免费技术工具

免费网站体检

一次扫描您输入的页面及最多四个关键页面，结果分为七个方面：无障碍、EAA 就绪评估、SEO、速度、转化、安全和邮件身份验证。在决定修复什么之前，先从这里看清最大的问题在哪里。

免费。约一分钟内测试最多五个关键页面。

此工具检查什么

  • 无障碍

    在每个被测页面上运行 axe-core 的 WCAG 2.2 A 级和 AA 级规则，并进行键盘测试，检查焦点陷阱、跳转链接和缺失的焦点轮廓。

  • EAA 就绪评估

    将自动化检测到的无障碍问题对应到 EN 301 549，即《欧洲无障碍法案》（European Accessibility Act）所采用的欧洲标准。

  • SEO

    标题、描述、H1、规范网址、noindex、robots.txt、XML 站点地图、viewport、语言、Open Graph 和结构化数据。

  • 速度

    加载耗时、布局偏移、长任务、页面体积、过大的图片和第三方占比，均在同样的页面加载过程中测得。慢速 4G 网络下的手机测试请使用网站测速工具。

  • 转化

    行动号召、联系渠道、表单，以及客户评价和政策链接等信任内容。对于网店，还会检查产品和购物车，例如价格、加入购物车按钮和结账按钮。

  • 被动式安全检查

    证书、HTTP 到 HTTPS 的重定向、安全响应头、Cookie 标志、混合内容、过时的 jQuery 和 Lodash 版本、security.txt，以及防范伪造邮件的 DMARC 策略。

  • 邮件身份验证

    从公共 DNS 读取 SPF、常见选择器上的 DKIM、DMARC、BIMI 和 MTA-STS。

  • 网站类型和技术

    网站类型（网店、SaaS 或应用、企业网站、博客、内容发布网站、教育、政府、医疗、酒店或落地页），以及在 18 种技术中识别出的平台，均根据公开证据检测并附置信度。两者共同决定使用哪些页面和检查项。

它无法检查什么

  • 无法深入任何单一方面。每个方面只显示最重要的发现；对应的付费报告会运行更多测试，并为每项发现给出修复方案。
  • 无法测试超过五个页面、需要登录的页面或结账流程。
  • 不能替代渗透测试。安全检查只读取访客浏览器和公共 DNS 能看到的内容。
  • 无法找到所有 DKIM 密钥。选择器无法被列举，因此只检查常见邮件服务使用的选择器。
  • 无法回答法律问题，例如 ADA 或 EAA 是否适用于您，或者您是否合规。
  • 无法衡量排名、转化率、销售额或邮件能否进入收件箱等结果。

为什么重要

网站问题很少只出现在一个方面。一个图片轮播可能同时是无障碍问题、页面上最大的文件，以及行动号召被挤到首屏以下的原因。一个 Cookie 横幅可能既困住键盘焦点，又导致布局偏移。通过一次扫描看到所有方面，就能发现哪里改动一处可以解决好几个问题。

全面检查还能发现无人负责的问题。邮件身份验证记录往往设置一次就被遗忘；如果没有强制执行的 DMARC 策略，别人就能发送看似来自您域名的邮件。证书过期、缺少安全响应头，以及插件捆绑的旧版 jQuery，在出问题之前同样悄无声息。

由于扫描会识别所测网站的类型，检查项也会随之匹配：网店会得到产品和购物车检查，SaaS 网站会检查价格页，博客会检查文章。识别结果会显示依据和置信度，让您能看出它何时猜错了。

如何解读结果

问题
检查确认存在的问题，例如未通过的 WCAG 规则、设置了 noindex 的页面，或没有 DMARC 记录。
待确认
需要有人查看的项目，因为软件无法判定，或者可能是有意为之，例如 axe-core 无法确定的项目，或可以被其他网站嵌入的页面。
优化机会
属于改进项而非错误，例如没有内容安全策略（Content Security Policy），或行动号召位于首屏以下。
通过
该检查已运行，在被测页面上没有发现问题。
信息
提供背景信息而非结论，例如 Shopify 为每家店铺统一设置、您无法更改的安全响应头。
网站类型和置信度
扫描认为您的网站属于哪种类型，并附上依据。如果证据不足，网站会被视为普通网站，仍会获得适用于任何网站的所有检查。
技术
检测到的平台或框架，例如 Shopify、WordPress、Webflow 或 Next.js。它决定您会看到哪些针对特定平台的修复步骤。

如何修复最常见的问题

  • 没有 DMARC 策略

    在 _dmarc.yourdomain.com 发布一条 TXT 记录，例如 v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com，开始接收报告。当报告显示所有代您发信的服务都通过了 SPF 或 DKIM 后，再改为 p=quarantine，然后改为 p=reject。

  • HTTP 未重定向到 HTTPS

    在您的主机或 CDN 中开启强制 HTTPS 选项，或为每个路径添加从 http:// 到 https:// 的 301 重定向。HTTPS 在所有地方都正常工作后，再添加 Strict-Transport-Security 响应头。

  • 缺少安全响应头

    先从 X-Content-Type-Options: nosniff、Referrer-Policy（例如 strict-origin-when-cross-origin），以及 Content Security Policy 中的 frame-ancestors（或 X-Frame-Options）开始，防止其他网站用框架嵌入您的页面。完整的 Content Security Policy 需要经过测试，所以请从 Content-Security-Policy-Report-Only 开始。

  • 过时的 jQuery 或 Lodash

    更新到当前版本；如果没有任何地方使用，则移除该库。在 WordPress 上，旧版本通常来自自带副本的主题或插件，因此解决办法是更新或替换该插件。

  • SPF 查询次数过多

    SPF 最多允许 10 次 DNS 查询。删除不再使用的服务对应的 include: 条目，尽量避免嵌套 include，并确保域名只发布一条 SPF 记录。

  • 没有清晰的行动号召

    在首页首屏放置一个主要操作，例如“预约演示”“获取报价”或“选购新品”，用真正的链接或按钮并配以具体文字，并在关键版块之后再次出现。

关于此工具的问题

免费网站体检包括哪些内容？

在真实浏览器中测试您输入的页面及最多四个关键页面，并对 robots.txt、站点地图、证书、响应头和 DNS 记录进行全站检查。结果分为七个方面，每个方面列出最重要的发现。

需要多长时间？

大多数网站约需一分钟，因为要加载并测试五个页面。如果同一网址在过去一小时内扫描过，可能会沿用那次的结果。

在正式运行的网站上进行安全检查安全吗？

安全。它只读取访客浏览器和公共 DNS 能看到的内容：证书、响应头、Cookie、脚本和记录。它从不尝试密码、探测隐藏路径或发送攻击流量。

网站类型是如何识别的？

根据您页面上的公开证据：结构化数据、generator 标签、脚本，以及链接和按钮上的文字。每个标签都附有置信度并显示依据，所以猜错时很容易发现。

为什么测试的页面少于五个？

关键页面是从您输入的页面上的链接中挑选的。如果网站很小，或者页面重定向到其他网站、返回错误或被拦截，能测试的页面就会更少。

应该先从哪份付费报告开始？

从您最关心的问题所在方面的那份报告开始。体检的每个方面都链接到对应的报告，报告会测试更多页面或运行额外测试，并为每项发现给出修复方案。

来源

相关工具