เว็บไซต์ส่วนใหญ่ไม่ได้พังแบบปุบปับ แต่ค่อย ๆ เสื่อม ปลั๊กอินตัวหนึ่งตามเวอร์ชันไม่ทัน งานสำรองข้อมูลหยุดไปเงียบ ๆ แบบฟอร์มติดต่อพังหลังอัปเดต และไม่มีใครสังเกต จนลูกค้าถามว่าทำไมการติดต่อสอบถามของเขาไม่มีใครตอบ เช็กลิสต์ดูแลเว็บไซต์มีไว้จับการเสื่อมแบบนั้น ตั้งแต่ปัญหายังเล็ก
เช็กลิสต์นี้เรียงงานประจำตามความถี่ และบอกว่างานแต่ละอย่างควรให้เครื่องมือหรือคนทำ ตัวอย่างใช้ WordPress ซึ่งเป็นแพลตฟอร์มที่เราใช้สร้างเว็บไซต์ แต่แทบทุกงานใช้ได้กับ CMS ใดก็ได้ ใช้ดูแลเว็บไซต์ของคุณเอง หรือใช้เป็นไม้บรรทัดวัดผู้ให้บริการของคุณก็ได้
คำตอบสั้น ๆ
- รายสัปดาห์: อัปเดต WordPress ธีม และปลั๊กอิน (ลองบนเว็บทดสอบก่อน เมื่อมีความเสี่ยง) ยืนยันว่าการสำรองข้อมูลทำงาน ทบทวนการแจ้งเตือนเรื่องเว็บล่มและความปลอดภัย และลองส่งข้อความทดสอบผ่านทุกแบบฟอร์ม
- รายเดือน: กู้คืนข้อมูลสำรองเพื่อพิสูจน์ว่าใช้ได้ แก้ลิงก์เสีย ตรวจความเร็วและ Core Web Vitals อ่าน Google Search Console และเทียบจำนวนการติดต่อสอบถามที่ระบบติดตามได้ กับที่ได้รับจริง
- รายไตรมาส: ทบทวนปลั๊กอินและบัญชีผู้ใช้ทุกตัว อัปเดตเนื้อหาที่ล้าสมัย และสุ่มตรวจการเข้าถึงสำหรับทุกคน
- รายปี: ยืนยันการต่ออายุโดเมน SSL และไลเซนส์ ทบทวนโฮสติ้งและ PHP ตรวจว่าคุณเป็นเจ้าของทุกบัญชี และตัดสินว่าเว็บไซต์ยังเหมาะกับธุรกิจหรือไม่
เครื่องมือรันการสำรองข้อมูล การอัปเดต และการเฝ้าระวังได้ แต่ยังต้องมีคนตรวจว่าทุกอย่างทำงานจริง
ก่อนเริ่ม: 4 สิ่งที่ต้องมี
ส่วนใหญ่ควรตั้งค่าไว้ตั้งแต่วันขึ้นระบบ ตามที่ เช็กลิสต์ก่อนเปิดตัวเว็บไซต์ อธิบาย
- เว็บทดสอบ (staging): สำเนาส่วนตัวของเว็บไซต์จริง ที่ใช้ลองอัปเดตที่มีความเสี่ยงก่อน คู่มือการพัฒนาเว็บไซต์ฉบับภาษาเข้าใจง่าย ของเรา อธิบายว่าเว็บทดสอบกับเว็บจริงทำงานร่วมกันอย่างไร
- การสำรองข้อมูลนอกเซิร์ฟเวอร์: สำรองข้อมูลอัตโนมัติรายวัน ที่เก็บแยกจากบัญชีโฮสติ้งของคุณ เพื่อไม่ให้ความเสียหายครั้งเดียว หรือล็อกอินที่ถูกขโมย ทำให้เสียทั้งเว็บไซต์และข้อมูลสำรองไปพร้อมกัน
- การแจ้งเตือนที่ไปถึงคน: คนที่อ่าน และรู้ว่าต้องทำอะไร
- บันทึกการดูแล: วันที่ สิ่งที่ทำ เวอร์ชันก่อนและหลัง เพื่อให้รู้ว่าอะไรเปลี่ยนล่าสุด เมื่อมีอะไรพัง
รายสัปดาห์: อัปเดต สำรองข้อมูล การแจ้งเตือน และแบบฟอร์ม
อัปเดตบนเว็บทดสอบ แล้วค่อยเว็บจริง
ปลั๊กอินที่ล้าสมัยและมีช่องโหว่ที่เปิดเผยต่อสาธารณะ เป็นหนึ่งในช่องทางที่พบบ่อยที่สุดที่เว็บไซต์ WordPress ถูกเจาะ ซึ่งเป็นเหตุผลที่การอัปเดตมาเป็นอันดับแรกใน คู่มือความปลอดภัย WordPress ของเรา แต่ไม่ใช่ทุกการอัปเดตที่ต้องระวังเท่ากัน:
- การแก้ไขเล็ก ๆ และแพตช์ความปลอดภัย (เช่น จาก 2.4.1 เป็น 2.4.2) มักมีความเสี่ยงต่ำ สำรองข้อมูล อัปเดต แล้วตรวจหน้าสำคัญ
- เวอร์ชันหลัก ตัวสร้างหน้า ปลั๊กอินแบบฟอร์ม และอะไรก็ตามที่จัดการการชำระเงิน การจอง หรือการแปล ให้ไปลงเว็บทดสอบก่อน อ่านบันทึกการเปลี่ยนแปลง (changelog) และอัปเดตทีละตัว เพื่อให้รู้ว่าตัวไหนทำให้เกิดปัญหา
- ช่องโหว่ที่กำลังถูกโจมตีอยู่ ไม่ต้องรอรอบรายสัปดาห์ ให้อัปเดตภายในวันเดียวกัน
โดยค่าเริ่มต้น WordPress ติดตั้งรุ่นย่อยของ core ให้อัตโนมัติ และคุณเปิดการอัปเดตอัตโนมัติได้ทีละปลั๊กอิน และทีละธีม ซึ่งเหมาะกับปลั๊กอินเล็ก ๆ ที่ได้รับการดูแลดี ไม่ใช่อะไรที่กำหนดเลย์เอาต์ แบบฟอร์ม หรือขั้นตอนชำระเงิน หลังอัปเดตบนเว็บจริงทุกครั้ง ให้ตรวจหน้าแรก หน้าบริการสำคัญ แบบฟอร์ม และเมนูบนมือถือ ในทุกภาษาที่เว็บไซต์ใช้
ยืนยันว่าการสำรองข้อมูลทำงาน
เครื่องหมายถูกสีเขียวไม่ใช่หลักฐาน ตรวจวันที่ของข้อมูลสำรองล่าสุด ว่ามีทั้งไฟล์และฐานข้อมูล และขนาดดูปกติ ขนาดที่เล็กลงกะทันหัน อาจหมายถึงงานสำรองที่ล้มเหลว เก็บประวัติไว้หลายสัปดาห์ เพราะการถูกแฮ็กอาจไม่มีใครสังเกตอยู่พักหนึ่ง และคุณต้องมีสำเนาที่สะอาด จากก่อนเริ่มถูกแฮ็ก
ทบทวนการแจ้งเตือนเว็บล่มและความปลอดภัย
การตรวจสอบว่าเว็บไซต์ออนไลน์ตลอดเวลา (uptime monitoring) จะตรวจเว็บไซต์จากภายนอกทุกไม่กี่นาที และแจ้งเตือนเมื่อเว็บไซต์หยุดตอบสนอง การล่มสั้น ๆ ซ้ำ ๆ มักชี้ว่าโฮสติ้งรับไม่ไหว ถ้าเครื่องมือตรวจของคุณทำได้ ให้ตั้งให้มองหาคำเฉพาะบนหน้า เพราะเว็บไซต์อาจตอบสนองอยู่ แต่แสดงข้อผิดพลาดฐานข้อมูลหรือหน้าว่าง จากนั้นไล่ดูการแจ้งเตือนด้านความปลอดภัย (การล็อกอินล้มเหลวพุ่งสูง ไฟล์เปลี่ยนโดยไม่คาดคิด ผลการสแกนมัลแวร์) และจัดการทุกอย่างที่เป็นเรื่องใหม่
ส่งข้อความทดสอบผ่านทุกแบบฟอร์ม
แบบฟอร์มพังแบบเงียบ ๆ การอัปเดตเปลี่ยนช่องกรอก การเปลี่ยนโฮสติ้งกระทบอีเมล หรือข้อความเริ่มตกไปอยู่ในสแปม ให้ส่งข้อความทดสอบผ่านทุกแบบฟอร์ม ในทุกภาษา และยืนยันว่ามาถึงครบถ้วน ถ้าเว็บไซต์ส่งอีเมลผ่านฟังก์ชันส่งเมลในตัวของเซิร์ฟเวอร์ ให้ย้ายไปใช้บริการส่งอีเมลที่มีการยืนยันตัวตน พร้อมตั้งค่า SPF DKIM และ DMARC (ระเบียน DNS ที่พิสูจน์ว่าอีเมลของคุณมาจากคุณจริง) คู่มือ การออกแบบแบบฟอร์มบนเว็บ ของเรา พูดถึงสิ่งอื่นที่ควรทดสอบ
รายเดือน: พิสูจน์ว่าข้อมูลสำรองใช้ได้ และตรวจสุขภาพเว็บไซต์
ลองกู้คืนข้อมูลสำรองในที่ปลอดภัย
กู้คืนข้อมูลสำรองล่าสุดไปยังเว็บทดสอบหรือสำเนาชั่วคราว แล้วคลิกดูหน้า รูปภาพ แบบฟอร์ม และการล็อกอิน จดว่าใช้เวลานานแค่ไหน นั่นคือเวลาโดยประมาณที่เว็บไซต์จะออฟไลน์ หลังเกิดเหตุร้ายจริง ข้อมูลสำรองที่ไม่เคยมีใครกู้คืน เป็นแค่ความหวัง ไม่ใช่แผน การทดสอบกู้คืน คือวิธีที่คุณจะพบไฟล์อัปโหลดที่หายไป หรือขั้นตอนที่มีคนรู้อยู่คนเดียว
หาลิงก์เสียและหน้าที่หายไป
ใช้ crawler ไล่อ่านทั้งเว็บไซต์ SEO Spider ของ Screaming Frog มีเวอร์ชันฟรีที่เหมาะกับเว็บไซต์ขนาดเล็ก และเครื่องมือ SEO หลายตัวตั้งเวลาไล่อ่านได้ จากนั้นตรวจรายงานการจัดทำดัชนีหน้าเว็บใน Search Console หาหน้าที่แสดงว่า “ไม่พบ (404)” แก้ลิงก์ภายในที่ต้นทาง และเปลี่ยนเส้นทางแบบถาวร (301) สำหรับหน้าที่ย้ายจริง ไปยังหน้าทดแทนที่ใกล้เคียงที่สุด ไม่ใช่หน้าแรก
ตรวจความเร็วและ Core Web Vitals
ตรวจหน้าสำคัญด้วย PageSpeed Insights โดยดูมือถือก่อน และเทียบกับเดือนที่แล้ว จากนั้นเปิดรายงาน Core Web Vitals ใน Search Console ซึ่งใช้ข้อมูลจากผู้เข้าชมจริงใน 28 วันที่ผ่านมา
Google ถือว่าหน้าอยู่ในเกณฑ์ดี เมื่อ LCP หรือ Largest Contentful Paint ไม่เกิน 2.5 วินาที INP (ระยะเวลาจากการโต้ตอบถึงการแสดงผลถัดไป) ไม่เกิน 200 มิลลิวินาที และ CLS หรือ Cumulative Layout Shift ไม่เกิน 0.1 โดยวัดที่เปอร์เซ็นไทล์ที่ 75 ของการเข้าชม บทความ อธิบาย Core Web Vitals อธิบายแต่ละตัว เมื่อคะแนนลดลง ให้ดูสิ่งที่เพิ่งเพิ่มเข้ามาก่อน เช่น รูปภาพขนาดใหญ่ ปลั๊กอินใหม่ วิดเจ็ตแชต หรือแท็กการตลาดตัวใหม่
อ่าน Search Console
- การจัดทำดัชนีหน้าเว็บ: ข้อผิดพลาดที่เพิ่มขึ้นกะทันหัน หรือหน้าสำคัญที่หลุดออกไป
- ปัญหาด้านความปลอดภัย และการดำเนินการโดยเจ้าหน้าที่: ทั้งสองควรรายงานว่าไม่พบปัญหา
- ประสิทธิภาพ: คลิกและการแสดงผล สำหรับคำค้นหาที่สำคัญ เทียบกับเดือนที่แล้ว และเดือนเดียวกันของปีที่แล้ว
- ข้อความ: Google ใช้ช่องทางนี้แจ้งปัญหาที่พบ
เทียบตัวเลขที่ติดตามได้กับของจริง
key event ใน Google Analytics (ที่ GA4 เคยเรียกว่า conversion) ควรใกล้เคียงกับจำนวนการติดต่อสอบถาม ที่ทีมของคุณได้รับจริง ถ้าไม่ตรงกัน การติดตามน่าจะพัง ซึ่งมักเกิดหลังอัปเดตแบบฟอร์ม หรือเปลี่ยนแบนเนอร์คุกกี้ บทความ การติดตามการติดต่อสอบถามจากเว็บไซต์ใน GA4 แสดงวิธีตั้งค่า
รายไตรมาส: ตัดแต่ง จัดระเบียบ และสุ่มตรวจ
ทบทวนปลั๊กอินทุกตัวและธีม
สำหรับปลั๊กอินแต่ละตัว ให้ถามว่า ยังใช้อยู่ไหม ยังมีคนดูแลไหม ทำงานซ้ำกับปลั๊กอินอื่นไหม และมีไลเซนส์ถูกต้องไหม ไดเรกทอรีปลั๊กอินของ WordPress.org แสดงว่าปลั๊กอินอัปเดตล่าสุดเมื่อไร และเตือนเมื่อปลั๊กอินยังไม่ได้ทดสอบกับ WordPress รุ่นหลักล่าสุด ลบสิ่งที่ไม่ใช้ แทนที่จะแค่ปิดการใช้งาน เพราะปลั๊กอินที่ปิดไว้ก็ยังอยู่บนเซิร์ฟเวอร์ ปลั๊กอินน้อยลง หมายถึงการอัปเดต ความขัดแย้ง และช่องทางเจาะระบบที่น้อยลง
ทบทวนว่าใครมีสิทธิ์เข้าถึง
ลบอดีตพนักงาน ผู้รับจ้าง และผู้ให้บริการเดิมออกจาก WordPress ลดสิทธิ์ผู้ดูแลระบบที่แค่แก้ไขเนื้อหา และบังคับใช้การยืนยันตัวตนสองขั้นตอน สำหรับทุกคนที่เผยแพร่เนื้อหาได้ ทำซ้ำกับโฮสติ้ง ผู้ให้บริการจดโดเมน DNS เครื่องมือวิเคราะห์ และ Search Console
อัปเดตเนื้อหาที่ล้าสมัย
ราคา บุคลากร เวลาทำการ ข้อเสนอ หน้าข่าวที่อัปเดตครั้งล่าสุดเมื่อสองปีก่อน ตรวจทุกเวอร์ชันภาษาด้วย เพราะคำแปลมักตามเวอร์ชันหลักไม่ทัน
สุ่มตรวจการเข้าถึง
เนื้อหาใหม่คือจุดที่การเข้าถึงสำหรับทุกคนมักหลุด กด Tab ไล่ผ่านเส้นทางสำคัญหนึ่งเส้น โดยใช้คีย์บอร์ดอย่างเดียว คุณควรเห็นเสมอว่าอยู่ตรงไหน ตรวจว่ารูปใหม่มีข้อความ alt ที่มีประโยชน์ และแบนเนอร์ใหม่มีคอนทราสต์ตาม WCAG 2.2 AA คือ 4.5:1 สำหรับข้อความปกติ และ 3:1 สำหรับข้อความขนาดใหญ่ ซูมเบราว์เซอร์ไปที่ 200% แล้วตรวจว่าไม่มีอะไรพัง เครื่องมือตรวจอัตโนมัติจับปัญหาได้บางส่วน ไม่ใช่ทั้งหมด คู่มือ การตรวจการเข้าถึงเว็บไซต์และเครื่องมือตรวจ ของเราอธิบายความต่าง
รายปี: ต่ออายุ ความเป็นเจ้าของ และคำถามใหญ่
การต่ออายุโดเมน SSL และไลเซนส์
โดเมน ตรวจว่าจดทะเบียนในชื่อบริษัทของคุณ เปิดการต่ออายุอัตโนมัติไว้ บัตรชำระเงินยังใช้ได้ และอีเมลติดต่อเป็นอีเมลที่ยังมีคนอ่าน เพราะประกาศแจ้งหมดอายุจะส่งไปที่นั่น
ใบรับรอง SSL ควรต่ออายุอัตโนมัติ รายละเอียดใบรับรองที่อยู่หลังไอคอนข้างที่อยู่เว็บ บอกว่าหมดอายุเมื่อไร CA/Browser Forum ซึ่งกำหนดกฎของใบรับรองที่เชื่อถือได้สาธารณะ ลงมติในปี 2025 ให้ลดอายุสูงสุดลงเป็นขั้น ๆ คือ 200 วันตั้งแต่มีนาคม 2026 และ 47 วันภายในปี 2029 การต่ออายุด้วยมือกำลังจะหมดไป
ไลเซนส์ ปลั๊กอิน ธีม และตัวสร้างหน้าแบบพรีเมียม มักมีไลเซนส์รายปี เมื่อไลเซนส์หมด การอัปเดตก็หยุด รวมถึงการแก้ไขด้านความปลอดภัยด้วย
โฮสติ้ง PHP และความเป็นเจ้าของ
PHP คือภาษาโปรแกรมที่ WordPress ใช้ทำงาน ตรวจว่าเวอร์ชันของคุณยังได้รับการอัปเดตความปลอดภัย php.net มีรายการเวอร์ชันที่ยังรองรับ และหน้า Site Health ของ WordPress จะเตือนถ้าเวอร์ชันล้าสมัย ถ้าโฮสติ้งไม่เหมาะกับปริมาณผู้เข้าชม หรือความต้องการด้านการสำรองข้อมูลอีกต่อไป การย้ายไปโฮสติ้งใหม่ เป็นงานที่วางแผนได้ ไม่ใช่เหตุฉุกเฉิน ยืนยันว่าคุณถือล็อกอินผู้ดูแลระบบของทุกอย่างเอง และอัปเดตบันทึกสำหรับส่งต่องาน ว่าอะไรอยู่ที่ไหน และกู้คืนเว็บไซต์อย่างไร
ถามตัวเองว่าการดูแลยังพอไหม
ถ้ารายการของทุกไตรมาสยาวขึ้นเรื่อย ๆ (ปลั๊กอินที่ถูกทิ้ง ธีมที่ไม่มีการรองรับ ความเร็วที่แก้ไม่ได้ หน้าที่คนแก้ไขพากันเลี่ยง) การดูแลอาจกำลังค้ำยันเว็บไซต์ที่ควรสร้างใหม่ บทความ สัญญาณว่าเว็บไซต์ของคุณต้องรีดีไซน์ ช่วยให้คุณตัดสินใจ ถ้าเว็บไซต์ยังแข็งแรง จำไว้ว่าการดูแลแค่รักษาให้คงที่ ส่วน แผนปรับปรุงอย่างต่อเนื่อง ทำให้เว็บไซต์ดีขึ้น
งานไหนให้ระบบอัตโนมัติทำ และงานไหนต้องใช้คน
งานที่เกิดตามเหตุการณ์ ไม่ใช่ตามวันที่
งานดูแลบางอย่าง รอรอบในปฏิทินไม่ได้:
- มีคนลาออก: ถอนสิทธิ์การเข้าถึงของเขาทุกที่ ภายในวันนั้น
- เปลี่ยนโฮสติ้ง DNS หรืออีเมล: ทดสอบทุกแบบฟอร์มใหม่ทันทีหลังจากนั้น
- ก่อนเริ่มแคมเปญ: ตรวจความเร็ว แบบฟอร์ม และการติดตามของแลนดิ้งเพจ
- มีประกาศเตือนด้านความปลอดภัย ที่ระบุปลั๊กอินที่คุณใช้: อัปเดตทันที
ทำอะไรต่อ
เจ้าของธุรกิจหรือผู้จัดการฝ่ายการตลาดที่มั่นใจ ใช้เช็กลิสต์นี้เองได้ สิ่งที่ต้องการคือความสม่ำเสมอมากกว่าทักษะ คือมีคนรับผิดชอบหนึ่งคนที่ระบุชื่อ วันที่ในปฏิทิน และสิทธิ์ในการลงมือทำ ให้ส่งต่อให้คนอื่นเมื่อไม่มีใครมีเวลา เมื่อเว็บล่มแล้วทำให้เสียการติดต่อสอบถาม หรือเมื่อการอัปเดตทำให้อะไรพังอยู่เรื่อย ๆ บทความ ค่าใช้จ่ายในการดูแลเว็บไซต์ อธิบายว่าคุณจะจ่ายเพื่ออะไร
เริ่มสัปดาห์นี้ หาวันที่ของข้อมูลสำรองล่าสุด ตรวจว่าใครได้รับการแจ้งเตือนเว็บล่ม และลองส่งข้อความถึงตัวเองผ่านแบบฟอร์มติดต่อของคุณ ถ้าคำตอบข้อไหนคือ “ไม่รู้” ตรงนั้นคือจุดเริ่มต้นของกิจวัตรของคุณ
ถ้าอยากให้คนอื่นดูแลตามเช็กลิสต์นี้ แผนดูแลเว็บไซต์ ของเราครอบคลุมการอัปเดต การสำรองข้อมูลเป็นประจำ การเฝ้าระวังความปลอดภัย และการตรวจสอบว่าเว็บไซต์ออนไลน์ตลอดเวลา แผนที่สูงขึ้นเพิ่มการแก้ไขเนื้อหาเล็ก ๆ รายงานรายเดือนภาษาเข้าใจง่าย และงานด้านความเร็ว แผนเป็นรายเดือน โดยไม่มีสัญญาผูกมัด ดู ราคาแผนดูแลเว็บไซต์ ไม่แน่ใจว่าเว็บไซต์ของคุณตามหลังไปแค่ไหนแล้ว? ตรวจสอบเว็บไซต์ฟรี จะตรวจความเร็ว ความปลอดภัย และความง่ายในการติดต่อของผู้เข้าชม และบอกว่าควรแก้อะไรก่อน