網站資安健檢清單：每月、每季、每年該檢查什麼

網站資安檢查不必一次做完，依頻率拆成三組最容易持續：每月確認更新、備份、憑證、Search Console 與登入紀錄有沒有異狀；每季盤點管理帳號、刪掉用不到的外掛、測試表單與上傳、實際還原一次備份、核對 DNS 記錄；每年檢查網域註冊資料、Search Console 擁有者、資產清單與維護合約。官方文件多半只寫「定期」，本文的頻率是依風險與工作量提出的建議，每一項都寫明怎麼檢查、由誰負責，異常時再連到對應的處理文章。

01常見情境：外包維護不清楚、外掛太多、帳號綁在離職員工身上

以下是幾種常見情況的示意，不是真實客戶案例，用來對照你該從哪一段開始。三個情況缺的東西各不相同，例如分工、整理或帳號歸屬，起點也就不同。

• 五金零件貿易公司的行政主管：官網是外包廠商做的 WordPress，合約只寫「網站維護」四個字，公司裡沒人說得出外掛多久更新一次、備份放在哪裡。她最擔心網站哪天出事，公司和廠商互相推說不是自己的責任。建議先完成「先列出網站資產」那份清單，再拿「把檢查表寫進維護合約」逐項和廠商確認分工。
• 自己架站的民宿主人：網站是自己用 WordPress 架的，裝了訂房、相簿、表單等十幾個外掛，其中幾個早就沒在用。他最怕訂房旺季前網站被植入垃圾頁、客人搜尋時看到警告。先照「每月檢查」把更新與備份確認一輪，再看「每季檢查」裡刪除外掛與表單測試這兩列。
• 牙醫診所的行政人員：診所網站有線上預約表單，會收到病患姓名與聯絡方式；前任行政離職後，網站後台和 Search Console 都還綁在她的個人信箱。現任行政最擔心帳號拿不回來，以及預約資料外洩。先看「每季檢查」的帳號盤點，以及「每年檢查」中 Search Console 擁有者那一列。

02先列出網站資產：檢查之前要知道網站由哪些東西組成

數位發展部資通安全署 2026 年 3 月發布的《中小企業基本資安防護指引》把資產盤點稱為所有防護措施的基礎前提，範圍涵蓋硬體、軟體、服務、系統、資料與人員。放到網站上，就是先回答「這個網站由哪些東西組成、各自歸誰管」。清單沒列到的東西，後面的檢查表也照顧不到。至少要列出：

• 網域：網域名稱、註冊商、到期日、註冊人與聯絡信箱。
• DNS：在哪裡管理、誰有權限修改，以及目前用到哪些子網域。
• 主機：主機類型、控制台帳號、備份由誰執行、備份檔存在哪裡。
• 網站系統：系統與版本、佈景主題，以及每一個外掛和它的用途。
• 帳號：網站後台、主機控制台、FTP／SFTP、資料庫、Search Console 的所有帳號與實際持有人。
• 會收資料的功能：聯絡表單、預約、會員、檔案上傳，以及資料最後送到信箱還是存在資料庫。

建議用一份試算表管理，每列加上「負責人」與「上次檢查日」兩欄，之後每月、每季、每年的結果直接填回這張表。密碼不要寫在表上，改放公司的密碼管理工具，同一份指引也建議用這類工具產生與保存密碼。負責人要寫到具體的人或廠商名稱，不要只寫「IT」或「外包」，人員異動時才知道哪幾列要跟著改。

03每月檢查：更新、備份、憑證、Search Console 與登入紀錄

每月這一組的共同點是：問題可能在幾週內冒出來，而檢查一次只要幾分鐘。官方文件沒有規定「每月」，選這個頻率是因為它和多數公司的月結、帳單週期一致，最容易固定成例行工作。

WordPress 從 5.5 版起可以逐一替外掛與佈景主題開啟自動更新，預設每天執行兩次，成功或失敗都會寄信通知，所以每月要確認的其實是這些信寄給誰、有沒有人讀。漏洞消息不會等你的檢查日：資安署指引建議訂閱 TWCERT/CC 的電子報，收到漏洞警報先確認公司有沒有用到，並在 48 小時內完成修補或緩解。憑證方面，CA/Browser Forum 的基本要求規定，2026 年 3 月 15 日起簽發的公開憑證最長 200 天、2027 年 3 月 15 日起縮短為 100 天，續期次數變多，默默續期失敗的機會也跟著增加；真的跳出警告時，處理方式見網站顯示不安全怎麼辦。登入紀錄該看哪些事件，OWASP 的紀錄指南列出登入成功與失敗、權限不足的存取、新增或刪除使用者與變更權限；資安署指引也提醒要留意半夜或異常地點的登入失敗。流量突然暴增時，判斷是不是攻擊與當下的處理順序，請看DDoS 攻擊來了怎麼辦。

04每季檢查：帳號與多因素驗證、外掛、表單上傳、還原演練與 DNS

每季這一組比較花時間，常要半天以上，也需要外包廠商或主機商配合，所以排在季度。這些風險是慢慢累積的：離職的人、測完沒刪的外掛、沒人記得的子網域，一季清一次，量還在處理得來的範圍。

帳號：資安署指引要求每人使用獨立帳號、不共用，離職當天註銷所有帳號與權限，外部廠商的臨時帳號要設定到期自動關閉。NIST 給小型企業的說明則提醒，簡訊碼與一次性密碼仍可能被釣魚網站騙走，管理員帳號最好改用安全金鑰或裝置內建的驗證方式。外掛：WordPress 官方的強化建議是用不到的外掛直接從系統刪除；只停用的話，檔案仍留在主機上。表單與上傳：OWASP 的檔案上傳建議包括只允許業務需要的副檔名、限制檔案大小、由伺服器重新命名檔案、把上傳檔放在網站目錄以外或另一台主機，並要求上傳的人先登入。還原演練：WordPress 官方建議小型網站每週備份、更新前一定備份，並保留三到五份最近的備份分放不同地方；資安署指引進一步要求定期做備份演練，採 3-2-1 原則（3 份資料、2 種媒體、1 份異地），其中至少一份離線。從沒還原過的備份，往往要到出事才發現少了資料庫或上傳檔。DNS：OWASP 測試指南說明，子網域的記錄若仍指向已停用的外部服務，別人可能接手那個服務，用你的子網域放釣魚或惡意內容，處理方式是把這類記錄從 DNS 移除。

05每年檢查：網域註冊資料、Search Console 擁有者與應變聯絡表

每年這一組多半是歸屬與責任：登記的資料對不對、權限握在誰手上、合約還符不符合現況。

網域：ICANN 的 WHOIS 資料提醒政策要求 .com 等通用網域的註冊商每年至少通知一次，請註冊人核對登記資料，並提醒不實資料可能成為取消註冊的理由；把這封信當成每年檢查的提示最省事。到期後的流程與補救見網域到期沒續約會怎樣。Search Console：Google 說明，移除擁有者之後，只要對方的驗證權杖（HTML 檔、meta 標記、DNS 記錄等）還在網站上，對方就能重新驗證取回擁有權，所以要連權杖一起刪；擁有者清單出現不認識的人，可能代表帳號已被入侵。停更軟體：CISA 給小型組織的 Cyber Essentials 建議移除不再受支援的軟硬體，資安署指引也說無法再更新的產品應考慮替換。應變聯絡表：資安署指引建議事先擬好應變計畫，涵蓋通報流程、個資外洩的通報時限、要聯繫哪些單位，以及重要系統中斷時怎麼恢復；TWCERT/CC 的企業資安事件應變處理指南也分成事前準備、事中應處與事後改善三部分，可以拿來對照。若檢查中發現被入侵的跡象，清除與通報步驟請看網站被駭怎麼辦。

06把檢查表寫進維護合約：外包時要約定的六件事

網站交給廠商維護時，清單上每一項都要寫明「誰做、多久做、做完怎麼證明」。合約若只寫「網站維護」或「資安防護」，出事時很難確認對方到底做了哪些事。簽約或續約時，建議逐項談清楚：

1. 檢查表當合約附件：直接附上本文三張表的項目與頻率，負責人欄填上公司或廠商，沒人負責的項目當場補上。
2. 每次檢查都要交紀錄：每月一份簡短報告，寫明更新了哪些項目、最近一次備份日期、憑證到期日與異常登入；季報再加上還原演練的結果與畫面。
3. 安全性更新的處理時限：一般更新可以每月集中處理，重大漏洞要約定多久內評估與修補，以及修補前的暫時措施。
4. 備份規格：多久一次、保留幾份、存在哪裡、是否至少一份不在同一台主機，還原由誰操作、是否另外計費。
5. 帳號歸屬：主機、網域、後台、Search Console 的擁有者都是公司，廠商使用自己的獨立帳號，結案當天移除。
6. 事件通報：廠商發現異常時，多久內、用什麼管道通知公司的哪一位，以及要保留哪些紀錄。

維護費的組成與一般條款，知識中心另有官網維護費用的說明，這裡只補資安相關的約定。檢查做了卻沒有紀錄，對公司來說跟沒做差不多；日後客戶或合作夥伴問起網站的資安做法，這些月報與季報也是最直接的佐證。

07找凱斯騰協助前，先準備這些：網站資安檢查的資料

想討論網站的主機環境或防護方式，先整理以下資料，比較快判斷問題落在哪一層：

• 網站網域、註冊商與到期日，以及 DNS 在哪裡管理。
• 目前的主機類型與主機商，網站系統、版本與外掛清單。
• 最近一次備份的日期、存放位置，以及有沒有實際還原成功過。
• 已經填寫的檢查表，特別是標記為異常或沒人負責的項目。
• Search Console 安全性問題報告、憑證檢查或登入紀錄裡看到的異狀截圖。
• 現行維護合約中關於更新、備份與事件通報的條款。
• 網站有沒有表單、會員或上傳功能，收到的資料存在哪裡。
• 網站過去是否被入侵過、憑證是否曾經過期，大約在什麼時候、當時怎麼處理，方便判斷哪些項目要優先檢查。

凱斯騰能協助的是承載網站的環境：WordPress 主機含網站備份與主機狀態監控，備份這一列有固定的機制可以查核；網站常遇到大量惡意流量時，可以評估 DDoS 防護的網路層、傳輸層與應用層防護。檢查表的日常執行，仍由貴公司或維護廠商負責。資料整理好後，可以用文末的聯絡表單，或寄信到 [email protected] 說明網站狀況。