01Scope / 检查什么
先把“能看得到的问题”查一遍
01 / HEADERS
安全响应头
CSP、HSTS、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy。
02 / COOKIE
Cookie 属性
HttpOnly、Secure、SameSite、作用域、过期时间；登录态是否容易被脚本读取。
03 / TLS
TLS / 证书
证书有效期、协议版本、常见配置问题；不做破解/降级攻击。
04 / LEAK
信息泄露
错误页堆栈、调试信息、目录列表、robots/sitemap 暴露、常见敏感路径。
05 / CONFIG
基础配置
HTTP→HTTPS、跨域、缓存、默认页、常见安全配置缺失。
06 / REPORT
中文报告
按 P1–P4 分级，标注是否阻塞上线、修复建议、复测项。
02Not included / 不做什么
这不是渗透测试
不做
- 不做主动扫描/攻击/漏洞利用；
- 不做登录后测试；
- 不做业务逻辑/支付/权限绕过；
- 不做 APP/小程序动态；
- 不做等保测评/合规认证；
- 不承诺“绝对安全”。
适合
- 官网/落地页上线前；
- 外包交付前检查；
- 客户想知道“基础配置有没有明显问题”；
- 作为代码体检的补充，不替代代码扫描。
04Boundary / 边界
你拿到什么，不拿到什么
拿到：问题清单、P1–P4、修复建议、是否建议上线、复测项。
不拿到：渗透测试结论、漏洞利用证明、等保合规结论、绝对安全保证。
授权：只测你拥有/书面授权的域名；不测第三方系统。
不拿到：渗透测试结论、漏洞利用证明、等保合规结论、绝对安全保证。
授权：只测你拥有/书面授权的域名；不测第三方系统。
网站要上线？先做一次基线
微信聊项目 →发域名和上线时间，先判断适不适合做。