# 網站安全掃描一分鐘內完成。

網站安全掃描專為小型企業網站設計。檢查 HTTPS、安全標頭、郵件記錄和追蹤器，然後下載附有修復方法的 PDF。

## 網站安全掃描檢查哪些內容？

掃描會對首頁執行 28 項檢查，包括 HTTPS 和重新導向、安全標頭、Cookie、郵件和 DNS 記錄、第三方指令碼、追蹤器以及過時的函式庫。每項結果都會說明需要修復什麼、值得留意什麼，以及我們無法檢查什麼。

### HTTPS連線

網站是否透過加密連線回應，並要求瀏覽器持續使用 HTTPS？

### 瀏覽器保護

網站能否阻止不需要的指令碼、防止其他網站嵌入自己的頁面，並防止瀏覽器猜測檔案類型？

### Cookie、追蹤器與軟體

我們檢查 Cookie 設定、訪客同意前就載入的追蹤器、過時的 JavaScript 函式庫，以及網站洩露的軟體版本。

## 更好地使用網站安全掃描

### 網站安全掃描能告訴您什麼

網站安全掃描會顯示您的首頁傳送給每位訪客的設定。我們檢查 HTTPS、安全標頭、Cookie、郵件記錄、追蹤器，以及網站洩露的軟體資訊。您可以用網站安全掃描的結果整理要問開發人員的問題，並在修改前保留有日期的記錄。

### 解讀網站安全掃描結果

網站安全掃描會把結果分為需要主機商盡快處理的項目、需要修復的設定，以及取決於網站用途的選擇。缺少選用標頭並不代表遭到攻擊。網站安全掃描的評分從 0 到 100，統計通過的檢查項。顏色會告訴您先看哪些項目。

### 網站安全掃描前後的工作

在更換主機或安全設定前先做一次網站安全掃描，留下對照基準。收緊規則前，先檢查付款頁面、登入和嵌入服務。修改後再做一次網站安全掃描，與舊報告比較，並在真實瀏覽器中測試網站。把軟體更新和帳戶安全納入日常維護。

### 與開發人員分享網站安全掃描

讓實際動手的人能看到網站安全掃描的結果，修復會更順利。下載 PDF，或把報告連結傳給開發人員。每份報告都會顯示掃描時間。網站擁有者在證明自己控制該網站後，也可以發布報告。

## 網站安全常見問題

### 網站安全掃描能證明網站安全嗎？

不能。它只檢查一部分公開設定，無法發現所有漏洞、惡意軟體、程式碼錯誤或被盜帳戶。完整的安全稽核範圍要大得多。

### 網站安全掃描會影響網站嗎？

幾乎沒有影響。掃描會查詢 DNS 記錄，透過 HTTPS 和一般 HTTP 請求首頁，最多跟隨五次重新導向，讀取 security.txt，並在雲端瀏覽器中載入一次首頁。它不會造訪其他頁面、提交表單、登入或嘗試攻擊。如果網站封鎖掃描，結果會不完整。

### 網站安全掃描為什麼每天限兩次？

這個限制讓工具可以保持免費，也避免給網站帶來不必要的流量。

### 網站安全掃描的顏色代表什麼？

紅色表示需要主機商盡快檢查，例如帶有已知嚴重漏洞的舊版 PHP。橙色表示某個設定需要修復。藍色表示值得進一步查看。綠色表示檢查通過。灰色表示我們無法檢查。這些顏色都不代表您的網站已被入侵。

### 網站安全掃描能偵測PHP2Shell嗎？

它可以提示比已修復版本更舊的 PHP 版本。版本標頭可能有誤、被隱藏或被修改，有些主機商也會為舊版本打補丁。請讓主機商確認已安裝的 PHP 版本和補丁。我們從不發送攻擊請求。沒有 PHP 標頭並不代表沒有 PHP 或已經打過補丁。

### 網站安全掃描為什麼標記軟體回應標頭？

版本資訊會讓人更容易找到執行有漏洞軟體的網站。能刪就刪。隱藏它並不能修復任何問題，所以請保持軟體本身為最新版本。

### 網站安全掃描後應做什麼？

先處理紅色項目，再和開發人員或主機商一起查看橙色項目。上線前先測試標頭的修改，因為過嚴的規則可能會影響付款、表單和嵌入內容。下載 PDF 即可分享結果。Mecanik Dev 可以協助您選擇合適的修復方案並完成實作。

### 網站安全掃描結果是否公開？

不是。掃描是私密的。只有網站擁有者才能發布其報告，且必須先透過 DNS 記錄或檔案證明自己控制該網站。您仍可分享私密連結或 PDF。不需要帳號或電子郵件。

## 報告包含的檢查項目

### 加密連線

HTTPS 會加密網站和訪客之間的資料。這說明掃描器建立了安全連線，但不會測試網站的其他部分。

### 將一般 HTTP 重新導向至 HTTPS

輸入網址時沒有加上 https:// 的訪客應被直接帶到安全網站。之後 HSTS 會讓瀏覽器一直使用 HTTPS。

### 讓訪客持續使用 HTTPS

設定 Strict-Transport-Security，max-age 至少六個月。加入 includeSubDomains 或 preload 前先檢查子網域。

### 控制可執行的內容

Content-Security-Policy 決定頁面可以載入哪些指令碼和內容。合適的規則取決於網站本身，缺少政策本身並不是漏洞。如果頁面在 HTML 中設定了政策，瀏覽器檢查會讀取它。report-only 政策不會封鎖任何內容。

### 防止誤導性嵌入

使用 CSP frame-ancestors 或 X-Frame-Options，只允許確實需要嵌入您網站的站點。

### 阻止瀏覽器猜測檔案類型

將 X-Content-Type-Options 設為 nosniff，瀏覽器就會按伺服器宣告的類型處理每個檔案。

### 限制傳給其他網站的資訊

明確設定 Referrer-Policy 能讓行為更清楚。現代瀏覽器預設已經會限制這一點，所以缺少這個標頭並不代表資料在洩漏。

### 限制敏感瀏覽器功能

Permissions-Policy 可以為網站關閉攝影機、麥克風和定位。合適的設定取決於網站的用途。

### X-Powered-By資訊揭露

盡可能移除執行環境資訊。這樣網站更難被辨識，但仍然需要及時更新軟體。

### 伺服器版本揭露

請主機商隱藏版本號並保持伺服器更新。只有伺服器名稱而沒有版本號是可以的。

### PHP修補程式檢查

PHP2Shell 是 PHP 本身兩個嚴重漏洞的名稱。標頭裡只回報一個版本號，它可能不準確，也可能沒有反映主機商已打的補丁。請讓主機商對照最新的 PHP 安全公告確認已安裝的版本。隱藏這個標頭並不能修復任何問題。

### 僅透過HTTPS傳送Cookie

Secure 表示 Cookie 只透過 HTTPS 傳送。我們只能看到首頁回應設定的 Cookie。登入後或由指令碼設定的 Cookie 不在範圍內，Cookie 的值也絕不會出現在報告中。

### 工作階段Cookie保護

HttpOnly 可以阻止頁面上的指令碼讀取 Cookie。我們根據名稱推測哪些是工作階段 Cookie，請讓開發人員確認。

### 跨網站Cookie規則

SameSite 決定來自其他網站的請求何時攜帶 Cookie。有些整合需要使用 None，缺少設定時瀏覽器會使用預設值。

### 跨來源存取

API 和共用檔案通常需要 CORS。僅有萬用字元並不會洩露私密資料。這項首頁檢查無法判斷 API 是否信任任何來源。

### 瀏覽器視窗隔離

COOP 會把頁面和其他網站開啟的視窗隔開。付款和登入彈出視窗可能需要較寬鬆的設定。僅缺少 COOP 並不會讓網站可被攻擊。

### 資源嵌入規則

Cross-Origin-Resource-Policy 決定哪些網站可以嵌入您的檔案。公開圖片和共用檔案可能需要保持開放。大多數頁面不需要它。

### 郵件寄件者政策（SPF）

SPF 幫助郵件伺服器拒收冒用您網域發出的假郵件。如果網域從不寄信，請發布 v=spf1 -all。我們檢查的是主網域。

### 郵件防偽政策（DMARC）

DMARC 告訴郵件伺服器如何處理未通過 SPF 和 DKIM 的郵件。先用監控模式，閱讀報告，然後改為 quarantine 或 reject。

### 憑證授權機構規則（CAA）

CAA 記錄列出可以為該網域簽發憑證的憑證機構，能降低憑證被誤簽的風險。請把您使用的每家服務商都列進去。

### 簽章 DNS（DNSSEC）

DNSSEC 讓解析器能識別偽造的 DNS 回應。請在 DNS 服務商和註冊商處同時開啟，因為設定錯誤可能導致網域無法連線。

### 安全聯絡方式（security.txt）

發布包含 Contact 和 Expires 的 /.well-known/security.txt，讓發現問題的人知道如何聯絡您。

### 不安全的頁面資源

不安全的檔案可能在傳輸途中被竄改，瀏覽器也可能封鎖它們導致頁面出錯。請把這些網址改為 HTTPS。我們只檢查了首頁。

### 第三方服務

每個外部指令碼或服務都能看到您的訪客並修改頁面。請保持清單精簡，移除不再使用的服務，並查看每家服務商會收到什麼。使用外部服務本身並不是漏洞。

### 取得同意前的追蹤

GDPR 等隱私法規通常要求在非必要追蹤前取得同意。掃描器從我們的伺服器載入一次頁面，不接受任何選項。同意管理工具可能因國家不同而表現不同，請同時檢查您自己的設定。

### 過時的 JavaScript 函式庫

當 jQuery、jQuery UI、Bootstrap、AngularJS、Lodash 和 Moment.js 顯示版本號時，我們可以識別它們。請更新受影響的函式庫，或更新包含它的佈景主題或外掛，然後測試網站。

### 指令碼完整性檢查

子資源完整性（Subresource Integrity）讓瀏覽器可以拒絕被修改過的指令碼檔案。它適用於 CDN 上帶版本號的檔案，不適用於標籤管理工具這類會有意變化的指令碼。

### 網站平台版本

帶版本號的 generator 標籤會讓網站更容易成為自動化攻擊的目標。盡可能移除它，並保持平台、佈景主題和外掛為最新版本。隱藏版本並不能修復任何問題。

## 隱私權聲明

為了防止濫用，並處理申訴或法律要求，Mecanik Dev Ltd 會為每次掃描保存一筆紀錄。紀錄包含網站、時間、聲明版本、您的 IP 位址、您的瀏覽器和裝置資訊，以及根據 IP 位址推算的大約位置。我們會將這些紀錄保存 30 天，然後刪除。我們不會將它們用於行銷，只在法律要求時才會分享。

我們的主機代管與資安服務商會處理您的 IP 位址以運行服務和防機器人驗證，並保存自己的日誌。同意掃描不等於同意接收行銷資訊。PDF 由您的瀏覽器自行產生。

有關控制者聯絡方式、資料權利和服務提供者的資訊，請參閱主要隱私權政策。

如果您公開報告，我們會儲存網域、掃描時間和結果，最長 90 天。公開目錄會顯示每個網站的最新報告。保密掃描絕不會儲存在那裡。之前的公開報告會一直保留，直到過期或被刪除。公開報告絕不包含訪客的 IP 位址、瀏覽器資訊、授權記錄或 Cookie 值。

主題偏好儲存在此瀏覽器中。目前報告保存在此分頁的工作階段儲存空間，切換語言無需重新掃描。清除瀏覽器儲存空間即可刪除這些偏好和結果。