在线网站安全扫描工具检查什么，看不到什么，评分怎么读？

在线网站安全扫描工具，看你网站的方式，和互联网上任何人看到的一样。你输入网址，扫描工具向网站发出请求，读取返回的内容，再与已知问题的清单比对。它不需要密码、插件，也不需要访问你的服务器。

这有两面。好处是：几分钟就能得到答案，而且不必向任何人要权限。局限是：扫描工具只能看到网站向外界展示的东西。下面讲这个视角里有什么、没有什么，以及怎么读报告，才知道下一步该做什么。

扫描工具从外部能看到什么

扫描工具从攻击者开始的地方开始。每天在互联网上搜寻容易得手目标的机器人，同样没有你的密码。它们读取的是不用登录就能读到的一切。好的在线扫描工具看的是同样的地方：

• **证书和加密。**SSL 证书是否有效、何时到期，服务器是否还接受过时的加密方式，你地址的每一种写法最终是否都落到 https://。
• **软件版本。**页面源代码常常会透露 WordPress、主题、插件和 JavaScript 库的版本。扫描工具会把它们与已知漏洞的数据库比对。
• **一眼就能看到的文件。**名为 backup.zip 的备份、.env 文件、.git 文件夹、日志和数据库导出文件。只要服务器会把它们交给任何开口要的人，扫描工具就能看到。
• **安全头和 Cookie。**浏览器有没有收到让网站更难被嵌入框架、更难被注入脚本的指令，会话 Cookie 有没有带上正确的标志。
• **邮件。**SPF、DKIM 和 DMARC 记录，它们决定陌生人能不能发出看起来来自你域名的邮件。
• **恶意代码和信誉。**域名是否在 Google 安全浏览等威胁名单上，首页代码里有没有隐藏的框架或可疑的重定向。
• **开放端口和被遗忘的子域名。**暴露在互联网上的数据库管理面板，或者放在 test.yourdomain.com 这类地址上的旧测试站。

ShieldWave 一次运行 20 多项这样的检查，大约 90 秒。向你的表单发送测试数据的检查，只有在你确认网站属于你之后才会运行。否则，ShieldWave 只读取网站向每位访问者展示的内容。

在线扫描工具查不了什么

凡是在登录之后，或在你服务器文件内部的东西，从外部扫描都够不着：

• **PHP 文件。**扫描工具打不开服务器上的文件，所以发现不了在页面上不留痕迹的后门。在 WordPress 上，这是从内部工作的插件，或主机面板里的恶意软件扫描工具的任务。
• **账户和密码。**它说不出你有多少管理员，有没有人用“admin123”登录，或者有没有开启两步验证。
• **不留痕迹的插件。**如果某个插件没有往页面源代码里加任何东西，扫描工具就查不到它的版本。
• **数据库内容。**加在旧文章里、只出现在少数页面上的垃圾内容。
• **你的网店或应用的逻辑。**客户能不能通过改地址里的一个数字，看到别人的订单。这要由人在渗透测试中检查：专家花上几天，了解你的业务运作之后，手动尝试闯入。

所以从外部扫描，既不能取代插件，也不能取代渗透测试。它回答的是另一个问题：所有来到你网站的人，包括机器人，看到了什么。这份清单上最常见的两个话题，各有一篇文章：过时的插件和安全头。

如何读 0 到 100 的评分

ShieldWave 用一个从 0 到 100 的数字来概括一次扫描。数字越高，检查发现的问题越少，也越轻微。这个数字有两个用处：修复后与你网站自己比较，以及快速回答这周是否需要处理什么。

三条规则：

1. **除了数字，也要读清单。**得 70 分但有一个严重问题的网站，比得 60 分、只有十几条轻微提示的网站，需要更快采取行动。
2. **分数高，不等于网站安全。**它只是说明外部检查发现的问题少。上一节里提到的那些东西，仍然可能出问题。
3. **比较日期。**一个月后做同样的扫描，能看出修复是否有效，是否冒出了新的问题，比如期间公布的某个插件漏洞。

免费方案里最严重的三项发现

免费方案会显示你的评分和最严重的三个问题。清单故意很短：如果这周有什么需要修，它就会在上面。

每项发现都会说明哪里不对，对业务意味着什么，不用术语。清单的前几位，通常是这类东西：任何人都能下载的备份、带有已知漏洞的插件，或者快要过期的证书。

完整报告会把每项发现归入三个时间段：本周、本月和以后。它还附有一份给开发者的说明，包含他们为这项工作报价所需的技术细节。如果你不确定怎么把它交过去，请读如何与开发者谈安全。

moje.cert.pl 的位置

如果你的企业或组织在波兰，请在 moje.cert.pl（波兰语）开一个账户。这是 CERT Polska 运营的免费服务，CERT Polska 是隶属于 NASK 的国家级事件响应团队。你可以申请对你的域名做一次扫描，该服务会告诉你，你所用软件中的已知漏洞，配置有误的域名和子域名，以及涉及你域名下账户的数据泄露。

不论你还用别的什么，我都会向波兰的每位网站所有者推荐它。设置一次，通知就会自己送上门。

ShieldWave 与它并行，用于你想立刻得到答案的时候：用大白话，带着修复顺序，以及可以转交的说明。两者都是从外部看，所以结果会有部分重合。

多久扫描一次

对大多数小企业来说，一个月一次就够了。下面这些情况，要扫得更勤：

• 网站有变动：新插件、新主题、换了主机，
• 曾有权访问管理后台的人或公司离开了，
• 你收到了不对劲的迹象：Google 的警告、客户提到奇怪的跳转、从你的域名发出了垃圾邮件。这时请同时读一读网站被入侵的迹象。

**检查你的网站。**在 shieldwave.io 输入你的网址。大约需要 90 秒，不需要密码，也不需要账号。