WordPress 是全世界最多人使用的網站系統，也因此是駭客最常鎖定的目標。好消息是，大多數入侵都不是什麼高深的技術，而是利用沒有關好的門。
網站最常被入侵的四個原因
- 外掛或佈景主題沒有更新：外掛的漏洞公開之後，自動化程式會大量掃描還沒更新的網站。這是最常見的入侵途徑。
- 密碼太簡單或共用帳號：admin／123456 這類組合，幾分鐘就會被試出來。多人共用同一個管理員帳號，也很難追查是誰做了什麼。
- 使用來路不明的付費外掛：網路上的「免費破解版」常常被植入後門，裝上去等於把鑰匙交出去。
- 主機環境老舊：PHP 版本過舊、主機沒有防火牆，網站本身再小心也有風險。
維運在做的三件事
1. 備份
- 每天自動備份檔案與資料庫，並存放在主機以外的地方。
- 保留多個版本，發現問題時可以回到乾淨的那一天。
- 定期實際還原測試，確認備份是真的能用。
2. 更新
- 核心、外掛、佈景主題與 PHP 版本保持在受支援的版本。
- 大版本更新前先在測試環境確認，避免更新後版面跑掉。
- 移除沒有在用的外掛，裝得越少，風險越小。
3. 掃描與防護
- 定期掃描惡意程式與被竄改的檔案。
- 網站防火牆（WAF）擋下常見攻擊與惡意機器人。
- 登入保護：雙重驗證、限制登入嘗試、更改預設登入網址。
小提醒：維運不是出事才處理，而是讓事情不要發生；真的發生了，也能在最短時間內恢復。
如果網站已經被駭
- 先不要急著刪檔案，保留現場，記下發現異常的時間與狀況。
- 立刻更改主機、WordPress 管理員與資料庫的密碼。
- 用乾淨的備份還原，或請專人清除惡意程式。
- 找出入侵途徑並補上漏洞，否則很快會再被入侵。
- 到 Google Search Console 確認有沒有安全性警告，處理完再申請審查。
網站是二十四小時營業的門市，門鎖要定期檢查。如果你的網站很久沒人照顧，可以請我們做一次健檢，看看有哪些門還沒關好。