網站後台多人管理：帳號、權限與操作紀錄怎麼安排

網站剛做好時，只有老闆一個人管。過幾年，行銷人員要發文章、客服要改商品、外包廠商要改版面、實習生幫忙上架圖片，大家都要進後台。

最省事的做法，是把管理員帳號密碼傳給每個人。這也是最危險的做法：出事時不知道是誰改的，有人離職也沒辦法只收回他一個人的權限，密碼一流出去，整個網站就交到別人手上。

多人管理網站，照下面 5 個原則安排就不會亂。

1. 一人一個帳號，不要共用

每個要進後台的人，都開一個自己的帳號，用自己的 Email。這樣有三個好處：

• 出問題時，查得到是誰、什麼時候改的。
• 有人離職或合作結束，只要停用他的帳號，其他人不受影響。
• 不用每次有人離開就換一次全公司的密碼。

2. 權限給剛好夠用就好

WordPress、Joomla 都可以設定不同等級的帳號。以 WordPress 為例，大致分成：

• 管理員：什麼都能改，包括安裝外掛、新增帳號、改網站設定。
• 編輯：可以發布、修改所有人的文章，但不能動網站設定。
• 作者：只能寫和發布自己的文章。
• 投稿者：可以寫文章，但要別人審核才會上線。

負責發文章的人給「編輯」或「作者」就夠了，不需要管理員。管理員帳號越少越好，通常老闆一個、負責維護網站的人一個。各角色能做什麼，詳細可以看〈WordPress 使用者角色與權限完整指南〉。

3. 離職、外包結束，帳號要收回

我們幫客戶檢查網站時，看過早就沒在合作的人，還留著網站的管理員帳號。這種帳號平常沒人注意，密碼也可能在別的網站外洩過，是網站被入侵的常見入口。

建議每半年看一次帳號名單：

• 不認識、沒人在用的帳號，先停用，確認沒影響再刪除。
• 刪除帳號時，文章可以轉給其他人，不用整篇刪掉。
• 外包廠商的帳號，案子結束就收回，下次合作再開。

4. 管理員一定要開兩步驟驗證

密碼再複雜，還是可能外洩。開了兩步驟驗證，登入時除了密碼，還要手機上的驗證碼，別人拿到密碼也進不來。另外可以限制登入失敗的次數，擋掉一直猜密碼的機器人。做法可以看〈WordPress 登入安全怎麼做？〉。

5. 開啟操作紀錄

操作紀錄會記下誰在什麼時候登入、新增或刪除了哪篇文章、改了哪個設定、裝了哪個外掛。網站突然出問題，翻一下紀錄就知道是誰在什麼時候改了什麼。

WordPress 可以裝操作紀錄外掛，例如 WP Activity Log；Joomla 3.9 之後內建「使用者操作紀錄」，在後台打開就能用。紀錄會越來越多，記得設定保留天數。

帳號密碼要放在公司手上

除了網站後台，網址、主機、Google Analytics、Search Console、金流這些帳號，也要整理一份清單，放在公司可以控制的地方，例如公司的密碼管理工具。最怕的情況是：所有帳號都在某一位員工或某一家廠商的私人信箱裡，對方一離開，公司就進不去自己的網站。

網址登記在誰名下特別重要，相關說明可以看〈WHOIS 查詢怎麼看？〉。

正威可以幫什麼

正威網路行銷是 25 年經驗的基隆網頁設計工作室，也提供台北網頁設計與全台灣的網站服務。我們的建站方案包含後台操作教學，網站管家年費包含基礎後台管理服務與安全性更新。

想整理網站後台的帳號、或擔心有沒有不該存在的管理員？歡迎免費諮詢。