網站上嵌的第三方腳本，是誰在管？從 Polymarket 事件看中小企業網站的一份盤點清單
這週的事件：出事的不是主程式，是「別人寫的那一段」
依據這篇 10 月資安事件彙整，有兩件事值得中小企業主留意：
- Polymarket：事件報告指出，10 月 29 日有供應商的效能監測腳本被替換。攻擊者利用部分使用者仍有效的登入狀態，賣出持倉並轉出錢包資金。
- LiteLLM：10 月 21 日發布的 1.107.0 版被植入竊取憑證的惡意內容。調查指出，起點是一把先前誤放在公開儲存庫、卻沒有完成撤銷的管理金鑰。
這兩件事有個共通點。網站本身的程式碼沒有被直接攻破。問題出在「網站順手載入的外部東西」，以及「早就該作廢卻還活著的舊金鑰」。
您的網站多半也一樣。流量分析、聊天視窗、廣告追蹤、字型、地圖、金流按鈕，每一個都是一行外部腳本。這些腳本通常在開發初期由不同人加上去，上線後就沒人再回頭看。這並不是您疏忽，多數專案都是這樣長出來的。
上線前，用 20 分鐘做一份「外部依賴清單」
建議您拿一張表，請工程師或 AI 工具協助，把網站實際載入的外部項目列出來。瀏覽器開發者工具的 Network 分頁就看得到，也可以請對方直接搜尋程式碼裡的 <script src="https://...">。每一項記下四件事：
- 用途：這個腳本現在還有人在看它的數據嗎？沒有的話，實務上最安全的做法就是移除。
- 誰負責：是哪個廠商或哪個帳號加進去的？帳號登入資訊在誰手上？
- 能碰到什麼：它只是顯示字型，還是能讀到表單、登入頁、付款頁？後者要特別謹慎，可以考慮只在必要頁面載入，不要整站套用。
- 有沒有備案：萬一供應商出事，您能在多久內把它拿掉？
清完之後，下一步可以考慮兩項低成本的防護。第一，登入與付款頁盡量少載入第三方腳本。第二，請工程師評估內容安全政策（CSP）與腳本完整性檢查，讓被替換的腳本不容易被瀏覽器執行。這兩項要依您的網站架構調整，不是複製貼上就能完成，建議交給熟悉的人評估。
舊金鑰：把「還活著」的都找出來
LiteLLM 的案例提醒我們，金鑰「被發現放錯地方」之後，還得確認它真的被撤銷了。實務上可以這樣做：
- 列出專案用到的所有金鑰，包括 AI 服務、金流、寄信、雲端儲存。
- 曾經貼進對話視窗、放進壓縮檔或推上程式碼平台的，一律視為已外流，到服務商後台作廢並重發，不要只是從檔案裡刪掉。
- 每把金鑰標註「誰在用、什麼時候換過」。
如果您還沒看過，可以搭配壓縮檔傳給廠商前的金鑰檢查，以及AI 寫的程式碼上線檢查清單一起對照。
小結
您把系統做到接近上線，已經完成最難的一段。接下來的收尾，重點不是追加功能，而是知道自己的系統「依賴了誰」。如果您希望有人陪您把這份清單走完，包括外部腳本、金鑰與交接資料，可以到服務內容與收費看我們怎麼協助，範圍與價格都會先以書面談定。
關於 AI 上線專家
AI 上線專家讓您的 AI 幫您把網站部署上線：把一句話貼給 Claude Code、Cursor 或 Codex，幾分鐘後就有一個 您的名稱.aionline.tw 公開網址，可以直接傳給客戶或同事看。
- 免費預覽，不需信用卡，到期自動下線、不會扣款；滿意再升級為永久，最低 NT$99 / 月起
- 靜態網站、Node／Python 等有後端的網站都能部署，需要資料庫時自動配好 Postgres
- 付費方案可以綁自己的網域；部署不起來或需要客製開發，可以直接聯絡我們