在VPS执行WordPress，比共享主机更能自由配置。然而，服务器公司并不会替您更新或保护所有项目。
VPS业者保护的是数据中心、实体设备与虚拟化基础设施等。安装于VPS内的OS、Web服务器、PHP、数据库、WordPress、防火墙与备份等，依合约内容，可能属于用户的责任。
重要的不是旅宿主人能否亲自操作所有项目。
必须决定每项作业由谁负责、异常时联系谁，以及合约结束时交付哪些内容。
如何判断是否使用VPS
若符合以下情况，可能使用VPS或虚拟机器。
- 曾选择Ubuntu、Debian、AlmaLinux等OS
- 有使用root或sudo的用户
- 以SSH密钥连接服务器
- 由自己或网站制作公司设置nginx、Apache、PHP、MySQL
- 有设置防火墙或端口的画面
- 管理OS重新启动、快照与磁盘容量
若全部由网站制作公司设置，旅宿主人也可能不知道使用的是VPS。请确认账单、合约电子邮件与管理画面；若不清楚，请询问「服务器类型、OS与管理负责人」。
类型差异可阅读共享主机与VPS的差异。
责任依各层区分
以下是一般VPS的责任分工。实际情况请以服务与维护合约为优先。
| 层级 | VPS业者 | 旅宿与管理员 |
|---|---|---|
| 数据中心与实体设备 | 主要负责管理 | 确认合约与故障信息 |
| 虚拟化基础设施 | 主要负责管理 | 选择使用方案 |
| 虚拟网络 | 提供功能 | 设置连接规则 |
| 客户机OS | 可能提供镜像 | 更新、设置与重新启动 |
| SSH与管理员凭据 | 提供连接功能 | 管理密钥、用户与权限 |
| 防火墙 | 提供功能 | 只允许必要通信 |
| nginx、Apache | 导入、更新与设置 | |
| PHP与数据库 | 导入、更新与保护 | |
| TLS证书 | 可能提供功能 | 签发、续期与期限监控 |
| WordPress | 更新核心、主题与插件 | |
| 备份 | 快照功能等 | 范围、频率、另处保存与还原测试 |
| 监控与故障应对 | 监控基础设施 | 监控Web、容量、证书与应用程序 |
| 文章与预订路径 | 确认内容与营业功能 |
AWS的EC2安全资料也说明共有责任：业者保护实体基础设施，用户则管理客户机OS与已安装软件的更新、连接凭据与网络访问。
OS更新
即使WordPress管理画面显示「已是最新版本」，OS也未必最新。OS需管理以下事项。
- 安全更新
- 软件包更新
- 支持期限
- 内核更新后的重新启动
- 更新失败记录
- 新增软件源的可信度
Ubuntu Server官方资料介绍自动套用安全更新的机制。不过，仍需由管理员确认自动更新设置、范围、记录与是否需要重新启动。外部软件源不一定包含在自动更新范围内。
应确认的问题
- OS类型与版本是什么
- 何时停止支持
- 安全更新是自动或手动
- 失败通知寄给谁
- 需要重新启动时，由谁、何时执行
- 重新启动后，由谁确认WordPress与预订路径
SSH与管理员权限
SSH是远端管理VPS的入口。若遭泄漏，可能被操作比WordPress管理员更广的范围。
- 避免直接登录root
- 每人使用不同用户与SSH密钥
- 不要在聊天或电子邮件共用密码
- sudo限定必要人员使用
- 离职或合约结束时移除密钥
- 考虑限制连接来源或使用多因素验证
- 查看记录，确认谁在何时连接
「网站制作公司只有一个共用账号」，无法追踪由谁操作。即使允许AI连接，也不要直接提供人员使用的root密钥，应区分只读、更新与公开等权限。
防火墙与公开端口
VPS只应允许必要通信。一般公开Web使用HTTP、HTTPS，管理使用SSH等，但不能未确认环境就只照抄编号。
Ubuntu官方安全建议也建议最小权限、防火墙与使用SSH安全远端连接。
应确认以下事项。
- 哪些服务对外公开
- 数据库是否直接公开到互联网
- 谁从哪里使用SSH
- 是否同时有云端与OS两个防火墙
- 是否记录修改前的规则
错误修改可能连自己也无法连接，请先确认恢复控制台的使用方法。
Web服务器、PHP与数据库
WordPress底下执行的是nginx或Apache、PHP、MySQL或MariaDB等。
管理员需掌握以下事项。
- 导入方法与配置文件
- 目前版本
- 安全更新
- 与WordPress的兼容性
- 自动启动与重新启动方法
- 错误记录位置
- 磁盘与数据库容量
- 备份与还原
更新其中一项可能影响其他层，因此不要在同一天叠加WordPress、PHP、数据库与OS的重大变更。
各软件角色可阅读Docker、nginx、PHP与MySQL的角色，依页面显示流程有详细说明。
TLS证书与域名
HTTPS证书过期，浏览器会显示警告，让旅客对预订产生犹豫。
请记录以下事项。
- 证书签发方法
- 自动续期设置
- 续期失败通知
- 有效期限的外部监控
- DNS管理公司与账号
- 域名自动续期与付款
即使设置证书自动续期，若没有人查看失败通知，也无法防止过期。
备份与快照
仅靠VPS快照，不一定能满足全部复原需求。
请确认能还原以下哪些内容。
- WordPress文件
- 数据库
- Web服务器、PHP与OS设置
- TLS设置
- 自动执行设置
- Docker配置与环境设置
- 监控设置
Ubuntu备份资料说明，计划应包含备份什么、频率、保存位置与还原方法，以及保存于其他地点。
具体WordPress备份请阅读WordPress更新前的备份与还原。
监控对象
即使服务器正在执行，WordPress或预订表单也可能故障。
基础设施
- CPU、内存与磁盘容量
- 服务器是否正常运作
- OS更新失败
- 备份失败
- 可疑登录
网站
- 以HTTPS返回200
- 证书期限
- 首页与重要页面的显示
- 预订按钮的连结目标
- 询问寄送与邮件送达
- PHP与数据库错误
不要只通知单一个人，请决定不在时的代理人。
区分故障时的联系窗口
| 症状 | 优先联系的候选窗口 |
|---|---|
| VPS本身无法启动 | VPS业者、服务器管理员 |
| 无法SSH连接 | 服务器管理员 |
| 只有WordPress白画面 | WordPress维护负责人 |
| 数据库连接错误 | 服务器与DB管理员 |
| 只有预订服务停止 | 预订服务供应商 |
| 域名过期 | 域名合约管理员 |
| HTTPS警告 | 服务器与证书管理员 |
旅宿主人不需断定技术原因，但应能传达URL、发生时间、画面与刚才的变更。
委托合约应确认的事项
若委托网站制作公司管理VPS，请以书面确认以下事项。
- OS与各软件的更新频率
- 紧急漏洞的处理时间
- 监控范围与服务时间
- 备份范围、保留与还原测试
- 故障应对的费用与范围
- SSH密钥与管理员账号管理
- 域名与VPS合约的登记名义
- 配置文件与操作手册的交付
- 合约结束时的数据迁移
- 再委托对象与个人信息的处理
只有「服务器维护全套」这个说法，无法知道范围。
旅宿主人应保有的管理台账
记录所在位置与负责人，勿记录秘密信息本身。
| 项目 | 合约公司与方式 | 主要负责人 | 代理人 | 更新与期限 | 紧急联系方式 |
|---|---|---|---|---|---|
| VPS | |||||
| OS | |||||
| 域名、DNS | |||||
| TLS证书 | |||||
| WordPress | |||||
| 备份 | |||||
| 监控 |
不要在表格写入密码或私钥，使用业务用密码管理方法。
不适合使用VPS的情况
- 没有负责OS更新的人
- 即使收到故障通知也无法应对
- 没有负责备份还原的人
- 与网站制作公司结束合约时，无法取得任何资料
- 只有支付服务器费用的人知道合约信息
- 认为「AI会全部管理，不需要人员」
若处于这种状态，改用代管WordPress或共享主机，可能降低总费用与事故风险。
请AI调查责任范围的提示词
请整理旅宿WordPress所使用VPS的责任范围。
先不要执行设置变更、更新、重新启动或连接测试。
请根据可只读取得的信息与合约资料，将以下事项整理为表格。
- VPS业者管理的范围
- 旅宿与网站制作公司管理的范围
- OS、SSH、防火墙、Web服务器、PHP、DB、TLS
- WordPress、备份、监控与故障应对
- 主要负责人、代理负责人与最后确认日期
- 不明事项，以及向业者、网站制作公司提出的问题
不要显示私钥、密码、个人信息或环境变量的值。
不要推测负责人，请标记「尚未确认」。
AI能协助盘点配置与制作确认表，但不能成为故障时的责任主体。请写明人员与合约公司。
总结
- VPS业者主要管理实体与虚拟化基础设施
- OS、SSH、防火墙与已安装软件通常属于用户责任
- 自动更新也需有人负责记录、重新启动与动作确认
- 除快照外，也测试WordPress与DB还原
- 分别监控服务器运作与Web、预订功能
- 委托时，以书面规范更新、监控、还原、紧急应对与交付
- 旅宿主人保有合约公司与负责人台账，而非秘密信息表
若无法说明继续使用VPS的目的与负责人，请重新考量是否有必要维持复杂配置。
参考资料
※责任范围、支持、快照与监控，依业者与合约内容而异。请务必确认合约与官方资料。
