜態形象站，出事再找人是合理的。網站與線上詢問跟營收直接相關、停機一天會痛的公司，固定代管幾乎一定划算。
4. 委外代管會拿到什麼，又該給對方哪些權限
委外之前，把「交付什麼」和「開放什麼」兩件事寫下來，往後雙方都省事。以 WordPress 代管為例，交付內容通常有六項。核心、佈景與外掛更新，更新前先做相容性測試。每月兩次異地備份。可用性監控與異常告警。效能調整。憑證維護。以及遭入侵後的緊急止血與還原。伺服器代管則是整台主機層級，包含系統更新、資安修補、可用性監控與每月兩次異地備份。
權限這一塊有個原則要守住：主機、網域、金流這些服務的帳號所有權與帳單，留在你公司名下。維運方使用你另外開給他的專用帳號工作，不要把主帳號密碼直接交出去。這樣做的好處是任何時候你都能單方面收回權限，不需要對方配合。
具體來說，主機商、網域註冊商與雲端服務的主帳號用公司信箱註冊，付款刷公司信用卡，開啟兩步驟驗證，密碼由你保管。給維運方的是另外一組專用帳號，例如 WordPress 管理員帳號、主機控制台的子帳號，一人一帳號、不共用。另外要求對方留下操作紀錄，或每月給一份簡短的維運報告，寫清楚做了哪些更新、備份有沒有成功、有沒有異常事件。
5. 怎麼判斷自己需不需要委外
不是每個網站都值得每月付費維護。一個純靜態的單頁形象站，掛在託管平台上、沒有登入功能也沒有資料庫，風險本來就低。真正需要人顧的，是那些會動的、跟錢有關的、或存了客戶資料的網站。下面五題可以自己先回答一次。
五題自我檢查
- 網站有後台、會員登入或表單收集個資嗎？有的話，更新與資安修補就是必要工作，不是加值服務。
- 你能說出上一次成功還原備份是什麼時候嗎？答不出來，等於現在沒有備份。
- 網站掛掉的時候，誰會第一個知道？如果答案是「客戶打電話來」，代表沒有監控。
- 公司裡有人知道主機商與網域註冊商的帳號在誰手上、什麼時候到期嗎？這一題答不出來的公司比想像中多。
- 網站連續三天打不開，對業務有沒有實質影響？有影響就值得花月費，沒影響可以先做一次資安健診確認現況。
6. 費用大概怎麼抓
市場上的價格帶很寬，看的是範圍（只有網站還是整台主機）、備份頻率、是否含緊急處理，以及回應速度。以 LaiSecure 的定價作為參考：WordPress 代管每月 3,000 元起，伺服器代管每月 5,000 元起，可選全代管含主機，或客戶自備主機由我方純維運。
比價的時候，把下面這幾項拿去問每一家，同基準才比得出來。備份頻率與保留份數、備份存在哪裡、還原要多久、算不算在月費內。監控間隔多久一次、告警發給誰、發現異常後多久開始處理。遭入侵後的清理與還原是否包含在月費，還是另外計價。還有月費含不含主機租金，含主機的方案看起來貴一點，但你不用另外付雲端帳單。
7. 交接與退場：東西怎麼拿回來
簽約的時候就該想好怎麼結束。維運關係總有一天會變動，可能你找到了內部 IT，可能雙方不合適。只要一開始就守住所有權，退場就只是收回權限這麼簡單的一件事。
合約要載明：終止時所有網站檔案、資料庫、備份與設定文件完整交付，格式是可以直接使用的通用格式，例如檔案壓縮檔加資料庫匯出檔。同時要求一份系統資產清單，內容包含主機規格與供應商、網域註冊商與到期日、憑證來源、外掛授權、網域設定與排程工作。這份文件平時就該有一份在你手上，不是等到要拆夥才去要。
終止當天要做的事不多，但一件都不能漏。停用維運方的專用帳號，更換主帳號密碼，撤銷各種遠端登入與存取金鑰。最後確認網域與主機的聯絡信箱是公司信箱，不是離職員工的。
還有一件很多人省略的事：交接前自己先拉一份完整備份下來，並且在本機或另一台主機上實際還原一次。確認拿到的東西真的可以用，這個交接才算完成。
網站維護沒有什麼高深技巧，難的是有人記得做、而且長期做下去。如果你的公司沒有 IT 人員，選一種方式把這件事固定下來，比研究哪個外掛比較安全重要得多。
常見問題
- 公司沒有 IT 人員，網站可以自己維護嗎？
- 可以，前提是有人固定負責，並且知道更新前要先備份、更新後要驗證主要頁面與表單。靜態形象站自己顧的難度不高。有會員、金流或收集個資的網站，出錯的代價比較大，委外會比較安心。
- 把主機帳號交給代管廠商，會不會被綁住？
- 只要主機商與網域註冊商的主帳號登記在你公司名下、帳單刷你公司的卡，就不會。廠商用你另外開的專用帳號工作，你隨時可以停用該帳號收回權限，不需要對方配合。
- WordPress 代管每月 3,000 元起，包含被駭之後的處理嗎？
- 包含出事之後的破口盤點與安全修補：找出進入點、補起來、把設定加固。不含事件當下的緊急處理與資料救援，那需要隨時待命的應變能量。要說明的是，代管做的是降低被入侵的機率，並讓出事時已經有人熟悉你的環境，沒有人能保證網站不會被攻擊。