เครื่องมือฟรี: เทคนิค

ตรวจสอบเว็บไซต์ฟรีครบทุกด้าน

สแกนหน้าที่คุณกรอกและหน้าสำคัญอีกสูงสุด 4 หน้าในครั้งเดียว พร้อมผลลัพธ์ 7 ด้าน ได้แก่ การเข้าถึง ความพร้อม EAA, SEO ความเร็ว คอนเวอร์ชัน ความปลอดภัย และการยืนยันตัวตนอีเมล เริ่มจากตรงนี้เพื่อดูว่าปัญหาใหญ่ที่สุดอยู่ที่ใด ก่อนตัดสินใจว่าจะแก้อะไร

ฟรี ทดสอบหน้าสำคัญได้สูงสุด 5 หน้าในเวลาประมาณ 1 นาที

สิ่งที่เครื่องมือนี้ตรวจ

  • การเข้าถึง

    กฎ WCAG 2.2 ระดับ A และ AA ของ axe-core ในทุกหน้าที่ทดสอบ พร้อมการทดสอบด้วยคีย์บอร์ดเพื่อหาโฟกัสติดวน ลิงก์ข้ามไปยังเนื้อหา (skip link) และเส้นขอบโฟกัสที่หายไป

  • ความพร้อม EAA

    ข้อผิดพลาดด้านการเข้าถึงที่ตรวจพบโดยอัตโนมัติ จับคู่กับ EN 301 549 ซึ่งเป็นมาตรฐานยุโรปที่ใช้สำหรับ European Accessibility Act

  • SEO

    title, description, H1, canonical, noindex, robots.txt, XML Sitemap, viewport, ภาษา, Open Graph และข้อมูลที่มีโครงสร้าง

  • ความเร็ว

    เวลาในการโหลด การเลื่อนของเลย์เอาต์ งานที่ใช้เวลานาน น้ำหนักของหน้า รูปภาพที่หนัก และสัดส่วนจากบุคคลที่สาม ซึ่งวัดจากการโหลดหน้าชุดเดียวกัน ส่วนการทดสอบบนโทรศัพท์ผ่าน 4G ที่ช้าอยู่ในเครื่องมือทดสอบความเร็วเว็บไซต์

  • คอนเวอร์ชัน

    CTA ช่องทางติดต่อ แบบฟอร์ม และเนื้อหาที่สร้างความน่าเชื่อถือ เช่น คำรับรองจากลูกค้าและลิงก์นโยบาย สำหรับร้านค้าออนไลน์ยังตรวจหน้าสินค้าและตะกร้าสินค้า เช่น ราคา ปุ่มเพิ่มลงตะกร้า และปุ่มชำระเงิน

  • ความปลอดภัยแบบไม่รุกล้ำ (passive)

    ใบรับรอง การเปลี่ยนเส้นทางจาก HTTP ไปยัง HTTPS, security header, แฟล็กของคุกกี้, mixed content, jQuery และ Lodash เวอร์ชันเก่า, security.txt และนโยบาย DMARC ที่ป้องกันอีเมลปลอมแปลง

  • การยืนยันตัวตนอีเมล

    SPF, DKIM ใน selector ที่ใช้กันทั่วไป, DMARC, BIMI และ MTA-STS โดยอ่านจาก DNS สาธารณะ

  • ประเภทเว็บไซต์และเทคโนโลยี

    ประเภทของเว็บไซต์ (ร้านค้าออนไลน์ SaaS หรือแอป เว็บไซต์บริษัท บล็อก สื่อออนไลน์ การศึกษา หน่วยงานรัฐ การแพทย์และสุขภาพ โรงแรม หรือแลนดิ้งเพจ) และแพลตฟอร์มจาก 18 เทคโนโลยี ซึ่งตรวจจับจากหลักฐานสาธารณะพร้อมระดับความมั่นใจ ทั้งสองอย่างนี้กำหนดว่าจะใช้หน้าและการตรวจใด

สิ่งที่ตรวจไม่ได้

  • ลงลึกในด้านใดด้านหนึ่ง แต่ละด้านแสดงผลการตรวจที่สำคัญที่สุด ส่วนรายงานแบบชำระเงินของด้านนั้นจะทดสอบเพิ่มเติมและให้วิธีแก้สำหรับทุกผลการตรวจ
  • ทดสอบมากกว่า 5 หน้า หน้าที่ต้องเข้าสู่ระบบ หรือขั้นตอนชำระเงิน
  • ทำหน้าที่เป็นการทดสอบเจาะระบบ (penetration test) การตรวจความปลอดภัยอ่านเฉพาะสิ่งที่เบราว์เซอร์ของผู้เข้าชมและ DNS สาธารณะแสดงเท่านั้น
  • ค้นหาคีย์ DKIM ทุกตัว เนื่องจากดึงรายการ selector ทั้งหมดไม่ได้ จึงตรวจเฉพาะ selector ที่บริการอีเมลทั่วไปใช้
  • ตอบคำถามทางกฎหมาย เช่น ADA หรือ EAA ใช้กับคุณหรือไม่ หรือคุณปฏิบัติตามแล้วหรือไม่
  • วัดผลลัพธ์ เช่น อันดับ อัตราคอนเวอร์ชัน ยอดขาย หรือการเข้ากล่องจดหมาย (inbox placement)

ทำไมจึงสำคัญ

ปัญหาของเว็บไซต์มักไม่ได้อยู่ด้านเดียว ภาพสไลด์ (carousel) ชุดเดียวอาจเป็นทั้งข้อผิดพลาดด้านการเข้าถึง ไฟล์ที่หนักที่สุดในหน้า และสาเหตุที่ CTA ไปอยู่ใต้หน้าจอแรก แบนเนอร์คุกกี้อาจทำให้โฟกัสคีย์บอร์ดติดวนและทำให้เลย์เอาต์เลื่อนไปพร้อมกัน การเห็นทุกด้านจากการสแกนครั้งเดียวช่วยให้รู้ว่าตรงไหนที่การเปลี่ยนแปลงเพียงจุดเดียวแก้ได้หลายเรื่อง

การตรวจแบบกว้างยังพบสิ่งที่ไม่มีใครดูแล ระเบียนการยืนยันตัวตนอีเมลมักตั้งค่าครั้งเดียวแล้วถูกลืม หากไม่มีนโยบาย DMARC ที่บังคับใช้ ผู้อื่นก็ส่งอีเมลที่ดูเหมือนมาจากโดเมนของคุณได้ ใบรับรองที่หมดอายุ security header ที่ขาดหายไป และ jQuery เวอร์ชันเก่าที่ปลั๊กอินแนบมาก็ไม่มีสัญญาณเตือนเช่นกัน จนกว่าจะมีบางอย่างเสียหาย

เนื่องจากการสแกนตรวจจับว่ากำลังทดสอบเว็บไซต์ประเภทใด การตรวจจึงเหมาะกับเว็บไซต์นั้น ร้านค้าออนไลน์ได้รับการตรวจหน้าสินค้าและตะกร้าสินค้า เว็บไซต์ SaaS ได้รับการตรวจหน้าราคา และบล็อกได้รับการตรวจบทความ การตรวจจับจะแสดงหลักฐานและระดับความมั่นใจ คุณจึงรู้ได้เมื่อระบบเดาผิด

วิธีอ่านผลลัพธ์

ปัญหา
ปัญหาที่การตรวจยืนยันแล้ว เช่น กฎ WCAG ที่ไม่ผ่าน หน้าที่ตั้งค่า noindex หรือไม่มีระเบียน DMARC
ควรตรวจสอบ
สิ่งที่คนควรดู เพราะซอฟต์แวร์ตัดสินไม่ได้หรืออาจเป็นความตั้งใจ เช่น รายการที่ axe-core ตัดสินไม่ได้ หรือหน้าที่เว็บไซต์อื่นฝังได้
โอกาสปรับปรุง
สิ่งที่ปรับปรุงได้ ไม่ใช่ข้อผิดพลาด เช่น ไม่มี Content Security Policy หรือ CTA อยู่ใต้หน้าจอแรก
ผ่าน
การตรวจทำงานแล้วและไม่พบสิ่งผิดปกติในหน้าที่ทดสอบ
ข้อมูล
บริบท ไม่ใช่คำตัดสิน เช่น security header ที่ Shopify ตั้งไว้ให้ทุกร้านค้าและคุณเปลี่ยนไม่ได้
ประเภทเว็บไซต์และระดับความมั่นใจ
สิ่งที่การสแกนคิดว่าเว็บไซต์ของคุณเป็น พร้อมหลักฐานประกอบ เมื่อหลักฐานมีน้อย เว็บไซต์จะถูกจัดเป็นเว็บไซต์ทั่วไป และยังได้รับการตรวจทุกอย่างที่เหมาะกับเว็บไซต์ทุกประเภท
เทคโนโลยี
แพลตฟอร์มหรือเฟรมเวิร์กที่ตรวจพบ เช่น Shopify, WordPress, Webflow หรือ Next.js ซึ่งกำหนดว่าคุณจะเห็นขั้นตอนการแก้ไขเฉพาะแพลตฟอร์มใด

วิธีแก้ปัญหาที่พบบ่อยที่สุด

  • ไม่มีนโยบาย DMARC

    เผยแพร่ระเบียน TXT ที่ _dmarc.yourdomain.com เช่น v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com เพื่อเริ่มรับรายงาน เมื่อรายงานแสดงว่าทุกบริการที่ส่งอีเมลในนามของคุณผ่าน SPF หรือ DKIM แล้ว ให้เปลี่ยนเป็น p=quarantine แล้วจึงเป็น p=reject

  • HTTP ไม่เปลี่ยนเส้นทางไปยัง HTTPS

    เปิดตัวเลือกบังคับใช้ HTTPS ในโฮสต์หรือ CDN หรือเพิ่มการเปลี่ยนเส้นทางแบบ 301 จาก http:// ไปยัง https:// สำหรับทุกเส้นทาง เมื่อ HTTPS ใช้งานได้ทุกที่แล้ว ให้เพิ่ม header Strict-Transport-Security

  • ไม่มี security header

    เริ่มจาก X-Content-Type-Options: nosniff, Referrer-Policy เช่น strict-origin-when-cross-origin และ frame-ancestors ใน Content Security Policy (หรือ X-Frame-Options) เพื่อป้องกันไม่ให้เว็บไซต์อื่นนำหน้าของคุณไปใส่ในเฟรม Content Security Policy แบบเต็มต้องผ่านการทดสอบ จึงควรเริ่มจาก Content-Security-Policy-Report-Only

  • jQuery หรือ Lodash เวอร์ชันเก่า

    อัปเดตเป็นเวอร์ชันปัจจุบัน หรือนำไลบรารีออกหากไม่มีอะไรใช้งาน ใน WordPress สำเนาเก่ามักมาจากธีมหรือปลั๊กอินที่แนบไลบรารีของตัวเองมา วิธีแก้จึงเป็นการอัปเดตหรือเปลี่ยนปลั๊กอินนั้น

  • SPF ที่มีการค้นหา DNS มากเกินไป

    SPF อนุญาตให้ค้นหา DNS ได้ไม่เกิน 10 ครั้ง ให้ลบรายการ include: ของบริการที่ไม่ได้ใช้แล้ว หลีกเลี่ยง include ที่ซ้อนกันเท่าที่ทำได้ และตรวจให้แน่ใจว่าโดเมนเผยแพร่ระเบียน SPF เพียงรายการเดียว

  • ไม่มี CTA ที่ชัดเจน

    วางการกระทำหลักหนึ่งอย่าง เช่น “จองเดโม” “ขอใบเสนอราคา” หรือ “ช้อปสินค้ามาใหม่” ไว้ในหน้าจอแรกของหน้าแรก เป็นลิงก์หรือปุ่มจริงที่มีข้อความเฉพาะเจาะจง และใส่ซ้ำหลังส่วนสำคัญ

คำถามเกี่ยวกับเครื่องมือนี้

การตรวจสอบเว็บไซต์ฟรีมีอะไรบ้าง?

หน้าที่คุณกรอกและหน้าสำคัญอีกสูงสุด 4 หน้าที่ทดสอบในเบราว์เซอร์จริง รวมถึงการตรวจระดับทั้งเว็บไซต์สำหรับ robots.txt, sitemap, ใบรับรอง, response header และระเบียน DNS ผลลัพธ์แบ่งเป็น 7 ด้าน แต่ละด้านแสดงผลการตรวจที่สำคัญที่สุด

ใช้เวลานานเท่าไร?

ประมาณหนึ่งนาทีสำหรับเว็บไซต์ส่วนใหญ่ เพราะต้องโหลดและทดสอบ 5 หน้า หากที่อยู่เดียวกันถูกสแกนไปภายในชั่วโมงที่ผ่านมา อาจนำผลนั้นมาใช้ซ้ำ

การตรวจความปลอดภัยใช้กับเว็บไซต์ที่ใช้งานจริงได้อย่างปลอดภัยหรือไม่?

ได้ การตรวจอ่านเฉพาะสิ่งที่เบราว์เซอร์ของผู้เข้าชมและ DNS สาธารณะแสดง ได้แก่ ใบรับรอง header คุกกี้ สคริปต์ และระเบียน DNS ไม่มีการลองรหัสผ่าน ไม่สำรวจเส้นทางที่ซ่อนอยู่ และไม่ส่งทราฟฟิกโจมตี

ระบบตรวจจับประเภทเว็บไซต์อย่างไร?

จากหลักฐานสาธารณะบนหน้าเว็บของคุณ ได้แก่ ข้อมูลที่มีโครงสร้าง แท็ก generator สคริปต์ และคำบนลิงก์และปุ่ม แต่ละประเภทมีระดับความมั่นใจและแสดงหลักฐาน การเดาผิดจึงสังเกตเห็นได้ง่าย

ทำไมจึงทดสอบได้น้อยกว่า 5 หน้า?

หน้าสำคัญจะเลือกจากลิงก์ในหน้าที่คุณกรอก ในเว็บไซต์ขนาดเล็ก หรือเมื่อหน้าใดเปลี่ยนเส้นทางไปยังเว็บไซต์อื่น ส่งข้อผิดพลาดกลับมา หรือถูกบล็อก ก็อาจทดสอบได้น้อยหน้าลง

ควรเริ่มจากรายงานแบบชำระเงินฉบับใด?

ฉบับสำหรับด้านที่มีปัญหาซึ่งสำคัญกับคุณที่สุด แต่ละด้านในผลการตรวจสอบจะลิงก์ไปยังรายงานของด้านนั้น ซึ่งทดสอบหน้ามากขึ้นหรือรันการทดสอบเพิ่มเติม และให้วิธีแก้สำหรับทุกผลการตรวจ

แหล่งอ้างอิง

เครื่องมือที่เกี่ยวข้อง