ดูแลเว็บไซต์ WordPress ต้องทำอะไรบ้าง? เช็กลิสต์รายเดือนสำหรับเจ้าของเว็บ

ดูแลเว็บไซต์ WordPress คือการทำงานเล็กๆ ซ้ำเป็นรอบ ได้แก่ สำรองไฟล์และฐานข้อมูล อัปเดต WordPress ธีม และปลั๊กอิน เปิดเช็กหน้าเว็บกับฟอร์มหลังอัปเดต ดู Site Health ลบของที่ไม่ได้ใช้ และทบทวนบัญชีผู้ใช้ ทำครบเดือนละครั้ง ก็กันปัญหาส่วนใหญ่ได้ก่อนลูกค้าจะเจอเอง

หลายคนมองว่าทำเว็บเสร็จ ขึ้นออนไลน์แล้วก็จบงาน แต่ผมมองว่าเว็บ WordPress ใกล้กับรถยนต์มากกว่าป้ายหน้าร้าน คือใช้งานได้ทุกวัน แต่ต้องเข้าเช็กตามระยะ ถ้าปล่อยไว้นานๆ ก็ยังวิ่งได้อยู่ จนวันหนึ่งที่มันหยุดกลางทาง

บทความนี้รวมเช็กลิสต์ที่เจ้าของเว็บทำเองได้ แบ่งตามความถี่ บอกว่าแต่ละข้อดูตรงไหนในหลังบ้าน และใช้หลังบ้านของ ehowme.com เองเป็นตัวอย่างประกอบ

ทำไมเว็บที่ปล่อยไว้เฉยๆ ถึงพังได้

รายงาน State of WordPress Security in 2026 ของ Patchstack นับช่องโหว่ใหม่ในระบบนิเวศของ WordPress ปี 2025 ได้ 11,334 รายการ เพิ่มขึ้น 42% จากปีก่อน ในจำนวนนี้ 91% อยู่ในปลั๊กอิน 9% อยู่ในธีม ส่วนตัว WordPress หลัก (core) มีแค่ 6 รายการ

ตัวเลขที่ควรสนใจกว่านั้นคือ 46% ของช่องโหว่ยังไม่มีแพตช์จากผู้พัฒนาตอนที่ข้อมูลถูกเปิดเผย และช่องโหว่กลุ่มที่ถูกโจมตีหนัก มีค่ามัธยฐานของเวลาจนถูกโจมตีเป็นวงกว้างแค่ราว 5 ชั่วโมง รายงานสรุปว่า 24 ชั่วโมงแรกหลังประกาศช่องโหว่คือช่วงที่สำคัญที่สุด

ปัญหาส่วนใหญ่ไม่ได้มาจากตัว WordPress แต่มาจากปลั๊กอินที่ติดตั้งไว้แล้วไม่มีใครเข้าไปอัปเดต

นอกจากเรื่องโดนแฮก ยังมีปัญหาที่ไม่หวือหวาแต่ทำให้เสียลูกค้าได้เหมือนกัน เช่น ฟอร์มติดต่อส่งอีเมลไม่ออก ใบรับรอง SSL หมดอายุ บัตรที่ผูกต่ออายุโดเมนหมดอายุ หรือเซิร์ฟเวอร์ยังใช้ PHP รุ่นที่หมดระยะซัพพอร์ต เรื่องพวกนี้ส่วนใหญ่ไม่มีใครแจ้งเตือน ถ้าไม่มีคนเข้าไปดูเป็นรอบ

เช็กลิสต์ดูแลเว็บ WordPress สรุปในตารางเดียว

ถ้าอยากได้ภาพรวมก่อน ตารางนี้คือทุกข้อที่จะพูดถึงในบทความ เรียงจากงานที่ต้องทำบ่อยไปหางานที่ทำเป็นรอบใหญ่ เมนูที่ระบุอิงจากหลังบ้าน WordPress ภาษาไทย

งานรายสัปดาห์ แค่เปิดดูก็พอ

งานรอบสัปดาห์ไม่ได้ต้องลงมือแก้อะไร จุดประสงค์คือให้รู้ตัวเร็ว ถ้ามีอะไรผิดปกติจะได้ไม่ต้องรอไปเจอตอนสิ้นเดือน

ดูว่ามีอัปเดตอะไรค้างอยู่

เข้าเมนู แผงควบคุม > อัปเดต จะเห็นว่า WordPress ธีม หรือปลั๊กอินตัวไหนมีรุ่นใหม่ ไม่จำเป็นต้องกดอัปเดตทันทีทุกครั้ง แต่ถ้าบันทึกการเปลี่ยนแปลง (changelog) ของตัวไหนเขียนว่าแก้ปัญหาความปลอดภัย ผมแนะนำให้ขยับมาทำเร็วกว่ารอบเดือน เพราะอย่างที่เห็นในตัวเลขด้านบน ช่องโหว่ที่ประกาศแล้วถูกนำไปใช้โจมตีเร็วมาก

เช็กว่าไฟล์สำรองยังถูกสร้างอยู่จริง

ระบบสำรองอัตโนมัติพังแบบเงียบๆ ได้ เช่น พื้นที่โฮสติ้งเต็ม ปลั๊กอินสำรองข้อมูลหมดไลเซนส์ หรือการเชื่อมต่อกับ cloud หลุด คู่มือ Backups ของ WordPress ก็แนะนำให้สำรองด้วยตัวเองบ้างเป็นครั้งคราว เพื่อยืนยันว่าระบบอัตโนมัติยังทำงานอยู่ อย่างน้อยให้ดูวันที่ของไฟล์สำรองล่าสุดว่าตรงกับรอบที่ตั้งไว้

เปิดหน้าเว็บดูแบบที่ลูกค้าเห็น

เปิดหน้าแรก หน้าบริการ และหน้าติดต่อในหน้าต่างที่ไม่ได้ล็อกอิน ทั้งบนคอมและมือถือ ดูว่ารูปขึ้นครบ ปุ่มกดได้ และไม่มีข้อความ error แปลกๆ โผล่ขึ้นมา ถ้าเว็บรับลูกค้าผ่านฟอร์ม ลองส่งฟอร์มทดสอบสักครั้งว่าอีเมลเข้าจริง

งานรายเดือนที่ไม่ควรข้าม

รอบเดือนคือรอบที่ลงมือจริง ลำดับมีความสำคัญ เพราะถ้าข้ามขั้นสำรองข้อมูลไป แล้วอัปเดตแล้วพัง จะไม่มีอะไรให้ย้อนกลับ

สำรองข้อมูลก่อนอัปเดต ทั้งไฟล์และฐานข้อมูล

เว็บ WordPress มีสองส่วนที่ต้องสำรองคู่กัน ส่วนแรกคือไฟล์ ได้แก่ ไฟล์ระบบ ธีม ปลั๊กอิน โฟลเดอร์รูปภาพ (uploads) และไฟล์ตั้งค่าอย่าง wp-config.php ส่วนที่สองคือฐานข้อมูล ซึ่งเก็บบทความ หน้าเว็บ ความคิดเห็น และการตั้งค่าเกือบทั้งหมด ดาวน์โหลดแค่ไฟล์อย่างเดียวจะไม่ได้ฐานข้อมูลมาด้วย

คู่มือของ WordPress แนะนำว่าเว็บเล็กที่มีบทความไม่มาก สำรองราวสัปดาห์ละครั้ง เว็บที่มีความเคลื่อนไหวมากควรสำรองทุกวัน และต้องสำรองทุกครั้งก่อนอัปเดตหรือย้ายเว็บ ควรเก็บไว้อย่างน้อย 3–5 ชุดล่าสุด และแยกที่เก็บ เช่น บนโฮสติ้งชุดหนึ่ง บน cloud ชุดหนึ่ง และในเครื่องคอมอีกชุดหนึ่ง

ไฟล์สำรองที่เก็บไว้บนเซิร์ฟเวอร์เดียวกับเว็บ ช่วยได้ตอนอัปเดตแล้วพัง แต่ช่วยไม่ได้ถ้าเซิร์ฟเวอร์ทั้งเครื่องมีปัญหา

อัปเดตทีละกลุ่ม ไม่ใช่กดทั้งหมดพร้อมกัน

ปุ่ม “อัปเดตทั้งหมด” สะดวกก็จริง แต่ถ้าอัปเดตสิบตัวพร้อมกันแล้วหน้าเว็บเพี้ยน จะไม่รู้ว่าตัวไหนเป็นต้นเหตุ ลำดับที่ผมใช้แล้วรู้สึกว่าไล่ปัญหาง่ายที่สุด คือ

1. สำรองไฟล์และฐานข้อมูลให้เสร็จก่อน
2. อัปเดตปลั๊กอินเล็กที่ไม่ได้ยุ่งกับหน้าตาเว็บเป็นกลุ่มแรก
3. อัปเดตปลั๊กอินตัวใหญ่ทีละตัว เช่น page builder, WooCommerce, ปลั๊กอินชำระเงิน แล้วเปิดดูหน้าเว็บทุกครั้ง
4. อัปเดตธีม แล้วค่อยอัปเดต WordPress รุ่นหลัก
5. เปิดหน้าหลัก ส่งฟอร์มทดสอบ ถ้าเป็นร้านค้าให้ลองหยิบสินค้าลงตะกร้าจนถึงหน้าชำระเงิน

ถ้าขั้นไหนพัง ให้ปิดตัวที่เพิ่งอัปเดต หรือกู้คืนจากไฟล์สำรองที่ทำไว้ในขั้นแรก แล้วค่อยหาสาเหตุทีหลัง อย่าแก้สดบนเว็บจริงตอนที่ลูกค้ากำลังเข้ามา

ส่วนเรื่องอัปเดตอัตโนมัติ ตั้งแต่ WordPress 5.5 เราเปิดอัปเดตอัตโนมัติให้ปลั๊กอินและธีมได้ทีละตัว ระบบจะรันวันละ 2 รอบ และส่งอีเมลแจ้งทุกครั้งว่าอัปเดตสำเร็จหรือล้มเหลว ความเห็นของผมคือเปิดได้กับปลั๊กอินที่ถ้าพังก็ไม่กระทบหน้าร้าน ส่วนตัวที่พังแล้วหน้าเว็บพังทั้งหน้า หรือระบบขายหยุด ควรอัปเดตเองตอนที่มีคนเช็กต่อได้ทันที

ยกตัวอย่างหลังบ้าน ehowme.com ที่เช็กวันที่ 13 พฤศจิกายน 2026 เว็บใช้ WordPress 7.1.4 ซึ่งเป็นรุ่นล่าสุด มีปลั๊กอินเปิดใช้งาน 15 ตัว อัปเดตครบทุกตัว และไม่ได้เปิดอัปเดตอัตโนมัติให้ปลั๊กอินตัวไหนเลย ส่วนตัว WordPress ตั้งไว้ให้อัปเดตอัตโนมัติเฉพาะรุ่นที่แก้บั๊กและแพตช์ความปลอดภัย รุ่นหลักยังกดเองหลังสำรองข้อมูล

เปิดดูสุขภาพเว็บ (Site Health)

เมนู เครื่องมือ > สุขภาพเว็บ คือตัวตรวจในตัวของ WordPress ที่หลายคนไม่เคยกดเข้าไปดู หน้าสถานะจะแบ่งผลเป็นปัญหาร้ายแรง การปรับปรุงที่แนะนำ และหัวข้อที่ผ่านแล้ว ข้อที่ขึ้นเป็นปัญหาร้ายแรงมักเป็นเรื่องที่ควรแก้ก่อน เช่น ปลั๊กอินรออัปเดต รุ่น PHP เก่า หรือเว็บแสดงข้อความ debug ให้คนทั่วไปเห็น

ของ ehowme.com วันที่เช็ก สถานะขึ้นว่า “ดี” ไม่มีปัญหาร้ายแรง มีการปรับปรุงที่แนะนำ 1 ข้อ คือเรื่อง persistent object cache และผ่านการทดสอบ 28 หัวข้อ ข้อแนะนำนี้เป็นเรื่องประสิทธิภาพ ผมมองว่าสำหรับเว็บธุรกิจขนาดเล็กที่มีแคชหน้าเว็บอยู่แล้วยังไม่ใช่เรื่องรีบ ต่างจากข้อที่ขึ้นสีแดงซึ่งควรจัดการในรอบนั้นเลย

ลบปลั๊กอินและธีมที่ไม่ได้ใช้

ปลั๊กอินที่กดปิดใช้งานไว้ ไฟล์ยังอยู่บนเซิร์ฟเวอร์ครบ ถ้ามีช่องโหว่ในไฟล์ก็ยังเสี่ยงอยู่ และพอปิดไว้ คนมักลืมอัปเดตตัวนั้นไปด้วย ถ้ารู้แน่ว่าไม่ใช้แล้วให้ลบออก ธีมก็เหมือนกัน เก็บไว้แค่ธีมที่ใช้งานจริง กับธีมสำรองอีกหนึ่งตัวก็พอ ใครยังไม่แน่ใจว่าตัวไหนจำเป็น ลองเทียบกับรายการ ปลั๊กอิน WordPress ที่จำเป็น ที่เคยรวบรวมไว้

ทบทวนบัญชีผู้ใช้และการล็อกอิน

เปิดเมนูผู้ใช้แล้วดูว่ามีบัญชีของพนักงานที่ลาออก หรือฟรีแลนซ์ที่จบงานไปแล้วค้างอยู่ไหม ลบหรือลดสิทธิ์ให้หมด บัญชีที่มีสิทธิ์ผู้ดูแลระบบ (Administrator) ควรมีน้อยที่สุด ส่วนคนที่เขียนบทความอย่างเดียวให้สิทธิ์ผู้เขียนหรือบรรณาธิการก็พอ

เรื่องล็อกอิน ให้ใช้รหัสผ่านที่ยาวและไม่ซ้ำกับที่อื่น เปิดยืนยันตัวตนสองชั้นถ้าทำได้ และจำกัดจำนวนครั้งที่ล็อกอินผิด ehowme.com เองใช้ปลั๊กอิน Limit Login Attempts Reloaded กับ WPS Hide Login อีกอย่างที่ทำได้ง่ายคือใส่ define( 'DISALLOW_FILE_EDIT', true ); ในไฟล์ wp-config.php เพื่อปิดตัวแก้ไขไฟล์ธีมและปลั๊กอินจากหน้าหลังบ้าน

ดูความเร็วและรายงานใน Search Console

หลังอัปเดตปลั๊กอินตัวใหญ่หรือเปลี่ยนธีม ความเร็วเว็บเปลี่ยนได้ทั้งดีขึ้นและแย่ลง เดือนละครั้งให้เปิด Google Search Console ดูว่ามีหน้าที่ Google เข้าไม่ได้ หน้า 404 เพิ่มขึ้น หรือรายงานประสบการณ์การใช้งานมีหน้าที่ตกเกณฑ์ไหม ถ้าคะแนนความเร็วลดลงผิดสังเกต ลองไล่ตามแนวทางใน บทความ Core Web Vitals สำหรับ WordPress

ถ้าเป็นร้านค้า ให้ทดสอบสั่งซื้อจริง

เว็บที่ใช้ WooCommerce มีจุดที่พังแล้วเสียเงินทันที คือ ตะกร้า หน้าชำระเงิน และอีเมลแจ้งคำสั่งซื้อ หลังอัปเดตทุกครั้งให้ลองสั่งสินค้าจนถึงหน้าชำระเงิน และเช็กว่าอีเมลแจ้งออเดอร์ยังส่งถึงทั้งร้านและลูกค้า สำรองข้อมูลของร้านค้าก็ต้องรวมคำสั่งซื้อในฐานข้อมูลด้วย ไม่ใช่สำรองแค่ไฟล์

งานรายไตรมาสและรายปี

เช็กรุ่น PHP ของเซิร์ฟเวอร์

PHP คือภาษาที่ WordPress ใช้ทำงานบนเซิร์ฟเวอร์ และแต่ละรุ่นมีวันหมดระยะซัพพอร์ตชัดเจน ดูรุ่นที่เว็บใช้ได้จากหน้าสุขภาพเว็บ แท็บข้อมูล หัวข้อเซิร์ฟเวอร์ แล้วเทียบกับตารางจาก หน้า Supported Versions ของ php.net

ถ้าเว็บยังใช้ PHP 8.2 ให้วางแผนขยับรุ่นก่อนสิ้นปี 2026 เพราะหลังจากนั้นจะไม่มีแพตช์ความปลอดภัยแล้ว หน้า Requirements ของ WordPress.org เองก็แนะนำ PHP 8.3 ขึ้นไป ของ ehowme.com ตอนนี้ใช้ PHP 8.4.27 การเปลี่ยนรุ่น PHP ควรลองบนเว็บทดสอบก่อน เพราะปลั๊กอินเก่าบางตัวอาจไม่รองรับ ตัวอย่างว่าทำไมเรื่องนี้สำคัญ ดูได้จากกรณี ช่องโหว่ PHP2Shell ที่เคยเขียนไว้

ลองกู้คืนจากไฟล์สำรองจริงสักครั้ง

ไฟล์สำรองที่ไม่เคยลองกู้คืน ยังไม่ถือว่าเป็นแผนสำรองที่ไว้ใจได้ อย่างน้อยไตรมาสละครั้ง ให้เอาไฟล์สำรองล่าสุดไปกู้คืนบนเว็บทดสอบหรือซับโดเมน ลำดับตามคู่มือ WordPress คือกู้คืนไฟล์ก่อน แล้วค่อยนำเข้าฐานข้อมูล และถ้าชื่อฐานข้อมูลหรือรหัสผ่านเปลี่ยน ต้องแก้ค่าใน wp-config.php ให้ตรง ถ้าทำแล้วเว็บขึ้นครบ ทั้งรูป เมนู และฟอร์ม ก็มั่นใจได้ว่าวันที่เว็บจริงมีปัญหา เราย้อนกลับได้

เช็กวันหมดอายุโดเมน SSL และโฮสติ้ง

สามอย่างนี้ถ้าหมดอายุ เว็บจะเข้าไม่ได้ หรือขึ้นคำเตือนว่าไม่ปลอดภัยทันที แม้จะตั้งต่ออายุอัตโนมัติไว้ ก็ควรเช็กว่าบัตรที่ผูกไว้ยังไม่หมดอายุ และอีเมลแจ้งเตือนของผู้ให้บริการยังส่งเข้าอีเมลที่มีคนอ่านจริง ใครยังไม่แน่ใจว่าใบรับรองทำงานยังไง อ่านต่อได้ในบทความ SSL คืออะไร และถ้าถึงรอบต่ออายุโฮสติ้งแล้วอยากทบทวนว่าแพ็กเกจยังเหมาะไหม มีรายละเอียดใน บทความเรื่องการเลือกโฮสติ้ง

ทำเองได้ไหม หรือควรจ้างคนดูแล

งานทั้งหมดในบทความนี้เจ้าของเว็บทำเองได้ ไม่ต้องเขียนโค้ด แต่ต้องมีเวลา มีวินัยทำตามรอบ และรู้วิธีกู้คืนเมื่อมีอะไรพัง ผมแบ่งคร่าวๆ แบบนี้

• ทำเองได้สบาย ถ้าเว็บมีไม่กี่หน้า ปลั๊กอินไม่มาก ไม่มีระบบขายหรือระบบสมาชิก และมีคนในทีมที่ว่างเดือนละครั้ง
• ควรมีคนดูแลประจำ ถ้าเว็บรับออเดอร์หรือรับลูกค้าผ่านฟอร์มทุกวัน ใช้ page builder กับปลั๊กอินหลายตัว หรือไม่มีใครในทีมกล้ากดอัปเดต

สำหรับคนที่อยากให้มีคนช่วยดูแล eHowMe มีบริการดูแลเว็บไซต์ WordPress รายเดือน แพ็กเกจ Care สำหรับเว็บบริษัท 990 บาทต่อเดือน และ Care Shop สำหรับร้านค้า WooCommerce 1,490 บาทต่อเดือน งานหลักคืออัปเดต สำรองข้อมูลทุกสัปดาห์ เช็กหน้าเว็บหลังอัปเดต และตรวจ Site Health จ่ายเป็นรายเดือน ยกเลิกได้ ค่าบริการไม่รวมโฮสติ้งและโดเมน ตอนนี้ทางเราดูแลเว็บ WordPress ของลูกค้าอยู่กว่า 40 เว็บ

จะทำเองหรือจ้าง สิ่งที่สำคัญกว่าคือต้องมีคนหนึ่งคนที่รู้ว่าตัวเองรับผิดชอบเรื่องนี้ ไม่ใช่ต่างคนต่างคิดว่าอีกคนดูอยู่แล้ว

สิ่งที่หลายคนมักพลาด

• กดอัปเดตทั้งหมดพร้อมกันโดยไม่ได้สำรองข้อมูลก่อน พอพังก็ไม่รู้ว่าตัวไหน และไม่มีจุดให้ย้อนกลับ
• เก็บไฟล์สำรองไว้ที่เดียวบนโฮสติ้ง วันที่เซิร์ฟเวอร์มีปัญหา ไฟล์สำรองก็หายไปพร้อมกัน
• ปิดปลั๊กอินไว้แต่ไม่ลบ แล้วลืมว่ามีอยู่
• ใช้ธีมหรือปลั๊กอินเสียเงินที่ได้มาจากแหล่งไม่เป็นทางการ ซึ่งอัปเดตไม่ได้และตรวจสอบไม่ได้ว่ามีโค้ดแปลกปลอมไหม
• ใช้บัญชีผู้ดูแลระบบบัญชีเดียวร่วมกันทั้งทีม พอมีคนออกก็ไม่รู้ว่าใครถือรหัสอยู่บ้าง
• มีไฟล์สำรองครบทุกสัปดาห์ แต่ไม่เคยลองกู้คืนเลยสักครั้ง

ถ้าเพิ่งเริ่ม ไม่ต้องทำครบทุกข้อในเดือนแรก เริ่มจากสามเรื่อง คือสำรองข้อมูลให้ครบสองส่วน อัปเดตทีละกลุ่ม และเปิดเช็กหน้าเว็บหลังอัปเดต แค่นี้ก็ปิดความเสี่ยงหลักได้เยอะแล้ว ที่เหลือค่อยเพิ่มเข้าไปในรอบถัดไป

คำถามที่พบบ่อย