網站安全檢測要定期確認幾組項目：連線與憑證是否正常、核心程式與外掛是否更新、帳號權限是否收斂並啟用雙重驗證、網站有沒有被植入惡意內容，以及備份能不能真的還原，再延伸到表單與檔案上傳、主機與 DNS 設定。檢測的目的不是拿到一張掃描分數，而是在訪客或 Google 發現之前先找出問題。Search Console 的「安全性問題」報告會顯示 Google 偵測到的遭入侵內容、惡意軟體與社交工程問題，應該列入例行檢查。
連線與憑證：HTTPS 與混合內容
HTTPS 能防止入侵者竄改網站與瀏覽器之間的內容，也能防止通訊被被動監聽；Google 的開發者說明指出，即使網站不含敏感內容，仍應使用 HTTPS。檢查時看這幾項：
- 全站網址都以 HTTPS 提供，HTTP 版本會轉到對應的 HTTPS 網址。
- 憑證的到期日、涵蓋的網域與子網域是否正確，續約是否有人負責或已設定自動更新。
- 頁面是否仍透過 HTTP 載入圖片、指令碼或樣式表，也就是混合內容（Google 文件稱為複合型內容）。多數瀏覽器基於安全考量會封鎖這類內容，被封鎖的資源就無法正常顯示。
憑證鏈與加密設定的細節，可參考SSL 憑證檢查該看的細節。
程式更新與帳號權限
Google 整理的網站遭入侵常見途徑，包括密碼遭到破解、沒有進行安全性更新，以及不安全的主題與外掛。對應的檢查項目如下：
- 更新：核心程式、主題與外掛都要保持更新，能自動更新的就開啟，並訂閱所用軟體的安全性公告。
- 移除不用的元件：不再使用或已停止維護的主題與外掛，要從伺服器刪除所有檔案，而不只是停用。
- 密碼與雙重驗證：每個帳號使用不重複的高強度密碼，並啟用雙重驗證；美國網路安全暨基礎設施安全局（CISA）建議優先採用能防範網路釣魚的多重驗證方式。
- 權限收斂：依最小權限原則，只給每個人完成工作所需的權限；離職人員與外包廠商的帳號，在合作結束時停用。
主機、FTP、資料庫與網域註冊商的帳號也要一併檢查。WordPress 網站的外掛管理紀律，可參考WordPress 安全性的風險來源。
弱點掃描能找出什麼、不能取代什麼
弱點掃描是用自動化工具，通常從網站外部送出測試，找出已知類型的安全弱點。OWASP 的說明列出這類工具會尋找跨網站指令碼、SQL 隱碼攻擊、指令注入、路徑遍歷與不安全的伺服器設定等問題；CISA 也建議定期掃描，尤其是對外開放的系統。使用時要知道它的界線：
- 掃描結果要人工判讀，分辨真正需要處理的問題並排出修補順序；美國國家標準與技術研究院（NIST）的安全測試指南，也把分析結果、擬定處理策略列為測試工作的一部分。
- 只對自己擁有或取得書面授權的網站掃描，並先確認主機商的使用規範。
- 自動掃描不一定能發現商業邏輯上的問題，例如權限設定錯誤讓會員看得到別人的訂單，這類情境要搭配功能測試確認。
被駭跡象與「安全性問題」報告
網站被入侵不一定看得出來，可以從這些跡象判斷：
- Search Console 的「安全性問題」報告出現調查結果，類別包括遭入侵的內容、惡意軟體或垃圾軟體、社交工程。
- 搜尋結果中的網頁顯示警告標籤，或訪客開啟網站時，瀏覽器顯示插頁式警告。
- 用 site: 搜尋自家網域，出現不是你建立的網頁或陌生語言的內容。
- 自己開網站看起來正常，搜尋結果卻出現垃圾內容。官方說明有些入侵會用偽裝手法，對不同訪客顯示不同內容，可以用網址檢查工具查看 Google 取得的版本。
在「安全性問題」報告看到問題時，要修正所有受影響的網頁，再於報告中選取「要求審查」，說明問題與採取的修正。官方提醒處理中的要求有結果前，不要重複提交，重審作業大多需要幾天至幾週。
備份與還原測試
- 備份範圍：網站檔案與資料庫都要備份。WordPress 官方文件也建議保留多份不同時間點的快照，入侵較晚才發現時，才有乾淨的版本可用。
- 存放位置：至少一份放在主機以外；CISA 建議重要資料要有離線、加密的備份。
- 還原測試：定期實際還原到測試環境，確認檔案完整、網站能正常運作，CISA 也建議定期測試備份的可用性與完整性。
- 權限與時間：確認誰有權限還原、還原大約需要多久，並寫進事件處理流程。
沒有測試過還原的備份，等於不確定能不能用。被駭後要用遭入侵之前建立的備份還原，所以備份的保留期間不能太短。
表單、檔案上傳與主機、DNS 設定
- 表單：伺服器端要再驗證送出的資料，公開表單加上人機驗證；錯誤訊息不要顯示資料庫或程式路徑等設定資訊。
- 檔案上傳：只允許必要的副檔名、檢查實際檔案類型、限制大小、改用系統產生的檔名，存放在網站根目錄以外，並只讓有權限的人上傳。
- 主機：停用不需要的服務，管理介面限制存取來源，定期檢查記錄找出可疑活動。
- 網域：確認網域到期日與自動續約，註冊商帳號啟用雙重驗證並開啟轉移鎖定；ICANN 說明這個狀態有助於防止挾持或詐欺造成的未授權轉移。
- DNS 與寄信：清掉已停用服務留下的舊紀錄，並設定寄件驗證：先啟用 SPF 或 DKIM，再設定 DMARC，告訴收件伺服器如何處理從你網域寄出、卻未通過驗證的郵件。
各類 DNS 紀錄的用途，可參考DNS 紀錄的類型說明。
常見資安問題的定期檢查與事件處理
檢查週期
以下是建議的排程，可依網站規模與更新頻率調整：
- 每週：確認備份有成功執行、查看 Search Console 是否出現安全性問題、套用安全性更新。
- 每月：檢查帳號清單與權限、查看登入記錄、用 site: 搜尋檢查陌生網頁、確認憑證到期日。
- 每季：執行弱點掃描、演練一次備份還原、檢查網域到期日與 DNS 紀錄。
發現入侵後的處理順序
- 讓網站下線：官方說明只讓網站回傳錯誤狀態碼不足以保護訪客，要讓網站真正停止提供內容，並通知主機商。
- 變更所有密碼：包括管理員、FTP、資料庫與內容管理系統的帳號。
- 清除與修補：用遭入侵前建立的備份還原，或在受感染網站的備份副本上清除，接著更新軟體、移除不用的元件並修正漏洞。
- 要求審查：確認修正完成、網站重新上線後，在「安全性問題」報告提出審查。
- 評估個資影響：會員或表單資料可能外洩時，個資法第十二條對通知當事人有規定，該條已修正公布、施行日期由行政院另定，處理方式請以主管機關公告或專業意見為準。
常見問題
網站安全檢測要自己做還是委外？
憑證、更新、帳號與備份這類例行檢查，可以由內部依清單執行。弱點掃描結果的判讀、入侵後的清除與修補，需要熟悉主機與程式的人處理，可以委外或與主機商合作。
小型形象網站也需要做安全檢測嗎？
需要。弱密碼、未更新的外掛這些入侵途徑，在小型網站一樣存在；網站被植入內容後，搜尋結果也可能顯示警告，影響訪客的信任。
免費的線上檢測工具可以參考嗎？
可以當作初步參考，但它只看得到從外部可見的問題。使用前先確認工具來源可靠，結果有疑慮時，再以 Search Console 與主機商提供的資訊交叉確認。
主機商提供的安全防護夠用嗎？
主機商提供的防護範圍各不相同，簽約時要確認包含哪些項目。合約沒有寫明的部分，例如外掛更新、帳號權限與表單檢查，就要由網站管理者自行負責。
檢測發現很多問題，要先處理哪一項？
先處理已經造成影響的項目，例如「安全性問題」報告中的調查結果與正在對外顯示的惡意內容；接著是未更新的外掛與已知弱點，再處理權限收斂與設定調整。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
建議先依本文清單做一次盤點，列出每個項目的現況、負責人與檢查週期，並實際測試備份能否還原。需要協助判讀 Search Console 的安全性問題、檢查憑證與主機設定，或整理修正清單時，京采的技術 SEO 與網站健檢服務可以協助；想先了解網站目前的狀況，歡迎與我們聯繫。
