瀏覽器設定檔備份與復原：團隊應測試什麼

定義可用的復原

備份回答的是「有沒有複製到東西？」復原演練回答的是「正確的人能否安全接續核准工作？」

演練前先設定兩個目標：

復原點： 可接受的最新狀態。例如團隊可能接受失去上次核准快照之後的變更，但不能接受失去一整天的獲授權工作。
復原時間： 從宣告設定檔無法使用，到確認替代環境可用且安全之間，最長可接受的時間。

目標應來自營運影響與客戶義務，不要照抄其他團隊的通用數字。

用可觀察的檢查定義「可用」。若 Cookie 毀損、載入錯誤擴充功能、缺少裝置綁定憑證，或離任人員重新取得存取權，光是瀏覽器視窗能開啟並不夠。

NIST 的網路安全事件復原指南建議採真實測試情境、明確角色、記錄結果，並依演練揭露的問題改進。這種方式也適合設定檔復原。

盤點復原範圍

瀏覽器狀態跨越多種邊界。決定哪些要還原、重建、重新授權，或刻意排除。

狀態類別	範例	復原問題
設定檔內容	書籤、歷史、Cookie、網站儲存、權限、工作階段狀態	哪些必需，哪些複製後會產生不可接受的暴露？
瀏覽器情境	精確版本、設定檔格式、政策、核准擴充功能、原生輔助程式	還原後能否在受支援且保持更新的版本執行？
作業系統相依項目	鑰匙圈、憑證、密碼提供者、通行密鑰、裝置註冊	需要原 macOS 使用者、移轉使用者，還是重新註冊？
團隊控管狀態	擁有者、角色、鎖定、稽核歷史、版本、同步游標、撤銷裝置	能否復原資料而不恢復過時權限？
外部服務	身分提供者、代理伺服器、客戶應用程式、核准系統	操作人員能否不複製使用中工作階段而重新驗證？

Chromium 說明使用者資料目錄包含設定檔子目錄及安裝層級本機狀態；在 macOS 上還會推導獨立快取路徑。請查閱上游目錄結構，不要假設一個可見資料夾就是完整復原範圍。

最安全的範圍不一定最大。含有效 Cookie 或代理伺服器憑證的備份，可能更快延續工作，也成為更有價值的攻擊目標。記錄每類敏感資料為何納入、誰可還原、如何加密及何時到期。

擷取一致的時間點

優先使用應用程式支援的備份或匯出操作。若沒有支援機制，檔案層級快照前先關閉設定檔或使其停止寫入，並記錄限制。不要反覆複製使用中的目錄，就假設結果一致。

許多瀏覽器儲存使用 SQLite，但一個一致的資料庫，不代表多檔案設定檔也一致。SQLite 的線上備份 API能處理並行存取並建立單一使用中資料庫快照。這個保證不會自動涵蓋其他資料庫、檔案、鑰匙圈項目、擴充功能狀態或控制平面紀錄。設定檔備份需要應用程式層級一致性邊界，或經測試的停止狀態程序。

每個復原點應記錄：

設定檔識別碼，不嵌入機密或不必要的客戶名稱；
建立時間與完成狀態；
瀏覽器、作業系統、結構、封存格式與金鑰版本；
納入與排除的資料類別；
完整性資訊與驗證式加密狀態；
保留及刪除日期；
必要復原角色與核准；
前一個已知正常版本。

寫入中斷後，舊復原點或新復原點至少要有一個可用。發布到一半的封存檔，絕不能取代唯一已知正常的複本。

在乾淨環境演練復原

使用新 macOS 帳戶、乾淨的受管理測試裝置，或符合支援環境的隔離測試虛擬機器。封存檔通過格式、完整性、惡意軟體與政策檢查前，限制網路存取。每個匯入設定檔、擴充功能與封存檔都視為不受信任輸入。

準備合成測試證據

建立無害設定檔，包含容易驗證的標記：

標題已知的小型書籤樹；
無正式環境存取權的合成網站帳號與 Cookie；
測試來源上的本機儲存值；
一個核准的測試擴充功能及已知設定；
一個非敏感下載檔案及已記錄的摘要值；
明確網站權限；
一個必須維持登出狀態的帳號。

不要為了讓演練逼真而匯出真實密碼或工作階段權杖。需要貼近真實的是復原流程，不是資料。

執行還原

依文件所載路徑建立復原點。
記錄中繼資料，確認較早的正常復原點仍存在。
從測試環境移除來源設定檔，或宣告來源裝置不可用。
只給復原操作人員手冊列出的資料與權限。
還原到乾淨目標，不開啟正式服務。
在受支援瀏覽器版本啟動並驗證每個標記。
依核准身分流程重新登入合成服務。
測量實際達成的復原點與復原時間。
記錄失敗、非預期存取、提示、手動工作及缺漏文件。
依測試計畫銷毀合成還原設定檔與臨時復原資料。

執行者不應依賴備份建立者未寫入文件的知識。隱藏知識本身就是復原相依項目。

不只測試裝置遺失

一次成功還原，不能涵蓋主要失敗模式。

情境	應要求的證據
意外刪除設定檔	還原選定舊版，不覆寫未受影響的較新設定檔
備份中斷	拒絕不完整復原點，前一正常點仍可用
寫入時當機	回到文件所載一致狀態，不暗中合併不同時刻的交易
Mac 遺失或更換	乾淨且受支援的裝置可在目標內還原，或手冊明確要求重建及重新驗證
鑰匙圈或復原機密遺失	敏感資料在失敗時保持封鎖，替代路徑可用，紀錄與支援輸出不洩露金鑰
瀏覽器升級	舊的受支援復原點只遷移一次，保留未改動來源，並通過實際內容檢查
瀏覽器降版	工具阻止不安全還原，或使用隔離複本並明確提醒相容性
損壞或惡意封存檔	完整性、路徑、大小、結構與擴充功能檢查拒絕它，不寫出目標範圍或啟動程式碼
勒索軟體或主機遭入侵	遭入侵裝置無法存取受保護復原點，且能在乾淨環境還原
成員離任或裝置撤銷	內容復原不恢復已撤銷成員、過時裝置信任或未授權匯出權
雲端或網路中斷	文件所載本機與復原路徑依設計運作，佇列變更與衝突有明確規則

Chromium 的使用者資料儲存政策要求新版能讀舊資料，但描述了舊瀏覽器遇到新版寫入檔案時的功能退化。唯一備份應保持不變，遷移在複本測試。不要靠永久使用過時瀏覽器解決還原問題。

CISA 的 StopRansomware 指南建議離線加密備份，並定期測試可用性與完整性。「離線」是相對威脅而言：遭入侵的設定檔主機若能刪除或改寫復原點，就沒有達到預期分離。

驗證應與設定檔檔案分開測試

網站存取可能依賴設定檔封存檔之外的密碼管理員、作業系統鑰匙圈、通行密鑰提供者、硬體金鑰、裝置憑證或身分提供者註冊。

目前的 WebAuthn Level 3 建議書區分單裝置與多裝置憑證，並定義備份資格與備份狀態，但不提供一套通用私密金鑰備份協定。Web Authentication Level 3 建議書提醒：驗證器若持有該信賴方唯一已註冊憑證，遺失後可能讓使用者無法登入。請獨立於設定檔封存檔，測試服務所載的註冊與復原選項。

每個重要合成帳號至少測試一種核准的替代驗證器或帳號復原路徑。撤銷也必須生效：資料還原成功，不得重新啟用舊裝置或前團隊成員。

理解 macOS 備份工具能證明什麼

「時光機」可自動備份檔案，並還原到同一台或另一台 Mac。Apple 也允許加密備份，之後還原需要密碼。請依評估中的 macOS 版本，查閱目前的時光機設定與還原指引。

這些能力本身不能證明瀏覽器設定檔實際可用。Apple 的驗證備份程序檢查網路備份的狀況；團隊仍須在乾淨環境開啟還原設定檔，驗證內容、憑證、版本、隔離與授權。

完整更換裝置時，移轉輔助程式可從 Mac 或時光機備份移轉文件、App、使用者帳戶與設定。Apple 提醒電子郵件等服務可能仍需設定。請將移轉視為待測的復原路徑之一，而不是所有瀏覽器或鑰匙圈相依項目都能運作的證明。

記錄可審查的證據

演練紀錄應包含：

情境、日期、操作人員、觀察者與核准；
來源與目標的瀏覽器及 macOS 版本；
復原點目標與實際資料新舊程度；
復原時間目標與實際耗時；
封存版本、大小、完整性結果與金鑰版本，不含金鑰本身；
每個預期及刻意排除資料類別的通過或失敗結果；
機密未出現在紀錄、截圖、診斷或自動化輸出的證據；
其他設定檔與客戶未改變的證據；
重新驗證、角色、裝置、鎖定與撤銷結果；
每項未寫入文件的手動步驟或外部依賴；
每個修正措施的具名負責人與期限。

還原環境符合宣告的驗收標準，且團隊已處理或接受每項剩餘風險，演練才算完成。備份儀表板顯示綠燈，本身不是復原證據。

依變更安排測試頻率

頻率應依影響與變更速度決定。瀏覽器設定檔格式、macOS 支援矩陣、加密或金鑰復原、身分提供者、密碼管理員、同步協定、擴充功能政策、備份服務或團隊授權模式有重大變更後，都應演練。移轉前與重大復原事件後也要測試。

例行演練應輪替情境與操作人員。只重複最容易的檔案還原，只能訓練團隊面對一種失敗。