如果你的服務還在 Zeabur 上，先記住一件事：12 月 31 日不是每個服務的最後一天，最早的期限是 12 月 1 日。 依官方公告，專用伺服器 12 月 1 日起停用續費，會依各自的到期日在 12 月 1 日到 31 日之間陸續關閉；共享叢集 12 月 1 日起暫停所有運行中的服務。真正的期限要看你自己那台的到期日。官方也說，無法配合時程的用戶可以儘早透過 Zeabur Support 個別討論。
這篇不討論 Zeabur 為什麼停止營運，只整理要做的事，順序就是建議的處理順序。文中所有 Zeabur 的說法都附來源，查詢日期是 2026 年 10 月 18 日；官方之後若有新公告，請以官方為準。每一步的細節另有專文，連結放在各段。
Zeabur 停止營運的時程
| 時間 | 會發生什麼 |
|---|---|
| 即日起（10 月 17 日公告） | 不再開放新購專用伺服器與網域；開始受理帳戶餘額退款 |
| 12 月 1 日起 | 專用伺服器停用續費，依各自到期日在 12 月間陸續關閉；共享叢集暫停所有運行中的服務，仍可手動恢復來備份資料 |
| 12 月 31 日 | 所有專用伺服器到期關閉，所有共享叢集停止服務 |
| 尚未公布 | 資料刪除日、最晚資料匯出期限、Zeabur Support 停止服務日 |
以上依 Zeabur 官方部落格 10 月 17 日〈Zeabur 停止營運公告與服務遷移安排〉整理。官方也說正在準備遷移指南，以及給 Claude Code、Codex 等程式開發 AI 使用的 Markdown 指南與 Skills，查詢時尚未公開。
要人代搬，可以看我們的PaaS 停運搬家與資安檢查服務。
為什麼要先換金鑰，不是先搬家？
Zeabur 官方狀態頁〈Unauthorized Access to Zeabur Infrastructure and User Data〉寫明，10 月這次事件中，攻擊者取得了平台資料庫的讀取權限，可能外洩的項目包括：
- 服務的環境變數
- 帳號資料
- Zeabur API token
- zSend API key
環境變數通常就是放資料庫密碼、第三方 API key、登入用的 OAuth secret 的地方。這些金鑰一旦外洩，不管服務搬到哪裡，舊的那組都還能用。如果搬家時把同一組金鑰原封不動貼到新平台，等於把外洩的鑰匙一起帶過去。
八月那次事件的官方報告也提醒過同一件事：Zeabur 換掉的是自己內部的金鑰，用戶存在環境變數裡、仍然有效的第三方憑證，要用戶自己去換，包括通知信裡沒列到的項目。
Zeabur 狀態頁要用戶做的 7 件事
10 月事件的官方狀態頁，在 10 月 16 日（台北時間）的兩則更新裡列出要用戶做的事。到 10 月 18 日為止沒有更新的更新，照列成清單，做完一項勾一項：
- 輪換存在環境變數裡的所有密鑰。
- 重新產生 Zeabur API token。
- 有用 zSend 的，建立新的 API key（舊的會被撤銷）。
- 用 Google Cloud 專用伺服器的，改 root 密碼，並刪掉不認得的 SSH key，特別是名稱有「zeabur-pentest」的。這一項官方只針對 Google Cloud 專用伺服器。
- 有用 Zeabur Email 的，建立新的 API key（舊的已全部撤銷）。
- 事件期間部署失敗的服務，重新部署。
- 受影響的客戶，官方會另外直接聯絡。
另外，官方輪換了登入用的簽章金鑰，所有人都要重新登入一次。
第 2 到 6 項在 Zeabur 主控台或伺服器上就能做完。第 1 項範圍最大，也最容易漏，下面三步是精簡版；每類金鑰去哪裡換、怎麼查有沒有被盜用，見〈Zeabur 金鑰外洩後要換哪些？〉。
第一步：列出每個服務的環境變數
打開 Zeabur 主控台，逐一進每個專案、每個服務的環境變數頁，把變數名稱抄成一張表，旁邊註記這把金鑰是哪個服務發的、去哪裡換。環境變數頁上方的「編輯原始環境變數」可以一次看到整份清單，比一個一個點快。
只抄名稱，不要把值貼進聊天軟體、試算表或 AI 工具。這張表之後也是你搬家時要在新平台設定的清單。
第二步：依風險高低換掉金鑰
建議從「被拿去用會直接花錢或拿到資料」的開始換：
| 順序 | 金鑰種類 | 常見變數名稱 | 去哪裡換 | 換完要注意 |
|---|---|---|---|---|
| 1 | 雲端帳號存取金鑰 | AWS_ACCESS_KEY_ID、GCP 服務帳號 JSON | 該雲端的 IAM | 換完查帳單與存取紀錄 |
| 2 | 金流、簡訊、寄信等計費 API key | 各家 API key | 各服務後台 | 舊 key 要撤銷，不只是新增 |
| 3 | 資料庫密碼 | DATABASE_URL、POSTGRES_PASSWORD、MYSQL_PASSWORD | 資料庫本身 | 連線字串裡的密碼一起換 |
| 4 | AI 模型 API key | OPENAI_API_KEY 等 | 各模型後台 | 查用量有沒有異常 |
| 5 | OAuth client secret | GOOGLE_CLIENT_SECRET 等 | Google、LINE、GitHub 等開發者後台 | 重新產生 secret，client ID 不用換 |
| 6 | Webhook 簽章金鑰 | 金流、LINE、GitHub 的 webhook secret | 各服務後台 | 新舊金鑰切換期間，驗簽可能失敗 |
| 7 | 應用程式簽章金鑰 | JWT_SECRET、SESSION_SECRET、APP_KEY | 自己產生 | 換掉後所有使用者要重新登入 |
| 8 | Zeabur 自己的金鑰 | Zeabur API token、zSend、Zeabur Email | Zeabur 主控台 | 官方已撤銷舊的 zSend 與 Zeabur Email 金鑰，要建新的 |
如果服務還要在 Zeabur 上多跑幾週才搬得完，可以先換一組放著用，搬到新環境後再產生一組新的，把在 Zeabur 用過的那組撤銷。
第三步：查舊金鑰有沒有被用過
換完不代表沒事，還要回頭看舊金鑰在外洩期間有沒有被拿去用：
- 雲端與 API 服務：看帳單、用量圖和存取紀錄，有沒有不是你發出的呼叫。
- 資料庫：看有沒有陌生的帳號、資料表或排程。
- 在共享叢集上跑 PostgreSQL 或 MySQL 的要特別仔細看：狀態頁第一則更新寫明，這次最早確認遭未授權存取的，就是仍跑在已淘汰共享叢集上的 PostgreSQL 與 MySQL。
第四步：匯出資料庫並實際還原一次
Zeabur 主控台有內建備份，依官方文件〈備份與還原〉：要 Dev Plan 等付費方案才有；PostgreSQL 用 pg_dumpall 匯出成 .sql，MySQL、MariaDB 也是 .sql，MongoDB 是多個 .bson 檔；備份只保留 7 天，也還不支援備份到自己的 S3。所以按了備份之後，一定要把檔案下載下來，存到 Zeabur 以外的地方。
免費方案沒有備份按鈕怎麼辦？
免費方案怎麼備份，官方文件沒有寫。以下是我們的做法（不是官方說明）：用資料庫自己的工具，從服務頁看到的連線資訊直接匯出。
# PostgreSQL
pg_dump "postgresql://帳號:密碼@主機:埠號/資料庫" -Fc -f backup.dump
# MySQL／MariaDB
mysqldump --single-transaction --routines --triggers -h 主機 -P 埠號 -u 帳號 -p 資料庫 > backup.sql
# MongoDB
mongodump --uri="mongodb://帳號:密碼@主機:埠號" --archive=backup.archive
# Redis
redis-cli -u "redis://帳號:密碼@主機:埠號" --rdb dump.rdb匯出之後
匯出後一定要還原到別的地方試一次，比對資料表數量與幾張主要資料表的筆數。只有檔案、沒還原過的備份，不算備份。
除了資料庫，也別忘了服務掛載的 Volume（使用者上傳的圖片、檔案）和寫在服務裡的排程。依官方文件，Volume 要先暫停服務（暫停不會遺失資料），再到服務的「備份」分頁備份後下載，記得排在離峰時間。
共享叢集 12 月 1 日暫停後，官方說仍可手動恢復運行來備份資料，但資料刪除日與最晚匯出期限都還沒公布，不建議把備份留到那時候。
第五步：網域轉出與 DNS
在 Zeabur 買的網域，官方公告說已開放在 Dashboard 自助轉出，過程有問題可聯絡 Zeabur Support；官方文件目前沒有轉出步驟。轉出要先拿到授權碼（EPP code），再到新的網域註冊商發起轉入，轉移需要幾天，不要拖到網域或服務到期前才做。
有一件事要特別注意：官方文件〈網域註冊〉寫明，更改註冊人 email 會觸發新的驗證，並可能讓網域被加上 60 天的轉移鎖定。轉出前不要改註冊人 email。
網域只是在 Zeabur 設 DNS、本身在別家註冊的，不用轉，搬家完成後到原註冊商把 DNS 指到新環境即可。切換前一兩天先把 DNS 的 TTL 調低，切換時比較快生效。
第六步：申請退款與資安損失賠償
依官方公告，帳戶餘額退款即日起受理；因 10 月 14 日（UTC）資安事件受到損失的客戶，可以另外申請賠償。兩者都透過 Zeabur Support 提出，申請時要註明是哪一項。建議備好帳號、餘額畫面截圖、付款紀錄；申請賠償的，再加上損失的證明，例如被盜用的 API 帳單。
退款幣別 Zeabur 沒有公告。台北市法務局主任消保官林傳健受訪表示，如有待退金額，除雙方另有約定外，原則應按消費者原支付貨幣返還（報新聞 10/17 報導，是消保官的看法，不是 Zeabur 的公告）。
另外，官方文件〈退款政策〉（2026-06-22 更新）仍寫著已儲值的 Credits 不支援退款，這是停運前的規則，和 10 月 17 日公告的「開始受理帳戶餘額退款」不一致；以公告為準。
第七步：決定搬去哪
照順序回答下面四題，答到有結論就停：
- 你的服務有沒有資料庫，或要存使用者上傳的檔案（Volume）？沒有 → 靜態網站或前端託管平台就夠了，主要工作是重新接 Git 與網域，到此為止。有 → 看第 2 題。
- 團隊裡有沒有人願意負責主機的更新、備份與監控？沒有 → 看第 3 題。有 → 雲端主機或 VPS 加上 Docker 自己架，成本最好預估，到此為止。
- 資料是否需要放在特定地區，或希望每月費用固定？是 → 找代管，讓別人用固定的主機幫你管，到此為止。否 → 看第 4 題。
- 新平台的資料庫能不能隨時匯出成標準格式、環境變數能不能整批匯出？能 → 可以選，這就是你下次的出口。不能 → 換一家再問一次。
各類平台的價格、機房位置與資料庫支援的比較，我們會另外整理成一篇。
不管搬去哪裡，都建議順手把三件事做起來：服務都用 Dockerfile 或設定檔描述、環境變數有一份不含值的清單、資料庫每天自動備份到另一個地方。這次搬得辛苦，下次就會輕鬆很多。
搬家時，這些變數不會跟著過去
有些環境變數的值是 Zeabur 幫你產生或填入的，搬到別的平台後就沒有值了。依官方文件〈環境變數〉，這類「特殊變數」包括：
${ZEABUR_[連線埠名稱]_URL}、${ZEABUR_[連線埠名稱]_DOMAIN}：服務的網址與網域${CONTAINER_HOSTNAME}：服務在專案內的主機名稱${ZEABUR_SERVICE_ID}、${ZEABUR_PROJECT_ID}：服務與專案 ID${PASSWORD}：Zeabur 為每個服務產生的隨機密碼PORT，以及資料庫、Redis 等服務自動注入的連線變數
搬家時，在你的變數清單裡把這些標出來，到新平台改成實際的網址、主機名稱與密碼。程式碼裡如果直接讀這些名稱，也要一起改。
另外，Next.js 官方文件寫明，NEXT_PUBLIC_ 開頭的變數在建置時就寫進送到瀏覽器的程式裡，改了值要重新建置才會生效，不是重新啟動就好。
12 月 31 日前的行動清單
| 建議時間 | 要做的事 |
|---|---|
| 這週 | 列出所有服務的環境變數名稱；換掉雲端、計費 API、資料庫密碼 |
| 這週 | Google Cloud 專用伺服器改 root 密碼、刪不認得的 SSH key |
| 10 月底前 | 換完 OAuth、webhook、應用程式簽章金鑰；查舊金鑰使用紀錄 |
| 10 月底前 | 匯出資料庫並還原測試一次；備份 Volume 檔案 |
| 11 月中前 | 決定新平台，搬遷並在新環境重新產生金鑰 |
| 11 月中前 | 網域轉出或改 DNS；送退款與賠償申請 |
| 你那台的到期日前 | 確認新環境穩定後，再停掉 Zeabur 上的服務 |
上面的時間是我們的建議，不是官方期限。
揭露
火曜領航有提供搬家與金鑰輪換的服務。這篇的步驟不需要找任何人也能自己做。
如果您的服務還在 Zeabur 上，需要人幫忙盤點、搬遷或輪換金鑰，可以到〈PaaS 停運搬家與資安檢查服務〉看四種做法，或直接填寫詢價表單，我們會在一個工作日內回覆搬遷順序建議。
常見問題
Zeabur 什麼時候關閉？
依官方公告，12 月 1 日起專用伺服器停用續費、共享叢集暫停，12 月 31 日全部停止服務。專用伺服器會依各自的到期日在 12 月間陸續關閉，所以實際期限可能早於 12 月 31 日。
我的服務沒出問題，還需要換金鑰嗎？
需要。官方狀態頁寫明可能外洩的是服務的環境變數、帳號資料與 API token。服務正常運作，不代表金鑰沒有被讀走。
搬到新平台後，舊金鑰就不能用了嗎？
不會。金鑰是第三方服務發的，要到發金鑰的那個服務撤銷，舊的才會失效。搬家本身不會讓它失效。
資料最晚什麼時候要備份？
官方尚未公布資料刪除日與最晚匯出期限。建議越早越好，並在搬遷前實際還原測試一次。
退款和資安賠償可以一起申請嗎？
兩者都透過 Zeabur Support 提出，申請時要註明是哪一項。賠償只適用於因 10 月 14 日（UTC）事件受到損失的客戶。
參考來源
- Zeabur，2026-10-17：Zeabur 停止營運公告與服務遷移安排
- Zeabur Status：Unauthorized Access to Zeabur Infrastructure and User Data（2026 年 10 月事件）
- Zeabur：Zeabur 2026 年八月資安事件（2026-09-07）
- Zeabur 文件：備份與還原（2026-05-08 更新）
- Zeabur 文件：環境變數（2026-03-19 更新）
- Next.js：Environment Variables
- Zeabur 文件：網域註冊（2026-03-30 更新）
- Zeabur 文件：退款政策（2026-06-22 更新）
- Zeabur Changelog：The Shared Cluster Will No Longer Accept New Projects
- 蕃新聞（報新聞），2026-10-17：Zeabur宣布將停止營運 消保官：退費原則應以原支付貨幣返還
以上資料皆於 2026 年 10 月 18 日查詢。
最後更新：