「網站看起來沒問題就可以上線了吧？」
這是驗收時最常踩的坑。客戶會逐頁檢查文字對不對、圖有沒有歪、手機版會不會跑掉——因為這些看得到。但網站真正會出事的地方，沒有畫面：表單背後怎麼存資料、後台誰能登入、用了哪些外掛、憑證什麼時候到期、api 金鑰有沒有不小心 commit 進 git。這些東西在驗收清單上沒有對應的欄位，所以沒人問，也就沒人做。問題是，沒有畫面不代表沒有後果。資安出事的時候，受害的通常不是你的網頁，是信任你的客戶；毀掉的不是一個版面，是你花幾年累積的名聲和搜尋排名。這篇不嚇人、也不賣東西，只把「看不到那層」會出什麼事講清楚，最後給你一份自己就能跑的檢查清單。
為什麼客戶只驗收畫面？
因為驗收的本能是「比對交付物」。網頁有畫面，可以一格一格對；資安沒有畫面，沒得對，就被跳過。
這不是客戶的錯，是資訊不對稱。客戶不知道要問「表單有沒有擋 bot」「後台密碼規則是什麼」「外掛多久更新一次」，所以這些不會出現在需求討論裡，也不會出現在驗收清單裡。便宜的案子尤其這樣——報價壓在那個數字，省下來的第一個就是看不到的東西，因為省了客戶當下也看不出來。
把資安想成地基跟保險，不是想成功能。你不會因為地基埋在地下、平常看不到，就決定不打地基。
「我這種小網站誰要駭」這句話為什麼是錯的？
因為攻擊根本不挑你。
絕大多數入侵不是有人專程針對你的公司，是 bot 全網自動掃描。它整天在做一件事：掃出跑舊版 wordpress、外掛沒更新、後台用預設路徑、密碼是 admin / 123456 的網站，然後自動打進去。它不在乎你公司多大、做什麼生意，它只在乎你好不好下手。
「網站小」在這個邏輯下不是保護，是風險。小網站通常沒有人定期看、外掛拖著不更新、出事也沒人發現——對自動化掃描來說，這正是理想目標。被打進來之後，你的網站常常不是被弄壞，是被默默拿去當跳板：塞釣魚頁、掛挖礦腳本、發垃圾信。等到訪客回報「點你網站跳到奇怪的地方」，已經傷到信任了。
一個聯絡表單，為什麼就踩到個資法？
只要你的表單收 email、電話或姓名，你在法律上就是個人資料的蒐集者。
很多客戶的直覺是「我又沒做電商、沒收信用卡，個資法跟我無關」。這個直覺是錯的。《個人資料保護法》看的是你有沒有蒐集、處理個資，不是看你有沒有金流。一個「聯絡我們」表單就成立。出事的時候責任是真的：依該法第 28 條，民事賠償以每人每一事件計（NT$500–20,000），同一事件總額上限可達 NT$2 億；外洩另有向主管機關通報、向當事人說明的義務，還有行政裁罰。
這代表表單不是「能送出就好」。資料存哪、誰看得到、傳輸有沒有加密、要不要留這麼多欄位，上線前就該決定，不是出事後才補。
資安省下來的錢，最後會在哪裡還回去？
防護的成本是線性、小、可預期的；出事的成本是跳躍、大、不可預期的。
這跟〈網站的真實成本：上線只是開始〉講的是同一件事——省在看不到的地方，帳會在最痛的時候來。把這兩種成本擺在一起看：
| 項目 | 事前做好 | 出事後補 |
|---|---|---|
| 擋表單 bot / rate limit | 上線前數小時設定 | 表單被灌爆、信箱被當垃圾信來源、個資疑慮 |
| 外掛 / 套件定期更新 | 每月 1–2 小時 | 被植後門、清整站、重建信任，數天起跳 |
| 備份機制 | 一次設定，自動跑 | 沒備份等於從零重做，舊資料救不回 |
| 憑證到期監控 | 免費、自動提醒 | 整頁瀏覽器紅色警告，跳出率瞬間飆 |
| 被標記惡意網站 | 不發生 | seo 排名歸零，恢復數天到數週 |
事後補的成本，常常是當初做好的 10 倍以上，而且有些東西——外流的客戶資料、掉光的排名、客戶對你的信任——花錢也買不回原狀。
上線後最容易出事的是哪幾個地方？
不用全部記，記住這幾個最常中的點，就足以判斷一個網站有沒有人在顧：
| 風險點 | 出事長什麼樣 | 怎麼自己檢查 |
|---|---|---|
| https / 憑證 | 憑證過期，瀏覽器整頁紅色警告 | 網址有沒有鎖頭；問廠商憑證怎麼自動續期 |
| 表單沒擋 bot | 被機器人灌爆、被當垃圾信跳板 | 自己連續送 5 次空表單，看擋不擋得下來 |
| 後台 / 登入 | 弱密碼、預設路徑被掃進來 | 後台網址是不是 /wp-admin 之類預設值；有沒有強制強密碼 |
| 外掛 / 套件過期 | 已知漏洞被自動化打進來植後門 | 問廠商外掛多久更新一次、誰負責 |
| 金鑰外洩 | .env、api key 被 commit 進公開 git | 問廠商機密怎麼管，有沒有進版控 |
| 沒備份 | 出事救不回，等於重做 | 問多久備份一次、還原演練過沒有 |
接了 ai 或第三方 api 的網站要多看一層：等於多開了幾道門——金鑰可能外洩、不該外流的資料可能被送進第三方、模型可能被誘導輸出。功能變多不是壞事，但你要知道門開在哪、誰在看著。
怎麼判斷你的廠商有沒有把這層做掉？
最簡單的方法：把上面那張自檢表丟給對方，請他逐項說明怎麼處理。問這五個問題就夠篩：
- 憑證：到期怎麼自動續、誰會收到提醒？
- 表單：用什麼擋 bot、資料存哪、傳輸有沒有加密？
- 外掛 / 套件：多久更新一次、誰負責、出漏洞誰通知你？
- 機密：api 金鑰怎麼管、有沒有可能被 commit 進版控？
- 備份：多久備一次、還原演練過沒有、救得回多久以前的資料？
會做的人答得出細節，還會反問你「資料要保留多久」「誰能登入後台」這種你沒想到的問題——這代表他平常就在想這層。答不出來、或一直把話題帶回「畫面我們做得很漂亮」的，上線後出狀況的機率高。資安沒有畫面，但問得出來的人，做得出來。
廠商該找誰、報價單怎麼看，另一篇〈網站到底該交給誰做（6/1 發佈）〉拆得更完整。
結論
客戶只驗收看得到的，但出事的永遠是看不到的那層。
你不需要自己變成資安專家。你只需要知道：資安不是上線後再說的加購選項，是上線前就該決定的地基；而判斷一個網站有沒有顧這層，靠的不是看畫面，是把對的問題問出來。
如果你正在比廠商、或不確定現有網站這層有沒有人在管，可以直接私訊我——30 分鐘免費聊，幫你把該問的問題列出來，自己心裡先有底。
