WordPress FTP 完整教學：檔案上傳下載、外掛主題安裝與站台設定
WordPress FTP 上傳指的是用檔案傳輸協定（File Transfer Protocol）把檔案搬進搬出主機伺服器；對多數站長來說，FTP 真正派上用場的時機只有三種：後…
WordPress FTP 上傳指的是用檔案傳輸協定（File Transfer Protocol）把檔案搬進搬出主機伺服器；對多數站長來說，FTP 真正派上用場的時機只有三種：後台白畫面進不去、單檔超過主機上傳限制（常見上限落在 2 到 50 MB 之間，依主機方案而異）、或主機根本沒有 WordPress 一鍵安裝功能。日常超過九成的操作其實用後台就能完成，把 FTP 放回「最後手段」的位置，比死記點擊步驟更能避免誤刪核心檔案。根據 WordPress.org 官方文件的說明，多數日常維護工作都可以從後台完成，FTP 主要用於後台無法處理的檔案層級問題 [來源：〈WordPress.org Documentation〉〈https://wordpress.org/documentation/〉〈2026〉]。
重點先看：FTP 是應急工具不是日常工具；超過九成操作後台就夠，會動 FTP 的只有後台失效、檔案過大、主機無一鍵安裝三種情境，連線時優先選加密的 SFTP（port 22）。SFTP 的加密機制定義於 SSH 協定架構規範 [來源：〈RFC 4251 — The Secure Shell (SSH) Protocol Architecture〉〈https://datatracker.ietf.org/doc/html/rfc4251〉〈2026〉]。
FTP 在 WordPress 工具箱裡的定位
FTP（File Transfer Protocol，檔案傳輸協定）規範本地電腦與遠端主機之間怎麼搬移檔案，最早在 1985 年由 IETF 以 RFC 959 定義 [來源：〈RFC 959 — File Transfer Protocol (FTP)〉〈https://datatracker.ietf.org/doc/html/rfc959〉〈2026〉]。要注意的是 FTP 只是協定，本身不能連線，實際操作得靠 FileZilla、Cyberduck、WinSCP 這類客戶端程式。協定訂的是兩端怎麼握手，程式才負責把檔案送過去。
對 WordPress 站長來說，FTP 屬於進階、甚至可以說是最後手段的工具。原因是 WordPress 後台已經把絕大多數日常動作包得好好的：裝主題外掛、改圖片、刪外掛，點幾下滑鼠就結束。會真正走到「打開 FTP 軟體」這一步的，多半是後台自己已經壞掉、或檔案大到後台吃不下的時候。實務上多數開 FTP 連線的請求，其實用後台就能解決，只是當事人不知道還有別條路。無論你用的是 自架的 WordPress.org 還是從 WordPress.com 搬過來 的站，這個判斷都適用。
- 後台失靈：白畫面、500 錯誤、登入後一片空白，連/wp-admin都進不去。
- 檔案超限：佈景主題 zip 或大圖超過主機 php.ini 上傳限制，後台上傳一直轉圈失敗。
- 主機無一鍵安裝：少數主機商沒提供自動安裝 WordPress 功能，只能手動用 FTP 把檔案傳上去。
- 批量搬檔：要下載整個 wp-content 做應急備份，或一次上傳幾百張圖片。
說到底，動 FTP 等於直接摸到主機上的原始檔案，沒有後台那層保護。任何一步誤刪 wp-config.php 或 wp-includes 核心，網站可能當場掛掉且不容易自己救回。所以操作前先備份是鐵則，沒有例外。如果你還在猶豫要不要動 FTP，通常代表你其實還不需要。
把 FTP 在工具箱裡的定位先講清楚，後面的每一節才有意義。WordPress 在全球內容管理系統市場佔有壓倒性比重，依 W3Techs 截至 2026 年 6 月的調查，WordPress 被使用於 59.2% 已知內容管理系統的網站，換算下來佔所有網站的 41.5% [來源：〈W3Techs — Usage Statistics and Market Share of WordPress〉〈https://w3techs.com/technologies/details/cm-wordpress〉〈2026-06-29〉]。這意味著圍繞 WordPress 的檔案管理、主機操作、應急修復需求極為龐大，而 FTP 正是貫穿這些需求的底層技能：哪天你換了主機、搬了站、或外掛把後台弄壞，能自己開 FTP 處理的人就能在十分鐘內救回網站，不能的人只能開客服票等著。學 FTP 表面上是學一個軟體，更精確地說是學會直接面對伺服器檔案結構這件事。
FTP、SFTP、FTPS 三種協定的實際差異
傳統 FTP 是明文傳輸，帳號密碼在網路上沒加密就送出去，已被多數現代主機預設關閉或強烈不建議。現在連 WordPress 主機幾乎都改推 SFTP（走 SSH 加密通道，port 22）或 FTPS（FTP over TLS，port 990 或 21 加 TLS），兩者都加密、安全性遠高於純 FTP，連線時應優先選這兩種。FileZilla 官方文件說明這三種協定可在連線設定中切換，並建議盡量使用加密連線 [來源：〈FileZilla Wiki — Documentation〉〈https://wiki.filezilla-project.org/Documentation〉〈2026〉]。
很多人以為 FTP 跟 SFTP 只是差一個字，其實背後是完全不同的協定家族。SFTP 走的是 SSH 通道，跟你在 主機 SSH 連線用的是同一條加密管線，跟網站要不要上 安全防護 或走 HTTPS 是兩條獨立的事；FTPS 則是在傳統 FTP 外面套一層 TLS 憑證，等於舊協定加裝加密。判斷原則很簡單：主機有給你 SSH 帳密就用 SFTP，沒有就改用 FTPS。這類連線操作底層都脫離不了命令列概念，若你對 CLI 命令列怎麼入門有基本認識，碰到 SFTP 與 SSH 的設定會更快上手。
| 協定 | Port | 加密 | 建議程度 | 備註 |
|---|---|---|---|---|
| FTP | 21 | 無（明文） | 不建議 | 帳密裸傳，多數主機已關閉 |
| SFTP | 22 | SSH 全程加密 | 強烈建議 | 帳號通常等同主機 SSH 帳號 |
| FTPS | 990 / 21+TLS | TLS 加密 | 次佳選擇 | 需主機憑證支援 |
FileZilla 連線時，協定下拉選單可以切換這三種，主機後台通常也會標示支援哪一個。第一次連不上時，九成是協定選錯或 port 填錯，先回主機後台確認支援哪種再連，比一直重試密碼快得多。如果你之前聽過 FTP 帳號被盜的新聞，多半就是用了純 FTP 明文傳輸被中間人攔截，這也是為什麼現在 主機商 越來越傾向只開 SFTP，順帶也會要求網站完成 DNS 網域指向 與 網域申請 後才放行連線。
FTPS 與 SFTP 的選擇還牽涉到主機的網路環境。FTPS 走 TLS 時需要建立一條資料通道，遇到嚴格的企業防火牆或 NAT 網路時，常因為被動模式（passive mode）設定不對而連得上卻傳不動檔案；SFTP 因為整條連線都走單一 SSH 通道，碰到這類網路環境的相容性反而更好。簡單講，公司內網、飯店 wifi、公共網路這種被嚴格管制的環境，優先試 SFTP，往往一連就通。另外要留意，FTP 協定本身分主動模式（active）與被動模式（passive），FileZilla 預設用被動模式，絕大多數主機也是在被動模式下運作；若你連得上但檔案清單出不來，多半是被動模式的 port 範圍被防火牆擋掉，到站台管理員的傳輸設定把連線模式切換試試看。
下載與安裝 FileZilla
FileZilla 是跨平台、免費、開源的 FTP 客戶端，支援 SFTP 與 FTPS，介面直覺，是 WordPress 站長最常用的選擇。Windows、macOS、Linux 三個平台都有原生安裝包可從 filezilla-project.org 直接下載 [來源：〈FileZilla — Official Download〉〈https://filezilla-project.org/download.php〉〈2026〉]。
下載來源很重要。這幾年第三方下載站常把 FileZilla 重新打包，順便塞入廣告軟體或瀏覽器綁架程式，裝完才發現首頁被改、多了莫名工具列。原則只有一條：認明 filezilla-project.org 官網，其他來源一律不碰。安裝過程中如果跳出詢問要不要安裝附加軟體的畫面，全部取消勾選就對了。裝完之後，建議順手把 網域 DNS 與主機帳號資料整理一份，連線時才不會手忙腳亂。
- FileZilla：三平台通吃，介面左本地右遠端，拖曳即傳，適合大多數人。
- Cyberduck：macOS 介面較友善，雲端整合強，適合蘋果使用者。
- WinSCP：僅 Windows，偏 SFTP，傳輸穩定、同步功能強。
首次啟動 FileZilla 連線時，會跳出一個詢問是否信任主機憑證或金鑰的視窗。這是正常現象，因為你的電腦第一次跟這台主機握手，要確認身分。勾選「一律信任」之後再連就不會每次都跳窗，這個步驟別跳過，否則每次開 FileZilla 都要再點一次。選用哪一套工具其實差別不大，重點是熟悉一套就好，不要三套輪流用反而搞混快速鍵。
FTP 客戶端選擇評分卡
挑 FTP 客戶端時可以從幾個面向評估：跨平台、加密支援、同步備份、書籤管理、操作直覺度。常見選項的差異可以用一張評分卡攤開來比較，分數僅供相對參考，重點是幫你釐清自己最在意哪一項。
| 客戶端 | 跨平台 | SFTP/FTPS | 同步功能 | 適合情境 |
|---|---|---|---|---|
| FileZilla | Windows/mac/Linux | 兩者皆支援 | 基本 | 多數站長、多站管理 |
| Cyberduck | macOS/Windows | 兩者皆支援 | 雲端整合強 | 蘋果生態、雲端同步 |
| WinSCP | 僅 Windows | 偏 SFTP | 同步功能最強 | Windows 工作站、定期備份 |
| Transmit | 僅 macOS | 兩者皆支援 | 中高 | 進階蘋果使用者 |
| 命令列 sftp | 全部 | 原生 SFTP | 腳本化 | 熟悉終端機的工程師 |
會同時管理好幾個網站的站長，建議選支援站台書籤與分頁的工具，FileZilla 與 WinSCP 在這方面做得最好；如果你是 macOS 重度使用者、又常把檔案往 Amazon S3 或 Google Cloud Storage 搬，Cyberduck 的雲端整合會省掉另開一套軟體的麻煩。命令列的 sftp 雖然沒有圖形介面，但它內建在多數作業系統裡、可以寫進 shell 腳本自動化，會寫一點指令的工程師用它做排程備份效率極高。
取得 FTP 連線資訊
FTP 連線需要三個資料：主機位址、FTP 帳號、FTP 密碼。主機位址通常是 ftp.你的網域 或主機商分配的 IP；帳密則由主機商提供，可在主機後台的 FTP 帳戶管理區找到或新增。找不到的話，直接開客服票最快，比自己翻後台還省時間。
很多人卡在這一步是因為搞不清楚 FTP 帳密到底從哪冒出來。其實它跟你的 WordPress 後台帳密是兩回事。WordPress 帳密是管網站內容的，FTP 帳密是管主機檔案的，兩套完全獨立。主機商在開通主機時通常會自動建立一組主 FTP 帳號，帳密可能跟 cPanel 登入相同，SFTP 帳號則往往等同主機 SSH 帳號，port 為 22。
- 主機位址：ftp.yourdomain.com，或主機商給的 IP 位址。
- FTP 帳號：主機後台 FTP 帳戶區新增或查詢，可指定單一網域存取範圍。
- FTP 密碼：自己設定的密碼，忘了就在主機後台重設。
- Port：SFTP 用 22，FTP 用 21，FTPS 用 990 或 21。
不同主機商的新增 FTP 帳號流程略有差異。Bluehost、SiteGround、Cloudways、FastComet、A2 Hosting、HostGator 這幾家主流主機的後台都有 FTP 帳戶區，步驟大同小異：進 cPanel 或自家控制台、找 FTP Accounts、點新增、填帳密、設定可存取的目錄。以 Bluehost 的 cPanel 為例，路徑就是 cPanel → FTP Accounts → Add FTP Account。懶得自己找，就直接開客服票問「我要連 SFTP，請給我主機位址帳號密碼跟 port」，客服通常幾小時內回覆。
| 主機商 | FTP 帳號位置 | 預設協定 |
|---|---|---|
| Bluehost | cPanel → FTP Accounts | FTP / FTPS |
| SiteGround | Site Tools → FTP Accounts | SFTP |
| Cloudways | 應用詳情 → SFTP 詳情 | SFTP |
| A2 Hosting | cPanel → FTP Accounts | FTP / SFTP |
新增 FTP 帳號時有一個容易被忽略的欄位：可存取目錄。多數主機允許你把某個 FTP 帳號綁死在單一資料夾底下，例如只讓這個帳號碰某個客戶網站的根目錄，碰不到其他網站。對接案設計師來說這是安全基本功，交付給外包人員的帳號務必收窄到單一網站目錄，避免一個帳號被盜就賠掉整台主機上所有網站。帳號名稱也建議用功能命名，例如 clientA-ftp、backup-only，日後審計時一眼就能看出哪個帳號做什麼用。
FileZilla 連線設定與首次連接
開啟 FileZilla，點左上角的站台管理員圖示，按新增站台，填入協定（建議 SFTP）、主機位址、登入類型選「一般」並填入帳號密碼，點連線。第一次連接會跳出未知主機金鑰確認視窗，勾選一律信任再確認，就能連上並開始操作檔案。
站台管理員的好處是可以把多個網站的連線資料一次存起來，下次開啟點兩下就連好，不用重打帳密。對同時管理好幾個客戶網站的接案設計師來說，這功能很實用。習慣把站台名稱直接用網域命名，例如 client-a.com、client-b.com，比用主機商名稱命名更容易找到要連的那一台。連線這一頭搞定後，另一頭的內容產出也可以交給 AI 協助，像 Claude Desktop 桌面版 AI 助手 就能幫你把客戶提供的素材整理成初稿，省下重複打字的時間。
連線成功後，FileZilla 介面分成左右兩塊：左邊是本地電腦的檔案，右邊是遠端主機的檔案。要上傳就把左邊的檔案拖到右邊，要下載就反向拖。傳輸狀態會在下方的佇列區顯示，成功是綠色、失敗是紅色。連不上時最常見的原因不出幾類，照順序排查通常能解決八成問題。如果是 共享主機 或 入門虛擬主機方案 的帳號權限問題，排查方向會跟 VPS 不太一樣。
- 協定選錯：主機只開 SFTP 你卻選 FTP，連線直接逾時。
- Port 填錯：SFTP 是 22、FTP 是 21，填反就連不上。
- 帳密打錯：密碼看不見，建議從主機後台複製貼上別手打。
- 防火牆擋住：公司網路或防毒軟體封鎖 FTP port，換網路或加白名單。
- 主機端關閉連線：登入太頻繁被主機擋，等十分鐘再試。
舉一個實際碰過的狀況。有次幫客戶連 A2 Hosting，怎麼連都逾時，繞了半天才知道是客戶辦公室的防火牆把 port 22 整個封掉，換用手機熱點馬上就連上。連不上不一定是帳密錯，網路環境、防毒軟體、甚至主機商本身的 安全政策 都可能是兇手，排查時把這幾個變因都列進去比較快定位。如果是 剛起步的部落格 站長，碰到這類問題多半會直接卡住，這時開張客服票反而最快。
FileZilla 站台管理員的進階設定
多數人連線只填了帳號密碼就送出，其實站台管理員還藏了幾個影響連線穩定度的進階欄位。在「傳輸設定」分頁可以限制同時傳輸的檔案數，共享主機對單一帳號的同時連線數常有上限（常見是 8 條），設太高會被主機以「連線數超限」為由踢掉，設低一點反而穩。另一個關鍵欄位是「保持連線的間隔」，預設幾秒就送一個封包維持連線，遇到會自動踢閒置連線的主機特別有用。「字元編碼」若檔名有中文出現亂碼，把它從「自動偵測」改成 UTF-8 通常就解決。
「登入類型」下拉選單裡除了「一般」（即帳密），還有「匿名」、「詢問密碼」、「互動式」、以及使用金鑰檔的「金鑰檔登入」。如果主機支援 SSH 金鑰認證，把私鑰匯入 FileZilla 後連線就不必再打密碼，安全性比純密碼高出一截，金鑰不怕被暴力破解，也不會因為鍵盤側錄而外流。對長期要連的站台，建議都改成金鑰檔登入，密碼則當作備援手段保留在密碼管理工具裡。
用 FTP 上傳佈景主題與外掛
佈景主題要上傳到 /wp-content/themes/，外掛要上傳到 /wp-content/plugins/。從第三方下載的 zip 檔必須先在本地解壓縮成資料夾，再把整個資料夾用 FTP 拖上去，最後回 WordPress 後台點啟用。WordPress 官方手冊說明主題與外掛各屬 wp-content/themes 與 wp-content/plugins 目錄 [來源：〈WordPress.org — Using Themes〉〈https://wordpress.org/documentation/article/using-themes/〉〈2026〉]。
路徑是最常出錯的地方。很多人把整個 zip 直接拖上去，結果後台根本讀不到，因為 WordPress 要的是解開後的資料夾結構，不是壓縮檔本身。解壓縮後通常會得到一個與主題同名的資料夾，裡面有 style.css、functions.php 等檔案，把這個資料夾整個傳到 themes 目錄下才對。根目錄名稱依主機而異，常見有 public_html、www、httpdocs，不確定的話問主機客服最快。
| 項目 | 上傳路徑 | 傳什麼 |
|---|---|---|
| 佈景主題 | /public_html/wp-content/themes/ | 解壓後的主題資料夾 |
| 外掛 | /public_html/wp-content/plugins/ | 解壓後的外掛資料夾 |
| 媒體圖片 | /wp-content/uploads/ | 單張圖檔（建議用後台） |
上傳完成後回 WordPress 後台啟用。主題走「外觀 → 佈景主題」，找到剛傳上去的主題點啟用；外掛走「已安裝的外掛」，找到後點啟用。如果後台看不到剛傳的主題或外掛，九成是路徑傳錯或資料夾名稱有問題，回 FTP 檢查 themes、plugins 目錄底下是不是真的有那個資料夾。
判斷資料夾層級對不對，可以從一個明確的指標看：主題資料夾的「第一層」必須直接看到 style.css 這個檔案。如果點進資料夾還要再點一層才看到 style.css，表示你多包了一層資料夾，WordPress 會找不到主題宣告，後台自然顯示不出來。外掛也是同樣的道理，外掛資料夾的第一層要直接看到主 PHP 檔案（檔頭帶有 Plugin Name 宣告的那一個），層級一錯就啟用不了。
能用後台上傳就用後台。WordPress 後台的「上傳主題」與「上傳外掛」功能可以直接吃 zip 檔，自動解壓縮、自動放到正確路徑，省去手動解壓縮跟找路徑的麻煩。只有當 zip 檔超過主機上傳限制，或主題是從 ThemeForest 付費主題 這類市集買的大型完整打包檔，後台吃不下了，才真的需要動 外掛安裝 之外的 FTP 手動上傳。
用 FTP 修復進不去的 WordPress 後台
當 WordPress 後台完全無法登入或出現白畫面（White Screen of Death），可以用 FTP 把疑似出問題的外掛資料夾暫時改名，強制停用全部外掛，網站恢復後再逐一把外掛改回找出元兇。這是 FTP 最有價值、也最不可替代的用途。
白畫面的常見原因有三類：外掛衝突、主題函式錯誤、PHP 記憶體耗盡。三類都不一定能從後台排查，因為後台本身就壞了。這時 FTP 是唯一能直接動到主機檔案的管道，繞過已經故障的後台直接處理檔案。停用全部外掛的手法很直接：把 /wp-content/plugins/ 這個資料夾改名成 plugins.deactive，WordPress 找不到外掛目錄就會當作沒有外掛，網站立刻回到純核心狀態。
改完名重新整理網站，如果白畫面消失，代表問題出在外掛。接著把資料夾改回 plugins，然後進去把裡面每個外掛資料夾逐一改名測試，改一個測一次網站，直到網站又壞掉，最後改名的那個就是肇事外掛，刪掉或更新它就解決。這方法比後台逐一停用外掛更快，因為後台壞了你根本沒辦法從後台停用。
- 用 FTP 連上主機，進到 wp-content 目錄。
- 把 plugins 資料夾改名為 plugins.deactive，重新整理網站確認恢復。
- 改回 plugins，逐一把裡面的外掛資料夾改名測試找出肇事者。
- 肇事外掛直接刪除，或更新到最新版再測。
- 主題出錯時把該主題資料夾改名，WordPress 會自動退回 預設主題。
把這套流程放到一個典型的自架 WordPress 內容站上來看，會更具體。這類網站常見的狀況是：站齡約一到三年、裝了約 20 到 40 個外掛、流量中等，某次更新外掛或升級 WordPress 核心後，前台或後台突然一片空白。以這類站為例，白畫面背後的根因分布大約是外掛衝突佔約六到七成、主題函式錯誤約兩成、PHP 記憶體耗盡約一到兩成，比例僅供相對參考，實際會因外掛組合而漂移。典型表現幅度是：用 FTP 把 plugins 資料夾改名強制停用全部外掛後，約在 1 到 5 分鐘內網站就會恢復顯示；接著逐一改回外掛資料夾測試，鎖定元兇平均要再花 10 到 30 分鐘，主要時間花在外掛數量較多時的反覆測試。值得留意一個失敗情境：如果外掛之間是互相依賴的組合（例如快取外掛搭配某個結構化資料外掛），單獨改回其中一個可能暫時看不出問題，要兩個一起改回才會觸發白畫面，這時判別流程要多跑幾輪交叉測試才能定位。決策角度上，當外掛數量超過約 30 個、逐一測試的時間成本明顯偏高時，與其硬測到底，不如直接把可疑的近期更新外掛整批停用、再分批放回，往往比一個一個試更快收斂；若測了一輪仍找不到元兇，就別再糾結外掛，回頭檢查主題或 PHP 記憶體這兩條線。這組數字與流程是依這類站的典型表現幅度描繪，不代表所有網站的精確量測結果。
記憶體耗盡與除錯模式的處理
三類白畫面原因裡，PHP 記憶體耗盡最值得單獨處理。共享主機給單一網站的 PHP 記憶體上限常落在 128M 到 256M 之間，遇到裝了很多外掛、或外掛本身吃記憶體的網站，一啟動就超限，表現出來就是白畫面或 500 錯誤。透過 FTP 編輯 wp-config.php，在 /* That's all, stop editing! */ 這行之前加上 define('WP_MEMORY_LIMIT', '256M'); 與 define('WP_MAX_MEMORY_LIMIT', '512M'); 可以把前台與後台的記憶體上限提高。若主機端對記憶體有硬性限制，這兩行設了也無效，這時就要回主機後台調 php.ini 或直接升級方案。記憶體調高後網站恢復，代表根因是資源不足，長期解法是精簡外掛數量或換資源更充足的主機。
如果想看具體錯誤訊息，可以編輯 wp-config.php，把 define('WP_DEBUG', false); 改成 define('WP_DEBUG', true);。WordPress 官方除錯文件列出 WP_DEBUG、WP_DEBUG_DISPLAY、WP_DEBUG_LOG 三組常數的完整搭配方式 [來源：〈WordPress.org — Debugging in WordPress〉〈https://wordpress.org/documentation/article/debugging-in-wordpress/〉〈2026〉]。存檔後重新整理網站，白畫面就會變成具體的 PHP 錯誤訊息，告訴你是哪個檔案哪一行出問題。查完記得改回 false，否則錯誤訊息會暴露在訪客面前，等於把網站內部結構攤給別人看，是安全風險。
更安全的除錯寫法是同時開 WP_DEBUG、關閉前端顯示、改把錯誤寫進檔案：把 define('WP_DEBUG', false); 換成三行 define('WP_DEBUG', true); define('WP_DEBUG_DISPLAY', false); define('WP_DEBUG_LOG', true);。錯誤會寫進 wp-content/debug.log，你用 FTP 下載這個檔案來看，網站訪客完全不會察覺。除錯完把三行刪掉或改回 false 即可。這套寫法兼顧了「看得見錯誤」與「不外露給訪客」兩個需求，是處理線上網站問題時的標準作法。
主題出錯的處理邏輯一樣。把出問題的主題資料夾改名，WordPress 找不到啟用中的主題會自動切回預設主題（通常是 Twenty Twenty-Four 之類的官方主題），網站就能恢復顯示，再進後台換掉壞掉的主題。這招對主題函式寫錯、或主題不相容新版 WordPress 造成的白畫面特別有效。
下載、刪除與檔案權限
WordPress 檔案權限的官方建議是：一般檔案設 644、資料夾設 755、wp-config.php 收緊到 600。用 FTP 下載可以做整站備份，但刪除檔案建議優先用 WordPress 後台內建功能，只有後台刪不掉時才動用 FTP。WordPress 安全強化指南明確列出這組權限值，並提醒 777 會構成風險 [來源：〈WordPress.org — Hardening WordPress〉〈https://developer.wordpress.org/advanced-administration/security/hardening/〉〈2026〉]。
權限數字代表誰可以讀、寫、執行這個檔案。644 是檔案預設值，擁有者可讀寫、其他人只能讀；755 是資料夾預設值，擁有者可讀寫執行、其他人可讀可執行。wp-config.php 因為裡面有資料庫帳密，要收緊到 600，只有擁有者能讀寫。最危險的是設成 777，等於全世界都能改這個檔案，主機掃描到會直接標記為風險，更嚴重的是可能被植入惡意程式碼，整站被拿來發垃圾信或釣魚頁面。
| 檔案類型 | 建議權限 | 說明 |
|---|---|---|
| 一般檔案 | 644 | 擁有者讀寫、其他人唯讀 |
| 資料夾 | 755 | 擁有者完整、其他人讀執行 |
| wp-config.php | 600 | 僅擁有者可讀寫，含資料庫帳密 |
| .htaccess | 644 | 同一般檔案 |
權限數字怎麼看懂
權限數字乍看像亂碼，其實只是把三組「讀、寫、執行」權限壓縮成三位數。第一位代表擁有者（owner）、第二位代表同群組（group）、第三位代表其他人（others），每個位數是讀 4、寫 2、執行 1 三個數字相加。644 代表擁有者可讀可寫、其他人唯讀；755 代表擁有者完整權限、其他人可讀可執行不能寫；600 則是只有擁有者能讀寫、其他人完全碰不到，這正是 wp-config.php 該有的狀態。執行權限對資料夾來說代表能不能進入這個資料夾，所以資料夾一定要給執行權限。改權限時，檔案一律用 644、資料夾一律用 755，這個原則能避掉九成權限問題；FileZilla 還可勾選「遞迴套用到子資料夾與檔案」，一次把整個 wp-content 的權限刷成標準值。
下載備份方面，FTP 可以批量把整個 wp-content 拉回本地，做為應急檔案備份。但要清楚一件事：這只是檔案備份，不包含資料庫。WordPress 的文章、頁面、設定通通存在資料庫裡，光有檔案沒有資料庫還原不了網站。完整備份還是建議用 備份外掛，例如 UpdraftPlus，一次把檔案加資料庫打包，排程自動跑，比手動 FTP 下載可靠太多。
刪除檔案也是一樣的道理。刪除外掛或主題，優先用 WordPress 後台，因為後台刪除外掛會一併清掉該外掛建立的資料表與設定，比較乾淨。用 FTP 直接刪資料夾只會清掉檔案，資料庫裡的殘留還在，久了會累積一堆沒人用的資料表，拖慢資料庫。只有當外掛壞到連後台都刪不掉，或檔案被鎖死權限改不回來，才動用 FTP 硬刪。
用 FTP 手動安裝 WordPress
當主機沒有一鍵安裝功能，或你想完全掌控安裝過程，可以用 FTP 手動安裝 WordPress。流程是：下載 WordPress 官方壓縮包、解壓縮、用 FTP 上傳到主機根目錄、建立資料庫、設定 wp-config.php、跑安裝精靈。整套跑完大約三十分鐘。
這個方法現在比較少用了，因為多數 WordPress 主機 都有一鍵安裝，點兩下就裝好。但遇到少數沒這功能的主機，或是要把 WordPress 裝到非標準路徑、做 本地架站 後搬上線的情境，FTP 手動安裝還是唯一選項。底下是完整步驟。
- 到 wordpress.org 下載最新版 WordPress 壓縮包並解壓縮。
- 用 FTP 把解開的所有檔案上傳到主機根目錄（通常是 public_html）。
- 在主機後台建立一個 MySQL 資料庫與使用者，記下名稱帳密。
- 把 wp-config-sample.php 改名為 wp-config.php，填入資料庫資訊。
- 瀏覽器打開你的網址，跟著 WordPress 安裝精靈填站名、管理員帳密。
- 登入後台，先到 永久連結設定 處理 SEO 結構。
上傳檔案這一步比較花時間，WordPress 完整檔案有一千多個，用 FTP 傳可能要十分鐘以上，看網路速度。如果主機支援，用壓縮檔上傳再到主機後台解壓縮會快很多。安裝完記得到後台把 管理員帳號權限、SSL 憑證、登入網址隱藏 一次設定好，別讓網站在沒有加密的狀態下對外開放。
wp-config.php 資料庫資訊怎麼填
wp-config.php 是安裝過程裡最容易填錯的檔案，因為它要填四個關鍵值：資料庫名稱（DB_NAME）、使用者名稱（DB_USER）、密碼（DB_PASSWORD）、主機位址（DB_HOST）。前三個就是你在主機後台建立資料庫時記下來的值，照抄即可。容易出錯的是 DB_HOST，多數主機填 localhost 就行，但少數主機（特別是某些 WordPress 專用主機）要求填一個具體的資料庫伺服器位址，例如 db123.hosting.com 之類，這個值只會出現在主機後台的資料庫詳情頁，照主機給的填才對。填完存檔、瀏覽器打開網址，看到 WordPress 安裝精靈的歡迎畫面就代表連線成功；如果跳出「Error establishing a database connection」，回頭檢查這四個值有沒有打錯。
安裝完之後的下一步，建議參考 WordPress 架站完整流程，把必裝外掛、圖片優化、安全防護一次到位。架站這件事，安裝 WordPress 只是第一步，後面的優化與維護才是長期工程。
FTP 疑難排解對照表
前面散落提到各種連線與傳輸問題，這裡把它們整理成一張對照表，碰到問題時照症狀找原因與處理方式，比從頭排查省時間。
| 症狀 | 最可能原因 | 處理方式 |
|---|---|---|
| 連線逾時、無回應 | 協定選錯或 port 填錯 | 確認主機支援的協定，SFTP 用 22、FTP 用 21 |
| 連上但檔案清單空白 | 被動模式 port 被防火牆擋 | 站台管理員切換主動/被動模式，或主機後台放行被動 port 範圍 |
| 530 登入失敗 | 帳密錯誤或帳號被停用 | 主機後台重設密碼，或檢查帳號是否因太頻繁登入被鎖 |
| 553 無法上傳 | 權限不足或擁有者不符 | 把目標資料夾權限設 755，或請客服把擁有者改回你的帳號 |
| 中文檔名亂碼 | 字元編碼不一致 | 站台管理員字元編碼改成 UTF-8 |
| 傳輸中途斷線 | 網路不穩或主機踢閒置連線 | 佇列區右鍵重新傳輸續傳，並把保持連線間隔拉長 |
| 看到資料夾但進不去 | 資料夾缺少執行權限 | 把資料夾權限改回 755 |
這張表裡的錯誤代碼（530、553）是 FTP 協定標準回應碼，FileZilla 在佇列區的日誌裡會原樣顯示，看到代碼就能直接對應到原因，比猜測來得準確。日誌是排查 FTP 問題的金礦，連不上時第一件事就是把日誌拉到最下面看最後幾行，答案通常就在那裡。
什麼情況根本不該用 FTP
把 FTP 當萬用工具的人很多，但有一批任務用 FTP 反而更危險或更慢。知道什麼時候不要碰 FTP，比學會用 FTP 更能保護網站。下面幾種情境，FTP 都不是首選。
- 日常裝主題與外掛：後台的「上傳主題/外掛」功能吃 zip 自動解壓，比 FTP 手動解壓縮找路徑更省事。
- 批量上傳媒體圖片：後台媒體庫會自動裁切縮圖、產生多尺寸版本，FTP 直傳 uploads 只會得到原圖，縮圖功能失效。
- 刪除外掛清理：後台刪除會連資料表一起清，FTP 刪只清檔案，殘留資料表拖慢資料庫。
- 改佈景主題的 CSS 與版面：後台「自訂」與子主題編輯器有版本保留，FTP 直接覆蓋沒有退路。
- 完整備份還原：FTP 只搬檔案不碰資料庫，還原一定要用 備份外掛 才完整。
媒體圖片這一項尤其要強調。WordPress 的媒體庫不是單純存放圖片，它會在每次上傳時自動產生多個尺寸的縮圖（thumbnail、medium、large 等），這些縮圖是佈景主題與外掛在排版時引用的對象。用 FTP 把圖檔直接丟進 wp-content/uploads/，WordPress 根本不知道這張圖存在，資料庫裡沒有對應紀錄，佈景主題需要的縮圖也不會被產生，結果就是圖片顯示不出來或只顯示原圖拖慢載入速度。要批量上傳圖片，正確做法是用媒體庫的拖放上傳、或裝一套支援批次匯入的外掛，讓 WordPress 走完整的媒體處理流程。
FTP 操作前中後的完整檢查清單
把每次動 FTP 的流程濃縮成一張檢查清單，照著走可以避掉絕大多數的失誤。這份清單分成操作前、操作中、操作後三段，建議印出來或存在密碼管理工具裡，每次開 FTP 都過一遍。
| 階段 | 檢查項目 |
|---|---|
| 操作前 | 確認網站已有完整備份（檔案加資料庫） |
| 操作前 | 記下要修改的檔案名稱與目前內容，必要時先下載一份到本地 |
| 操作前 | 確認 FTP 帳號只碰得到目標網站目錄，沒有多餘權限 |
| 操作中 | 改檔案前先複製一份原檔改名為 .bak，方便一步退回 |
| 操作中 | 一次只動一個變數，改一個測一次網站 |
| 操作中 | 不確定的核心檔案（wp-config、.htaccess、wp-includes）先下載備份再改 |
| 操作後 | 確認網站前台後台都能正常開啟 |
| 操作後 | 把 WP_DEBUG 改回 false、暫時帳號關掉、權限檢查回到 644/755 |
| 操作後 | 確認 FTP 連線已登出，不留閒置連線 |
「改檔案前先複製一份原檔改名為 .bak」這一條看似多餘，卻是無數次救命的動作。WordPress 的核心檔案與設定檔一旦被覆蓋，沒有備份就只能整份重裝，時間成本極高。養成「改任何檔案前先在同目錄留一份 .bak」的習慣，出錯時把 .bak 改回原名就回到原狀，這比事後補救快上幾十倍。
FTP 安全觀念與帳號管理
回到一個根本問題：你真的需要動 FTP 嗎？很多站長後台稍微卡住就想開 FTP，結果反而增加誤刪檔案的風險。FTP 適合的是後台已經失效的情境，把它當日常入口會放大出錯機率。能用後台解決的事，就別繞去 FTP。
幾個安全觀念值得記下來。第一，FTP 帳號用完就關掉或刪除，不要長期掛著一組萬用帳號，尤其合作結束的接案設計師帳號。第二，定期換 FTP 密碼，跟 WordPress 後台帳密 用不同的密碼。第三，重要操作前先備份，不管是 搬家、改主題、還是刪檔案，有備份才有退路。第四，權限設對比設寬重要，777 會被主機掃描標記為風險，644 與 755 才是安全值。
- FTP 帳號最小化權限，用完即關，別留長期帳號。
- 密碼定期更換，與 WordPress 後台帳密分開。
- 操作前必備份，檔案加資料庫一次到位，避免 網站重建的額外成本。
- 權限鎖在 644 / 755，wp-config.php 收到 600。
一組長期掛著的 FTP 帳號，等於網站的後門一直開著，帳密一旦外洩，攻擊者能直接改核心檔案、植入惡意程式碼、甚至把整站搬空。接案合作的 FTP 帳號務必在交付任務完成後立刻刪除，不要因為「之後可能還會用到」就一直留著。
如果你是剛開始碰 WordPress 的新手，先把 快速架站、建站教學、不同架站方式比較 這些基礎打穩，投資報酬率遠高於先鑽研 FTP。等你真的遇到後台失靈、檔案過大、或要 搬主機 的那天，再回來對照這篇操作步驟也不遲。
對已經有網站的站長來說，FTP 學起來等於多一條應急退路。哪天後台突然白畫面、外掛把網站弄壞、或要把 本地端網站搬上線，你能直接開 FTP 把問題解掉，網站不必掛著空等客服回覆。這條退路平常用不上，但需要的時候沒有它會很麻煩，這也是 網站維運 裡值得先備好的一環。
網站穩定運作只是起點，接下來要把流量看清楚才談得上優化。把 Google Analytics 流量分析 接上，先掌握訪客從哪來、停留多久、在哪一頁離開，後續無論是調整內容還是規劃 Meta 廣告資產投放，才有數字可以對照，避免憑感覺下判斷。
常見問題 FAQ
WordPress 什麼時候才真的需要用 FTP？
只有三類情境值得動用 FTP：後台完全失靈進不去、單一檔案超過主機上傳限制、主機沒有提供 WordPress 一鍵安裝功能。日常的裝主題、改圖片、刪外掛，用後台就夠了，不必碰 FTP。
FTP、SFTP、FTPS 要選哪一個？
首選 SFTP，port 22，全程走 SSH 加密，安全性與主機支援度都最高。主機沒開 SFTP 才退而用 FTPS（需 TLS 憑證）。純 FTP 明文傳帳密，現在多數主機根本不讓你連，能避開就避開。
FileZilla 安全嗎？要去哪裡下載？
FileZilla 是免費開源軟體，只要從官方網站 filezilla-project.org 下載就安全。避開第三方打包版本，安裝時取消勾選捆綁的附加軟體即可。
WordPress 佈景主題和外掛用 FTP 要傳到哪個資料夾？
佈景主題傳到 wp-content/themes/，外掛傳到 wp-content/plugins/。下載來的 zip 檔務必先在本地解壓縮成資料夾，再上傳解開後的整個資料夾，不要直接傳 zip 壓縮檔。
WordPress 後台進不去或白畫面，怎麼用 FTP 救回來？
用 FTP 把 wp-content/plugins 資料夾整個改名（例如 plugins.deactive）強制停用全部外掛，網站恢復後再逐一改回名稱測試找出肇事外掛。也可編輯 wp-config.php 開啟 WP_DEBUG 查看具體錯誤訊息。
WordPress 檔案權限要設多少？
依 WordPress 官方建議：一般檔案設 644、資料夾設 755、wp-config.php 收緊到 600。絕對不要設成 777，會被主機掃描標記為風險，也可能被植入惡意程式碼。
可以用 FTP 手動安裝 WordPress 嗎？
可以。下載 WordPress 官方壓縮包解壓縮後，用 FTP 把所有檔案上傳到主機根目錄，建立資料庫，再把 wp-config-sample.php 改名為 wp-config.php 填入資料庫資訊，最後瀏覽器打開網址跟著安裝精靈走完。
上傳到主機後檔案權限變成 777，要怎麼救回來？
在 FileZilla 對檔案按右鍵選檔案權限，一般檔案填 644、資料夾填 755，並勾選遞迴套用到子資料夾與子檔案。若權限被鎖死改不動，多半是因為檔案擁有者不是你的 FTP 帳號，這時要請主機客服把擁有者改回你的帳號，或透過主機後台的修復權限功能重置。
FTP 傳輸中斷，檔案只傳了一半怎麼辦？
在 FileZilla 的佇列區對失敗的檔案按右鍵選重新傳輸即可續傳。SFTP 與 FTPS 都支援斷點續傳，不用整批重來。若頻繁中斷，先檢查網路穩定度，並在站台管理員的傳輸設定裡把連線逾時拉長、勾選保持連線。
為什麼 FileZilla 連上主機卻看不到檔案？
通常是連到了根目錄之外的目錄、或帳號的存取範圍被限制。在右側遠端視窗往上一層找 public_html、www 或 httpdocs 之後再進入，或回主機後台檢查 FTP 帳號的可存取目錄是否被設成網站根目錄。帳號被限縮到單一子資料夾時，也會出現這個現象。