困难通常不在于扫描器发现了问题，而在于判断它是否会泄露客户数据、阻断销售，或可以等到下次维护。二十个没有可复现证据的红色标签只会增加工作量，无法帮助决策。
安全审计是在特定时间、从特定网络位置检查明确的目标。Sitelemetry把选定模块的结果整理为发现、证据和检查列表。请结合阅读：任务完成不代表尝试了所有攻击，也不代表检查了所有账户流程。
此审计的范围
可以测量什么
- 根据所选模块检查DNS和邮件策略、TLS、HTTP响应头、技术特征、公开暴露和API接口范围。
- 套餐和配置允许时，检查选定TCP端口、认证接口、软件供应链迹象及其他安全引擎。
- 在发现之外，记录受支持的成功检查以及未完成的观察。
不能证明什么
- 外部扫描无法证明所有权限规则、私有接口或业务逻辑都安全。
- 超时、过滤、登录要求和引擎不可用会缩小覆盖范围，不能算作通过。
- 识别出技术或建立连接，本身并不证明存在可利用的漏洞。
扫描前请验证所有权和授权。套餐、扫描配置、明确选择的模块及引擎可用性共同决定范围。选择完整审计不会绕过这些条件，请查看报告中的实际覆盖范围。
先看证据，再看分数
逐项查看受影响的主机名或URL、观察时间、模块、响应或连接证据、可信度和建议修复。真实HTTP响应中缺少响应头，与请求根本没有完成是两回事。TLS握手失败时，响应头属于未测量；据此虚构五个响应头缺失会夸大结果。
内部工单只保留必要证据。发现秘密信息时，记录位置和脱敏标识，不要把完整凭据贴进共享工单。版本匹配只是调查线索：声称已经被入侵之前，先核对部署版本与厂商公告。
在严重程度之外考虑业务背景
| 观察 | 实际优先级 | 下一步判断 |
|---|---|---|
| 可用凭据被公开 | 紧急；根据权限可能达到严重级别 | 撤销或轮换并调查访问 |
| 公开TLS证书过期或不受信任 | 高 | 恢复可信连接并验证续期 |
| 缺少浏览器防护策略 | 通常为中或低，取决于具体控制 | 强制执行前检查应用行为 |
| 技术信息公开或识别出框架 | 通常为低或信息 | 确认相关性和补丁状态 |
| 443端口接受连接 | 符合预期的服务观察 | 评估TLS与应用，而非端口数字 |
这些是分流处理的示例，不能代替证据。客户登录页与公开静态文件的风险背景不同。可信度表示观察的确定性，严重程度表示潜在后果；两者都不能证明攻击已经发生。
结合场景理解开放端口和信息提示
公开HTTPS网站需要HTTPS监听服务。443端口开放本身不是漏洞。80端口如果重定向到HTTPS，也可能完全合理，应核实实际行为。管理服务、数据库和旧式传输服务必须有明确负责人及公开理由。TCP连接成功只能证明可达，不能证明允许匿名访问，也不能确定软件版本。
如果一般端口观察和服务专属发现描述同一个暴露，应合并成一个修复任务。超时不能证明端口关闭。ZAP的Modern Web Application提示也属于信息级别：它建议更合适的爬取方式，并非需要安全补丁的缺陷。
修复根因，同时保留正常业务
- 控制已确认的暴露。移除意外公开访问、轮换受影响凭据并检查日志。删除文件并不会撤销已经泄露的密钥。
- 修改真正负责的层。TLS可能终止于CDN，响应头可能来自反向代理，服务也可能运行在另一台主机。
- 分阶段实施改变行为的策略。先测试CSP报告、登录跳转、嵌入式支付和必要集成，再强制执行。
- 减少不必要的访问。把管理服务限制在必需的网络路径，同时保留经过测试的恢复途径。
每项任务都应有负责人、期限和验收证据。不要为了提高分数关闭所有服务。目标是在客户流程正常工作的前提下，形成更小且有合理依据的攻击面。
让复测具备可比性
使用相同主机名、协议、扫描配置和模块复测。保存前后报告和期间的变更。如果涉及DNS、CDN或缓存，要确认扫描访问了更新后的服务。关闭模块之后分数上升，不是漏洞已经修复的证据。
- 确认原始问题不再复现。
- 测试受影响的登录、注册、付款和嵌入内容。
- 检查跳过、失败、部分完成的模块及引擎可用性。
- 用新的观察关闭工单，将尚未解决的范围限制单独保留。
明确哪些问题需要人工测试
账户隔离、通过业务操作提升权限，以及两个真实用户之间的授权，通常需要有针对性的登录态测试。找到登录接口不等于验证了其权限规则。可使用OWASP测试指南规划额外的授权检查，用HTTP响应头指南核对浏览器防护。
重要版本发布前建立基线，在基础设施、认证或依赖项改变后重测相关控制。自动报告支持日常维护，但不会授予合规认证、保证网站不会遭到攻击，也不能替代范围明确的渗透测试。
常见问题
安全分数很高就代表网站安全吗？
它反映报告范围内已测量控制的结果。作出更广泛判断之前，请检查证据、跳过的模块和没有测试的账户流程。
每个信息级结果都需要修复吗？
不需要。保留有价值的资产观察，只在存在相关弱点或运维需求时创建修复任务。预期中的HTTPS可用性不是缺陷。
可以通过MCP客户端执行相同审计吗？
支持的MCP工具使用账户的套餐和权限。请确认所选范围及完成详情；工具可用并不意味着所有模块或外部引擎都运行过。
来源与延伸阅读
- OWASP：Web安全测试指南owasp.org
- ZAP：Modern Web Application信息提示www.zaproxy.org
- OWASP：HTTP响应头指南cheatsheetseries.owasp.org
由 Sitelemetry 团队根据产品审计范围和链接的一手资料编写。除明确标注的实际观察案例外，示例均用于说明。
