老域名进蜘蛛池前被安全平台标过风险，百度权重掉了一截，从那以后我新站上线、域名过户都先跑一遍安全配置检测。今天把四款顺手的工具理一理。
一、什么是安全配置检测工具
这类工具扫描网站的 HTTP 安全头、证书、加密配置，看该加的没加、该锁的没锁，最后给评级。挂蜘蛛池的站流量大、被盯概率也大，配置不过关可能被百度风控标红，
二、四款工具的核心功能与作用
第一款Mozilla Observatory，火狐出品，免费，输域名就扫，安全头、TLS、证书逐项给分，出 A 到 F 评级。第二款Hardenize，扫得细，证书链、DNS 配置都查，适合深挖。第三款Detectify，偏渗透测试，模拟攻击找漏洞，比查安全头深一层。第四款HostedScan，胜在批量，多域名排着扫，站多的省时间。
三、官网地址
Observatory 是 https://observatory.mozilla.org ；Hardenize 在 https://www.hardenize.com ；Detectify 是 https://detectify.com ；HostedScan 是 https://www.hostedscan.com 。四个链接我都实际打开验证过，正常访问，免费额度够起步。
四、我的实测体验
两个真事。被标风险的老域名，Observatory 查出评级 D，内容安全策略、X-Frame-Options 全是空的，改完重扫升 B，两周后百度撤标。另一个站挂池后突然收录不动，Detectify 扫出后台目录暴露被爬虫灌垃圾页，清完才恢复。HostedScan 拿它跑子站月度巡检，十分钟十几份。
五、适用人群与使用建议
三类人最实用：买老域名做蜘蛛池的，过户前先扫，分低别急着用；批量站站长，定期批量巡检；被风控误伤想自证清白的，报告截图存好，申诉时附上管用。
六、注意事项和风险提示
几个坑。一是评级只供参考，A 级不代表安全；二是扫描耗服务器资源，别在大流量时段反复扫；三是安全头改错会误伤功能，比如安全策略配太严页面会崩；四是别把报告当护身符，插件漏洞、弱口令自己盯。配置这关守住了，蜘蛛池的流量才接得住。
评论列表