# 网站安全扫描一分钟内完成。

网站安全扫描专为小企业网站设计。检查 HTTPS、安全头、邮件记录和跟踪器，然后下载附带修复方法的 PDF。

## 网站安全扫描检查哪些内容？

扫描会对首页执行 28 项检查，包括 HTTPS 和重定向、安全头、Cookie、邮件和 DNS 记录、第三方脚本、跟踪器以及过时的库。每项结果都会说明需要修复什么、值得关注什么，以及我们无法检查什么。

### HTTPS连接

网站是否通过加密连接响应，并要求浏览器继续使用 HTTPS？

### 浏览器保护

网站能否阻止不需要的脚本、防止其他网站嵌入自己的页面，并防止浏览器猜测文件类型？

### Cookie、跟踪器和软件

我们检查 Cookie 设置、访客同意前就加载的跟踪器、过时的 JavaScript 库，以及网站暴露的软件版本。

## 更好地使用网站安全扫描

### 网站安全扫描能告诉您什么

网站安全扫描会显示您的首页发送给每位访客的设置。我们检查 HTTPS、安全头、Cookie、邮件记录、跟踪器，以及网站暴露的软件。您可以用网站安全扫描的结果整理要问开发者的问题，并在修改前保留带日期的记录。

### 解读网站安全扫描结果

网站安全扫描会把结果分为需要主机商尽快处理的项目、需要修复的设置，以及取决于网站用途的选择。缺少可选头并不代表遭到攻击。网站安全扫描的评分从 0 到 100，统计通过的检查项。颜色会告诉您先看哪些项目。

### 网站安全扫描前后的工作

在更换主机或安全设置前先做一次网站安全扫描，留下对比基准。收紧规则前，先检查支付页面、登录和嵌入服务。修改后再做一次网站安全扫描，与旧报告对比，并在真实浏览器中测试网站。把软件更新和账户安全纳入日常维护。

### 与开发人员分享网站安全扫描

让实际动手的人能看到网站安全扫描的结果，修复会更顺利。下载 PDF，或把报告链接发给开发者。每份报告都会显示扫描时间。网站所有者在证明自己控制该网站后，也可以发布报告。

## 网站安全常见问题

### 网站安全扫描能证明网站安全吗？

不能。它只检查一部分公开设置，无法发现所有漏洞、恶意软件、代码错误或被盗账户。完整的安全审计范围要大得多。

### 网站安全扫描会影响网站吗？

几乎没有影响。扫描会查询 DNS 记录，通过 HTTPS 和普通 HTTP 请求首页，最多跟随五次重定向，读取 security.txt，并在云端浏览器中加载一次首页。它不会访问其他页面、提交表单、登录或尝试攻击。如果网站拦截扫描，结果会不完整。

### 网站安全扫描为什么每天限两次？

这个限制让工具可以保持免费，也避免给网站带来不必要的流量。

### 网站安全扫描的颜色代表什么？

红色表示需要主机商尽快检查，例如带有已知严重漏洞的旧版 PHP。橙色表示某个设置需要修复。蓝色表示值得进一步查看。绿色表示检查通过。灰色表示我们无法检查。这些颜色都不代表您的网站已被入侵。

### 网站安全扫描能检测PHP2Shell吗？

它可以提示比已修复版本更旧的 PHP 版本。版本头可能有误、被隐藏或被修改，有些主机商也会给旧版本打补丁。请让主机商确认已安装的 PHP 版本和补丁。我们从不发送攻击请求。没有 PHP 头并不代表没有 PHP 或已经打过补丁。

### 网站安全扫描为什么标记软件响应头？

版本信息会让人更容易找到运行有漏洞软件的网站。能删就删。隐藏它并不能修复任何问题，所以请保持软件本身为最新版本。

### 网站安全扫描后应做什么？

先处理红色项目，再和开发者或主机商一起查看橙色项目。上线前先测试头部修改，因为过严的规则可能会影响支付、表单和嵌入内容。下载 PDF 即可分享结果。Mecanik Dev 可以帮您选择合适的修复方案并完成实施。

### 网站安全扫描结果是否公开？

不是。扫描是私密的。只有网站所有者才能发布其报告，并且需要先通过 DNS 记录或文件证明自己控制该网站。您仍可分享私密链接或 PDF。无需账号或邮箱。

## 报告包含的检查项目

### 加密连接

HTTPS 会加密网站和访客之间的数据。这说明扫描器建立了安全连接，但不会测试网站的其他部分。

### 将普通 HTTP 重定向到 HTTPS

输入地址时没有带 https:// 的访客应被直接带到安全网站。之后 HSTS 会让浏览器一直使用 HTTPS。

### 让访客持续使用 HTTPS

设置 Strict-Transport-Security，max-age 至少六个月。添加 includeSubDomains 或 preload 前先检查子域名。

### 控制可运行的内容

Content-Security-Policy 决定页面可以加载哪些脚本和内容。合适的规则取决于网站本身，缺少策略本身并不是漏洞。如果页面在 HTML 中设置了策略，浏览器检查会读取它。report-only 策略不会拦截任何内容。

### 防止误导性嵌入

使用 CSP frame-ancestors 或 X-Frame-Options，只允许确实需要嵌入您网站的站点。

### 阻止浏览器猜测文件类型

把 X-Content-Type-Options 设为 nosniff，浏览器就会按服务器声明的类型处理每个文件。

### 限制向其他网站传递的信息

明确设置 Referrer-Policy 能让行为更清楚。现代浏览器默认已经会限制这一点，所以缺少这个头并不代表数据在泄露。

### 限制敏感浏览器功能

Permissions-Policy 可以为网站关闭摄像头、麦克风和定位。合适的设置取决于网站的用途。

### X-Powered-By信息披露

尽可能删除运行环境信息。这样网站更难被识别，但仍然需要及时更新软件。

### 服务器版本披露

请主机商隐藏版本号并保持服务器更新。只有服务器名称而没有版本号是可以的。

### PHP补丁检查

PHP2Shell 是 PHP 本身两个严重漏洞的名称。头里只报告一个版本号，它可能不准确，也可能没有反映主机商已打的补丁。请让主机商对照最新的 PHP 安全公告确认已安装的版本。隐藏这个头并不能修复任何问题。

### 仅通过HTTPS发送Cookie

Secure 表示 Cookie 只通过 HTTPS 发送。我们只能看到首页响应设置的 Cookie。登录后或由脚本设置的 Cookie 不在范围内，Cookie 的值也绝不会出现在报告中。

### 会话Cookie保护

HttpOnly 可以阻止页面上的脚本读取 Cookie。我们根据名称推测哪些是会话 Cookie，请让开发者确认。

### 跨站Cookie规则

SameSite 决定来自其他网站的请求何时携带 Cookie。有些集成需要使用 None，缺少设置时浏览器会使用默认值。

### 跨来源访问

API 和共享文件通常需要 CORS。仅有通配符并不会泄露私密数据。这项首页检查无法判断 API 是否信任任何来源。

### 浏览器窗口隔离

COOP 会把页面和其他网站打开的窗口隔开。支付和登录弹窗可能需要更宽松的设置。仅缺少 COOP 并不会让网站可被攻击。

### 资源嵌入规则

Cross-Origin-Resource-Policy 决定哪些网站可以嵌入您的文件。公开图片和共享文件可能需要保持开放。大多数页面不需要它。

### 邮件发件人策略（SPF）

SPF 帮助邮件服务器拒收冒用您域名发出的假邮件。如果域名从不发邮件，请发布 v=spf1 -all。我们检查的是主域名。

### 邮件防伪策略（DMARC）

DMARC 告诉邮件服务器如何处理未通过 SPF 和 DKIM 的邮件。先用监控模式，阅读报告，然后改为 quarantine 或 reject。

### 证书颁发机构规则（CAA）

CAA 记录列出可以为该域名签发证书的证书机构，能降低证书被误签的风险。请把您使用的每家服务商都列进去。

### 签名 DNS（DNSSEC）

DNSSEC 让解析器能识别伪造的 DNS 响应。请在 DNS 服务商和注册商处同时开启，因为配置错误可能导致域名无法访问。

### 安全联系方式（security.txt）

发布包含 Contact 和 Expires 的 /.well-known/security.txt，让发现问题的人知道如何联系您。

### 不安全的页面资源

不安全的文件可能在传输途中被篡改，浏览器也可能拦截它们导致页面出错。请把这些地址改为 HTTPS。我们只检查了首页。

### 第三方服务

每个外部脚本或服务都能看到您的访客并修改页面。请保持列表精简，删除不再使用的服务，并查看每家服务商会收到什么。使用外部服务本身并不是漏洞。

### 征得同意前的跟踪

GDPR 等隐私法律通常要求在非必要跟踪前取得同意。扫描器从我们的服务器加载一次页面，不接受任何选项。同意管理工具可能因国家不同而表现不同，请同时检查您自己的设置。

### 过时的 JavaScript 库

当 jQuery、jQuery UI、Bootstrap、AngularJS、Lodash 和 Moment.js 显示版本号时，我们可以识别它们。请更新受影响的库，或更新包含它的主题或插件，然后测试网站。

### 脚本完整性校验

子资源完整性（Subresource Integrity）让浏览器可以拒绝被修改过的脚本文件。它适用于 CDN 上带版本号的文件，不适用于标签管理器这类会有意变化的脚本。

### 网站平台版本

带版本号的 generator 标签会让网站更容易成为自动化攻击的目标。尽可能删除它，并保持平台、主题和插件为最新版本。隐藏版本并不能修复任何问题。

## 隐私声明

为了防止滥用，并处理投诉或法律请求，Mecanik Dev Ltd 会为每次扫描保存一条记录。记录包含网站、时间、声明版本、您的 IP 地址、您的浏览器和设备信息，以及根据 IP 地址得出的大致位置。我们会将这些记录保存 30 天，然后删除。我们不会将它们用于营销，只在法律要求时才会共享。

我们的托管和安全服务商会处理您的 IP 地址以运行服务和反机器人验证，并保存自己的日志。同意扫描不等于同意接收营销信息。PDF 由您的浏览器自行生成。

有关控制者联系方式、数据权利和服务提供商的信息，请参阅主隐私政策。

如果您公开报告，我们会保存域名、扫描时间和结果，最长 90 天。公开目录会显示每个网站的最新报告。保密扫描绝不会保存在那里。之前的公开报告会一直保留，直到过期或被删除。公开报告绝不包含访客的 IP 地址、浏览器信息、授权记录或 Cookie 值。

主题偏好保存在此浏览器中。当前报告保存在此标签页的会话存储中，切换语言无需重新扫描。清除浏览器存储即可删除这些偏好和结果。