網站代管不等於有人顧安全：主機、程式、內容各是誰的責任

「網站是請廠商做的、主機也是租的，安全應該是他們的事吧？」這是很常見的想法，也是很多網站出事後才發現的誤會。網站的安全，其實分成好幾層，每一層由不同的人負責。如果沒有事先講清楚，最可能的結果是每個人都以為別人在顧，實際上沒有人在顧。這種情況在網站平順運作時看不出來，只有出事的那一刻才會浮現。

網站安全的幾個層次

最底層是主機與網路：機房、伺服器硬體、作業系統與網路防護，通常由主機商負責。往上一層是網站程式：網站系統、外掛、佈景主題的版本更新與漏洞修補，這部分常常落在建置廠商或維護廠商身上，但前提是合約裡有寫。最上層是帳號與內容：誰有後台帳號、密碼怎麼管理、上傳了什麼檔案，這些通常是企業自己的責任。

問題往往出在中間那一層。網站上線、交付之後，如果沒有簽維護合約，建置廠商的責任就結束了，主機商也只管主機本身。網站程式就這樣幾年沒有更新，直到被入侵才發現。

另一個常見的盲點是外掛與第三方服務。網站上嵌入的表單、聊天工具、分析程式、付款介面，各自由不同的廠商提供，它們的安全更新與資料處理方式，也都屬於網站安全的一部分，需要知道它們存在、並確認仍在維護。

值得逐一確認的事

• 誰負責更新網站程式：網站系統與外掛多久更新一次、由誰執行、更新前有沒有備份。
• 主機商提供了什麼：有沒有防火牆、備份、異常監控，還是只提供空間與網路。
• 出事時找誰：網站被入侵或無法連線時，第一時間的聯絡窗口是誰、多久內會回應。
• 帳號握在誰手上：主機、網域、網站後台的管理帳號，公司自己是否都掌握，而不是只在廠商手上。

安全沒有被寫進合約、指定負責人，就等於沒有人在顧。

這對你的生意意味著什麼

把責任劃清楚，不是為了出事時找誰負責，而是讓每一層都真的有人在照顧。花一點時間把現況整理成一張表：每一層由誰負責、做什麼、多久做一次，空白的格子就是你目前的風險所在。這份責任表最好每年檢查一次，廠商、合約或網站架構有變動時也要跟著更新。

特別要提醒的是帳號：網域與主機的管理帳號如果只在前一家廠商手上，換廠商或廠商結束營業時，可能連網站都拿不回來。創智苑的網站安全健檢，會協助你釐清各層的責任歸屬與帳號掌握狀況，並針對沒有人負責的部分提出建議。