# 網站是你的，帳號卻在廠商手上？委外建置前確認六項控制權

- 網址：https://www.edgedeploy.tw/blog/website-vendor-account-ownership-checklist
- 分類：帳號與權限治理
- 發佈日期：2026-08-24
- 更新日期：2026-08-24
- 作者：邊境部署

> 網站完成不代表企業真正掌握網站。本文帶你盤點網域、DNS、主機、程式碼、分析工具與復原方式，確認公司具備最高權限、可獨立續約與交接，避免換廠商或緊急故障時才發現控制權不在自己手上。

網站已經上線、每月也有付維護費，企業卻可能連網域在哪一家註冊、主機帳號用誰的信箱、原始碼放在哪裡都不知道。平常網站正常時看不出問題，等到想換廠商、負責人離職、信用卡失效或網站突然中斷，才發現所有驗證碼都寄到外部人員手上。

這就像店面是你出錢裝潢，門牌申請、總電源、保全密碼和備用鑰匙卻都由裝修公司保管。對方願意配合時一切順利，但企業沒有獨立開門、續約與交接的能力，就不能算真正掌握營運入口。

本文談的「控制權」是實務上的登入、管理、續約與移轉能力，不直接判定法律上的智慧財產權歸屬。原始碼、設計稿與內容的所有權或授權範圍，仍應以雙方合約約定為準。

## 先分清楚使用權、管理權與可交接性

能登入網站後台，不代表擁有整套網站的最高管理權。你可能只能修改文章，卻不能管理帳號、下載完整資料或更換主機。真正需要確認的是：公司能否在沒有原廠商代操作的情況下，完成續約、增加管理員、匯出必要資料與指定新廠商接手。

網域尤其重要。網際網路名稱與號碼指配機構（ICANN）將網域註冊人稱為 Registrant，也就是與註冊商建立註冊關係的個人或組織；註冊人透過註冊商管理、續約與移轉網域。對一般頂級網域而言，移轉時通常還會需要 Auth-Code，也就是移轉授權碼。若公司不知道註冊商、無法登入控制台或收不到復原信件，網站即使目前還能開啟，未來移轉仍可能卡住。不同網域類型與註冊商規則可能不同，應以實際服務條款為準。

## 網站不是一個帳號，而是一串相依資產

至少盤點以下六項：

1. **網域與續約資料：** 註冊商、註冊帳號、復原信箱、付款方式、到期日，以及公司是否能自行取得移轉所需資料。
2. **DNS 設定：** DNS 是把網域指向網站、信箱與其他服務的地址簿。公司應知道由哪個平台管理、誰有最高權限。
3. **主機與部署平台：** 確認帳號、方案、付款人、資料所在地、備份方式，以及停止合作後能否匯出或移轉。
4. **程式碼與建置檔案：** 確認程式碼存放位置、公司具備的角色、建置說明，以及合約約定的交付與授權範圍。GitHub 等平台可以移轉程式碼儲存庫，但執行移轉的人必須具備相應管理權限。
5. **數據與行銷工具：** 包含 Search Console、網站分析、廣告追蹤與標籤管理。以 Search Console 為例，只有擁有者能新增或移除其他使用者，因此公司不應長期只拿到檢視權限。
6. **第三方服務與密鑰：** 表單寄信、金流、地圖、會員登入、CDN（協助把網站內容從較近節點送給訪客的服務）或 API（讓不同系統交換資料的介面）服務，都要記錄申請帳號、費用與更換方式，但不要把實際密碼或密鑰寫進一般清冊。

美國國家標準暨技術研究院（NIST）的網路安全框架將資料、軟體、系統、服務與供應商都視為需要辨識和管理的資產，也要求供應商合作結束後的處理方式納入規劃。網站資產清冊不是多餘文件，而是讓公司知道服務由誰提供、哪個入口中斷會影響營運。

## 用六個問題做一次交接壓力測試

請不要只問廠商「帳號會不會給我」，改成實際驗證：

- 公司內部是否至少有一個最高權限管理員，而且不是廠商的私人信箱？
- 忘記密碼時，復原信件或驗證碼是否由公司控制？
- 公司能否自行查看網域、主機與重要服務的到期日及付款狀態？
- 若今天更換廠商，能否列出需要移交的帳號、檔案、設定與未完成事項？
- 新廠商能否在不取得前廠商私人帳號的情況下加入並接手？
- 舊廠商離場後，能否移除其權限、更新密鑰並確認服務仍正常？

只要其中一題答不出來，就先不要急著全面搬家。先標記會讓網站、信箱、訂單或搜尋資料中斷的高風險入口，再安排受控的權限補強與交接測試。

## 合約與日常管理要留下哪些證據

委外合約至少應把帳號建立方式、公司應取得的角色、交付項目、備份與匯出格式、合作終止時的協助範圍寫清楚。不要只寫「網站建置完成後交付」，因為交付一組後台帳密，可能仍不包含網域、主機、程式碼或第三方服務。

日常管理則保留一份不含秘密值的資產清冊，記錄平台、用途、公司負責人、外部管理者、權限層級、續約日與復原方式。密碼、API 金鑰與備用碼應放進受控的密碼管理工具，不要直接貼在試算表或群組訊息。每次負責人異動、廠商更換或服務續約時，都重新核對一次。

## 現在可以做的第一步

今天先找出公司的網域註冊商，確認公司能登入、看到到期日，並能控制復原信箱。接著請維護廠商提供上述六項資產的名稱、平台與公司目前權限，不必先索取所有密碼，也不要在未確認影響前自行刪除帳號或修改 DNS。

如果清冊整理到一半才發現帳號散落、權限不明或交接會影響正式網站，邊境部署可以協助盤點依賴關係、安排不影響營運的移交順序，並把未來廠商都能遵循的管理邊界整理清楚。

## 參考資料

- [ICANN：Information for Domain Name Registrants](https://www.icann.org/registrants)
- [ICANN：About Auth-Code](https://www.icann.org/resources/pages/auth-2013-05-03-en)
- [NIST：Cybersecurity Framework 2.0](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf)
- [Google Search Console：Managing owners, users, and permissions](https://support.google.com/webmasters/answer/7687615)
- [GitHub Docs：Transferring a repository](https://docs.github.com/en/repositories/creating-and-managing-repositories/transferring-a-repository)