公司沒有 IT 人員，網站和主機誰來顧？
很多台灣中小企業的網站，是三年前找廠商做好、上線之後就沒人再碰過。老闆以為它會一直好好跑著，直到某天客戶打電話來說「你們網站打不開」或「瀏覽器說你們不安全」。這中間通常沒有戲劇性的攻擊事件，只是一連串沒人做的例行工作累積到爆掉。這篇文章要講的是：這些例行工作到底有哪些、你有哪幾種方式可以處理、以及花錢委外的時候該怎麼保護自己。
1. 沒人顧的時候，通常是這幾件事先出問題
沒有 IT 人員的公司，網站出事的原因高度重複。多半跟駭客鎖定你無關，是系統元件會過期、憑證會到期、硬碟會滿、服務商的自動扣款會失敗，而這些事情沒有人在看。等到症狀明顯的時候，通常已經是最貴的修復階段。
自我檢查
- 外掛與佈景主題長期沒更新，被公開已知漏洞的自動化掃描機器人打進來，網頁被塞賭博或色情連結。
- SSL 憑證到期沒續，訪客一進站就看到紅色警告頁面，Google 搜尋排名與詢問量同步掉下來。
- 主機硬碟被日誌檔或備份檔塞滿，資料庫寫不進去，網站顯示連線錯誤。
- 備份機制其實半年前就跑失敗了，沒有人收到通知，需要還原的那天才發現沒東西可以還原。
- 網域忘記續約，或續約信寄到已離職員工的信箱，網站與公司信箱同時斷掉。
- 被入侵後沒人處理，網站被搜尋引擎標記為有害站點，或被主機商直接停權。
2. 「網站維護」實際包含哪些工作
「維護」兩個字太模糊，導致老闆很難判斷自己有沒有被服務到。把它拆成六類就清楚多了：更新、備份、監控、資安修補、效能、緊急處理。這六件事每一件都有明確的產出，你可以直接拿去問現在幫你顧網站的人「這項誰在做、多久做一次、做完我怎麼知道」。
自我檢查
- 更新：WordPress 核心、佈景主題、外掛的版本更新。重點在更新前先做相容性測試，避免新版外掛把版型或表單打壞。
- 備份：完整檔案加資料庫，存到跟網站主機不同的地方（異地）。同一台主機上的備份，主機掛掉時會一起消失。
- 監控：可用性監控每隔幾分鐘打一次網站，掛掉時發出告警。另外還有憑證到期、網域到期、磁碟空間的提醒。
- 資安修補：作業系統與服務套件的安全更新、關掉不需要的服務、後台登入保護、檔案權限檢查。
- 效能：圖片與快取設定、資料庫定期清理、載入速度追蹤。
- 緊急處理：網站掛掉或被入侵時，有人負責止血、清除惡意程式、從乾淨的備份還原、找出進入點並補起來。
3. 三種常見做法的成本與風險
沒有 IT 人員的公司，處理方式大致落在三種：找內部比較會電腦的同事兼著做、平常放著出事再找原開發廠商、或是付固定月費請人代管。三種都有人用得好，差別在於你願意把風險放在哪裡。
自我檢查
- 自己兼著做：現金支出接近零，成本藏在時間與風險裡。行政或行銷同事通常沒有判斷「這個更新會不會弄壞網站」的能力，也很難在半夜收到告警時做出處置。人一離職，帳號密碼與流程就跟著消失。
- 出事再找原開發者：平常不花錢，適合幾乎不更動的靜態形象站。風險在於緊急工單的計價（常見以時數計費，急件另有加成），以及對方手上有專案時你要排隊等。開發者的工作是把新功能做出來，日常巡檢多半不在合約範圍。
- 固定月費代管：每月固定支出，換到的是有人按表操課做更新、備份、監控，出事時有既定的處理流程與可還原的備份。適合網站與線上詢問跟營收直接相關、停機一天會痛的公司。
- 判斷方式：估算網站停機一天，你損失多少訂單、詢問或內部工時。這個數字跟月費比較，答案通常很明顯。
4. 委外代管會拿到什麼，又該給對方哪些權限
委外之前，把「交付什麼」和「開放什麼」兩件事寫下來，往後雙方都省事。以 LaiSecure 的 WordPress 代管為例，交付內容包含核心／佈景／外掛更新並先做相容性測試、每月兩次異地備份、可用性監控與異常告警、效能優化、SSL 憑證維護，以及遭入侵後的緊急止血與還原。伺服器代管則是整台主機層級：系統更新、資安修補、可用性監控、每月兩次異地備份。
權限這一塊有個原則要守住：主機、網域、金流等服務的帳號所有權與帳單，留在你公司名下。維運方使用你另外開給他的專用帳號工作，不要把你的主帳號密碼直接交出去。這樣做的好處在於任何時候你都能單方面收回權限，不需要對方配合。
自我檢查
- 主機商、網域註冊商、雲端服務的主帳號用公司信箱註冊，付款用公司信用卡，開啟兩步驟驗證，密碼由你保管。
- 另外開一組專用帳號給維運方：WordPress 管理員帳號、主機的 SSH 帳號或控制台子帳號，一人一帳號，不共用。
- 要求對方在後台留下操作紀錄，或每月提供一份簡短的維運報告（做了哪些更新、備份是否成功、有無異常事件）。
- 備份檔案存放位置你要知道，並且有一份自己也能存取的副本。備份放在只有廠商能開的地方，等於把命門交出去。
- 合約寫明回應時間與服務範圍。一人工作室有明確的服務時段，別把它當成 24 小時輪班的機房團隊來期待，把彼此的預期對齊比較實在。
5. 怎麼判斷自己需不需要委外
不是每個網站都值得每月付費維護。一個純靜態的單頁形象站，掛在託管平台上、沒有登入功能與資料庫，風險本來就低。真正需要人顧的，是那些會動的、跟錢有關的、或存了客戶資料的網站。用下面幾題自我檢查。
自我檢查
- 網站有 WordPress 後台、會員登入或表單收集個資嗎？有的話，更新與資安修補就是必要工作。
- 你能說出上一次成功還原備份是什麼時候嗎？答不出來，等於現在沒有備份。
- 網站掛掉的時候，誰會第一個知道？如果答案是「客戶打電話來」，代表沒有監控。
- 公司裡有人知道主機商、網域註冊商的帳號在誰手上、什麼時候到期嗎？
- 如果網站連續三天打不開，對業務有沒有實質影響？有影響就值得花月費，沒影響可以先做一次資安健診確認現況。
6. 費用大概怎麼抓
市場上的價格帶很寬，看的是範圍（只有網站還是整台主機）、備份頻率、是否含緊急處理，以及回應速度。以 LaiSecure 的定價作為參考：WordPress 代管每月 3,000 元起，伺服器代管每月 5,000 元起，後者可選全代管含主機，或客戶自備主機由我方純維運。比價的時候，把下面幾項拿去問每一家，同基準才比得出來。
自我檢查
- 備份頻率與保留份數，備份存在哪裡，還原要多久、算不算在月費內。
- 監控間隔多久一次，告警發給誰，發現異常後多久開始處理。
- 遭入侵後的清理與還原是否包含在月費，還是另外計價。
- 月費是否含主機租金。含主機的方案看起來貴一點，但你不用另外付雲端帳單。
- 報價低於一千元的方案，通常只涵蓋自動更新與程式排程備份，沒有人在看結果。便宜有便宜的內容，先確認你買到的是哪一種。
7. 交接與退場：東西怎麼拿回來
簽約的時候就該想好怎麼結束。維運關係總有一天會變動，可能你找到了內部 IT，可能雙方不合適。只要一開始就守住所有權，退場只是收回權限這麼簡單的一件事。
自我檢查
- 合約載明：所有網站檔案、資料庫、備份、設定文件在終止時完整交付，格式為可直接使用的標準格式（檔案壓縮檔加 SQL 匯出檔）。
- 要求一份系統資產清單：主機規格與供應商、網域註冊商與到期日、憑證來源、外掛授權、DNS 設定、排程工作內容。這份文件平時就該有一份在你手上。
- 終止當天你要做的事：停用維運方的專用帳號、更換主帳號密碼、撤銷 SSH 金鑰與 API token、確認網域與主機的聯絡信箱是公司信箱。
- 交接前自己先拉一份完整備份下來，並且在本機或另一台主機上實際還原一次，確認拿到的東西可以用。
網站維護沒有什麼高深技巧，難的是有人記得做、而且長期做下去。如果你的公司沒有 IT 人員，選一種方式把這件事固定下來，比研究哪個外掛比較安全重要得多。
常見問題
- 公司沒有 IT 人員，網站可以自己維護嗎？
- 可以，前提是有人固定負責，並且知道更新前要先備份、更新後要驗證主要頁面與表單。靜態形象站自己顧的難度不高。有會員、金流或收集個資的網站，出錯的代價比較大，委外會比較安心。
- 把主機帳號交給代管廠商，會不會被綁住？
- 只要主機商與網域註冊商的主帳號登記在你公司名下、帳單刷你公司的卡，就不會。廠商用你另外開的專用帳號工作，你隨時可以停用該帳號收回權限，不需要對方配合。
- WordPress 代管每月 3,000 元起，包含被駭之後的處理嗎？
- 包含遭入侵後的緊急止血與還原：下架惡意程式、從乾淨的備份還原、找出進入點並修補。要說明的是，代管做的是降低被入侵的機率與縮短復原時間，沒有人能保證網站不會被攻擊。