當舖網站安全怎麼做？WordPress 帳號、外掛與異常檢查

當舖網站安全要從帳號、更新、備份、外掛與異常紀錄一起管理。WordPress 核心或 PHP 傳出漏洞消息時，急著亂裝安全外掛、直接在正式站更新全部元件，反而可能造成衝突或讓網站無法營運；比較穩妥的做法，是確認目前版本與受影響範圍，再用可還原的方式完成更新並驗證。

開始前先準備權限、版本與可用備份

• 管理權限：確認誰有 WordPress 管理員、主機面板、DNS 與備份權限，離職或不再合作的帳號應停用。
• 版本清單：記下 WordPress、PHP、佈景主題與主要外掛版本，漏洞公告要以實際版本比對。
• 還原點：備份資料庫與網站檔案，並確認檔案時間、大小及還原方式，不能只看到「備份成功」通知。
• 測試清單：列出首頁、借款服務頁、店家頁、電話、LINE、表單、搜尋與後台登入。

WordPress 帳號怎麼整理

進入 WordPress 後台的「使用者／全部使用者」，逐一核對帳號名稱、電子郵件、角色與最後使用情況。日常撰文只需要編輯權限的人不應長期持有管理員；外包或臨時維護帳號完成工作後，也要降權或停用。每個人使用自己的帳號，才查得到異常操作來源。

1. 列出所有管理員，確認姓名、用途與目前是否仍需使用。
2. 將內容人員改為符合工作需求的角色，避免共用 admin 或老闆帳號。
3. 替管理員設定獨立長密碼，開啟兩步驟驗證；備援碼由本人安全保存。
4. 檢查電子郵件能否收到登入與密碼重設通知，避免安全警示寄到停用信箱。
5. 完成後登出，再以最低必要權限帳號測試文章與媒體工作是否仍能完成。

外掛與主題更新要怎麼做，才不會把正式站弄壞

從「控制台／更新」與「外掛／已安裝外掛」查看待更新項目，另外到主機面板確認 PHP 版本。更新前閱讀官方變更紀錄與相容性說明，確認來源是 WordPress 官方目錄或原廠網站。長期停用、用途重複或已停止維護的外掛，應確認沒有依賴再移除；停用不代表漏洞就完全沒有風險。

若沒有測試站，至少確保備份能立即還原，並採一項一項更新。頁面空白、500 錯誤或版面異常時，停止後續更新，先記錄錯誤時間與已更新項目，再透過主機商、維護人員或安全的復原機制處理，不要在不清楚原因時反覆重裝。

異常登入與檔案變更怎麼查

每週檢查安全或主機紀錄中的登入失敗、陌生管理員、非預期外掛、檔案異動與大量寄信。比對時要看來源時間、帳號、IP 或地區只是線索，不能只因異地就直接判定被駭；同樣地，沒有彈出警告也不代表安全。若發現陌生管理員、首頁被改、搜尋結果出現賭博或色情頁、伺服器大量寄信，就應先保留紀錄並限制異常帳號，聯絡主機商或資安人員檢查。

完成後用桌機與手機驗證

1. 清除快取後開啟首頁與三個主要服務頁，確認沒有跳轉、空白或版型破裂。
2. 使用手機行動網路測試電話、LINE、地圖與表單，確認訊息確實抵達店內。
3. 登入後台查看網站健康狀態、更新頁與使用者清單，確認沒有新出現的陌生項目。
4. 核對備份在維護後又產生一份新還原點，並記錄下一次檢查日期。
5. 開啟 Google Search Console，查看安全性與人工判決問題是否有新警示；沒有警示只能作為其中一項訊號。

資料來源

• WordPress Developer Resources：Hardening WordPress
• WordPress Documentation：Roles and Capabilities
• WordPress Documentation：WordPress Backups

更新完成後，可搭配當舖網站速度與外掛檢查確認效能沒有明顯退步，再用手機版聯絡入口檢查跑完整詢問測試。若網站已長期無人維護，應盤點帳號與備份，不要在正式站一次更新所有元件。