HTTPS 与证书
证书到期、信任链、HTTPS 重定向，以及 2027 年会出问题的手动续期。
免费 · 被动检查 · 无需注册
网站漏洞扫描器
十秒左右，找出过期证书、停止维护的 PHP、暴露的文件和泄露的 API 密钥。
- 个检查方面
- 7
- 个检查方面
- 项安全信号
- 40+
- 项安全信号
- 每次扫描
- ~10s
- 每次扫描
- 需要注册
- 0
- 需要注册
这个网站漏洞扫描器检查什么
攻击者的扫描器最先找到的那些东西。
服务器软件与运行时版本
暴露的 PHP 版本，对照停止维护日期和 PHP2Shell 修复版本。
泄露到前端代码里的 API 密钥
藏在 JavaScript 里的 Stripe、OpenAI、AWS、GitHub 和 Supabase 密钥。
绝不应公开的文件
.env、.git、phpinfo 等绝不应公开的文件。
安全响应头
HSTS、CSP、防嵌入、nosniff 和 Referrer 策略，附上要添加的响应头。
Cookie 与混合内容
缺少 Secure、HttpOnly 或 SameSite 的会话 Cookie，以及混合内容。
免费扫描是怎么工作的
01
输入域名
无需注册。确认你有权测试该网站。
02
执行被动检查
大约 20 个普通 GET 请求。不登录、不发 payload、不扫端口。
03
照着报告修复
每个问题都附带要修改的具体配置。
它绝不会做什么，以及我们保存什么+
会做什么. 通过 HTTPS 和 HTTP 请求你的首页，读取响应头和 TLS 证书，从同一主机下载最多 8 个 JavaScript 文件，并请求 6 个常见路径。总共大约 20 个普通的 GET 请求，User-Agent 标明为 SiteXrayBot。
绝不会做什么. 不尝试登录、不提交表单、不注入任何 payload、不扫端口、不爬首页以外的页面。内网和保留地址会被拒绝，只允许 80 和 443 端口。所以它可以放心地对生产环境运行，但也正因为如此，它不等同于渗透测试。
扫描结果怎么处理. 报告只在内存中保留五分钟，避免同一站点被重复请求，之后就会丢弃。检测到的密钥在离开服务器之前就已打码。扫描前你需要确认自己是网站所有者或已获得测试授权。
- 集中修复：一个站点，修完全部问题，复扫达到 A
- 持续监控：每周复扫，证书与 CVE 告警
- 托管运维：每月升级 PHP / Node.js 并更新依赖
常见问题
这个网站漏洞扫描器真的免费吗？
+
是的。不用注册，除了两次扫描之间需要间隔几秒外没有其他限制。付费服务是给需要修复或持续监控的用户的，扫描器本身一直免费。
对生产环境网站扫描安全吗？
+
安全。扫描器只发送大约 20 个普通的 GET 请求，和浏览器或搜索引擎的请求一样。它不提交表单、不猜密码、不发送攻击 payload，所以不会修改数据，也不会把网站搞挂。
可以扫描不属于我的网站吗？
+
需要获得授权。即使是被动检查，也只应在你拥有、管理或获得书面测试授权的网站上运行。每次扫描前都会要求你确认这一点。
怎么知道我的网站是否受 PHP2Shell 影响？
+
如果服务器暴露了 PHP 版本，报告会直接告诉你。如果隐藏了版本（这是推荐做法），请在服务器上运行 php -v：低于 8.2.35、8.3.36、8.4.27 或 8.5.12 的版本，以及所有 8.1 及更早版本都受影响，除非供应商已回移修复。
能检测出我的应用运行的 Node.js 版本吗？
+
通常不能：Node.js 不会通过 HTTP 暴露版本号。扫描器会标记 X-Powered-By: Express 这类框架指纹。请自己用 node -v 检查运行时，并升级到 22.23.4、24.22.1 或 26.12.1 及以上；Node.js 20 需要升级大版本。
我的网站拿到 A，是不是就安全了？
+
这说明从外部看不到明显的暴露，已经比大多数网站好了。但业务逻辑漏洞、弱密码、登录后才能访问的插件漏洞、数据库权限规则，被动扫描都看不到。这些需要代码审计或渗透测试。
我的应用是用 AI 编程工具做的，应该先查什么？
+
先查泄露的密钥和数据库权限规则。AI 生成的前端经常把 secret key 打包到浏览器里，Supabase 或 Firebase 项目也经常没开行级安全就上线了。第一类扫描器可以发现；第二类请参考指南里的 Vibe Coding 安全清单。
应该多久扫描一次？
+
每次涉及服务器配置的部署之后都扫一遍，并且至少每月一次。现在证书几个月就要续期一次，运行时每年也会发布好几次安全更新，春天还干净的网站到秋天可能就不及格了。