資安新手入門 05｜你的網站是誰在管：三種託管關係，責任不一樣

當網站打不開、或是收到安全漏洞通知的那一刻，你拿起電話要找人處理，最怕聽到的是一句：這塊不是我們負責的喔，我們只負責主機硬體。

明明公司每個月都有固定付一筆錢，為什麼出事的時候沒有人覺得該自己動手？因為在網站的世界裡，付錢租地方放網站，跟有人替你顧網站，是完全不同的兩件事。這是資安新手入門的第五篇。在〈資安新手入門 01｜資安公告出來了：怎麼知道自己的系統中不中〉確認過版本之後，這篇要帶你對清楚一條最容易誤會的線：你的網站現在是哪一種託管關係？出事的時候，到底誰該先動手？

為什麼付了主機費，不等於有人管資安

你可以把網站主機想成一間租來的店面。房東把大樓蓋好、確保水電不斷、大門有警衛，這是房東的事；但你店裡的收銀機有沒有鎖、員工下班有沒有關窗、貨架上的東西有沒有過期，房東不會進來幫你看。

雲端主機也是一樣的道理。以全球雲端服務商 Amazon Web Services（AWS）公開的《共同責任模型》（Shared Responsibility Model）為例，官方文件把責任明確切成兩半：雲端商負責的是「雲端本身的安全性」（Security of the Cloud），也就是機房實體安全、硬體與底層虛擬化設施；而客戶自己必須承擔「雲端內部的安全性」（Security in the Cloud），包含作業系統的更新與安全修補、應用程式軟體、以及防火牆規則的設定。

換句話說，如果你只是刷卡租了一台雲端主機，當網站程式有漏洞、或是資料庫沒有備份時，主機商沒有義務、也沒有權限進到你的系統裡幫你修。正如〈你的 AI 產品有備份嗎：資料庫與檔案的最低標準〉那篇寫過的：主機商負責的是機器活著，不是你的資料完整。

第一種關係：自己租雲端主機（含用 AI 自建上線）

你的公司刷卡租了雲端主機或部署平台，自己或請內部工程師把程式放上去跑；或是像〈用 Cursor、Claude Code、Lovable 做的專案，交給工程師前要準備什麼〉那篇提到的，你在線上工具按了幾下就把產品部署上線。在這條關係裡：

• 對方負責到哪裡：機房不斷電、網路能通、硬體壞了幫你換。
• 誰該為網站與資安負責：全部是你自己（或你公司裡的那位工程師）。作業系統要不要升級、安全更新做了沒、網站掛了誰去看、資料庫有沒有每天備份到別的地方，平台都不會替你做。
• 最容易踩到的坑：當初幫你架主機的工程師離職了，信用卡還每個月自動扣款，網站也還在跑，你就以為有人在顧——其實那台機器從他離開那天起，就處於沒人更新、沒人看管的裸奔狀態。

第二種關係：交給主機代管商或開店平台

你付的費用比純租機器高一點，用的是幫你管好底層環境的代管服務，或是現成的開店與架站平台。在這條關係裡：

• 對方負責到哪裡：除了硬體，對方會幫你顧到底層作業系統、或是平台共用的標準功能，有些還會提供整台機器的定時快照。
• 誰該為網站與資安負責：責任一人一半。你在平台上面自己裝的外掛套件、自己請人客製化寫的程式碼、後台開給員工與廠商的帳號權限、串接出去的金流與簡訊金鑰，這些依然是你的事。
• 最容易踩到的坑：以為用了代管服務就萬無一失，把後台管理員密碼設得很簡單、或是裝了一堆好幾年沒更新的第三方外掛。對方保住了底層主機，攻擊者卻直接從你的網站後台或外掛漏洞大搖大擺走進來。

第三種關係：全外包給開發或維護廠商

你把網站交給一家外部技術公司，簽了一份合約。但這裡要特別小心，因為同樣叫外包，還要看你們簽的責任線畫在哪裡：

• 只簽了開發與保固合約：如〈上線之後，我們還在：Helper CTO 的責任線畫到哪裡〉所說，專案制的本質是「做出來就結束」。保固期一過，對方沒有合約義務替你巡檢、備份或補安全漏洞；出事找他，每一件都得重新談價錢、重新排期。
• 簽了長期維護合約，但只寫「提供系統維護服務」：如〈維護合約該寫什麼：回應時間、更新頻率、退出條款、文件歸屬〉與〈月費裡「含」跟「不含」：怎麼看懂一份維護方案〉拆解過的，有些便宜的方案只代表出事你找得到人接電話，但除錯、安全更新、異地備份全部要另外報價。
• 真正有人負責到底的維運關係：主機有人看著、有狀況主動處理、定期做安全更新、備份與還原演練都包在固定月費裡，而且帳號、網域與原始碼的所有權都在你公司自己名下。

一張表對照：三種託管關係，四件關鍵事誰來做

不確定自己的網站屬於哪一種？把每個月付錢的帳單與合約拿出來，對照下面這張表，看看這四件保命的事現在落在誰頭上：

對清楚之後，拿這四個問題去確認

不管你現在是哪一種關係，最危險的都不是選了哪一種，而是你以為對方有做，對方以為你要自己做。照著〈維護合約該寫什麼：回應時間、更新頻率、退出條款、文件歸屬〉的原則，今天就可以拿這四題去問現在收你錢的那一方：

• 網站半夜掛掉，誰會第一個收到通知、多久內開始處理：如果沒有寫明回應時間，就代表出事那天要靠你的客戶打電話告訴你。
• 安全公告出來的時候，誰負責檢查版本並執行更新：確認這件事是包含在現有費用裡定期做，還是沒人提就永遠不會動。
• 資料庫與檔案的備份放在哪裡、誰負責定期試還原：不要只聽對方說主機商有快照，要問備份是不是獨立放在另一處、上一次試還原是什麼時候。
• 如果下個月不合作了，主機、網域與程式碼在誰名下：確認所有權從頭到尾都在公司自己手上，才不會為了有人管而把身家綁死在別人那裡。

恩梯科技是客製化開發出身的系統軟體公司，現在做的是 AI 系統的長期維護。長期維護要顧的是：出事多久內有人回應、安全更新多久做一次、文件與所有權屬於誰，這些都該寫進合約——有些方案寫得清楚，有些只寫一句提供系統維護服務就帶過。如果你不確定手上的系統現在到底有沒有人在管、哪些責任還懸在半空中，可以從一次系統健檢開始：看的是程式碼、資料庫、部署、資安四個面向，〈系統健檢到底在看什麼：程式碼、資料庫、部署、資安四個面向〉那篇寫了完整的檢查內容。預約系統健檢