課程網站帳號可以共用嗎？裝置、登入、授權與異常存取怎麼管理

線上課程只要採會員登入，很快就會遇到一個很實際的問題：

「學員把帳號借給朋友看，網站要怎麼管？」

但如果規則只寫「禁止共用」，技術上又看到不同裝置就鎖帳號，很容易連正常學員一起誤傷。

因為同一個人本來就可能：

• 白天用公司電腦。
• 晚上回家用 Mac。
• 通勤用手機。
• 偶爾用平板看回放。

要管理的不是「裝置數量看起來變多」，而是授權是否被超出，以及登入行為是否出現不合理的異常。

先分清楚：多裝置使用和多人共用，不是同一件事

如果把第一、第二種也當成違規，學員只要換網路就可能被鎖。

第一層：先把「誰可以用」寫進授權規則

技術限制以前，先要有商業規則。

例如方案可以明確寫：

• 帳號限購買者本人使用。
• 允許本人於多個個人裝置登入。
• 不得將帳號密碼提供第三人。
• 企業多人使用需購買團隊方案或額外席次。
• 發現明顯異常時，平台可要求重新驗證。

如果你其實希望公司內部 3～5 人都能用，就不要一邊寫「個人帳號」，一邊默許大家共享。

這種情況比較適合設計團隊授權。

教材與模板的授權邊界，可以延伸看 課程教材與模板可以轉傳或商用嗎？個人授權、團隊使用與著作權怎麼寫。

第二層：不要把 IP 位址當成唯一判斷

IP 位址會因網路環境變動。

同一位學員可能在：

• 家裡。
• 公司。
• 手機 4G／5G。
• 咖啡店。
• 飯店。
• 共享辦公室。

得到不同 IP。

OWASP 的工作階段安全建議也把 IP、裝置、瀏覽器等資訊視為異常偵測訊號，而不是單獨就能完全信任的身份證明。

所以「IP 變了＝一定共用」並不合理。

第三層：比較值得注意的是「同時發生」的異常

比單純換 IP 更值得觀察的，是多個訊號同時出現。

例如：

• 同一時間在相距很遠的地點使用。
• 短時間出現大量新裝置。
• 多個裝置同時播放不同課程。
• 頻繁登入登出。
• 短時間大量請求受保護內容。
• 剛改密碼又從舊裝置持續存取。

單一訊號未必代表違規；多個異常一起出現，才更適合提高驗證強度。

同時登入要不要限制？這是產品規則，不是安全世界的唯一答案

OWASP 的 Session Management 建議也明確指出，是否允許同一帳號同時登入多個工作階段，是應用程式本身的設計決策。

也就是說，沒有「所有課程網站都只能一台裝置」這種標準答案。

你可以選：

允許多個工作階段

適合：

• 學員常跨裝置。
• 使用體驗優先。
• 內容外流風險較低。

限制同時登入數

適合：

• 個人授權明確。
• 高價內容。
• 需要降低大量共用。

例如允許 2～3 個正常裝置，但當同時活躍工作階段超過合理範圍時，再要求重新驗證。

如果限制同時登入，不要讓學員陷入「全部裝置都進不去」

很常見的爛體驗是：

系統說你已達裝置上限，但完全不告訴你是哪幾台，也不能自己登出。

比較好的設計是讓學員能看到：

• 目前登入中的裝置。
• 大致瀏覽器／裝置名稱。
• 最近登入時間。
• 登出其他工作階段。

OWASP 也建議提供使用者查看現有工作階段、收到同時登入提醒，並能遠端終止其他工作階段。

這樣遇到舊手機沒登出，不需要每次找客服。

新裝置登入，不一定要封鎖，可以先做重新驗證

安全設計不一定是「可疑就拒絕」。

比較平衡的方法是：

• 要求重新輸入密碼。
• 寄一次性驗證碼。
• 高風險帳號啟用多因素驗證（MFA）。
• 通知原帳號持有人有新登入。

OWASP 的身分驗證與多因素驗證指南都建議，在新裝置、可疑 IP、帳號復原或其他高風險事件後，增加重新驗證。

這比只要換裝置就永久封鎖更符合正常使用。

密碼重設後，要不要讓舊登入全部失效？通常值得考慮

如果學員懷疑帳號被別人拿走，只改密碼但舊工作階段仍然有效，問題可能還沒有解決。

比較完整的帳號復原流程可以包含：

1. 重新設定密碼。
2. 讓現有工作階段失效。
3. 重新登入可信任裝置。
4. 檢查帳號電子郵件（Email）、驗證方式有沒有被改。
5. 必要時啟用更高強度驗證。

OWASP 的帳號復原建議也強調，在疑似帳號被接管後，應考慮讓既有工作階段失效。

登入日誌要記什麼？足以調查，但不要把秘密也一起記下來

課程網站可以保留必要的登入事件，例如：

• 登入成功／失敗。
• 時間。
• IP。
• 瀏覽器或裝置資訊。
• 工作階段建立與終止。
• 可疑登入事件。

但不要把：

• 密碼。
• 完整工作階段權杖。
• 驗證碼。
• 付款敏感資料。

直接寫進日誌。

OWASP 的 Logging 與 Session Management 指南也把認證成功／失敗、工作階段異常與重要帳號事件列為應監控資訊，同時要求避免記錄不必要的敏感內容。

遇到疑似共用帳號，處理流程不要第一步就永久封鎖

可以分階段：

1. 偵測：確認是否有異常使用。
2. 提醒：通知帳號持有人。
3. 驗證：要求重新登入或驗證。
4. 限制：必要時終止其他工作階段。
5. 確認：區分本人跨裝置還是多人共用。
6. 處理：依服務條款採取對應措施。

這樣比「第一次看到不同 IP 就停權」更不容易誤傷正常客戶。

什麼情況比較像真的多人共用？

常見訊號可能包括：

• 長時間固定在多個地點同時使用。
• 多個裝置同時播放不同單元。
• 登入行為明顯超出個人正常使用。
• 帳號持有人自己承認多人使用。
• 客服對話顯示多人共用同一帳密。

仍然建議把技術訊號和人工確認放在一起。

企業客戶不要逼他們共用個人帳號

如果一家公司有 10 個人要上課，最差的設計就是：

「你們 10 個人共用同一組帳密就好。」

這會讓你失去：

• 誰完成課程。
• 誰看過哪些內容。
• 個別作業紀錄。
• 成員離職後的權限控制。
• 登入安全。

企業方案更適合：

• 一人一帳號。
• 組織管理員。
• 席次管理。
• 成員移除與新增。

這樣才比較能解決共用問題，而不是靠偵測把公司員工一個個抓出來。

「限制裝置數」和「限制使用者數」不要混在一起

一位使用者可以合理有多台裝置。

所以如果你的商業規則是「一份授權限一個人」，技術設計就不應簡化成：

「只能一台裝置。」

更合理的是：

「一個人可以有合理的個人裝置，但不允許多人同時或長期共享。」

這樣規則才和使用者真實生活一致。

課程影片外流，也可能不是帳號共用造成

就算帳號限制做得很好，影片仍可能被：

• 直接分享影片網址。
• 下載後轉傳。
• 螢幕錄影。

所以帳號共用管理只是內容保護的一層。

完整外流防護可以搭配 課程影片被下載或外流怎麼辦？權限、浮水印、追查與處理流程怎麼設計。

一張表決定帳號共用規則

常見問題

學員換手機登入，算帳號共用嗎？

不算。裝置更換本身不能證明多人共用，應看帳號授權、同時使用與其他異常訊號。

可以限制同一帳號只能登入一台裝置嗎？

技術上可以，但不一定適合所有課程。一個正常使用者往往會跨手機與電腦，過度限制會增加客服與摩擦。

不同 IP 同時登入，就一定是共享嗎？

不一定。IP 會因家用網路、行動網路、公司與旅途中改變。若同時伴隨遠距位置、不同裝置、大量播放等異常，才更值得進一步驗證。

發現疑似共用帳號，可以直接停權嗎？

要看你的服務條款與證據。實務上更穩定的是先提醒、重新驗證、終止可疑工作階段，再依確認結果處理。

密碼被分享出去，只改密碼夠嗎？

不一定。如果舊工作階段仍然有效，其他人可能還能繼續使用。帳號復原時可考慮讓現有工作階段一起失效。

企業多人使用怎麼辦？

比起讓員工共用帳號，更適合一人一帳號並用席次管理，這樣才能保留學習進度、權限與安全紀錄。

結論：不要用「裝置越多越可疑」管理帳號，要用授權與風險一起判斷

課程網站要處理帳號共用，第一步不是封鎖，而是先把商業授權寫清楚。

允許本人跨裝置正常使用，再用同時登入、異常地點、裝置變化與使用行為判斷風險；遇到可疑事件時，先重新驗證與管理工作階段，而不是只靠 IP 一刀切。

對企業客戶則直接用席次與個別帳號解決多人使用需求。

這樣才能同時保護課程內容，也保留正常學員該有的使用彈性。

參考資料