WordPress reCAPTCHA 可以降低表單與留言被機器人濫用的機會，卻無法替網站修補外掛漏洞、阻止所有惡意流量或取代備份。若垃圾留言、登入嘗試與頁面異常同時發生，應先分清入口與症狀，再依風險安排更新、權限、驗證與復原機制。
WordPress 網站被垃圾留言淹沒，就是遭到入侵嗎？
垃圾留言是公開互動入口遭濫用；網站入侵則是未經授權者改動內容、帳號或程式。兩者都需要處理，但不能因留言變多就斷定主機被駭，也不能因為裝了驗證碼就忽略異常管理員或被插入的頁面。
先記錄時間、來源與影響範圍：只有文章留言增加，還是聯絡表單也收到大量垃圾訊息？是否同時出現陌生帳號、跳轉、未知外掛、網站變慢或 Search Console 安全性通知？Google 搜尋垃圾內容政策把留言濫用與遭入侵後被植入的內容分別列為風險。若網站出現未知頁面或惡意跳轉，應先保留證據並優先處理入侵，不要只在前台隱藏症狀。
對沒有社群討論需求的企業網頁設計網站，關閉留言通常比持續清垃圾留言更符合用途；有討論需求的站點則應建立審核規則與管理責任。WordPress 官方的垃圾留言說明也建議先判斷是否真的需要留言功能。
WordPress 網站資安設定，應先做好哪四層防護？
先做「更新與備份、帳號與權限、公開入口治理、監控與復原」四層防護。四層各自處理不同風險；單一外掛、驗證碼或防火牆都不能保證網站永遠不中斷。
第一層：更新前備份，更新後驗證
列出 WordPress 核心、佈景主題、外掛及 PHP 相容性，移除不使用的元件。更新前確認資料庫與檔案備份可用；重要網站可先在測試環境確認版型、表單與結帳功能，再更新正式站。WordPress 外掛與佈景主題自動更新文件也提醒啟用自動更新前應備有可回復的備份。
備份不是「有一份壓縮檔」就算完成。應知道備份保存位置、保留週期、誰有還原權限，以及如何測試檔案與資料庫能否一起復原。WordPress 官方備份指南建議保存多份近期備份並放在不同位置。企業若有詢問表單或購物網站，還要確認復原點會不會讓新收到的詢問或訂單遺失。
第二層：降低管理員帳號被濫用的機會
每位維護者使用獨立帳號與適當權限，停止共用管理員密碼；有條件時加上多因素驗證。離職或結案時撤除不再需要的帳號，並檢查外掛建立的 API 金鑰與整合權限。WordPress 強化安全性文件把帳號、更新與資料保護列為整體防護的一部分。
登入異常時，先檢查成功與失敗紀錄、來源 IP、未知使用者及近期設定變更。短時間大量登入嘗試可考慮主機或邊緣層限速；若已發現帳號被取得，應更改憑證、檢查其他管理員與網站檔案。單靠更改登入網址無法修補程式漏洞。
第三層：只保留必要的留言與表單入口
不需要留言，就同時檢查「新文章預設允許留言」與既有文章的留言狀態；更改全站預設通常不會自動關閉所有舊文章。WordPress 留言審核文件說明可單篇或批次停用留言。若需要留言，可啟用人工審核、限制連結數量與封鎖明顯濫用詞，但要避免誤擋正常客戶。
聯絡表單應只收必要資料，加入伺服器端驗證、速率限制與清楚的成功訊息。驗證碼是其中一個控制；當網站同時使用外掛內建反垃圾機制與另一套驗證服務，需檢查是否重複載入、造成表單失敗或手機體驗變差。聯絡表單如何設定 reCAPTCHA v3？另有針對表單的逐步檢查。
第四層：監控異常並準備復原流程
監控應涵蓋網站可用性、管理員變動、檔案變更、備份結果與 Search Console 安全性問題。若發現被植入的頁面或惡意程式，先限制受影響帳號、保留必要證據，再找出入口、清除異常並從可信備份復原；最後重新檢查站點與搜尋結果。沒有找到根因就直接覆蓋備份，問題可能再次出現。
網站防護也影響內容可信度。被植入的垃圾頁面會讓訪客與搜尋系統看到不屬於品牌的資訊；清楚的服務頁、可驗證的作品與正常運作的聯絡流程，才是長期經營基礎。網站上線與維護如何交接？可作為權責盤點的起點。
WordPress reCAPTCHA 要裝在哪裡，才算正確防護？
WordPress reCAPTCHA 應放在真正會被提交的公開入口，例如留言、聯絡表單或登入流程，並由後端驗證回傳結果。只在畫面上顯示徽章，不能證明請求已被檢查。
Google reCAPTCHA v3 文件指出，v3 會回傳風險分數，後端應驗證 token、預期 action 等資訊，再依情境決定放行、額外確認或人工審查。分數門檻應以實際流量調整，避免正常詢問被過度攔截。金鑰只放在相應設定位置，不應貼入公開文章或前端可讀的程式碼。
若站點已使用其他反垃圾方案，例如 Cloudflare Turnstile，應先盤點現有留言、登入與表單整合，再決定是否需要 reCAPTCHA。重複安裝兩套驗證可能增加維護成本與失敗點。此篇說明的是防護選擇方法，並不表示每個 WordPress 網站都必須使用 reCAPTCHA。
| 情況 | 優先措施 | 驗證方式 |
|---|---|---|
| 文章不需要留言 | 關閉新舊文章留言入口 | 登出後確認留言表單不再出現 |
| 需要留言與審核 | 審核規則、反垃圾與必要驗證 | 測試正常留言與垃圾留言處理 |
| 聯絡表單被灌 | 伺服器端驗證、限速與防機器人 | 用測試資料檢查成功及失敗流程 |
| 未知管理員或頁面 | 隔離、查入口、清除、復原 | 比對帳號、檔案與搜尋結果 |
發現網站受攻擊時，企業主應如何安排處理順序？
先確認是否真的被入侵，再控制影響範圍、保存證據、找出原因與復原。若只是垃圾留言激增，先停用不必要入口並調整審核；若有未知帳號、惡意跳轉或檔案被改動，應以資安事件處理。
- 記錄異常時間、網址、畫面、主機告警與管理員操作紀錄。
- 限制受影響帳號或入口，避免更多變更；必要時請主機商協助隔離。
- 檢查核心、外掛、佈景主題、管理員及新產生的檔案，定位入侵來源。
- 使用經驗證的乾淨備份復原，更新元件與憑證，再測試前台、後台與表單。
- 持續觀察伺服器日誌與 Search Console 安全性問題，確認沒有殘留頁面。
網站如果支援客戶帳號或購物交易，復原計畫還要考慮個資、訂單與通知義務，不宜只看首頁是否打得開。網頁設計服務的交付範圍有哪些？與哪些作品能提供可查證的建站方法？可協助企業主在委託前釐清維護責任與實際能力。
常見問題
關閉留言後，聯絡表單的垃圾訊息也會消失嗎？
不會。留言與聯絡表單是不同入口，需要分別檢查。關閉留言只會移除留言通道，表單仍需自身的驗證與限速。
安裝 reCAPTCHA 就能防止網站被駭嗎？
不能。reCAPTCHA 主要協助判斷互動是否疑似自動化，不能修補外掛漏洞或替代更新、權限管理與備份。
網站需要天天手動更新外掛嗎？
不需要盲目每天全數更新。應建立定期盤點與緊急修補流程，更新前確認備份與相容性，更新後測試關鍵功能。
已經有備份，還需要測試還原嗎？
需要。只有成功還原檔案與資料庫，才能確認備份可用；同時要了解復原後可能遺失的新增詢問與訂單資料。
