一份網站安全健檢，應該檢查哪些地方

「網站安全健檢」聽起來很專業，實際上檢查的項目並不神秘。它的目的很單純：在攻擊者找到問題之前，先把問題找出來，並排出處理的先後順序。了解健檢該看什麼，也能幫你判斷手上的報告是否完整，而不只是一份掃描工具自動產生的清單。

健檢通常涵蓋的範圍

不同網站的架構不同，檢查的細節也會不同，但大致會包含這幾個面向：

• 版本與元件：網站系統、外掛、佈景主題與主機軟體的版本，是否有已公開的弱點尚未修補。
• 登入與權限：後台是否限制登入嘗試、有沒有弱密碼或久未使用的帳號、權限是否給得過大。
• 對外暴露的東西：備份檔、設定檔、測試頁面或管理介面，是否能被外部直接讀取。
• 是否已經被入侵：檢查有沒有可疑的檔案、被植入的程式碼或陌生的管理員帳號。

除了網站本身，主機層面的設定也值得一併檢視，例如伺服器軟體的版本、對外開放的服務與備份機制，這些同樣會影響網站的安全。

一份好報告長什麼樣子

工具可以在幾分鐘內列出上百個項目，但一長串沒有排序的清單，對老闆來說幫助有限。好的健檢報告會依風險高低分級，說明每個問題可能造成什麼影響，並附上具體的處理建議，讓你知道哪些要立刻處理、哪些可以排進後續維護。

另一個常被忽略的是誤判。自動化工具會把一些實際上不構成風險的項目標成問題，也可能漏掉需要人工判斷的狀況，例如權限設定是否合理、某個外掛是否早已停用卻沒有移除。有經驗的人工覆核，能把報告從「一堆警告」變成「真正需要處理的清單」。

報告也應該清楚寫出檢查範圍：檢查了哪些項目、沒有檢查哪些項目。沒有發現問題，不代表沒有問題，只代表在檢查的範圍內沒有找到，這個界線要講清楚。

健檢的價值不在列出多少問題，而在告訴你先處理哪一個。

這對你的生意意味著什麼

健檢是一個起點，讓你用相對小的成本看清楚網站的狀況，再決定要投入多少資源修補。有時候結果令人安心，只需要幾項小調整；有時候會發現網站架構太舊、修補成本很高，這時重新評估是否改版，反而是比較划算的選擇。健檢也不是做一次就好：外掛與系統持續在更新，新的弱點也不斷被公開，建議每隔一段時間、或在網站大幅改版後，再檢查一次。

要提醒的是，安全檢查必須在網站所有人授權下進行。創智苑的網站安全健檢會先取得書面授權，交付依風險分級的報告與修補建議，並清楚標示檢查範圍。