網站被入侵的當下，多數管理者的第一個反應是「我們公司又不大，誰要來攻擊我們」。這個直覺剛好搞錯了風險的形態：絕大多數的入侵不是有人盯上你，而是自動化程式在網路上大範圍掃描，只要掃到已知的漏洞就順手打進去。WordPress 因為使用者眾多，成為這類掃描的主要目標之一。這篇談 WordPress 常見的風險從哪裡來、基本防護該做到哪裡，以及外掛管理為什麼必須有紀律。
攻擊多半不是針對你，是掃描掃到的
理解這件事會改變防護的優先順序。自動化掃描的運作方式很單純：拿著已公開的漏洞清單，在網路上逐一嘗試，命中就利用。這代表你的網站有沒有名氣、流量大不大，跟會不會被攻擊的關聯很小；真正的關聯是你有沒有留著已知漏洞、有沒有弱密碼、有沒有把後台完全暴露在外。
入侵之後的目的通常也不是竊取你的資料。更常見的是植入導向他站的隱藏連結、放置釣魚頁面、把主機拿去發送垃圾郵件，或是塞入只對搜尋引擎顯示的內容。這些行為的共同點是「盡量不被發現」，所以網站表面往往看起來一切正常，等到搜尋結果出現異常、主機商發出警告或瀏覽器跳出警示，事情通常已經持續一段時間了。
外掛與佈景，是最需要盯著的風險來源
WordPress 核心本身的更新機制相對成熟，實務上出問題的比例，外掛與佈景主題遠高於核心。原因不難理解：核心由固定的團隊維護，外掛則來自各式各樣的開發者，品質、更新頻率、對安全問題的回應速度都不一樣。一個長期沒有維護的外掛，等於是留在網站上的一扇沒人看管的門。
更麻煩的是來源不明的付費佈景或外掛破解版。這類檔案裡夾帶後門的情況相當常見，而且因為是自己安裝的，不會被視為異常。除此之外，「安裝了但沒有啟用」的外掛同樣有風險，因為檔案仍在主機上，可能被直接存取。定期清掉不用的外掛與佈景，是成本最低卻最常被忽略的一項工作。
帳號與登入端的基本防護
- 不要使用預設的管理者帳號名稱：容易猜的帳號名稱會讓暴力嘗試少掉一半工作，建立網站時就該避開。
- 密碼強度與唯一性：管理者密碼不可與其他服務共用，避免其他平台外洩時被連帶測試成功。
- 啟用兩階段驗證：即使密碼外流，多一道驗證仍能擋下大部分自動化登入嘗試。
- 限制登入嘗試次數：對同一來源的連續失敗登入設定阻擋，可以大幅降低暴力破解的成功機會。
- 權限給到剛好就好：日常上稿的同仁給編輯權限即可，不需要人人都是管理員，離職時也要立即停用帳號。
- 全站使用加密連線：確認網站啟用 SSL 憑證，避免登入資訊在傳輸過程中被攔截。
更新與備份要有紀律，不是想到才做
安全問題很少來自不知道該更新，而是來自「怕更新之後版面壞掉」而一直拖著。這種擔心是合理的，特別是使用了大量外掛或有客製功能的網站。解法不是不更新，而是建立一套讓更新變得安全的流程：先備份、在測試環境或離峰時段執行、更新後檢查主要頁面與表單是否正常。
備份則要留意三件事。第一是內容要完整，資料庫與檔案都要有，只備份其中一邊在還原時會出問題。第二是位置要分開，備份檔如果只放在同一台主機上，主機出事時等於沒有備份。第三是要實際還原測試過，沒有驗證過的備份不能算數，很多人是在真的需要還原的那一天，才發現備份檔早就損壞或不完整。建議把更新與備份排成固定的週期性工作，指定負責人並留下紀錄，而不是靠記憶。
真的出事之後，處理的順序
發現網站異常時，最不該做的是直接把可疑檔案刪掉就當作解決。合理的順序是先保留現場：完整備份目前的檔案與資料庫，這份資料是後續判斷入侵途徑的唯一依據。接著把網站暫時切離對外服務，避免持續散播惡意內容或影響訪客。
然後才是清理與還原。可行的做法是用乾淨的核心檔案覆蓋、比對非預期新增的檔案、重新安裝來源可信的外掛與佈景，內容資料則從確認乾淨的備份還原。清理完成之後，所有管理者密碼、資料庫密碼與主機帳號都要更換，因為無法確定哪些已經外洩。最後一步是找出入侵途徑並修補，如果跳過這一步，同樣的漏洞很快就會被再利用一次。整個過程若牽涉到會員或客戶資料，還要一併評估通知與後續處理的責任。
常見問題
裝一個安全性外掛就足夠了嗎？
不足夠。安全外掛可以協助阻擋常見的登入嘗試、掃描檔案異動、提供防護設定的介面，但它無法替你更新過期的外掛、無法阻止弱密碼被猜中，也無法解決來源不明的程式碼。把它當成輔助工具是合理的，把它當成裝了就安全的保險，風險反而更高。
網站很久沒更新了，現在一次更新會不會壞掉？
有可能，尤其是跨越多個版本、又用了不少外掛的網站。比較安全的做法是先做完整備份，複製一份到測試環境，在測試環境依序更新並逐項檢查功能，確認沒問題再套用到正式站。若某個外掛已經長期沒有維護、無法相容新版本，就要考慮尋找替代方案或移除，而不是為了它停在舊版本。
怎麼判斷網站是不是已經被入侵了？
常見徵兆包括：搜尋結果出現不屬於你的頁面或文字、網站被瀏覽器或主機商標示為有風險、後台出現不認識的管理者帳號、檔案的修改時間出現異常變動、網站無故變慢或大量對外連線。定期檢查後台使用者清單與主機的存取紀錄，是及早發現的實用方式。
把後台登入網址改掉有沒有用？
有一定效果，但屬於降低雜訊而非根本防護。更改登入路徑可以減少自動化程式碰到登入頁的機率，讓紀錄乾淨一些，不過對於針對性的嘗試幫助有限。它應該和密碼強度、兩階段驗證、登入次數限制一起使用，單靠改網址就認為安全，是常見的誤判。
主機商說有防護，我還需要自己做什麼嗎？
需要。主機層的防護處理的是伺服器與網路層的風險，網站程式與外掛的漏洞仍在你的責任範圍內。實務上建議先確認主機端提供了哪些項目、備份的保留期限與還原方式，再把剩下的部分補齊，例如更新排程、帳號權限管理與自行保留一份異地備份。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
加入京采 LINE 好友相關主題
下一步
如果你正在評估「wordpress 安全性」相關的規劃，可以參考我們的網頁設計與系統開發服務，或直接與我們聯繫，我們會依你的產業與現況給出務實的建議。