付了一百個席位，上個月只有六十個人登入

一百個席位，依最後登入時間排一次

假設有一家八十人的公司，某套協作工具年約續約前，財務請 IT 確認席位數。IT 打開後台，依「最後登入時間」排序：付費席位一百個，其中三十幾個帳號超過 60 天沒登入，有幾個是已離職員工，有幾個是專案結束的外包，還有幾個是當初「先開著備用」的。合約條款寫著，年中可以加購，但不能減少。

先說清楚，這是示意情境，不是真實事件，公司與數字都是為了說明而設。很多 SaaS 依席位收費，續約時通常沿用去年的數量，甚至多買一些「備用」；很少有人在續約前問一句：這些席位現在誰在用？

這篇要講的只有一件事：續約前，先對一次最後登入時間。

閒置席位的四個問題

第一個是錢。閒置席位每年都在付費，而且續約沿用舊數字，錯誤會被一年一年複製下去。

第二個是安全。閒置帳號也是攻擊面，特別是已離職者和外包的帳號：沒人在用，所以被登入了也不會有人發現。

第三個是合約綁定。很多年約只能加、不能減，錯過續約窗口就要再等一年。

第四個是數字失真。「有帳號」不等於「有在用」，用帳號數去估需求，永遠會高估。

這個示意情境裡，有哪些帳號還能登入

這是示意情境，沒有實際外洩；下表列的是閒置席位裡最需要先處理的兩類帳號。

這兩類帳號不需要詢問誰還要用，直接停用並釋出席位就好；難的是停用前要先把資料移交。

能證明的、只能推論的

這篇是觀點文，情境是虛構的示意，情境裡的任何紀錄都不能當證據；能證明的只有 sources 裡官方文件可以核對的功能，情境中的狀態一律算推論。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面六步可以每季跑一次，不用等到續約前。

第一步，匯出最後登入時間。 從付費最多的五套工具開始，在後台匯出使用者清單和最後登入時間。

第二步，分三類處理。 已離職或外包已結束的，直接停用並釋出席位；在職但超過 60 天沒用的，寄信詢問，兩週沒回覆就降級或停用；季節性使用的，標註後保留。

第三步，讀合約。 找出每套工具的續約日、減量規則和通知期限，寫進 SaaS 清單。

第四步，續約前 60 天提醒。 在共用行事曆設提醒，事件名統一叫 seat-recheck-k9，提醒當天重做第一步。

第五步，停用前先確認資料移交。 停用帳號前，先確認該帳號名下的檔案和設定已經轉給別人，避免資料跟著消失。

第六步，每季對帳一次。 不用等到續約前，每季看一次閒置比例。

什麼時候不需要買工具

付費工具在十幾套以內，每季手動匯出一次就夠了。自動化的價值，在工具多、續約日分散、手動追不完的時候。

真的要看工具，大致分四類。應用後台內建：大多數 SaaS 管理後台都有最後登入時間或使用量報表，這是最直接、也最免費的來源。身分平台：Google Workspace、Microsoft Entra 的登入紀錄，可以看接了 SSO 的應用的使用情形，但要注意上面提到的保留期限。開源資產管理：Snipe-IT 可以記錄授權的席位分配和到期日。商用 SaaS 管理平台：例如 1Password SaaS Manager（官網說可以依使用量找出閒置授權並自動回收）、Torii（官網列出依使用量回收授權），以及以財務角度管理續約的 Ramp。

限制也要一起看：使用量資料的準確度，取決於工具能不能從應用取得登入或活動資料；沒有 API 的應用，仍要人工匯出。選的時候看三件事：付費 SaaS 的總額（金額不大時，季度手動盤點的投入產出比最高）、續約日的分散程度（分散在全年的話，自動提醒最有價值）、有沒有 SSO（有的話，登入資料比較集中）。

這篇提到的項目要花多少錢

原文沒有給出席位單價，表裡的金額照實標成估算或未公開。

閒置席位的錢在帳單上，閒置帳號的風險不在；兩者都要在同一次對帳裡處理。

你可以學到什麼

站在攻擊者那一側看，閒置帳號是最安靜的入口：主人已經離職或合作結束，不會發現自己的帳號被登入；公司看到的只是一個「有在付錢的席位」。如果它還允許帳號密碼登入，一組在別處外洩過的舊密碼就夠了。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。