在VPS執行WordPress，比共享主機更能自由配置。然而，伺服器公司並不會替您更新或保護所有項目。
VPS業者保護的是資料中心、實體設備與虛擬化基礎設施等。安裝於VPS內的OS、Web伺服器、PHP、資料庫、WordPress、防火牆與備份等，依合約內容，可能屬於使用者的責任。
重要的不是旅宿主人能否親自操作所有項目。
必須決定每項作業由誰負責、異常時聯絡誰，以及合約結束時交付哪些內容。
如何判斷是否使用VPS
若符合以下情況，可能使用VPS或虛擬機器。
- 曾選擇Ubuntu、Debian、AlmaLinux等OS
- 有使用root或sudo的使用者
- 以SSH金鑰連接伺服器
- 由自己或網站製作公司設定nginx、Apache、PHP、MySQL
- 有設定防火牆或連接埠的畫面
- 管理OS重新啟動、快照與磁碟容量
若全部由網站製作公司設定，旅宿主人也可能不知道使用的是VPS。請確認請款單、合約電子郵件與管理畫面；若不清楚，請詢問「伺服器類型、OS與管理負責人」。
類型差異可閱讀共享主機與VPS的差異。
責任依各層區分
以下是一般VPS的責任分工。實際情況請以服務與維護合約為優先。
| 層級 | VPS業者 | 旅宿與管理員 |
|---|---|---|
| 資料中心與實體設備 | 主要負責管理 | 確認合約與故障資訊 |
| 虛擬化基礎設施 | 主要負責管理 | 選擇使用方案 |
| 虛擬網路 | 提供功能 | 設定連線規則 |
| 客體OS | 可能提供映像檔 | 更新、設定與重新啟動 |
| SSH與管理員憑證 | 提供連線功能 | 管理金鑰、使用者與權限 |
| 防火牆 | 提供功能 | 只允許必要通訊 |
| nginx、Apache | 導入、更新與設定 | |
| PHP與資料庫 | 導入、更新與保護 | |
| TLS憑證 | 可能提供功能 | 簽發、續期與期限監控 |
| WordPress | 更新核心、佈景主題與外掛 | |
| 備份 | 快照功能等 | 範圍、頻率、另處保存與還原測試 |
| 監控與故障應對 | 監控基礎設施 | 監控Web、容量、憑證與應用程式 |
| 文章與預訂導線 | 確認內容與營業功能 |
AWS的EC2安全資料也說明共有責任：業者保護實體基礎設施，使用者則管理客體OS與已安裝軟體的更新、連線憑證與網路存取。
OS更新
即使WordPress管理畫面顯示「已是最新版本」，OS也未必最新。OS需管理以下事項。
- 安全更新
- 套件更新
- 支援期限
- 核心更新後的重新啟動
- 更新失敗紀錄
- 新增軟體儲存庫的可信度
Ubuntu Server官方資料介紹自動套用安全更新的機制。不過，仍需由管理員確認自動更新設定、範圍、紀錄與是否需要重新啟動。外部軟體儲存庫不一定包含在自動更新範圍內。
應確認的問題
- OS類型與版本是什麼
- 何時停止支援
- 安全更新是自動或手動
- 失敗通知寄給誰
- 需要重新啟動時，由誰、何時執行
- 重新啟動後，由誰確認WordPress與預訂導線
SSH與管理員權限
SSH是遠端管理VPS的入口。若遭洩漏，可能被操作比WordPress管理員更廣的範圍。
- 避免直接登入root
- 每人使用不同使用者與SSH金鑰
- 不要在聊天或電子郵件共用密碼
- sudo限定必要人員使用
- 離職或合約結束時移除金鑰
- 考慮限制連線來源或使用多因素驗證
- 查看紀錄，確認誰在何時連線
「網站製作公司只有一個共用帳號」，無法追蹤由誰操作。即使允許AI連線，也不要直接提供人員使用的root金鑰，應區分唯讀、更新與公開等權限。
防火牆與公開連接埠
VPS只應允許必要通訊。一般公開Web使用HTTP、HTTPS，管理使用SSH等，但不能未確認環境就只照抄編號。
Ubuntu官方安全建議也建議最小權限、防火牆與使用SSH安全遠端連線。
應確認以下事項。
- 哪些服務對外公開
- 資料庫是否直接公開到網際網路
- 誰從哪裡使用SSH
- 是否同時有雲端與OS兩個防火牆
- 是否記錄修改前的規則
錯誤修改可能連自己也無法連線，請先確認復原主控台的使用方法。
Web伺服器、PHP與資料庫
WordPress底下執行的是nginx或Apache、PHP、MySQL或MariaDB等。
管理員需掌握以下事項。
- 導入方法與設定檔
- 目前版本
- 安全更新
- 與WordPress的相容性
- 自動啟動與重新啟動方法
- 錯誤紀錄位置
- 磁碟與資料庫容量
- 備份與還原
更新其中一項可能影響其他層，因此不要在同一天疊加WordPress、PHP、資料庫與OS的重大變更。
各軟體角色可閱讀Docker、nginx、PHP與MySQL的角色，依頁面顯示流程有詳細說明。
TLS憑證與網域
HTTPS憑證過期，瀏覽器會顯示警告，讓旅客對預訂產生猶豫。
請記錄以下事項。
- 憑證簽發方法
- 自動續期設定
- 續期失敗通知
- 有效期限的外部監控
- DNS管理公司與帳號
- 網域自動續期與付款
即使設定憑證自動續期，若沒有人查看失敗通知，也無法防止過期。
備份與快照
僅靠VPS快照，不一定能滿足全部復原需求。
請確認能還原以下哪些內容。
- WordPress檔案
- 資料庫
- Web伺服器、PHP與OS設定
- TLS設定
- 自動執行設定
- Docker配置與環境設定
- 監控設定
Ubuntu備份資料說明，計畫應包含備份什麼、頻率、保存位置與還原方法，以及保存於其他地點。
具體WordPress備份請閱讀WordPress更新前的備份與還原。
監控對象
即使伺服器正在執行，WordPress或預訂表單也可能故障。
基礎設施
- CPU、記憶體與磁碟容量
- 伺服器是否正常運作
- OS更新失敗
- 備份失敗
- 可疑登入
網站
- 以HTTPS回傳200
- 憑證期限
- 首頁與重要頁面的顯示
- 預訂按鈕的連結目標
- 詢問寄送與郵件送達
- PHP與資料庫錯誤
不要只通知單一個人，請決定不在時的代理人。
區分故障時的聯絡窗口
| 症狀 | 優先聯絡的候選窗口 |
|---|---|
| VPS本身無法啟動 | VPS業者、伺服器管理員 |
| 無法SSH連線 | 伺服器管理員 |
| 只有WordPress白畫面 | WordPress維護負責人 |
| 資料庫連線錯誤 | 伺服器與DB管理員 |
| 只有預訂服務停止 | 預訂服務供應商 |
| 網域過期 | 網域合約管理員 |
| HTTPS警告 | 伺服器與憑證管理員 |
旅宿主人不需斷定技術原因，但應能傳達URL、發生時間、畫面與剛才的變更。
委託合約應確認的事項
若委託網站製作公司管理VPS，請以書面確認以下事項。
- OS與各軟體的更新頻率
- 緊急漏洞的處理時間
- 監控範圍與服務時間
- 備份範圍、保留與還原測試
- 故障應對的費用與範圍
- SSH金鑰與管理員帳號管理
- 網域與VPS合約的登記名義
- 設定檔與操作手冊的交付
- 合約結束時的資料移轉
- 再委託對象與個人資訊的處理
只有「伺服器維護全套」這個說法，無法知道範圍。
旅宿主人應保有的管理台帳
記錄所在位置與負責人，勿記錄秘密資訊本身。
| 項目 | 合約公司與方式 | 主要負責人 | 代理人 | 更新與期限 | 緊急聯絡方式 |
|---|---|---|---|---|---|
| VPS | |||||
| OS | |||||
| 網域、DNS | |||||
| TLS憑證 | |||||
| WordPress | |||||
| 備份 | |||||
| 監控 |
不要在表格寫入密碼或私密金鑰，使用業務用密碼管理方法。
不適合使用VPS的情況
- 沒有負責OS更新的人
- 即使收到故障通知也無法應對
- 沒有負責備份還原的人
- 與網站製作公司結束合約時，無法取得任何資料
- 只有支付伺服器費用的人知道合約資訊
- 認為「AI會全部管理，不需要人員」
若處於這種狀態，改用代管WordPress或共享主機，可能降低總費用與事故風險。
請AI調查責任範圍的提示詞
請整理旅宿WordPress所使用VPS的責任範圍。
先不要執行設定變更、更新、重新啟動或連線測試。
請根據可唯讀取得的資訊與合約資料，將以下事項整理為表格。
- VPS業者管理的範圍
- 旅宿與網站製作公司管理的範圍
- OS、SSH、防火牆、Web伺服器、PHP、DB、TLS
- WordPress、備份、監控與故障應對
- 主要負責人、代理負責人與最後確認日期
- 不明事項，以及向業者、網站製作公司提出的問題
不要顯示私密金鑰、密碼、個人資訊或環境變數的值。
不要推測負責人，請標記「尚未確認」。
AI能協助盤點配置與製作確認表，但不能成為故障時的責任主體。請寫明人員與合約公司。
總結
- VPS業者主要管理實體與虛擬化基礎設施
- OS、SSH、防火牆與已安裝軟體通常屬於使用者責任
- 自動更新也需有人負責紀錄、重新啟動與動作確認
- 除快照外，也測試WordPress與DB還原
- 分別監控伺服器運作與Web、預訂功能
- 委託時，以書面規範更新、監控、還原、緊急應對與交付
- 旅宿主人保有合約公司與負責人台帳，而非秘密資訊表
若無法說明繼續使用VPS的目的與負責人，請重新考量是否有必要維持複雜配置。
參考資料
※責任範圍、支援、快照與監控，依業者與合約內容而異。請務必確認合約與官方資料。
