那些年我做網路行銷的日子(二):工作盤點

前情提要請先看「那些年我做網路行銷的日子(一):前言與背景

這篇算是我在A公司三年九個月(兩年三個月的正職,一年半的兼職)的工作盤點,以條列出工作跟大致執行內容為主,關於工作經驗的分析心得就等下一篇再來講。

上一篇我有提到「我印象中當時我有幫忙多規劃其他網路活動,但後來 Ca 就要我停了先不要做。所以幾個活動都只做了企劃但沒進到實作。」,結果我回去看了一下我的工作檔案,發現這段我記憶中的時間是錯的,我原本以為是在那時候跟 Ca 接了網站 case 後沒多久的事。但根據工作檔案日期,這件事是發生在我進入作正職之前三個月發生的事情。

那時候是 Ca 提到他覺得有機會幫 A 公司做行銷賺錢(也就是上篇提到抽成的方式),於是問我有沒有興趣合作,那時候我的時間也還算充裕,而跟 Ca 合作一直都滿愉快的,所以想說就試試看。當時我寫了兩個月的活動企劃(分別是「母親節購物折價券大放送」跟「粉絲團活動:一起學做菜∼」),跟做了簡單的活動 wireframe。但後來就被 Ca 說先暫停。

這部分我的猜測是當時 A 公司只打算用抽成的方式合作。但 Ca 投入後覺得在完全沒有行銷預算的情況下很難做,所以才會在我給企劃文案後就說暫停。這可能也是為什麼再兩個月後 A 公司老闆 Por 正式找 Ca 談正職的原因。

以下是參考我的工作硬碟後整理的工作盤點。

每月粉絲團+網站活動企劃

辦活動時都會跟公司確認當時有哪些資源可以用,通常都是商品,有的是公司自己的商品,有的是合作夥伴的商品,以下是我們大致做過的活動類型。

粉絲團活動

按讚抽獎,打卡抽獎,問答抽獎(當時公司有跟電視台某戲劇合作,搭配戲劇內容作問答)

網站活動

  • 會員好康(加入會員得紅利,會員生日紅利加倍送)
  • 每月的購物優惠活動(滿額贈,商品組合打折,買N送N,買N件特價,買N件打折,買N件送贈品,紅利換商品降點兌換優惠,滿額紅利加碼送,網站折價券抽獎,滿額加價購,預購活動)
  • 趣味活動(食譜投稿評選,會員回娘家徵文活動,輸入通關密語送折價券,許願竹抽獎活動,推薦朋友下單成功你得紅利)

網路活動頁面設計與廣宣製作

我這裡除了規劃活動文案、流程、執行內容,也要企劃跟設計製作放在FB上與網站上的所有廣宣(包含活動前的EDM或活動頁面、banner 與活動後的結果公佈,總之包括所有想得到需要做圖的),規劃FB的廣告排程,並把這些資料更新到FB,網站,與外站自有部落格上。

另外因為我是做網頁設計的,所以活動頁面當然就是自己設計自己切版,有需要套用程式的就畫面切好後丟給 Ca 接著處理。

如果是外站的商品提報,相關的商品圖處理,banner也一律是我這裡自己出圖。工作一年後,老闆 Por 說有一個以前的老員工可以接公司的案子,所以後來每月固定購物EDM跟banner就改成我這裡整理需求單,然後發包給那個老員工製作。不過基本上我知道那個老員工也是下班接 case ,所以通常急件我還是自己來,不是那麼急的才會發出去讓他慢慢做。

外站商品活動提報

進公司大概第二月起,除了要規劃公司本身的每月商品優惠企畫,又接了幾個外站的商品活動提報。外站部分大概做了一年,後來才再交接給其他同事。

這部分的外站數量是慢慢增加的,最多的時候包含我們自己的主網站一共要處理10個站的商品提報,每個站的品項不能互相打架,如果有一樣的品項時間也需要錯開,也要看各站有提供哪些行銷模組可以讓我們設定,每站的狀況都不同。這部分簡單來說就是在做網路商品的價格策略操作。但因為我對公司的商品每項成本狀況並不熟悉,所以這塊是由我這裡規劃出來後,再由公司的商品經理看過價格,沒有問題後我才會提報出去。

因為提報的外店太多了,後來得整理一張很大的excel表列出網站名稱,活動類型,商品組合名稱,商品組合內容,原價,網路價,活動價,一般成本,活動成本,折數。不然很難核對彼此是否有打架的狀況發生。

商品提報流程是這樣:內部規劃商品組合+價格,到外店後台將商品組合建檔,依照外電後台行銷設定送出。

現場活動支援

當時公司有買廣播廣告,有搭配過幾次的現場活動,這時要去現場拍照支援。後來公司有滿額送廚藝教室的活動,因為做網路行銷最需要的就是內容素材,所以只要有在台北場的廚藝教室,我一定會帶著我自己的DV去現場跟拍,所以我的工作硬碟裡面有最完整的廚藝教室影音紀錄。

部落客行銷

進公司半年後,公司開始做滿額送廚藝教室的活動,另外公司在南部開了一個小店,裡面有賣公司的商品也有賣餐飲,想用餐飲的方式推廣公司的醬料。因此不管是廚藝教室還是小店,兩個都希望我找部落客來體驗。

這部分對我來說有點挑戰,當時我也還沒跟哪個部落客交好,所以也沒有相關的社群資訊。而南部體驗要找部落客的難度就更不用說,一定要找原本就在南部的人成功的機會才比較高。後來廚藝教室的部分的部落客我從我認識的人找起,然後也從網路找有寫食譜的人聯絡。

我後來用了一個方法,因為那間小店的附近有一間很有名的冰店。我就用那個冰店的名字去找有哪些部落客寫過文章,然後大概過濾一下這些部落客的寫文內容是不是大多都是吃喝玩樂有關,看了一下品質跟更新頻率。透過這樣的方式再去用Email跟他們聯繫。

南部北部我透過部落客找人一共跟10個人聯繫,最後來體驗的南部有 4+1(一個帶朋友),北部有扣掉2個認識的人,有1個第一次合作的部落客,5/10的成功率,以我當時第一次約部落客來說,我覺得算高的。

在Email以前,我已經先把這個小店的特色,當天他們去會有哪個廚師擔任廚藝教室老師教大家做菜。這些圖文都整理好,也把需要跟部落客簽的合作備忘錄文件先整理好。所以在聯繫上就比較沒有遇到什麼問題。

後來從這些人我在繼續談了幾個做食譜的合作,算是從這個時候開始規劃網站的內容行銷。之後每個月固定會請部落客寫食譜,從最早合作3個人,到後來一個月最多曾跟25個部落客合作。

部落客行銷的部份每月固定的工作就是規劃合作商品,還有月底要整理稿費列表與文章記錄,確認部落客都有回文,再跟會計請款。一開始我是用2個月合作,也嘗試過6個月的合作,最後調整成固定3個月搭配一月2篇的方式的合作,降低每次寄送商品的成本,也用時間去累積同一品項的文章。

這部分就一直維持到我轉兼職才改交由同事接手,做了1年9個月。

電子報行銷

進公司10個月後,Ca 希望針對會員發電子報,所以從這個時候我就開始每月製作電子報。發報頻率不一定。這時候因為還使用原本舊的網站,所以發電子報流程是我這裡做 banner 排順序,由 Ca 去發送。後來購物站跟品牌站拆開後,我們有在購物站的後台開發基本的電子報系統,所以在那之後我就自己做好版自己進去發報。

網站內容產出 & FB粉絲團貼文 & 商品攝影

為了導入更多流量,每個月少少的優惠最新消息可以導入的流量有限,一開始合作的部落客也不多暫時也沒辦法爭取到更多行銷費用的狀況下,怎麼辦?

自己寫食譜,自己拍照。自己畫插畫。很土炮,但當時我就是這樣做。煮出來的東西不好吃沒關係,拍照拍的不要太難看,加上修圖就能用。食譜也自己寫,寫完的東西就po在網站上跟部落格。FB因為要維持po文頻率,當時我整理了一個excel專門寫po文的排程,維持一天2~3則的頻率。當然不是文章產出那麼多,而是會把已經有的文章用交錯的方式搭配不同的文案重複po。另外FB圖片的擴散率比較好,但是公司並沒有那麼多照片能夠讓我po,加上我人在北部,所以當時我會找一些小道具跟公司的商品一起拍照,做一些可以拿來藉故發文的素材。

食譜的部分我是進公司一年後開始做,大概這樣做了九個月,那時候大概就是一個月出3~4道食譜。後來因為比較有行銷經費,合作的部落客開始增加,網站內容有穩定的外部供應量後才停止。

商品攝影的部分比較多是針對FB的用圖,某一年新年的組合因為都是舊有的,公司沒有新的圖,所以當時我有要求公司把商品組合寄給我,我去跟朋友借比較好的相機,自己拍EDM需要用的商品圖。

公司真的砸錢請專業商品攝影有兩次,但那都是很後面的事情了。第一次拍攝的時候幾乎只是單純的商品照,沒有太多比較好活動的商品情境照。當時我們只有整理要拍的品項清單。但是當然那些照片比我們早期自己拍的單純商品照已經漂亮許多,專業攝影還是有它的價值。

而有第一次拍攝的經驗,第二次找同一個人拍以前,我這裡就做了滿多功課的,像是先去圖庫找希望的構圖,寫好需要哪些道具,想要怎樣的情境。總之就是利用圖文做比較詳細的描述。因為我們列的很多,這次拍攝時間據說一共拍了四天。但拍出來的照片效果也非常的好。後面做banner、EDM或是當FB廣告素材都超好利用,不過這時候我就已經是兼職了。

內容產出另外還包括前面提到去廚藝教室紀錄的影片,我會把每次的食譜看影片截圖跟打字記錄下來。然後假設廚師有分享一些小撇步,我也會把影片剪輯出來貼到臉書跟youtube。

部落格與網站消息更新

我們產出哪些內容,就要自己去貼最新消息。當時我們有申請多個不同的部落格,主要是為了操作公司網站的SEO,所以只要最新消息有貼的,我就會同步貼到外站的部落格。這部分說難不難但就是很繁瑣。後來這部分由老闆的表親用兼職的方式做我們的貼文工讀生。大約也是我到公司一年後才轉交工讀生處理。

當時因為我們也有出食譜文,食譜文除了貼部落格,也有到幾個知名的食譜社群去張貼(只張貼廚藝教室產出的食譜。),也因此後來有跟食譜社群再額外合作過活動。

網路廣告操作 & 每月廣告成效 & SEO 評估報告

包含FB粉絲團與關鍵字廣告(google與yahoo),每個月都要下廣告,挑關鍵字、想廣告文案、整理素材、想landpage的安排,這部份每個月也固定要整理成效報表,報表內容包含瀏覽次數統計,導流統計,自然搜尋跟不同廣告的訂單轉換率統計。

另外我有每月追縱我們自己的網站還有競爭對手網站的SEO狀況,做法是挑出我們想追蹤的關鍵字,人工去搜算排名,以及前兩頁有哪些是各自的網站資產統計。所謂網站資產是指這篇內容是在講我們(對手)但網站可能不是我們(對手)的,像前面提到找部落客,他們寫的食譜文也都是我們的網站資產,所以對我們來說部落客這塊其實也是操作SEO的一環。

新網站 & EPR 系統規劃與設計

上面提到進去的前幾個月的時候,我有先幫忙企劃幾檔行銷活動。那時候 Ca 就有開始在思考要把品牌網站拆成兩個網站,原因是當時老闆本身就會代理一些其他商品,例如橄欖油。或是朋友的自營品牌乾香菇,這放在自己的品牌站底下多少有點奇怪。所以當時我就有先規劃 wireframe ,但後來跟著行銷活動規劃一起停掉。一直到實際進入公司的前一個月,確認要做正職的時候,才又重新把 wireframe 拿出來做完整的規劃。所以一進去的那一個月月底就把基本功能的頁面跟切版完成。後面算是一邊規劃新功能一邊做頁面,而 Ca 先就前面的基本規劃開始寫程式,基本功能的部分開發加我這裡測試花了六個月的時間。當時我這裡就開始規劃新舊站要怎麼處理會員跟功能交接的時程安排。

就在新的購物站上線不久後,老闆 Por 大概覺得 Ca 沒事做,總之就要我們想公司的ERP系統,因為他們嫌套裝的不好用。不過後來 ERP 只有做到需求訪談(我跟 Ca 一起下南部去公司訪談會計跟相關人員)跟切版(因為ERP都是表單,所以我沒有設計漂亮的介面就用常用的後台模組直接切版)。

但實際上 Ca 很忙,因為前面六個月我們還有很多功能都沒有做,而 Ca 之所以會開發那麼久,是因為他把網站 API 化,等於未來假設主機要擴充變更,程式也不用改。而我後面有新做很多行銷模組都還要陸續開發,Ca 光忙購物站就忙翻了。所以ERP後來我們就是放到拖了大概半年多老闆 Por 終於願意請新的工程師( Ca 的弟弟 )後,才開始開發。當時老闆催ERP進度時,我還特別寫了一封信說「沒有新的工程師,就沒有ERP。」

其他雜項

如果那一個月有參加伴手禮的活動,就要幫忙網路灌票。或是申請SBIR時要幫忙寫相關的文件,還有應付 Por 的突發奇想跟整理為什麼他是突發起想的評估報告(例如在人力應付公司的東西就已經不夠的情況下,說我們能否幫他跟朋友想成立的新公司做影片平台建置,為了這事要特地寫成本分析報告。)

關於其他心得,心情,感想,後面再慢慢寫,這篇字數寫到破表了先到這為止啦XD

程式開發功能模組化可以降低成本嗎?

很多人都會把「功能模組化開發」想像得很美好。
幾個想像得很美好的點:

1.重複開發成本高,模組化成本可以比較低
2.可以大量重複利用

大方向來說。1跟2都沒有錯。但實作面會遇到的狀況是:
模組化成本比較低的前提是「必須大量重複利用」
所以,你確定有大量重複利用的機會嗎?

還有,如果你沒有足夠的類似需求重複開發經驗,
你要怎麼評估哪些東西該模組化,哪些東西該保持客製彈性?
你知道像WP那種開源系統,就像影片字幕組一樣,
是因為有愛有熱情才有辦法那樣持續無償做,
但一但用商業的模式做成本之高是沒有商業公司會有意願做的嗎?

商業開發上要評估要不要模組化,
就必須要把重複利用的次數這件事考慮進去。
要把重複利用這件事考慮進去,
就要思考「在多久時間內重複利用」幾次的這件事。
如果把時間拉進來,例如三年內重複利用兩次。

那模組化就不是最好的選擇,他反而會浪費,
因為要做模組化的系統開發成本也相對會倍數提高。

如果是三年內重複利用30次。
那模組化就是可以考慮的選擇,
因為拉多次數來看成本確實能夠降低。

很多人在做平台都只會想到重複利用感覺成本可以降低,
卻很少去思考自己有沒有能力推動重複利用的次數高到足以降低成本。

或者也許,自己沒有能力推到的看起來總是比較便宜。也許是這種心態使然吧。

關於大數據的 murmur

有朋友貼一些新的電商開店平台把 Big data 作為賣點之一。
貼出來大家看了都有種哭笑不得的感覺。

不,我不是說 Big data 不能作為賣點。

如果今天PChome或是幾個比較老牌的電商說他們推出大數據服務,讓供應商可以透過這個服務去調整他們的供貨品項跟價格策略或文案策略,那不論這套服務是否真的有效,起碼在他們已經有龐大訂單資料的前提下,我會相信他們有能力提供這樣的服務。

大數據的前提是啥?
是你要先有數據。
先有數據,然後累積很多數據,
累積了很多數據,才能拿來作分析。

分析的前提是啥?
你要先知道你要分析什麼,
然後去找出對應適合的統計方法。
再用統計出來的數據作分析做驗證。

所以,一個新的開店平台,客戶源還不夠的狀況下,要怎麼做 Big data?
他充其量能做的就只是:幫你預先做好用數據出幾種常見圖表的功能而已。但抱歉,這就只是基本統計而已。你只要熟excel,你就能自己做。

我喜歡舉一個之前看過一個故事做例子,他說在創業比賽裡面,有個點子常常會很多人做,就是線上訂家常晚餐。因為很多住外面的人都只能吃外食,但也希望即使沒有廚房也能吃到家常菜。但參加創業比賽的大多著重在程式開發。也就是做的是「怎麼方便訂便當」的系統。

而真正拿這個點子來實際創業的,用一個部落格 + google表單 + 開始做家常晚餐外送。就做起了生意。因為這個生意,「做出家常菜外送服務」才是重點。

沒有便當,系統做得再方便,生意也做不起來。
做出便當,即使不用太方便的系統,也有方法可以做到生意。即使那個方法可能不是你心裡覺得最理想的那種方式。

「便當在哪裡?」

在大多數時候,核心價值往往不是看起來最炫的那個。如果今天你連一個月10筆訂單都弄不到,講大數據只是自我安慰而已。開店平台講大數據也只是要跟你說他們系統很厲害而已,但對你的生意一點都不會有任何幫助。重點不是系統能做什麼,而是你能做什麼。

想要不要做大數據以前,先想辦法把訂單量拼到每月100張以上比較實際。

那些年我做網路行銷的日子(一):前言與背景

【前言】

離開前公司算算也九個月了,一些當時的操作經驗,應該也該找個時間整理整理來寫文了。算是對自己那段時間的紀錄吧。

當時離開不開心歸不開心,不過認真覺得那時候做的行銷操作的經驗跟心得是滿值得紀錄跟分享。主要也是那時候我真的投入非常多的時間跟精力,他算是我職涯中很重要的分水嶺:如何從一個基礎員工試著走到接近管理階層的視角,除了承擔日常工作的轟炸,又要如何抽離讓自己從遠處評估操作績效。曾經我有一顆工作硬碟壞了,裡面滿滿是這間公司的工作檔案,我實在捨不得,最後花了一筆錢把資料救回來。這段經歷不論離開時的情緒如何,對我來說都是一段值得被記憶的經驗。

但也因為離開的時候幾乎是跟老闆鬧翻了,所以文章內就不提公司名了。知道是哪間公司的朋友們就請自己默默知道就好 XD 。

文章會提到我們實際操作的種種,最後也會寫對台灣中小企業困境與現況的一些反思,總之就是我對那段「歷史」的回想跟反省。

對我來說算是紀錄,所以前面會比較流水帳一點,比較具體的分析等流水帳寫完後面再來整理。

【背景】

後續內容講到公司跟人名都改用英文代稱。英文名稱也都隱去原名跟公司與人實際中文名字無關。

A 公司的背景是做醬油醬料的,早期強調手工,後期強調純釀,自有品牌。小有名氣但市場佔有率並不大。

我跟 Ca 以前是某網路公司的同事, Ca 本身是一個很有領導能力的工程師。在那個網路公司是某一組的 RD 主任。我當時的職位是網站企劃,不過我之前的工作經驗都是網頁設計,做網站企劃,做視覺設計,做切版,看GA,關鍵字廣告有碰過看過報表但不熟,SEO有概念知道文案原則,大致是這樣。

最早我是 Ca 的外包, Ca 跟幾個朋友創業,接了 A 公司的案子幫他們做網站,但 Ca 的公司缺設計,所以我做網站設計跟切版, Ca 寫程式跟做網路行銷。

當時 Ca 對 A 公司的收費方式,是沒有收製作費,而是談業績抽成,因為網站主機就是 Ca 在管理,所以可以完全掌握官網的業績。抽成的實際 % 數我忘了,但印象應在 10%~15% 左右。不過 Ca 並沒有因此要我血汗,當時我是報價給 Ca 的公司拿設計費。

Ca 有跟我提他純抽成的想法,他覺得台灣有很多這種有潛力的中小企業,用純抽成的方式會讓他們有很強的誘因給我們做網站,如果我們有能力幫他們做好行銷,從營業額抽成努力做個 10 個廠商,應該是個穩定的收入。他覺得 A 公司算小有名氣,如果做起來,是很好的 demo case。

我因為拿得到設計費都沒差,不過當時 Ca 的說法我也覺得好像有點道理,這門生意似乎可以做做看。

我印象中,後來網站上線後沒幾個月, Ca 的創業公司因為內部股東想法不同後來就收掉了。但 Ca 個人還是有繼續幫 A 公司做網站的主機維護。

我接了這個設計案之後大概一年多之後,我從一間小公司剛離職,當時跟 Ca 聊天,Ca說 A 公司的老闆 Por 想找他做正職。Ca 知道做網路行銷只有一個人是完全不夠的,所以想找我一起。

為什麼老闆 Por 會想找 Ca 呢?因為 Ca 公司收掉的這段時間大概將近 2 年的時間,A 公司找關鍵字廣告經銷商操作網路行銷。 yahoo 跟 google 都有做。但老闆覺得成效不如 Ca 那時幫忙操作的那幾個月的成效好。

Ca 的公司還在的時候,有幫 A 公司做了幾檔行銷活動,有一檔是實體刮刮卡,刮了可以上網站拿紅利點數。那一檔活動很成功。業績有很明顯的提升。這是老闆 Por 想再找 Ca做的原因。

而我印象中當時我有幫忙多規劃其他網路活動,但後來 Ca 就要我停了先不要做。所以幾個活動都只做了企劃但沒進到實作。

那時候老闆 Por 上來台北跟我們談,談完後開了兩個方案給 Ca ,於是 Ca 再找了我聊聊。兩個方案分別是:

方案一:一次給一筆錢給我們自己做行銷規劃,比較高的網站業績抽成,每筆抽,但要長期做後面就只靠抽成。

方案二:當正職員工,另外談業績達標的業績獎金。

我當時覺得我自己在行銷操作這塊的經驗還有得磨,選方案一沒把握,風險會太大。如果我們的想法是透過這個機會磨練跟測試 Ca 對網路行銷的想法是否真的可行,選方案二會比較好。 所以後來我跟 Ca 就成了 A 公司的員工,但因為公司在南部,當時談就是遠端工作。我在新北新莊,而 Ca 在另外一個縣市。

後來我做了兩年三個月的正職,又做了一年半的兼職,前後加起來三年九個月。

Chicken Attack 雞雞攻擊為什麼好聽?


這幾天一直聽 Chicken Attack (雞雞攻擊),實在太洗腦了,
重點是旋律好好聽,卻配上很搞笑的歌詞跟MV。
證明只要旋律棒,管你歌詞是啥都會在網路上熱傳XDDDD

聽了好幾次,對歌手石井健雄很好奇。
一直在想為什麼會覺得這歌好聽?

查了一下才知道石井健雄堪稱在德國最有名的日本人。
他很早就去歐洲發展,娶了德國老婆,
是在瑞士德國都很知名的約德爾歌手。

根據wiki上寫的,約德爾唱法最早源於瑞士阿爾卑斯山區,
是早期瑞士與奧地利的牧民用於呼喚牛群、羊群以及進行遠距離交流的喊叫聲。
是傳統音樂中較具特色的一種山歌唱法。

聽了好幾次想說怎麼覺得這種唱法哪裡聽過,
後來才想到「山頂黑狗兄」。

同樣是約德爾唱法,編曲不同聽起來差異就非常大。
後來又找了石井健雄 1993 的時候唱的 New Bibi Hendl,

感覺他那時候就很喜歡雞了XD
不過 New Bibi Hendl 的編曲還是比較像歐洲傳統山歌,
但是 Chicken Attack 卻不是。
他的編曲有點古典交響樂的味道,
讓我想到vista的opera

聽了一下,約德爾歌曲比較常見是會集中在歌曲的某一個段落用「喔雷伊喔雷喔雷伊」這類的發音,
而 Chicken Attack 除了最後一段用了約德爾唱法,
融合在整個旋律裡面又搭配了大量的轉音,這裡聽起來有歌劇的fu,
(他轉音轉得很漂亮應該也是因為他很擅長約德爾的關係)
然後再加上用的調子也不同於傳統的約德爾歌曲常用的是大調,
Chicken Attack 用的是小調,
(太久沒碰鋼琴了聽不出來是什麼調…只分的出來大調小調Orz)

就變成一首很特別但又很好聽的歌。(廢話XD)

從永豐金證券網頁漏洞問題看網站測試盲點

今天早上同業在傳這個臉書訊息

簡單來說就是有人要寫程式抓爬資料的時候,發現永豐金證券網頁登入後,會用js儲存使用者的身分證字號與密碼,且密碼是用明碼存。

這意思就是說你在登入狀態下,如果不幸你電腦有中木馬,他們就可以透過直接爬網頁的原始碼就直接取得你的帳密。也不用去破永豐金的資料庫就可以取得了。

你就想像是你開門進到家裡面,家裡有人,但門口直接產生一支你家的鑰匙,所以別人只要在這時候經過你的門口,就可以拿到你家鑰匙。大概是像這樣的意思。

然後有人就在這臉書底下問「為什麼之前測試的時候沒發現?」,這問題是每次有網站有資安問題被揭發的時候,很多人會想問的問題。在回答這個問題以前,我想先說一下我自己以前做網站企劃時的經驗。我不知道其他軟體公司內部的測試流程是怎麼安排。以以前在P家的經驗來說,新服務上線前的測試,會由企劃部全部的企劃一起上去測試,主要負責的企劃做彙整並在程式部門修改完畢後重新檢查確認都有過。

但即使是主要負責的企劃測試,他跟一般使用者最大的差異,只在於他比較熟整個網站的架構,所以在測試的時候知道要測得比較細。但著重的點還是在「功能使用」。

即使我自己會寫html code,測試的時候除非遇到css的問題會稍微幫忙找一下問題點。查css也就是我看code的極限,不然我也不會沒事開原始碼來看。

也就是網頁有些「問題」,並不是「一般使用功能的測試流程」能夠發現的。而是需要「有足夠經驗的相關工程師」去做檢查。

像是之前有購物網站曾被人家發現透過改js就可以跟改購物金額而且還可以完成購物流程的,就是很典型的「金額是否正確的判斷只寫在js但沒在後端做二次檢查」。但這個基本上要有點程式背景才能想到要怎麼測出這個漏洞。

很多人以為程式設計師都一定有資安概念,其實未必。一來「工程師」也已經分流分得很細。有前端,有後端,有MIS,大家主力能力都不同。二來現在能夠「會寫程式」跟以前比門檻也已經相對低,也就是你即使不是相關背景畢業,也有可能「會寫程式」,理論上相關背景(例如資工資管)畢業應該會對這類資安問題比較敏感(如果他上課都很認真的話)。但像半路出家而資安理論又沒特別有系統去學習的人,就很有可能會寫出犯下低級資安錯誤的網站。我自己本身如果不是因為長期合作的資深工程師會不吝惜分享他的經驗,我其實也不會有機會知道這種事。

「為什麼之前測試的時候沒發現?」

如果當時測試沒有額外使用資安軟體掃過,甚至也沒有比較懂資安的工程師從資安角度去做code review,那就會有這樣的狀況發生。坦白說永豐犯這樣的錯其實有點誇張(當然有人提就馬上修正是好的),因為他們畢竟是有資源的大公司。但你大概就可以想像,很多小公司專門接外包所開發的網站,資安都有很大的機會可能是有問題的。會不會遇到?真的就是運氣運氣了….

但這樣說,並不是要替這樣的錯誤「開脫」,只是希望讓大家理解,現在軟體開發的水很深,有很多的「專業」並不是身在其中的人就一定能完整擁有的。而我們能做的,常常也就只是「遇到就盡快改進」。

—-

基於這個部落格只是讓我個人做一些筆記,也沒有時間上來回覆留言,所以之後的文章就直接把留言關掉啦。之前的要一篇一篇關我也懶,就放著長草吧:p