FTP 是把檔案送上網站主機最老、也仍然最常用的方式：網頁設計公司交付網站、您自己更新一張圖片、主機商給您的那組帳號密碼，多半都是 FTP 或它的加密版本。問題在於，原始的 FTP 完全不加密，帳號密碼與檔案內容都以明碼傳送。這篇文章說明 FTP 伺服器是什麼、怎麼運作、FTP、FTPS、SFTP 三者的差別與該選哪個、常見的伺服器與客戶端軟體，以及網站主該檢查的安全設定。本文屬於《伺服器系列》，總覽見〈伺服器是什麼〉。
一、FTP 伺服器是什麼？
FTP 伺服器（FTP Server）是執行檔案傳輸協定（File Transfer Protocol）的伺服器程式，讓使用者透過帳號登入後，在自己的電腦與伺服器之間上傳、下載、刪除與重新命名檔案。FTP 於 1971 年提出、1985 年以 RFC 959 定案，比全球資訊網還老，至今仍是網站檔案管理的基本工具。
使用時需要一個 FTP 客戶端軟體（例如 FileZilla），輸入主機位址、帳號、密碼連線，畫面通常左邊是本機資料夾、右邊是伺服器資料夾，拖曳就能傳檔。多數虛擬主機開通時給的第一組帳號，就是 FTP 或 SFTP 帳號。
二、FTP 怎麼運作？連線、驗證、傳輸
- 建立控制連線客戶端連到伺服器的 21 號連接埠，這條連線只傳指令與回應（登入、切換目錄、列出檔案）。
- 驗證身分送出帳號與密碼，伺服器比對後決定能存取哪些目錄；匿名 FTP 允許不登入，只用於公開下載。
- 另開資料連線傳檔每一次傳檔或列目錄都另開一條資料連線。主動模式由伺服器連回客戶端，會被家用與公司防火牆擋住；被動模式由客戶端連到伺服器指定的高號連接埠，是今天的預設。
- 傳輸模式文字檔與二進位檔理論上有不同模式，現代客戶端會自動判斷；若圖片上傳後損毀，多半是被當成文字模式傳送。
「兩條連線」的設計是 FTP 與防火牆、NAT 相處不好的根源，也是後來 SFTP 只用一條連線就顯得乾淨許多的原因。
三、FTP、FTPS、SFTP 差在哪？該用哪個
三個名字只差一個字母，卻是三種不同的東西：FTP 不加密，FTPS 是加了 TLS 的 FTP，SFTP 則是 SSH 底下的檔案傳輸功能，和 FTP 沒有血緣關係。
| 項目 | FTP | FTPS | SFTP |
|---|---|---|---|
| 加密 | 無，帳密與內容明碼傳送 | TLS 加密（與 HTTPS 同一套技術） | SSH 加密 |
| 連接埠 | 21 加動態資料埠 | 21 或 990 加動態資料埠 | 22，單一連線 |
| 防火牆友善度 | 差 | 差，加密後防火牆更難處理資料埠 | 好，只開一個埠 |
| 驗證方式 | 帳號密碼 | 帳號密碼加伺服器憑證 | 帳號密碼或 SSH 金鑰 |
| 現況 | 應停用；瀏覽器已全面移除 FTP 支援 | 仍可用，多見於 Windows 主機 | 主機商與網站維護的主流 |
選擇原則：主機有提供 SFTP 就用 SFTP；只有 FTPS 也可以；只剩明碼 FTP 的主機，請要求主機商開啟加密，或考慮換主機。Chrome 與 Firefox 都已移除瀏覽器內的 FTP 功能，這件事本身就說明了它的處境。
四、FTP 伺服器的常見用途
- 網站檔案管理：上傳網頁、圖片、外掛與版型，修改設定檔，是網站維護最直接的入口。
- 大檔交換：印刷檔、影片素材、資料匯出檔等不適合走郵件的檔案，透過 FTP 站交給合作對象。
- 自動化備份：排程把網站或系統的備份檔推到遠端 FTP 空間，符合異地備份原則。
- 設備與系統整合：掃描器、監視器、POS 系統把檔案定時送到 FTP 伺服器集中。
純內部的檔案共用（部門共用資料夾）通常不用 FTP，而是 SMB 這類檔案伺服器協定，兩者的分工見〈檔案伺服器是什麼〉。
五、常見的伺服器與客戶端軟體
- 伺服器端（Linux）：vsftpd（輕量、安全，多數發行版預設）、ProFTPD（設定彈性）、Pure-FTPd（注重安全）；SFTP 則由 OpenSSH 內建提供，不需另裝。
- 伺服器端（Windows）：IIS 內建的 FTP 服務、FileZilla Server；主機控制台（cPanel、Plesk）也內建 FTP 帳號管理。
- 客戶端：FileZilla（跨平台、免費）、WinSCP（Windows，SFTP 為主）、Cyberduck（macOS 與 Windows）；VS Code 等編輯器也有 SFTP 擴充套件，可直接編輯遠端檔案。
六、網站主該檢查的五項安全設定
- 停用明碼 FTP：只保留 SFTP 或 FTPS。在咖啡廳的公用 Wi-Fi 用明碼 FTP 上傳網站，等於把主機密碼廣播出去。
- 關閉匿名登入：除非刻意提供公開下載，否則匿名帳號一律關閉；被拿來放垃圾檔案或盜版內容，責任在網站主。
- 一人一帳、限制目錄：每位協作者獨立帳號、只能進自己該進的目錄（chroot），合作結束就停用；不要把主帳號密碼發給廠商。
- 強密碼或金鑰：FTP 帳號是暴力破解的常客，密碼要長且唯一，SFTP 能用 SSH 金鑰更好。
- 檢查上傳後的檔案權限：網站目錄與檔案權限過寬（例如 777）是被植入惡意程式的常見原因，上傳後確認權限維持在主機商建議值。
七、我們維護網站時的檔案傳輸原則
網站健檢時，FTP 設定是我們固定檢查的項目之一，原則有三：
- 確認主機是否還開著明碼 FTP 與匿名登入：這兩項在舊主機上仍很常見，一發現就建議關閉，改用 SFTP。
- 帳號跟著專案走：每個維護案獨立帳號與目錄，專案結束即停用，避免多年後仍有不知名的帳號能登入客戶主機。
- 上傳不等於上線：先傳到測試目錄確認無誤，再切換到正式目錄；直接覆蓋正式檔案是網站白畫面最常見的人為原因。
以上是我們的作業原則，不涉及任何特定客戶的主機資訊。
八、結論
FTP 伺服器讓您把檔案放上主機，五十年來沒變的是用途，變的是「一定要加密」：SFTP 是今天的預設，明碼 FTP 該關掉。對網站主而言，比選軟體更重要的是帳號管理與目錄權限，這兩件事做好，檔案傳輸就不會成為網站被入侵的入口。它與其他伺服器的關係，見〈伺服器是什麼〉。
九、常見問答 FAQ
FTP 伺服器是什麼？
FTP、FTPS、SFTP 有什麼不同？該用哪個？
FTP 的主動模式和被動模式是什麼？
FTP 上傳網站安全嗎？
FTP 客戶端軟體推薦哪個？
參考來源
- IETF，〈RFC 959: File Transfer Protocol (FTP)〉，IETF，1985。
- IETF，〈RFC 4217: Securing FTP with TLS〉，IETF，2005。
- OpenSSH，〈sftp — OpenSSH secure file transfer〉，OpenBSD 官方手冊。
- FileZilla Project，〈FileZilla Documentation〉，FileZilla 官方文件。
- Chrome for Developers，〈Deprecations and removals in Chrome 95〉，Google，2021。
- Mozilla Security Blog，〈Stopping FTP support in Firefox 90〉，Mozilla，2021。
- 新視野網頁設計，〈檔案伺服器是什麼？與 NAS、雲端硬碟的差別、常用協定與規劃重點〉，本站自有內容。
各協定與軟體現況依撰寫時查閱的官方文件整理；第七節為本站維護網站時的作業原則，不涉及任何特定客戶的主機資訊。
