個鎖頭圖示，只係講緊一件事
好多香港中小企老闆同我講：「我個網站有 SSL，應該好安全。」呢個講法只對咗一半。瀏覽器地址欄嗰個鎖頭，代表你同網站之間嘅資料傳輸經過加密，中途唔容易被截取。但佢完全冇講過：你網站收集返嚟嘅客戶資料，之後去咗邊、邊個睇得到、有冇備份、有冇人偷偷加咗段程式碼入去。
打個比喻：SSL 好似幫你嘅貨車加咗密封車廂，貨物運送途中唔會被人打開。但如果貨到倉庫之後，倉庫大門長期唔鎖、鑰匙掛喺門口，密封車廂幫唔到你。
以下三個誤解，係我哋睇中小企網站時最常遇到嘅。
誤解一：有 HTTPS，客戶資料就安全
實際情況係，客戶喺你網站填咗姓名、電話、電郵，甚至身份證號碼之後，呢啲資料通常會經電郵或者資料庫傳送。如果接收嘅電郵係一個共用信箱、密碼又係同事之間口耳相傳，咁資料洩漏嘅風險就完全唔喺 SSL 嘅管轄範圍之內。
更常見嘅情況係：聯絡表單嘅通知電郵設定咗去一個已經離職同事嘅地址，或者去咗一個冇人定期清理嘅免費郵箱。資料冇加密問題，但去錯地方。
可以即刻做嘅檢查（約 15 分鐘）：
- 登入網站後台，打開聯絡表單嘅外掛或設定頁，睇清楚「通知電郵」填咗邊個地址。
- 用自己嘅電話同電郵提交一次測試查詢，確認收到通知嘅係現職同事。
- 檢查有冇多餘嘅收件人（例如舊同事、舊代理公司）。
誤解二：網站由外判做，安全就係佢哋責任
合約寫得清楚當然好，但現實係好多中小企嘅網站合約只有一頁報價單，冇講過維護責任、冇講過資料擁有權、冇講過離場安排。當網站出事，例如被植入惡意連結、客戶資料被爬取，第一時間影響商譽嘅係你，唔係外判公司。
我哋建議老闆最少要搞清楚三樣嘢：網站主機同網域登記喺邊個戶口名下、有冇人手上仍然持有管理員權限、以及一旦終止合作，資料同網站可以點樣完整取回。呢三點寫清楚，比任何技術名詞都實際。如果你唔肯定自己份合約有冇涵蓋，可以參考我哋關於 網站維護與報價結構 嘅說明，對照一下自己手上嘅文件。
誤解三：裝咗安全外掛就唔使理
WordPress 或其他內容管理系統嘅安全外掛有幫助，但佢哋唔會自動更新你嘅核心程式、唔會幫你換走弱密碼、亦唔會阻止一個有管理員權限嘅帳戶做任何事。好多入侵個案嘅起點，唔係什麼高深攻擊，而係一個由 2019 年用到今日、從未改過嘅管理員密碼。
半日可以完成嘅基本功：
- 盤點所有有後台登入權限嘅帳戶，刪除離職同事同測試帳戶。一般中小企網站會有 3 至 8 個帳戶，實際需要嘅通常只有 2 至 3 個。
- 為每個帳戶設獨立密碼，唔好幾個系統共用同一組。管理員帳戶建議開啟兩步驗證。
- 檢查外掛同主題有冇更新提示，超過半年未更新嘅外掛，問清楚仲有冇人維護，冇就移除。
- 確認有自動備份，並且試過成功還原一次。備份放喺同一個主機度，等於冇備份。
真正要問嘅五條問題
與其記住一堆技術名詞，不如用以下五條問題自我檢查，每條都可以用「係」或「唔係」回答：
| 問題 | 如果答「唔係」 |
|---|---|
| 客戶提交嘅資料，我知最後存放喺邊？ | 先問清楚外判或主機商，唔好假設 |
| 網站有冇離職同事仍然可以登入？ | 即刻移除權限，唔需要等下次改版 |
| 備份係咪放喺另一個地方，而且試過還原？ | 呢個係最低成本嘅保險，優先做 |
| 有冇人定期睇網站有冇異常改動？ | 每月一次手動檢查，或安排基本維護 |
| 如果聽日要換外判公司，我拎唔拎得返網站同資料？ | 補簽一份講清楚擁有權嘅文件 |
時間同費用大概係點
以上基本功，如果由內部同事執行，主要係時間成本：帳戶盤點同權限清理大約 2 至 3 小時；表單同電郵檢查約 1 小時；備份還原測試約 1 至 2 小時。加起來大約一個工作天。
如果交由外部處理，市場上基本嘅網站安全檢查同帳戶整理，一般收費由數千元起，視乎網站規模同外掛數量。若果同時要做主機遷移、憑證續期同定期備份安排，就會落入每月維護費用嘅範圍。呢類費用喺報價單上通常寫得比較含糊，建議要求對方逐項列出，唔好接受一個「全包」總數。想了解一般維護項目嘅收費區間，可以喺 聯絡我哋 之前先整理好自己網站嘅外掛清單同帳戶數目，溝通會快好多。
總結：SSL 係入場券，唔係保險
SSL 憑證係今日營運網站嘅基本要求，冇佢連瀏覽器都會標示「不安全」。但佢只係保障資料喺傳輸途中唔被截取，唔會管你嘅帳戶權限、唔會管備份、唔會管離職同事仲有冇鎖匙。對持有客戶資料嘅中小企嚟講，真正嘅風險通常唔喺加密技術，而喺日常管理嘅鬆散位。花一個工作天做一次帳戶同表單盤點，成本遠低於一次資料外洩之後嘅補救同商譽損失。下次有人同你講「我個網站有 SSL 所以冇問題」，你可以點頭，然後問佢第二條問題：客戶填咗嘅資料，最後去咗邊？