網站被駭後我學到的三件事：資深工程師 Eric 的慘痛教訓與自救指南
這不是演習！當你的網站突然變成「空白」或「博弈廣告」時
身為一個資深的全端工程師，這件事我是覺得啊...人生總有幾個瞬間會讓你心跳漏掉一拍。對我來說，那個瞬間不是初戀告白，而是某個週六早晨，我正打算喝下第一口曼特寧咖啡，隨手打開客戶的 WordPress 網站，結果看到的不是精美的產品頁，而是滿屏的簡體字博弈廣告。那一刻，咖啡差點噴在我的機械鍵盤上。
我是浪花科技的資深工程師 Eric。今天不跟你聊虛無縹緲的架構，我們要聊點紮心的——「網站被駭」。很多人以為這種事只會發生在跨國企業身上，但老實說，駭客才不管你是誰，他們要的是你的伺服器資源、SEO 權重，或是單純想拿你當跳板。在處理過無數次「災後重建」後，我總結了三個用血淚換來的教訓，希望你們這輩子都不需要親自體驗。
第一件事：備份不是「有做就好」，重點在於「能否還原」
這聽起來像廢話，對吧？但我遇過太多客戶跟我說：「Eric，我有裝備份外掛啊！」結果我去檢查，發現備份檔存放在同一個伺服器空間，而駭客直接把整台伺服器的權限拿走，順手把備份檔也給刪了。這就像是你把家門鑰匙放在門墊下，然後以為這樣很安全一樣。
一個合格的備份策略必須符合「3-2-1 原則」：至少 3 份備份、使用 2 種不同儲存媒體、其中 1 份要放在異地（例如雲端空間 Google Drive 或 Amazon S3）。而且，最重要的一點——你要定期測試這些備份是否真的能動。我曾經遇過備份檔雖然在，但因為 PHP 版本不相容，還原後整個網站歪掉的慘劇。這件事我是覺得，如果你不測試還原，那你的備份就只是「心安理得的心理建設」而已。
| 備份類型 | 建議頻率 | 優點 |
|---|---|---|
| 資料庫備份 | 每日一次 | 檔案小、還原速度快 |
| 完整檔案備份 | 每週一次 | 包含圖片與外掛，最全面 |
| 異地雲端備份 | 同步進行 | 防止伺服器整台掛掉的最佳防線 |
關於 WordPress 的安全規範，我建議大家可以參考 WordPress 官方安全指南，裡面有很多基礎但極其重要的設定。
第二件事：外掛與主題是最大的後門，別再用「破解版」了
很多老闆為了省那幾十塊美金，會去下載所謂的「Nulled」破解版主題或外掛。身為工程師，我真的要語重心長地說：這世界上沒有白吃的午餐。這些破解版檔案裡，九成九都被植入了惡意代碼（Malware），有的會潛伏數個月，等你的網站流量起來了，才開始發作。
除了避開破解版，你還得養成「斷捨離」的習慣。很多網站後台裝了 30 幾個外掛，其中 20 個是處於停用狀態。你要知道，即使是停用的外掛，如果程式碼有漏洞，駭客依然可以透過漏洞入侵。這就像是你家雖然鎖了門，但側邊的窗戶雖然關著卻沒鎖死。我的建議是：不用的外掛，請直接「刪除」，而不是僅僅「停用」。
| 攻擊手段 | 預防方式 | 嚴重程度 |
|---|---|---|
| 暴力破解 (Brute Force) | 使用強密碼與 2FA | 中 |
| SQL 注入 (SQL Injection) | 保持系統與外掛更新 | 高 |
| 跨站腳本 (XSS) | 安裝 Web 應用程式防火牆 (WAF) | 高 |
如果你想深入了解網路攻擊的原理，OWASP Top 10 是業界公認最具權威的 Web 安全風險清單，值得花點時間研究。
第三件事：監控與反應速度決定了你的損失大小
網站被駭不可怕，可怕的是被駭了一個月你都還不知道。當你的網站被搜尋引擎標記為「此網站可能損害您的電腦」時，你的 SEO 排名基本上已經進了太平間。所以，你需要一套自動化的監控機制。
我通常會建議客戶安裝類似 Wordfence 或 Sucuri 這種安全外掛，它們會在有人嘗試登入失敗多次時發信通知你，或者當核心檔案被變動時發出警報。這就像是在家裡裝了保全系統，有人撬鎖時，警報器會立刻大響。身為工程師，我習慣看 Log（日誌），但對於一般管理者來說，一個直觀的儀表板會更有幫助。當你第一時間發現異常並切斷連線，損失可能只是幾分鐘的斷線；但如果你後知後覺，那可能就是整年的數據付諸流水。
結語：安全不是終點，而是一個持續的過程
說實話，這世界上沒有絕對安全的網站，只有「駭客覺得入侵你太麻煩」的網站。我們的目標就是把門檻築高，讓那些腳本小子（Script Kiddies）覺得去弄別家比較快。這次的教訓告訴我，與其在網站掛掉後哭天喊地找工程師救命，不如平時多花十分鐘做好更新和備份。
如果你對網站安全還有疑慮，或者你的網站現在正處於「怪怪的」狀態，別硬撐，找專業的來處理。畢竟，專業的坑，還是要由專業的人來填。我是 Eric，我們下次聊聊怎麼優化你的資料庫，讓網站跑得像跑車一樣快！